Cláusula de protección de datos: modelos para correo, formularios y facturas

Una cláusula de protección de datos es el aviso corto que pones allí donde recoges datos personales: debajo de un formulario, en un presupuesto, en la respuesta a un currículum. Sirve para cumplir el deber de informar del artículo 13 del RGPD en el momento en que obtienes los datos. No hace falta repetir la política de privacidad entera en cada sitio: el artículo 11 de la LOPDGDD permite dar una información básica y remitir al resto. Aquí tienes modelos cortos para los cuatro sitios donde más se necesitan.

Qué debe decir como mínimo una cláusula

El artículo 11.2 de la LOPDGDD fija el contenido mínimo de esa información básica, la llamada primera capa:

• Quién es el responsable del tratamiento.
• Para qué vas a usar los datos.
• Que la persona puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad.
• Dónde leer el resto: un enlace o una dirección que lleve de forma sencilla e inmediata a la política de privacidad completa.

Si vas a elaborar perfiles con esos datos, también tiene que decirlo. Y aunque no es obligatorio en la primera capa, casi todo el mundo añade la base legal y si los datos se ceden, porque son las dos cosas que más pregunta la gente. En los modelos de abajo, «[Empresa]» es tu razón social y «[enlace]» la dirección de tu política de privacidad.

El pie de correo de «confidencialidad» no informa de nada

Casi todas las empresas tienen al final de sus correos un párrafo del estilo «Este mensaje es confidencial y va dirigido exclusivamente a su destinatario; si lo ha recibido por error, bórrelo». Ese texto habla del secreto del mensaje, no de los datos de quien te escribe. No dice quién trata sus datos, para qué ni cómo ejercer sus derechos, así que no sustituye a la cláusula informativa.

Puedes mantenerlo si te gusta, mejor corto, pero añade debajo la cláusula informativa de verdad. Y no confíes en él para proteger nada: si mandas un correo con datos a quien no debías, el problema es el envío, no el pie.

Modelo: pie de correo electrónico

Cuándo importa: cuando alguien te escribe por primera vez, ya estás recogiendo su nombre, su correo y lo que te cuente. Tu primera respuesta con este pie es una forma práctica de informarle. Si después le mandas publicidad, ese pie no te da permiso: para eso necesitas su consentimiento o que sea cliente, como explica la guía de la LSSI.

Formularios web: la cláusula y la casilla

En un formulario de contacto, la cláusula va justo encima o debajo del botón de enviar, visible sin hacer clic. Aquí hay que distinguir dos cosas que se suelen mezclar:

• Para responder a la consulta no necesitas consentimiento. La base es la propia solicitud de la persona (art. 6.1.b RGPD). Una casilla obligatoria de «he leído y acepto la política de privacidad» no añade nada y confunde: informar no es pedir permiso.
• Para enviar publicidad sí necesitas consentimiento, y tiene que ser una casilla aparte, sin marcar y opcional. El considerando 32 del RGPD dice que las casillas ya marcadas no constituyen consentimiento, y el artículo 6.3 de la LOPDGDD prohíbe condicionar el servicio a que la persona acepte usos que no tienen que ver con él.

Modelo: formulario de contacto

Pide solo lo que necesitas. Si para contestar te basta el correo, el teléfono y el nombre pueden ser opcionales. Y si tu formulario tiene un campo libre de «mensaje», en una clínica o un despacho la gente escribirá datos de salud o de un pleito: tenlo en cuenta en tu registro de actividades. Puedes ver si tus formularios tienen la cláusula y la casilla bien puestas con la revisión gratuita de tu web.

Presupuestos y facturas

Cuando haces un presupuesto a un particular o le facturas, estás tratando sus datos para el contrato y para cumplir con Hacienda. No necesitas su consentimiento, pero sí informarle. Lo más práctico es incluir la cláusula al pie del presupuesto, que es el primer documento que recibe, y repetirla en la factura.

Modelo: pie de presupuesto o factura

Si trabajas con otras empresas, los datos de la persona de contacto (nombre, cargo, correo profesional) tienen un régimen más sencillo: el artículo 19 de la LOPDGDD presume lícito su tratamiento para mantener la relación con la empresa en la que trabaja. Aun así, el pie informativo no sobra.

Currículums

Recibir currículums es tratar datos, a veces muchos: fotografía, edad, experiencia, a veces datos de salud o de discapacidad. Si la persona te lo envía por iniciativa propia, la base es su solicitud de empleo, y tienes que informarle igualmente. Lo normal es hacerlo en el acuse de recibo o, si tienes una página de empleo, junto al botón de enviar.

Modelo: respuesta a un currículum

Dos consejos que evitan problemas: fija tú el plazo de conservación y cúmplelo (borra de verdad los currículums viejos, también del correo), y no reenvíes currículums a otras empresas, aunque sean amigas, sin que el candidato lo haya pedido.

Otros sitios donde hace falta una cláusula

Lista de comprobación

1. Apunta todos los sitios donde entra un dato personal en tu negocio.
2. Pon en cada uno una primera capa con responsable, finalidad, derechos y enlace.
3. Comprueba que el enlace lleva a una política de privacidad que existe y está al día. Tienes un modelo comentado en política de privacidad: ejemplo.
4. Quita la casilla obligatoria de «acepto la política de privacidad» si solo sirve para responder consultas.
5. Separa la casilla de publicidad y déjala sin marcar.
6. Añade la cláusula a tu firma de correo, a los presupuestos, a las facturas y a la respuesta a currículums.

Con cualquiera de nuestros planes te damos ya redactadas, con los datos de tu empresa, la información por capas para clientes, las cláusulas de los formularios de tu web y la de tus empleados, y las revisamos cada año. Para el resto de sitios, nos puedes consultar.

Preguntas frecuentes