La política de privacidad de las páginas web

En la actualidad es prácticamente imposible gestionar un sitio web sin recopilar datos. Por ello todo sitio web debería contar con su política de privacidad. De esta forma, no solo evitarás posibles sanciones, sino que también estarás proporcionando un importante servicio a tus visitantes.

Aunque, mientras que la recopilación de datos y, por lo tanto, la redacción de una política de privacidad, son fácilmente justificables para una tienda online, la situación cambia si se trata de otro tipo de servicios. Cada minuto se recogen y almacenan datos de manera automática –a menudo sin que el mismo propietario de la web lo perciba– como, por ejemplo: las direcciones IP que los servidores web guardan en los archivos de registro, los datos personales ligados al uso de los botones sociales y las cookies que almacenan información sobre los usuarios y sus hábitos de navegación. Otro tema sensible son las herramientas de análisis web como Google Analytics, que se encargan de registrar el tráfico web. Esta herramienta de Google resulta especialmente problemática en cuanto a los estándares de protección de datos, pues las direcciones IP de los usuarios se almacenan en servidores ubicados en los Estados Unidos.

Para reducir la gravedad de esta problemática, los encargados de gestionar páginas web pueden reducir una dirección IP al último rango de dígitos, permitiendo así que esta pierda el vínculo con cualquier información personal.

Conforme al RGPD, es necesario señalar en la política de privacidad los datos de contacto de la empresa o de sus representantes. Además del nombre, tienen que indicarse las direcciones postales y electrónicas actuales, así como un número de teléfono. Si la sede de la compañía o del responsable principal se encuentra fuera del territorio de la UE, se deben indicar los datos de contacto de su representante oficial. Este párrafo podría redactarse de la siguiente forma:

Si al menos son 20 los empleados involucrados de forma regular en el procesamiento automatizado de datos o el núcleo de la actividad de la empresa lo componga la transferencia comercial de datos personales, se tendrá que nombrar de forma obligatoria a un delegado de protección de datos (art. 37, RGPD; art. 34 LOPD-GDD). Lo mismo puede decirse cuando se trabaja con categorías especiales de información personal como las opiniones políticas, las convicciones religiosas o la procedencia étnica. En este caso, es necesario también mostrar en la política de privacidad los datos de contacto de esta persona.

Es deber de los propietarios o gestores de las páginas web informar debidamente al usuario de la licitud de la recolección y el tratamiento de sus datos personales, que viene determinada por el cumplimiento de al menos una de las condiciones descritas en el artículo 6 del RGPD:

“[…]

1. el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
    
2. el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
    
3. el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
    
4. el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
    
5. el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
    
6. el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. […]”

En la declaración de privacidad de tu proyecto has de añadir a la base de licitud los objetivos que persigues al recolectar y tratar los datos de tus usuarios. Para ello, y para mostrar transparencia, es recomendable enumerar todos los componentes de tu web que colectan este tipo de información, como pueden ser estos:

• formularios de contacto,
• registro para el boletín,
• campos de entrada de datos, por ejemplo, para indicar los datos bancarios al final de una compra,
• códigos de seguimiento,
• plugins de terceros (botones sociales),
• contenido de terceros (YouTube),
• concursos,
• cookies.

Si en tu caso es relevante el punto 1.f) del artículo 6 del RGPD mencionado arriba, entonces deberías concretar cuáles son tus intereses legítimos al tiempo que compruebas si también estás protegiendo los intereses y los derechos fundamentales del usuario. Algunos de los objetivos más habituales ligados al tratamiento de los datos son el análisis del comportamiento en la página del usuario para su optimización, para diseñar contenido más personalizado o con fines de marketing.

La política de privacidad también es el contexto en el que se comunica al usuario si se envían datos personales a terceros. Este sería el caso de una tienda online que incluye a contratistas externos, como proveedores o plataformas de pago online, en sus procesos comerciales.

