¿Qué es la gestión de consentimiento?

¿Cómo obtener el consentimiento?

¿Cómo guardar el consentimiento?

¿Necesito una gestión de consentimientos para mi web?

¿Cómo pueden ayudarte los formularios de suscripción a cumplir con el RGPD?

Soluciones técnicas para incluir el checkbox en nuestra web

Configura tu formulario de suscripción apto para RGPD

Obtener el consentimiento

¿Qué es la gestión de consentimiento?

La gestión de consentimiento es el acto o el proceso de gestionar el consentimientos de tus usuarios y clientes para el procesamiento de sus datos personales.

Un sistema de gestión apropiada de consentimiento abarca lo siguiente:

• Pedir el consentimiento exponiendo claramente a qué se está dando el consentimiento y cómo se están utilizando los datos.
• Retrasar todo seguimiento hasta que se ha otorgado un consentimiento adecuado.
• Almacenar de manera segura todos los consentimientos como documentación de que ese consentimiento ha sido obtenido.
• Dar acceso a sus usuarios para retirar su consentimiento en cualquier momento.
• Renovar regularmente el consentimiento (la directiva ePrivacy establece cada 12 meses).

¿Cómo obtener el consentimiento?

Al confiar en el consentimiento como base legal para el procesamiento de datos, el RGPD establece que dicho consentimiento debe concederse de manera voluntaria e inequívoca y con conocimiento de causa.

Asimismo, es necesario explicar claramente qué uso se les va a dar a los datos personales.

El consentimiento debe ser expreso: es la acción inequívoca del usuario aceptando suscribirse, o aceptando que contactes o que le envíes información comercial.

Y este hecho se traduce técnicamente hablando, en tener que seleccionar el checkbox de aceptación de la política de privacidad.

Pero además tienes que poder almacenar el consentimiento del usuario para poder demostrarlo en caso de denuncia.

¿Cómo guardar el consentimiento?

El email de confirmación que te envia el proveedor de email marketing, y que debes guardar como prueba, tiene que indicar los datos que confirmen la validez de los consentimientos, como es la fecha en que se otorga, la IP, el email y la web desde dónde se suscriben.

¿Necesito una gestión de consentimientos para mi web?

Muy probablemente sí la necesita.

Si su web hace uso de cookies de seguimiento, usted necesita obtener consentimiento de sus usuarios primero.

¿Se aloja su web en, por ejemplo, WordPress?

¿Hace uso de Google Analytics o alguna herramienta similar?

¿Tiene contenido incrustado en su web, tales como videos de YouTube o enlaces de redes sociales?

Entonces su web probablemente establezca cookies de terceras partes en los navegadores de sus usuarios, y necesite implementar un sistema de gestión de cookies, que se asegure de que…

• todas las cookies se han detenido hasta que se ha obtenido un consentimiento apropiado,
• el usuario obtiene información transparente sobre las cookies,
• y él o ella puede retirar su consentimiento en cualquier momento.
• se ha dado la información básica del tratamiento de datos para obtener el consentimiento expreso.

Aceptación de la política de privacidad

Para que el consentimiento se considere expreso, aparte de realizar la acción de clicar el checkbox, el usuario también debe conocer PREVIAMENTE el tratamiento que se le va a dar a sus datos, es decir, quién va a tener acceso a ellos y con qué finalidad.

Para ello tendremos que indicar esta información en una leyenda en el formulario de suscripción similar a este:

• Te informo que los datos de carácter personal que me proporciones rellenando el presente formulario serán tratados por mí, (tu nombre completo), como responsable de esta web.
• Con la finalidad de gestionar el alta a esta suscripción y remitir boletines periódicos con información y oferta prospectiva de productos o servicios propios y de terceros afiliados.
• Legitimación: Consentimiento del interesado.
• Destinatarios: XXXXX.
• Puedes consultar aquí su política de privacidad 
• Derechos: Podrás ejercer tus derechos de acceso, rectificación, limitación y suprimir los datos en proteccióndatoscertificado@gmail.com así como el derecho a presentar una reclamación ante una autoridad de control.
• Puedes consultar la información adicional y detallada sobre Protección de Datos en mi política de privacidad.

¿Cómo pueden ayudarte los formularios de suscripción a cumplir con el RGPD?

