Cláusulas informativas para formularios

Un formulario de contacto mal configurado puede parecer un detalle menor, pero es uno de los puntos más habituales de incumplimiento en protección de datos. Las cláusulas informativas para formularios no son un texto decorativo al final de la página: son la información que permite a una persona saber qué hará su empresa con sus datos antes de enviarlos.

Si su web capta solicitudes de presupuesto, currículums, inscripciones, consultas, reservas o altas comerciales, debe informar de forma clara y completa. Copiar una cláusula genérica de otra web, marcar una casilla por defecto o pedir datos que no necesita puede exponerle a reclamaciones, requerimientos y sanciones. La prevención cuesta mucho menos que corregir una web tras una denuncia.

Qué son las cláusulas informativas para formularios

La cláusula informativa es el aviso de protección de datos que se muestra junto a un formulario, antes de que el usuario facilite su información. Su función es cumplir con el deber de información previsto, principalmente, en el artículo 13 del Reglamento General de Protección de Datos, RGPD, y en la LOPDGDD.

No basta con colocar un enlace poco visible a una política de privacidad. La persona debe recibir, en el mismo momento de la recogida, una primera capa de información breve y comprensible. Esta capa debe permitirle identificar quién trata sus datos, con qué finalidad principal y cómo puede ejercer sus derechos.

Después, un enlace a la política de privacidad puede ampliar el resto de la información obligatoria. Es el conocido sistema de información por capas. Bien aplicado, facilita la lectura al usuario y permite a la empresa cumplir con mayor seguridad jurídica.

La información que debe aparecer junto al formulario

Cada formulario tiene una finalidad concreta. Por eso, la cláusula no debe ser idéntica para todos los casos. Un formulario para atender una consulta no se informa igual que uno para recibir candidaturas o para enviar comunicaciones comerciales.

Como mínimo, la primera capa debe identificar al responsable del tratamiento. Debe incluir la denominación social o nombre del autónomo y un medio de contacto. También debe indicar la finalidad: responder una solicitud, gestionar una cita, tramitar una inscripción o valorar una candidatura, por ejemplo.

La base jurídica es otro elemento esencial. En ciertos formularios será el consentimiento de la persona interesada. En otros, la base puede ser la aplicación de medidas precontractuales solicitadas por el usuario, como cuando pide información para contratar un servicio. Elegir la base correcta importa: no todo tratamiento necesita consentimiento, pero tampoco puede usarse el interés legítimo como una fórmula genérica para cualquier captación de datos.

La cláusula debe informar también de si se comunicarán datos a terceros, de forma directa o mediante remisión a la política de privacidad. Si existen transferencias internacionales, deben identificarse y explicarse. Por último, debe incluirse una referencia al ejercicio de derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, además de la posibilidad de reclamar ante la autoridad de control.

Primera capa y política de privacidad: no son lo mismo

La primera capa resume la información decisiva en el punto de recogida. La política de privacidad desarrolla los detalles: plazos de conservación, categorías de destinatarios, datos de contacto del delegado de protección de datos cuando proceda y garantías aplicables a transferencias internacionales.

El error habitual consiste en confiar toda la información a una política de privacidad enlazada en el pie de página. Aunque la política sea correcta, el usuario debe poder identificar las condiciones básicas antes de pulsar el botón de envío. La transparencia no consiste en esconder textos legales extensos, sino en presentarlos donde realmente son necesarios.

Cómo adaptar la cláusula a cada tipo de formulario

El diseño legal debe partir de una pregunta sencilla: ¿para qué necesita esos datos y qué hará exactamente con ellos? La respuesta determina la finalidad, la base jurídica, el plazo de conservación y, en ocasiones, la necesidad de una casilla específica.

Formulario de contacto o solicitud de presupuesto

En este caso, la finalidad habitual es atender la consulta y, si la solicitud lo requiere, enviar una propuesta comercial. La base jurídica puede ser el consentimiento al remitir la consulta o la aplicación de medidas precontractuales a petición del interesado.

Eso no autoriza automáticamente a incluir a la persona en una lista de newsletters o campañas comerciales futuras. Para esas comunicaciones, lo prudente es incorporar una casilla independiente, voluntaria y no premarcada, con una finalidad comercial claramente diferenciada.

