Protección de datos en el sitio web: cookies, formularios, aviso legal

Este artículo explica nociones básicas y relaciones técnicas desde el punto de vista del diseño web. No constituye asesoramiento jurídico y no sustituye la revisión por parte de una abogada o un abogado especializado en protección de datos, de un delegado o una delegada de protección de datos ni de la autoridad de control de su estado federado. La situación jurídica, la jurisprudencia y la interpretación cambian. Lo que se aplica a su empresa depende del sector, de la forma jurídica, de los servicios utilizados y del público objetivo.

Entendemos nuestro papel así: construimos las páginas de modo que se generen los menos datos personales posibles, documentamos los hechos técnicos de forma comprensible y colaboramos con su asesoramiento jurídico cuando se trata de valoraciones y formulaciones.

Para el acceso a información en el terminal del visitante (cookies, almacenamiento local, técnicas de huella digital) se aplica en Alemania la ley de protección de datos en telecomunicaciones y servicios digitales (TDDDG). Por regla general exige el consentimiento, salvo que el almacenamiento o el acceso sean estrictamente necesarios para prestar el servicio que el visitante ha solicitado expresamente. Además se aplican las normas del RGPD para el tratamiento posterior de datos personales.

1. ¿Su página guarda o lee algo en el dispositivo del visitante? No: no hace falta consulta según el TDDDG. Sí: continúe.
2. ¿Es estrictamente necesario para que funcione la función solicitada (carrito, inicio de sesión, seguridad, guardar la decisión sobre las cookies)? Sí: no hace falta consentimiento, pero hay que mencionarlo en la declaración de protección de datos. No: continúe.
3. ¿Sirve para estadísticas, comodidad más allá de lo necesario, marketing o contenidos incrustados de terceros? Entonces, por regla general, se requiere consentimiento. Compruebe si puede prescindir del servicio.
4. Si hace falta consentimiento: el servicio solo puede cargarse tras la aprobación activa. Rechazar debe ser tan fácil como aceptar. La decisión es revocable en cualquier momento y la página funciona también si se rechaza.

Errores típicos del banner

• El botón «Aceptar todo» es grande y «Rechazar» es un pequeño texto en una esquina.
• Los servicios ya se cargan antes de que el visitante haya decidido.
• Casillas premarcadas para estadísticas y marketing.
• Un rechazo hace que la página no se pueda usar.
• La elección del visitante no se guarda y el banner vuelve a aparecer en cada visita.

En la práctica esto significa: quien renuncia a los servicios que requieren consentimiento a menudo no necesita ningún banner, y la página resulta así más rápida y tranquila. Complementa lo anterior el artículo Banner de cookies y protección de datos.

El formulario es el lugar más frecuente en el que los visitantes entregan datos de forma consciente. Merece la pena diseñarlo con esmero, porque genera confianza y reduce el riesgo.

• Solo los campos necesarios. A menudo bastan el nombre y una vía de respuesta. Cada campo adicional necesita una finalidad.
• Transmisión cifrada. La página se entrega exclusivamente mediante HTTPS.
• Aviso a la vista. Junto al botón de envío hay una frase breve sobre para qué se usan los datos y un enlace a la declaración de protección de datos.
• Sin consentimientos premarcados. Otras finalidades, como el boletín, necesitan un consentimiento propio y voluntario.
• Protección antispam sin servicio externo. Campo adicional oculto (honeypot), comprobación de tiempo, limitación en el servidor. Los servicios de grandes proveedores plantean cuestiones de protección de datos.
• Entrega segura. El mensaje llega a su servidor de correo mediante una conexión cifrada y los datos del remitente están bien configurados para que no acabe en la carpeta de spam.
• Almacenamiento y borrado. Establezca durante cuánto tiempo se conservan las consultas y bórrelas después.

Sobre el diseño en sí encontrará consejos prácticos en el artículo Cómo diseñar bien un formulario de contacto.