A continuación, se detallan algunos puntos que debes conocer antes de empezar este proceso.

El hecho de tener habilitados los campos del RGPD en tus formularios de suscripción no significa que cumplas con la normativa. Tan solo es el primer paso del proceso.

Para recabar el consentimiento de los contactos nuevos y los actuales, es preciso que configures los formularios, crees un segmento y envíes una campaña de consentimiento.

Soluciones técnicas para incluir el checkbox en nuestra web

Algunas de las opciones para cumplir con los permisos de marketing adecuados al RGPD, configurándolos para obtener el consentimiento expreso son: MailChimp, Active Campaign o Cookiebot.

Recuerda que sobre ti recae la responsabilidad de demostrar que efectivamente tus contactos han dado su consentimiento a los permisos de marketing que importes.

Activa los campos del GDPR (RGPD) en los formularios de suscripción de todas las listas que se vean afectadas por el RGPD.

Edita los campos del RGPD, y ponlos en consonancia con tu web.

Configura tu formulario de suscripción apto para RGPD

Para usar los campos del RGPD (GDPR) en tus formularios de suscripción, habilítalos para cada uno de los públicos que recopilan o contienen datos personales de los ciudadanos de la UE, y luego edítalos para reflejar tus prácticas de marketing.

Habilitar los campos del RGPD

Después de habilitar los campos del RGPD para un público, los podrás ver y editar en el creador de formularios. Estos campos se incluirán en la mayoría de los formularios de suscripción asociados con ese público, incluidos los formularios emergentes, el formulario de suscripción alojado y las landing pages de suscripción.

Obtener el consentimiento

Ahora que has actualizado tus formularios y configurado tus segmentos, tienes todo listo para obtener el consentimiento de los nuevos contactos y venderles tus productos. No obstante, es necesario que tus contactos actuales te otorguen permisos de marketing.

Si anteriormente has obtenido el consentimiento de manera que cumpla con el RGPD, es posible que no tengas que confirmar el consentimiento de dichos contactos.

Si no es así, tendrás que obtener el consentimiento de tus contactos actuales, según estipula el RGPD. Para ello, envía a todos los contactos de tu lista una campaña de consentimiento que incluya un enlace para actualizar sus opciones.

Veamos como funciona en MailChimp.

• Crea una nueva campaña por correo electrónico.
• En la sección Content (Contenido), haz clic en Design Email (Diseñar correo electrónico).
• Pulsa en la pestaña Themes (Temas).
• Haz clic en el menú desplegable y selecciona Subscriber Alerts (Alertas a suscriptores).
• Selecciona la plantilla GDPR Subscriber Alert (Alerta a suscriptores relativa al RGPD).

La plantilla incluye una propuesta de texto que puedes editar. Si prefieres crear tu campaña de consentimiento desde cero, asegúrate de incluir un enlace de Actualización de perfil. Previsualiza y prueba tu campaña como lo harías normalmente, y envíala a toda tu lista.

Después de enviar tu campaña de consentimiento, utiliza los segmentos de Permisos de marketing para comunicarte solo con los contactos que hayan optado expresamente por recibir tus mensajes comerciales.

Puede serte útil realizar una cancelación masiva de todos los contactos que no hayan otorgado su consentimiento para recibir tus mensajes de marketing.

No tenemos conocimiento de ninguna prohibición explicita que impida enviar un correo electrónico de reconfirmación después del 25 de mayo. Algunas autoridades de la UE recomiendan que las empresas actualicen periódicamente el consentimiento, lo que sugiere que todavía pueden enviarse reconfirmaciones.

Lo importante es que te asegures de disponer de una base legal —como el consentimiento o un interés legítimo— que te permita enviar un correo electrónico a un contacto.

Si crees que, en virtud del RGPD, no dispones de una base adecuada para enviar un correo electrónico a un contacto, tal vez prefieras abstenerte de enviar un correo electrónico de reconfirmación y eliminar el contacto de la lista. Te sugerimos que te pongas en contacto con tu asesor en protección de datos para analizar tu situación con más detalle.

Versiones de formularios

Cuando un nuevo contacto se suscriba al marketing de tu público adaptado al RGPD a través de un formulario de suscripción alojado, en una ventana emergente o en una landing page, se registrará la información de los campos del formulario en una versión de texto simple.

