El RGPD es la ley de privacidad de Europa. Si tu formulario recoge cualquier información de visitantes de la Unión Europea, aunque sea solo su email, el RGPD se aplica a ti. No afecta solo a las grandes empresas ni a ciertos sectores. El RGPD cubre a cualquier negocio del mundo que recoja datos de residentes europeos, y las sanciones por hacerlo mal son severas.
El RGPD y el consentimiento en los formularios son las reglas legales que regulan qué datos puedes recoger de visitantes de la UE, cómo los pides y qué haces con ellos. Entender estas reglas es esencial antes de crear cualquier formulario que recoja datos de residentes europeos.
Lo que aprenderás: qué es el RGPD y a quién se aplica, qué significa el consentimiento legal, cómo estructurar los campos y casillas de un formulario para cumplir el RGPD y qué pasa si no lo cumples.
¿Qué es el RGPD y se aplica a tus formularios?
El RGPD (Reglamento General de Protección de Datos) es una ley de la Unión Europea que regula cómo las organizaciones recogen, almacenan y usan datos personales. Se aplica a cualquier empresa, en cualquier parte del mundo, que recoja información de residentes de la UE.
Tus formularios están sujetos al RGPD si:
- Tienes visitantes de la UE y tu formulario recoge información de ellos
- Recoges direcciones de email, nombres, números de teléfono, direcciones IP o cualquier otra información identificativa
- Recoges información de residentes de la UE aunque no tengas sede en la UE
No importa si tu negocio es grande o pequeño, a qué sector te dedicas ni si vendes algo. Si recoges datos de residentes de la UE, el RGPD se aplica.
¿Qué exige el RGPD a los formularios?
El RGPD fija varias reglas específicas para los formularios que recogen datos:
Transparencia: di a los visitantes qué estás recogiendo
Antes de que alguien rellene tu formulario, debe saber qué datos recoges y para qué. Debes dar información clara sobre:
- Qué datos recoges (email, nombre, etc.)
- Qué harás con ellos (enviarle emails, añadirlo a una lista de correo, guardarlos para un contacto futuro)
- Quién tendrá acceso (tu equipo, servicios de terceros, etc.)
- Cuánto tiempo los conservarás
Esta información debe ser visible para los visitantes antes de enviar el formulario. No basta con enlazar una política de privacidad. Debes dar la información clave en la propia página del formulario o encima de él.
Consentimiento: pídelo de forma explícita, no lo supongas
Para la mayoría de la recogida de datos, necesitas el consentimiento explícito del visitante. Debe aceptar tus términos de forma activa. Marcar una casilla es consentimiento. Callar no lo es.
Esto es distinto de cómo funcionaban los formularios antes del RGPD. No puedes suponer que, porque alguien envió un formulario para contactarte, esté dispuesto automáticamente a que lo añadas a tu lista de emails de marketing. Cada uso de los datos requiere un consentimiento por separado.
El consentimiento debe darse libremente
El consentimiento no puede ser condición para usar tu servicio si los datos no son necesarios para ese servicio. Por ejemplo, si alguien rellena un formulario de contacto para hacer una pregunta, necesitas su email para responder. No necesitas consentimiento para eso porque es necesario. Pero si quieres añadirlo a tu newsletter de marketing, eso es opcional y necesitas consentimiento explícito.
El propio mecanismo de consentimiento debe ser claro
Si usas una casilla para el consentimiento, debe empezar sin marcar. Los visitantes deben marcarla de forma activa. Las casillas premarcadas no cuentan como consentimiento. El lenguaje debe ser claro y sencillo, no enterrado en jerga legal.
Estructurar los formularios para el consentimiento del RGPD
Datos esenciales frente a opcionales
Primero, separa los datos que necesitas absolutamente de los que son opcionales:
- Esenciales: información que necesitas para atender la solicitud (el email para responder a un formulario de contacto, la dirección para enviar un pedido)
- Opcionales: información que quieres para marketing o estadísticas (por qué canal llegaron, cuál es su cargo)
Marca claramente los campos opcionales con "(opcional)" para que los visitantes sepan que no tienen que rellenarlos.
Casillas de consentimiento separadas
Si quieres usar los datos para varios fines, usa casillas separadas. Una para "Acepto que me contacten por email" y otra para "Acepto recibir emails de marketing". No las combines en una sola casilla.
<label> <input type="checkbox" name="contact_consent" required> Aceptas que podamos contactarte para responder a esta consulta </label> <label> <input type="checkbox" name="marketing_consent"> Acepto recibir emails de marketing sobre nuevos productos y ofertas especiales </label>Fíjate en que la primera casilla es obligatoria (necesaria para el servicio) pero está sin marcar por defecto. La segunda es opcional (el marketing no es necesario) y también está sin marcar por defecto.