La declaración de protección de datos informa a los visitantes de qué datos trata usted y para qué. Debe ser comprensible y ajustarse a la página. Una estructura habitual:

1. Responsable (nombre, dirección, contacto) y, en su caso, delegado de protección de datos.
2. Alojamiento y registros del servidor: ¿qué datos se generan, durante cuánto tiempo se conservan, qué proveedor opera el servidor?
3. Cookies y tecnologías similares: ¿cuáles se colocan, para qué, con qué duración, con qué base?
4. Contacto por formulario o correo: finalidad, base jurídica, plazo de conservación.
5. Servicios utilizados: estadísticas, mapas, tipografías, vídeos, boletín, servicios de pago, cada uno con proveedor, finalidad y transmisión de datos.
6. Cesión a terceros y transferencia a terceros países, si procede.
7. Derechos de los interesados: acceso, rectificación, supresión, limitación, oposición, portabilidad de los datos, reclamación ante la autoridad de control.
8. Aviso sobre cambios y fecha de la declaración.

Errores frecuentes

• La declaración describe servicios que ya no se usan (o nunca se usaron) y omite otros que sí funcionan.
• Textos de modelos pensados para otra forma jurídica o sector.
• Referencias obsoletas a bases jurídicas anteriores o a procedimientos desactivados.
• Formulaciones demasiado generales («usamos cookies») sin indicar finalidad y duración.
• Tras cambios en la página, la declaración no se adapta.

Un recurso sencillo: tras cada cambio técnico, repase la lista de servicios integrados y compárela con la declaración. Las herramientas para ello (por ejemplo, un listado de todos los recursos cargados en las herramientas para desarrolladores) se las mostramos con gusto.

Los visitantes y los clientes tienen derechos: pueden exigir información sobre los datos que usted ha guardado sobre ellos, rectificación, supresión y oposición. Una solicitud debe responderse, en principio, sin demora injustificada y, según el RGPD, por regla general en el plazo de un mes. Para ello necesita un procedimiento que en las empresas pequeñas puede ser sencillo:

1. ¿Quién recibe las solicitudes (dirección en la declaración de protección de datos)?
2. ¿Cómo comprueba la identidad de la persona solicitante sin recoger usted mismo más datos?
3. ¿Dónde se encuentran los datos personales (programa de correo, lista de clientes, contabilidad, archivo de formularios, copias de seguridad)?
4. ¿Qué datos debe conservar por plazos legales de conservación y cuáles puede o debe borrar?
5. ¿Quién responde y lo documenta?

Establezca además plazos de borrado para las consultas que no han llevado a un encargo, por ejemplo un periodo fijo tras la conclusión de la consulta. La duración depende de la finalidad y de la situación jurídica y debe acordarse con su asesoramiento jurídico. Las copias de seguridad contienen datos antiguos: también para ellas hace falta una regla sobre cuándo se sobrescriben.

En cuanto un proveedor trata datos personales por encargo suyo, por regla general necesita un contrato de encargo del tratamiento (contrato AV). En un sitio web esto afecta típicamente al proveedor de alojamiento, al proveedor de correo electrónico, al servicio de boletines, a los proveedores de mantenimiento con acceso a datos y a los servicios de reserva de citas y de pago.

Qué debería comprobar: ¿existe el contrato y está firmado o aceptado en línea? ¿Menciona la finalidad, el tipo de datos, la duración, las medidas técnicas y organizativas y los subencargados? ¿Dónde se tratan los datos y hay transferencias a países fuera del Espacio Económico Europeo? ¿Qué ocurre con los datos al terminar el contrato?

Qué debería documentar: una lista de todos los proveedores con finalidad, estado del contrato y persona de contacto. Ayuda ante solicitudes de visitantes y de la autoridad de control y para su propia visión de conjunto. Según la empresa, un registro de las actividades de tratamiento es además obligatorio o muy recomendable.

También su diseñador web es un proveedor. Si tiene acceso a datos de formularios, listas de clientes o copias de seguridad, debe figurar en la lista. Lo regulamos por escrito antes de obtener el acceso y lo limitamos a lo necesario.