Así se capturan los campos del RGPD que tu contacto ve al suscribirse, para que conste que has descrito con precisión tus actividades de marketing.

Puedes revisar esta información cuando quieras en la página de perfil del contacto.

Si no quieres usar Mailchimp, existe un plugin (Flamingo), que puedes colocar directamente en tu página web, y que te permite guardar los mensajes y cuentas de correo de quienes hagan uso del formulario.

Además almacenan el valor de las casillas de aceptación que pongas. Nosotros lo hemos usado con Contact Form 7 y funciona bastante bien.

La entrada GUARDAR EL CONSENTIMIENTO. se publicó primero en Gestiona Abogados.

A continuación vamos a ver una serie de recomendaciones que toda política de privacidad debería seguir:

INFORMACIÓN QUE DEBE PROPORCIONARSE AL INTERESADO en la política de privacidad de tu web

Encabecemos la política de privacidad de nuestra página web con los siguientes datos:

Identidad y datos de contacto del responsable y, en su caso, de su representante: se recomienda incluir siempre esta información al principio del documento o apartado de privacidad correspondiente, a fin de que el usuario pueda encontrar esta información de forma rápida y sencilla.

En cuanto al modo de contactar con el responsable del tratamiento, se considera más adecuado facilitar al interesado una dirección de correo electrónico o un formulario electrónico, por tratarse de un entorno online.

Contacto del Delegado de Protección de Datos: Se considera más adecuado facilitar al interesado una dirección de correo electrónico o habilitar un formulario electrónico para contactar con este.

Finalidades del tratamiento: es obligatorio detallar todas las finalidades para las que se tratan los datos personales de los interesados.

No obstante, una enumeración demasiado extensa desalienta su lectura y dificulta su comprensión. Sería recomendable ajustar la extensión de estas explicaciones y agrupar las finalidades por categorías (por ejemplo, prestación del servicio, comunicaciones comerciales, cumplimiento de obligaciones legales, entre otras).

BASE JURÍDICA DEL TRATAMIENTO

Se recomienda diferenciar claramente la base jurídica del tratamiento, en la información que se proporciona al interesado, además de las finalidades para las que se realiza el tratamiento de la información.

Se sugiere que esta información se relacione o se ponga a continuación de la información sobre los fines para los que se realiza el tratamiento.

A fin de evitar el efecto contrario al deseado, se recomienda también ajustar la extensión de estas explicaciones y agrupar las actividades de tratamiento según la base jurídica que las legitima.

Además, es importante destacar que la información que se proporcione debe ser correcta.

Tratamiento de datos con fines comerciales

Mención especial merece el tratamiento de datos para fines de mercadotecnia, publicidad y comunicaciones comerciales.

El interés legítimo de un responsable de tratamiento “podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable” y que “el tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”.

Por correo electrónico…

No obstante, cuando las referidas comunicaciones se lleven a cabo por medios electrónicos, debe tomarse en consideración la aplicación del artículo 21 de la LSSI, el cual exige que estas comunicaciones hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas, o bien, que “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”.

En cuanto a las acciones de publicidad o mercadotecnia no realizadas a través de medios electrónicos, cabría exceptuar de la necesidad de solicitar el consentimiento del interesado, igualmente, a aquellas comunicaciones relativas a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente.

Interés legítimo

Cuando el tratamiento de datos esté basado en los intereses legítimos del responsable o de un tercero, debe detallarse cuáles son estos intereses para realizar cada actividad de tratamiento.

No basta con hacer una mención genérica al “interés legítimo” como tal ni utilizar fórmulas abstractas del tipo “conocerte mejor”.

Se reitera que la información que se proporcione debe ser correcta y que, por tanto, la base sobre la que se informa que legitima el tratamiento de datos debe ser acertada.

Por último, sería deseable que, junto con la información sobre el interés legítimo en que se basa el tratamiento de datos, se documente la ponderación realizada entre este interés del responsable y el derecho de los usuarios a la protección de sus datos personales.

DESTINATARIOS DE LOS DATOS RECOGIDOS

En su caso, cuando deba informarse sobre los destinatarios de los datos personales tratados, se recomienda también ajustar la extensión de estas explicaciones y agruparlos por categorías.

