Sin una declaración de privacidad, falta en su sitio web el documento en el que explica qué datos personales recopila, para qué, y durante cuánto tiempo. La RGPD obliga a las organizaciones a informar con anticipación a los visitantes y clientes al respecto; eso se denomina obligación de información. Si falta esa información, no puede demostrar que cumple con esa obligación.
Lo que ocurra concretamente depende de quién lo advierta. Un visitante puede presentar una reclamación ante la Autoridad de Protección de Datos, un cliente empresarial puede preguntarlo durante una licitación, y un proveedor de pagos o plataforma publicitaria pueden negarse a vincularse con su sitio web mientras no haya una declaración de privacidad. Ninguna de estas situaciones es hipotética; surgen de las condiciones que terceros ya establecen por sí solos, independientemente de lo que un supervisor pudiera hacer.
Por qué una declaración de privacidad es más que un trámite
Una declaración de privacidad es la prueba visible de algo que debería saber de todas formas: qué datos recopila su sitio web, a través de qué formularios, cookies o herramientas de análisis, y con qué propósito. Si falta la declaración, es probable que ese inventario tampoco se haya elaborado. Esto no solo afecta al sitio web, sino también a la perspectiva general de cómo su empresa gestiona los datos personales — algo que también sale a la luz cuando busca una respuesta a una pregunta concreta sobre RGPD.
La EDPB y la Autoridad de Protección de Datos han publicado directrices sobre qué debe contener como mínimo una declaración de privacidad, tales como los datos de contacto del responsable del tratamiento, los plazos de conservación y los derechos de los interesados. Estas directrices no son ley, pero los supervisores las aplican cuando evalúan si se ha cumplido con la obligación de información.
Lo que sucede en la práctica cuando falta la declaración
Las consecuencias más directas rara vez se producen ante un supervisor, sino con los socios comerciales. Una aseguradora que evalúa una póliza de ciberriesgos a menudo solicita la declaración de privacidad como parte del expediente. Una entidad contratante puede hacer lo mismo. Y un visitante que se pregunta qué sucede con un formulario de contacto rellenado puede decidir, en ausencia de explicación, no hacer negocios con usted, o presentar una reclamación.
Además, una declaración de privacidad ausente suele ser una señal de que otras partes tampoco están en orden: ningún registro de qué herramientas SaaS tratan datos personales, ningún acuerdo de tratamiento de datos con proveedores, ningún plazo de conservación documentado. Eso es exactamente el tipo de interconexión que una base de conocimientos con explicaciones por tema de RGPD aclara: la declaración de privacidad rara vez está sola.
El papel del supervisor
La Autoridad de Protección de Datos puede actuar cuando no se cumple la obligación de información, pero cómo y cuándo ocurre eso depende de las circunstancias del caso y no es predecible de antemano. Lo que sí es cierto es que la ausencia de una declaración de privacidad no es una omisión que se vuelva menos visible a medida que un sitio web atrae más visitantes — más bien lo contrario.
Si una reclamación genera efectivamente una investigación y cuál sería su resultado no es posible decirlo en términos generales. Para la evaluación de una situación específica, un abogado o la propia Autoridad de Protección de Datos son el interlocutor apropiado.
Cómo resolver esto
La redacción de una declaración de privacidad requiere una visión clara de lo que su sitio web realmente recopila: formularios de contacto, cookies, una tienda en línea con datos de pedidos, un boletín. Una vez que esa visión existe, la declaración en sí es generalmente rápida de escribir. Para la pregunta subyacente sobre qué datos procesa realmente y a través de qué herramientas, ayuda observar la forma en que se construye esa visión, por ejemplo a través de la forma en que se asignan datos y sistemas.
Una declaración de privacidad tampoco es un texto único. Los nuevos formularios, las nuevas herramientas o un nuevo servicio de boletín cambian lo que se recopila y, por lo tanto, también lo que debe figurar en la declaración. Quien quiera que esa visión se actualice con los cambios en el sitio web, puede registrarlo en una cuenta comercial para que no se quede en una acción única.
Gdpria.eu ofrece el generador de declaración de privacidad de forma gratuita, junto con la base de conocimientos y las demás comprobaciones básicas. Si desea saber dónde se encuentra su empresa en este momento, el escaneo rápido gratuito es un buen punto de partida para ver qué componentes ya están en orden y cuáles requieren atención.