La historia que me llevó a escribir esto
Hace unas semanas, trabajando en el mantenimiento web de un cliente, me encontré con algo que, desgraciadamente, es mucho más común de lo que debería. Este cliente tenía una web que no habíamos hecho nosotros. La había realizado otra agencia que cobró una subvención del Estado para digitalizar comercios locales. El resultado: una web hecha con prisas, con plantillas genéricas copiadas y pegadas, y con cero atención a los detalles que realmente importan.
La agencia cobró, se fue y el cliente se quedó con una web llena de parches. Nosotros, desde Liberty Dreams LTD, nos encargamos del hosting y el mantenimiento. Poco a poco vamos arreglando lo que otros dejaron a medias. Y en una de esas revisiones (al montar una traducción al cliente), trabajando en la web bloque por bloque, apareció el problema: un formulario de newsletter que no cumplía con la normativa de protección de datos.
El formulario era el típico «suscríbete a nuestra newsletter«, con un solo campo para el correo electrónico y un botón de enviar. Sin casilla de consentimiento. Sin texto explicativo sobre el uso de los datos. Sin nada. Y lo peor: el cliente no tenía newsletter. No tenía sistema de email marketing, no tenía lead magnets, no tenía nada montado para gestionar suscripciones. El formulario estaba ahí porque la agencia lo había copiado de una plantilla genérica y no se había molestado en revisar si era necesario o si cumplía con la ley.
Cuando le comenté al cliente la situación, su respuesta fue la esperada: «No, nosotros no tenemos newsletter«. Le recomendamos eliminar esos formularios porque no solo no funcionaban (los correos no llegaban a ningún sitio), sino que estaban exponiendo al cliente a un riesgo legal innecesario.
Y este no es un caso aislado. Es un problema recurrente que veo una y otra vez en webs corporativas, normalmente por la misma causa: agencias que hacen el trabajo rápido para cobrar y no se preocupan por lo que dejan atrás. Un tema en el que ya profundicé en el artículo «Externalizar no es delegar la responsabilidad: riesgos invisibles en delegar el desarrollo web moderno«.
El problema de fondo: formularios que no cumplen la normativa
El formulario de newsletter de este cliente tenía varios problemas graves:
- No tenía casilla de consentimiento. El usuario introducía su correo y ya estaba. No se le pedía permiso explícito para usar sus datos.
- El formulario no funcionaba. Era un formulario de contacto de Elementor camuflado como newsletter, pero los datos no llegaban a ningún sistema de email marketing.
- Daba una imagen profesional pésima. Si un cliente potencial rellenaba el formulario, esperando recibir información y nunca recibía nada, la percepción de la empresa se resentía.
- Era un riesgo legal. Al recoger datos personales sin consentimiento, la web estaba incumpliendo la normativa de protección de datos.
El problema es que el cliente final, el propietario de la web, no tiene por qué saber todo esto. No es su responsabilidad conocer los entresijos legales de la protección de datos. Pero la ley no perdona la ignorancia. La multa le llega a la empresa, no a la agencia que hizo la web.
GDPR y UK GDPR: lo que realmente exige la ley
Tanto el GDPR europeo como el UK GDPR (que es prácticamente igual, adaptado tras el Brexit al Reino Unido) establecen unas bases claras sobre cómo se deben tratar los datos personales:
- Solo puedes recoger los datos que realmente necesitas. Si tu formulario pide el grupo sanguíneo para vender camisetas, probablemente estás pidiendo más de lo necesario
- Tienes que decir para qué usas los datos y pedir consentimiento específico si los vas a utilizar para algo más que la respuesta inmediata
- Tienes que poder demostrar que cumples. Esto significa llevar un registro de qué datos guardas, dónde, quién puede acceder y con qué base legal los tratas
- Si algo va mal, tienes que avisar a la autoridad de control en 72 horas y, si el riesgo es alto, también a los usuarios
- Tienes que respetar los derechos de los usuarios: que te pidan ver sus datos, corregirlos, borrarlos o llevarse una copia
Y las multas no son broma: hasta £17,5 millones o el 4% de tu facturación global anual (lo que sea mayor) bajo el UK GDPR, y hasta €20 millones o el 4% bajo el GDPR europeo. En la práctica, las sanciones a pymes suelen ser de cientos o unos pocos miles de euros, pero una brecha de datos puede elevarlas mucho.
La casilla de consentimiento: el detalle que marca la diferencia
Uno de los requisitos más importantes y, a la vez, más ignorados es la casilla de consentimiento. La ley es clara al respecto:
La casilla no puede estar marcada por defecto.
Antes era común encontrar formularios con la casilla ya marcada. El usuario pasaba de largo, ni se daba cuenta, y ya había «aceptado» el uso de sus datos. Esa práctica ya no es válida.
El formulario debe tener la casilla desmarcada por defecto y debe ser el usuario quien la marque activamente. Además, el texto debe ser claro y específico: «Autorizo que la empresa use mis datos para enviarme información comercial» o «Acepto que mis datos sean tratados para responder a mi solicitud».
Y no puede enviarse el formulario si la casilla no está marcada. Es decir, la validación del formulario debe impedir el envío hasta que el usuario haya dado su consentimiento explícito.
Este requisito viene de la legislación europea y del Reino Unido. En otros países no se pide. Por eso, cuando una agencia copia una plantilla de un país donde no se exige, el formulario llega sin esta casilla. Y el cliente, que confía en que la agencia ha hecho bien su trabajo, se queda expuesto.
Los derechos de los usuarios: no son solo palabras bonitas
El GDPR y el UK GDPR otorgan a los usuarios una serie de derechos sobre sus datos. Como responsable del tratamiento, tienes la obligación de respetarlos:
- Derecho de acceso: el usuario puede pedirte ver qué datos tienes sobre él.
