Un formulario de contacto básico no necesita automáticamente una casilla que diga «acepto la política de privacidad». Sí necesita explicar de forma correcta qué ocurrirá con los datos, y cada finalidad debe tener una base jurídica adecuada.
El error habitual consiste en tratar la casilla como si fuera la base jurídica. Puede servir para registrar el consentimiento, pero el consentimiento solo es una de las seis bases del artículo 6 del RGPD. Si una persona solicita un presupuesto o una cita, tratar los campos necesarios para responder puede ser una medida precontractual solicitada por ella, según el artículo 6.1.b. En otro contexto limitado, el responsable podría evaluar el interés legítimo del artículo 6.1.f.
Elige la base antes de diseñar el formulario. No añadas consentimiento para dar apariencia de seguridad a un tratamiento sin analizar.
Separa las finalidades
Piensa en cuatro usos posibles:
| Finalidad | Pregunta que debes responder |
|---|---|
| Contestar la consulta | ¿Qué campos son necesarios para responder a lo que la persona ha pedido? |
| Preparar un presupuesto o una cita | ¿Son medidas precontractuales solicitadas por la persona? |
| Añadirla a comunicaciones comerciales | ¿Existe una autorización separada, opcional y específica para ese canal? |
| Recoger datos de salud u otra categoría especial | ¿Qué condición del artículo 9 resulta aplicable y conviene recoger esa información en un formulario público? |
El botón de envío puede iniciar la conversación solicitada. No debe inscribir a la persona en una newsletter ni autorizar finalidades distintas de forma oculta.
Qué debe explicar el formulario
Los artículos 12 y 13 del RGPD exigen información clara cuando se recogen datos. Una primera capa breve junto al formulario puede indicar:
- quién es el responsable;
- para qué se usa el formulario;
- cuál es la base jurídica;
- los principales destinatarios, cuando proceda;
- el plazo de conservación o el criterio para determinarlo;
- cómo ejercer los derechos; y
- un enlace a la política de privacidad completa.
La Agencia Española de Protección de Datos recomienda esta estructura en su guía para cumplir el deber de informar: información básica en el momento de recogida y una segunda capa con el resto.
Una consulta básica podría mostrar:
Responsable: Ejemplo SL. Finalidad: responder a tu consulta y, si lo solicitas, preparar un presupuesto. Base: medidas precontractuales a petición tuya. Conservación: hasta resolver la consulta y durante el plazo necesario para atender posibles responsabilidades. Derechos e información adicional: Política de privacidad.
Es solo un ejemplo. Responsable, finalidad, base, destinatarios y plazo deben coincidir con el servicio real.
Cuándo usar una casilla separada
Utiliza una opción separada y sin marcar cuando dependas del consentimiento para una finalidad adicional, por ejemplo:
<label>
<input type="checkbox" name="marketingConsent" />
Quiero recibir novedades por email. Puedo retirar el consentimiento.
</label>El consentimiento debe ser libre, específico, informado e inequívoco. No puede incluirse como aceptación obligatoria si el marketing no es necesario para responder. Las directrices del CEPD sobre consentimiento explican por qué no son válidas las casillas premarcadas, la inactividad y el consentimiento vinculado.
Los datos de categoría especial requieren un análisis adicional del artículo 9. El consentimiento explícito del artículo 9.2.a es una posibilidad, pero no la única. Por ejemplo, un profesional sanitario puede apoyarse en los artículos 9.2.h y 9.3 cuando sus circunstancias y la legislación nacional aplicable cumplan esos requisitos.
Revisión antes de publicar
- Enumera cada finalidad por separado.
- Elimina los campos que no sean necesarios.
- Registra la base del artículo 6 para cada finalidad.
- Si hay categorías especiales, registra la condición del artículo 9.
- Coloca la primera capa de información junto al formulario.
- Mantén el marketing como opción separada y sin marcar.
- Comprueba que rechazar marketing no impide enviar la consulta.
- Verifica que la política completa coincide con el formulario.
GDPR.Direct puede generar un borrador de cláusula informativa a partir de los datos del negocio. Aún debes comprobar que coincide con los campos, finalidades, proveedores y plazos del formulario publicado.
Este artículo tiene fines educativos y no constituye asesoramiento jurídico. La versión española necesita revisión de un profesional nativo antes de una publicación regulada.