Formularios de empleo y recepción de currículums

Los currículums requieren especial atención porque suelen contener más información de la necesaria. El formulario debe limitar los campos a los datos relevantes para el proceso de selección y explicar durante cuánto tiempo se conservará la candidatura.

Si la empresa quiere mantener el currículum para futuros procesos, debe informar expresamente de ello y contar con una base jurídica adecuada. También conviene recordar al candidato que no aporte datos especialmente sensibles que no sean imprescindibles para la selección.

Inscripciones, reservas y actividades

Las asociaciones, academias, comunidades y empresas de servicios usan con frecuencia formularios de inscripción. Aquí debe explicarse si los datos se destinan a gestionar la actividad, emitir facturas, realizar comunicaciones organizativas o atender necesidades específicas.

Cuando se solicitan datos de menores, información de salud, alergias o imágenes, el análisis cambia. Son supuestos que exigen mayor cautela, minimización de datos y, según el caso, condiciones adicionales de legitimación. No es recomendable usar una plantilla estándar sin revisar el tratamiento real.

El consentimiento no se presume ni se mezcla

Una casilla de aceptación no soluciona por sí sola cualquier obligación. Debe utilizarse cuando el consentimiento sea realmente la base jurídica aplicable y debe permitir acreditar que fue libre, específico, informado e inequívoco.

Las casillas premarcadas son un mal punto de partida. También lo es condicionar la respuesta a una consulta a que el usuario acepte publicidad que no guarda relación con esa consulta. La persona debe poder solicitar información sobre un servicio sin verse obligada a aceptar comunicaciones comerciales futuras.

Si hay dos finalidades distintas, como gestionar una consulta y enviar promociones, deben separarse. Una fórmula única del tipo “acepto la política de privacidad y recibir publicidad” mezcla obligaciones de información con una autorización opcional. Esto genera confusión y debilita la prueba del consentimiento.

Errores que pueden poner en riesgo a su empresa

El primer error es reutilizar textos sin comprobar quién es el responsable del tratamiento, qué datos se recaban o qué proveedores intervienen. Una cláusula con el nombre de otra empresa o con fines que no corresponden transmite falta de control y puede ser evidencia de un cumplimiento meramente aparente.

El segundo es solicitar más datos de los necesarios. Si para responder una consulta basta con nombre, correo y mensaje, pedir fecha de nacimiento, documento identificativo o dirección completa debe tener una justificación real. El principio de minimización obliga a recoger solo los datos adecuados, pertinentes y limitados a lo necesario.

También es frecuente olvidar que las herramientas de formularios, alojamiento web, correo electrónico o gestión de clientes pueden acceder a datos por cuenta de la empresa. Cuando actúan como encargados del tratamiento, deben existir contratos y garantías adecuadas. La cláusula visible es solo una parte del cumplimiento: detrás debe haber una organización documental y técnica coherente.

Por último, no basta con publicar el aviso y olvidarse de él. Si cambia la finalidad, se incorpora una nueva herramienta, se modifica el periodo de conservación o se inicia una campaña comercial, hay que revisar la información ofrecida al usuario.

Una revisión práctica antes de publicar

Antes de activar un formulario, revise que cada campo tenga una finalidad justificada y que el aviso se vea sin necesidad de desplazarse hasta el final de una página interminable. Compruebe que la política de privacidad está actualizada, que el enlace funciona y que las casillas opcionales no están seleccionadas por defecto.

Revise también qué ocurre después del envío. Los datos deben llegar a una cuenta controlada por la empresa, con accesos limitados y medidas de seguridad proporcionadas. Si el formulario crea registros en plataformas externas, esa relación debe estar documentada conforme al RGPD.

Una cláusula bien redactada no consiste en añadir lenguaje jurídico complejo. Consiste en informar con claridad, pedir solo lo necesario y demostrar que su empresa sabe qué datos recoge y por qué los necesita. Si sus formularios llevan tiempo publicados o se han creado con una plantilla web, revisarlos ahora puede evitar un problema que no necesita esperar a una reclamación para hacerse costoso.