Lenguaje de consentimiento claro y legible
El texto de la casilla debe ser claro y específico. Frases genéricas como "Acepto tus términos y condiciones" no cumplen el RGPD. Sé específico sobre a qué acepta el visitante.
Mal: "Acepto"
Mejor: "Acepto recibir emails de marketing"
Lo mejor: "Acepto recibir emails de marketing sobre productos y ofertas aproximadamente dos veces al mes"
Cuanto más específico, mejor. Di a los visitantes exactamente a qué dan su consentimiento.
Enlaza tu política de privacidad
Después de las casillas de consentimiento, incluye un enlace a tu política de privacidad completa. Así los visitantes pueden leer todos los detalles de cómo tratas sus datos si quieren.
<p>Al enviar este formulario, aceptas nuestra <a href="/glosario/politica-de-privacidad">política de privacidad</a>.</p>Conservación de datos y RGPD
El RGPD también exige que conserves los datos personales solo el tiempo necesario. Debes fijar y seguir una política de conservación de datos.
- ¿Cuánto tiempo conservarás los envíos del formulario de contacto? (¿30 días? ¿6 meses? ¿Hasta resolver la consulta?)
- ¿Cuánto tiempo mantendrás a las personas en una lista de emails de marketing? (¿Hasta que se den de baja?)
- ¿Cuánto tiempo conservarás los datos de un cliente tras una compra? (7 años para los registros fiscales y luego borrarlos)
Documenta tu política de conservación y aplícala. Configura un calendario para borrar automáticamente los envíos y datos antiguos.
Derechos que el RGPD da a los titulares de los datos
Cuando alguien envía un formulario en tu sitio, tiene derechos según el RGPD:
- Derecho de acceso: pueden preguntar qué datos tienes sobre ellos
- Derecho al olvido: pueden pedirte que borres sus datos (aunque hay excepciones, como los registros fiscales)
- Derecho de rectificación: pueden pedirte que corrijas datos incorrectos
- Derecho a la portabilidad de los datos: pueden pedirte que les entregues sus datos en un formato portable
- Derecho a retirar el consentimiento: pueden retirar en cualquier momento el consentimiento a los emails de marketing u otros usos
Debes estar preparado para gestionar estas solicitudes. Normalmente significa tener un proceso para que la gente envíe estas solicitudes (una dirección de email, un formulario, etc.) y una forma de responder en 30 días.
Multas y consecuencias del RGPD
Las infracciones del RGPD conllevan sanciones importantes:
- Hasta 20 millones de euros o el 4% de tus ingresos anuales mundiales (lo que sea mayor) en las infracciones más graves
- Hasta 10 millones de euros o el 2% de los ingresos en las infracciones menos graves
- En la práctica, incluso las empresas pequeñas se enfrentan a multas de seis cifras por brechas de datos o infracciones del consentimiento
Además de las multas, una infracción del RGPD puede dañar tu reputación, hacerte perder clientes y crear responsabilidad legal si los datos se usan mal.
Lista de comprobación del RGPD para formularios
- [ ] Has identificado qué datos recoges
- [ ] Tienes una política de privacidad clara
- [ ] Muestras la información clave de privacidad encima del formulario o dentro de él
- [ ] Todas las casillas empiezan sin marcar
- [ ] Las casillas de consentimiento usan un lenguaje claro y específico
- [ ] Tienes casillas separadas para usos separados de los datos (contacto frente a marketing)
- [ ] Tu formulario explica la conservación de datos (cuánto tiempo guardas los envíos)
- [ ] Tienes una política de conservación de datos y la aplicas (borras los datos antiguos)
- [ ] Tienes un proceso para que la gente solicite el acceso, la eliminación o la corrección de sus datos
- [ ] Puedes dar de baja fácilmente a las personas de los emails de marketing
- [ ] Sabes dónde se almacenan los datos de los visitantes y quién tiene acceso a ellos
Qué hace WEMASY para el cumplimiento del RGPD
Los formularios de WEMASY incluyen funciones de gestión del consentimiento que te ayudan a cumplir los requisitos del RGPD. Puedes añadir casillas de consentimiento a tus formularios y WEMASY registra a qué opciones consintió cada visitante. Los envíos incluyen marcas de tiempo para que sepas cuándo se dio el consentimiento. WEMASY también te ayuda a gestionar la conservación de datos al permitirte fijar políticas de borrado automático para los envíos antiguos.
Tu marca sigue necesitando una política de privacidad y debe decidir cómo gestionar las solicitudes de acceso a datos, pero WEMASY se encarga de la infraestructura técnica del consentimiento y la gestión de datos.
Consulta las funciones de cumplimiento de tu plan en la página de precios.