Este es también el apartado donde se reseñan implementaciones de cookies y extensiones de terceros, cuyo uso siempre va ligado a una entrega de datos personales. Es el momento de nombrar a los códigos de seguimiento y a los botones sociales. En ambos casos, el responsable puede justificar su uso con un interés legítimo, pero es conveniente hacerlo con el consentimiento explícito del usuario. En el caso de los botones sociales se ha de considerar también la aplicación de un procedimiento conforme con la protección de datos como una solución en dos clics.

Algunos servicios publicitarios como Google AdSense o AdWords también se han de mencionar como receptores de datos si se utilizan para financiar el proyecto.

Otra información con la que lograrás dar transparencia a tu tratamiento de los datos guarda relación con el tiempo durante el cual almacenarás los datos. Si no puedes formularlo con exactitud, puedes hacer referencia a los criterios que impactan en el plazo de conservación. Puedes, por ejemplo, hacer referencia al plazo que has configurado para la eliminación automática de las direcciones IP (anonimizadas) de los archivos de registro. Si trabajas con cookies que permiten identificar al usuario mientras dura su sesión, el plazo de conservación de sus datos estará muy ligado a la duración de la sesión.

Los usuarios o interesados cuyos datos se recolectan tienen derechos sobre ellos. El derecho a la información (o derecho al acceso como recoge el artículo 13 del LOPD-GDD) recogido en el artículo 15 garantiza que el usuario pueda informarse sobre los objetivos del tratamiento de sus datos, sus posibles destinatarios, el plazo de su conservación y su origen. Los usuarios también tendrían derecho a la rectificación, tal como se recoge en el artículo 16 e, incluso, según las circunstancias, a la eliminación de sus datos, con el derecho de supresión recogido en el artículo 17.

Si es imprescindible disponer de los datos personales por imperativo legal o porque lo requiere la ejecución de un contrato, se ha de informar debidamente al usuario, así como también de las consecuencias que resultarían de no disponer de ellos.

Si en tu página tomas decisiones basadas en el tratamiento automatizado de los datos que afectan al interesado, incluida la elaboración de perfiles de usuario, estás obligado a explicar en detalle la lógica que lo fundamenta. Se trata sobre todo de explicar los efectos y el alcance que estos procesos tienen sobre el interesado, porque tu usuario tiene el derecho fundamental “a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.”, tal como se explica en el artículo 22. Pero este derecho no se aplica cuando el proceso automatizado es necesario para celebrar o ejecutar un contrato, está autorizado por el Derecho de la Unión o de los Estados Miembros o cuenta con el consentimiento del usuario.

Esta nueva regulación es más homogénea y facilita a los tribunales hacer frente a hipotéticas infracciones futuras. Teniendo en cuenta las sanciones previstas de hasta veinte millones de euros, cabe ser cuidadoso a la hora de elaborar una política de privacidad web.

En Internet existe una gran cantidad de herramientas gratuitas con las que es posible crear una política de privacidad. Aquí es fundamental encontrar una plantilla que se adapte a los servicios que ofrece la web y a las necesidades de los usuarios. Es común encontrarse con plantillas generales para la recogida de datos y otras para las categorías especiales, tales como redes sociales (Facebook, Twitter, etc.), cookies, formularios de contacto o envío de newsletters. También es posible encontrar modelos en los que se esbozan los requerimientos para páginas que usan herramientas de análisis web como Google Analytics y que incluyen, por lo general, un enlace para aquellos usuarios que no están de acuerdo con la recolección y difusión de sus datos.

Además de las plantillas, existen generadores gratuitos de políticas de privacidad que recopilan los textos necesarios y les dan la forma definitiva. El resultado suele estar disponible como texto o como código HTML.

Las plantillas y los generadores online son de gran ayuda para la redacción de la política de privacidad de páginas web propias. Sin embargo, no se debe confiar ciegamente en ellos. A pesar de que los modelos suelen ser correctos, siempre es necesario complementar o adaptar pequeños detalles a las necesidades propias. Si no estás seguro de si la política de privacidad de tu web se ciñe a la ley actual, es recomendable que te dirijas a un abogado o a un experto en protección de datos para evitar posteriores dolores de cabeza.