Si no se comunicaran a terceros los datos personales de los interesados, se considera una buena práctica informar sobre este extremo, a fin de que no permanezcan dudas al respecto.

TRANSFERENCIAS INTERNACIONALES DE DATOS

Intención del responsable, en su caso, de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado: se recomienda prestar especial atención a este apartado ya que se ha observado que no se cumple en su totalidad.

El RPGD establece que es obligatorio brindar esta información detallada, en el caso de que se realicen transferencias internacionales.

Por tanto, no es suficiente informar de manera genérica sobre que estas transferencias se realizan, sino que también debe decirse si existe o no una decisión de adecuación de la Comisión al respecto y, caso contrario, mencionar las garantías que se proporcionan (sin utilizar fórmulas genéricas del estilo “garantías adecuadas” sino, al menos, una enumeración general sin entrar al detalle de cada una) y el procedimiento para obtener una copia de estas o de que se prestaron.

Toda esta información no debe ser demasiado extensa de modo que desaliente su lectura, por lo que se recomienda revisar su extensión.

PLAZO DE CONSERVACIÓN DE LOS DATOS

Se sugiere, al menos, proporcionar al interesado una idea aproximada de los plazos que la legislación establece en este sentido, o indicar la normativa aplicable de archivos y documentación al sector del responsable.

A fin de determinar los criterios utilizados para determinar el plazo de conservación de los datos personales, no resulta aceptable la utilización de criterios indeterminados tales como “mientras exista un interés mutuo”.

Se recomienda, por tanto, proporcionar al interesado unos criterios de conservación de sus datos personales que le permitan conocer o calcular, con cierto grado de aproximación a la realidad, durante cuánto tiempo el responsable del tratamiento mantendrá los datos en su poder.

Por último, se consideraría una buena práctica que los datos recabados con objeto de la adquisición de un producto se borraran una vez finalizado el compromiso de compra adquirido y los plazos relativos a las posibles reclamaciones.

INFORMACIÓN SOBRE LOS DERECHOS

Derecho a solicitar del responsable el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos.

Es obligatorio informar a los interesados de todos estos derechos, por lo que las entidades que realicen tratamiento de datos personales deben actualizar la información que proporcionan a los interesados e incorporar los derechos que les asisten.

Es recomendable que la información sobre los derechos de los interesados se proporcione en un apartado aparte, identificado claramente como tal, en vez de enumerar mezclados los derechos que se tienen junto con el resto de la información sobre el tratamiento.

También sería deseable que, junto con la enumeración de estos derechos, se explique el procedimiento para su ejercicio y se facilite a tal efecto una dirección de correo electrónico o se habilite un formulario electrónico, por tratarse de un entorno online.

Hay que tener en cuenta que el RGPD contempla la utilización de medios electrónicos para el ejercicio de sus derechos por parte de los interesados, en particular cuando los datos se tratan por medios electrónicos, para lo cual habrá que implantar mecanismos que permitan acreditar la identidad del interesado, la recepción de su solicitud y de la respuesta que hubiera dado la entidad.

A modo de ejemplo, la cláusula informativa sobre el ejercicio de los derechos de los interesados podría estipular:

“Puede ejercer sus derechos de acceso, rectificación, supresión y portabilidad de sus datos, de limitación y oposición a su tratamiento, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos, cuando procedan, ante XXXXXXX, con domicilio en XXXXXXXXX o en la dirección de correo electrónico XXXXXXXXX”.

DERECHO A PRESENTAR UNA RECLAMACIÓN ANTE LA AUTORIDAD DE CONTROL

Se recomienda informar sobre este derecho junto con el resto de los derechos de que dispone el interesado.

También sería recomendable que se especifique que la autoridad de control en España es esta Agencia y se facilite un enlace para su consulta (https://www.aepd.es/).

REQUISITO LEGAL O CONTRACTUAL

También es conveniente informar sobre si la comunicación de datos es requisito legal o contractual, o un requisito necesario para suscribir un contrato, o si el interesado está obligado a facilitar los datos personales.

Y en tales casos, las posibles consecuencias de no facilitar tales datos.

Debe indicarse si esa información es obligatoria o necesaria para el contrato o si facilitar la información es un requisito legal o contractual.