- Derecho de rectificación: puede pedirte que corrijas datos incorrectos.
- Derecho de supresión (el «derecho al olvido»): puede pedirte que borres sus datos.
- Derecho de portabilidad: puedes tener que proporcionar sus datos en un formato estándar (como un CSV) para que pueda llevárselos a otro servicio.
Esto significa que, si un usuario se suscribe a tu newsletter y luego decide que ya no quiere recibir tus correos, no solo tiene derecho a darse de baja, sino que puede pedirte que borres todos sus datos de tu sistema. Y tienes que poder hacerlo.
Esto está bastante mas explicado en este otro artículo que preparé para la web de mi empresa.
El responsable eres tú (aunque la web la haya hecho otro)
Este es uno de los puntos más importantes y, a la vez, más desconocidos:
El responsable del tratamiento de datos en tu web eres tú (o tu empresa).
Da igual que la web la haya hecho una agencia, un primo o tú con un constructor de webs. Si tu web recoge datos personales, tú eres el responsable legal. La agencia que te hizo la web no va a pagar la multa. El desarrollador que copió y pegó el formulario no va a recibir la sanción. La multa llega a la empresa propietaria de la web.
Esto es algo que repito a menudo en mis artículos. En Externalizar no es delegar la responsabilidad hablo precisamente de cómo muchas empresas confían ciegamente en agencias y desarrolladores externos sin ser conscientes de que la responsabilidad final recae sobre ellas. Puedes externalizar el desarrollo, pero no la responsabilidad legal.
Y esto se agrava cuando las agencias subcontratan el trabajo a su vez. He visto casos en los que una agencia cobra 1.000 € al mes por un servicio que subcontrata por 100 €. En esa cadena de intermediarios, el control de calidad y el cumplimiento normativo se diluyen. Y al final, el que paga las consecuencias es el cliente.
Cómo revisar y corregir tus formularios paso a paso
Si tienes una web, te recomiendo hacer esta revisión lo antes posible. No es complicado, pero puede ahorrarte un problema legal importante.
1. Haz un inventario de todos los formularios
Revisa tu web entera. Busca todos los lugares donde puedas captar datos:
- Formularios de contacto
- Formularios de newsletter o suscripción
- Formularios de registro de usuarios
- Formularios de comentarios en el blog
- Formularios de descarga de recursos (eBooks, guías, etc.)
- Cualquier otro campo que recoja nombre, correo, teléfono o cualquier dato personal
2. Verifica que cada formulario tenga una casilla de consentimiento
Para cada formulario, comprueba:
- ¿Tiene una casilla de consentimiento?
- ¿Está desmarcada por defecto? (Si está marcada, corrígelo)
- ¿El texto es claro y específico sobre el uso de los datos?
- ¿El formulario impide el envío si la casilla no está marcada?
3. Comprueba que los datos van a algún sitio
Parece obvio, pero en el caso que mencionaba al principio, los datos no llegaban a ningún lado. Asegúrate de que los formularios realmente envían los datos a un sistema donde puedas gestionarlos (un CRM, un sistema de email marketing, etc.) y no se están compartiendo con quien no se debe (he visto formularios donde llega copia a agencias con las que el cliente igual ya ni trabaja, por ejemplo).
4. Revisa la política de privacidad
Tu política de privacidad debe explicar qué datos recoges, para qué los usas, cómo los proteges y cómo puede el usuario ejercer sus derechos. No es un documento opcional.
5. Consulta con un profesional
Este artículo es informativo y de carácter general. No sustituye al asesoramiento legal de un profesional. Si tienes dudas sobre si tu web cumple o no con la normativa, consulta con un abogado especializado en protección de datos o con tu gestoría de confianza.
Conclusión: una casilla puede ahorrarte un gran problema
El caso que he compartido hoy tuvo un final feliz. El cliente eliminó los formularios que no cumplían y se libró de un problema legal. Pero no todos los casos terminan así.
Cada semana aparecen noticias de empresas multadas por incumplir la normativa de protección de datos. Y muchas veces son multas que se podrían haber evitado con algo tan sencillo como revisar los formularios de la web. En el artículo «Formularios, cookies y datos personales en tu web» contamos el caso de un despacho de abogados al que multaron por subir una foto de un empleado a la típica sección de «nuestro equipo» sin consentimiento expreso del empleado.
El problema es que el cliente final no tiene por qué saberlo. No es su responsabilidad conocer los entresijos legales del GDPR. Pero, como mencioné mas arriba, la ley no perdona la ignorancia. Y la responsabilidad es tuya, tanto si has contratado a una agencia o freelancer como si has hecho la web por tu cuenta o con la IA.
Si tienes una web, revisa tus formularios hoy. Asegúrate de que tienen una casilla de consentimiento desmarcada por defecto. Asegúrate de que el usuario sabe para qué vas a usar sus datos. Asegúrate de que puedes gestionar esos datos correctamente.
Y si necesitas más información, en Liberty Dreams hemos preparado una guía con pautas más detalladas sobre protección de datos en webs que puedes leer en este link. También puedes consultar mis otros artículos sobre chatbots con IA y protección de datos y sobre los riesgos de externalizar el desarrollo web.
No dejes para mañana lo que puedes revisar hoy. Una simple casilla de consentimiento puede ahorrarte una multa millonaria.
Este artículo es informativo y de carácter general. No sustituye al asesoramiento legal de un profesional ni a una auditoría específica de tu web. Si tu empresa maneja datos sensibles o tiene usuarios en varias jurisdicciones, consulta con un abogado especializado en protección de datos.