Se recomienda además informar de la base para considerar que facilitar la información es un requisito o una obligación.

No se considera suficiente indicar que se trata de “información necesaria” o no indicar nada al respecto.

También debe informarse sobre las posibles consecuencias de no proporcionar los datos personales, siendo insuficiente no poder completar la acción deseada si no se facilitan los datos personales solicitados.

Se recomienda que esta información se detalle en el documento o apartado relativo a privacidad de la web, aun si en el formulario de recogida de datos se señalan los campos obligatorios con un asterisco y se proporciona información resumida al respecto.

INFORMACIÓN SOBRE LA EXISTENCIA DE DECISIONES AUTOMATIZADAS

Se debe informar sobre la existencia de decisiones automatizadas (incluida la elaboración de perfiles). Y, al menos en tales casos, información  significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

En cuanto a la elaboración de perfiles, que es una actividad bastante común en el entorno online, no es suficiente con informar que estos se realizan, sino que debe explicarse también la lógica aplicada para ello, qué importancia tiene esta actividad para el interesado y las consecuencias que este tratamiento podría tener para él.

Se recomienda que se identifique como tal la realización de perfiles y no se utilicen fórmulas del estilo “se recogen datos para personalizar tu experiencia” o “para conocerte mejor”.

También es recomendable que se distingan claramente cada una de las finalidades para las que se realizan perfiles.

En cuanto a la información sobre la lógica aplicada, esta debe ser simple y clara, sin necesidad de una explicación compleja o de facilitar los algoritmos utilizados. Simplemente sería deseable que se facilite una explicación breve y sencilla sobre cómo funciona el procedimiento empleado y las razones para su utilización.

Por último, se destaca que es obligatorio informar sobre la importancia y consecuencias que este tratamiento puede tener para el interesado.

La entrada RECOMENDACIONES PARA LA POLÍTICA DE PRIVACIDAD DE TU WEB se publicó primero en Gestiona Abogados.

No obstante, existe cierta resistencia a pasar de un modelo anteriormente basado en el consentimiento, a un nuevo modelo en el que, además, se pueden utilizar otras bases legales para tratar los datos cuando corresponda,  como el interés legítimo o una relación contractual.

Es necesario ampliar  la información que debe proporcionarse a las personas cuyos datos se pretende tratar y se exige que estas realicen una clara acción positiva cuando se solicita su consentimiento.

INCIDENCIAS MÁS COMUNES

Una clara extensión de los documentos de privacidad

Son largos y farragosos, y a nadie le apetece leerlos.  Recordemos que hay que cumplir con el  deber de informar al interesado de forma clara y concisa.

Información en dos capas

Es recomendable la utilización de una primera capa en la que se proporcione información resumida y una segunda capa con información más detallada.

Esto resulta especialmente evidente cuando se enumeran las finalidades para las que se recogen los datos personales.

Consentimiento individual

Se suele utilizar la recogida del consentimiento en bloque, es decir, que no se solicita el consentimiento para cada una de las finalidades de tratamiento de datos personales, sino que se acude a la fórmula «He leído y acepto la política de privacidad».

Para hacerlo de manera correcta, se recomienda agrupar en propósitos afines las finalidades para las que se solicita el consentimiento, de forma que el interesado pueda decidir.

Recordemos que «El silencio, las casillas premarcadas o la inacción no constituyen un consentimiento válido».

Lenguaje utilizado

En cuanto al lenguaje utilizado en las políticas de privacidad, existen expresiones ambiguas o demasiado genéricas, que no aportan información real al interesado.

Entre los casos erróneos, existen expresiones que no permiten conocer el tiempo de conservación de los datos recabados, ya que se utiliza la fórmula «mientras exista interés mutuo».

El Reglamento europeo fija claramente que debe darse información clara sobre cuánto tiempo se conservan los datos, ofreciendo a los usuarios el plazo establecido por la legislación, o indicar la normativa aplicable, o dar información que le permita conocer y calcular cuánto tiempo se van a conservar los datos personales del usuario.

Base del tratamiento

-Confusión

Otro de los asuntos a mejorar por parte de las compañías es la ausencia de mención, o la explicación incorrecta, de la base legal que legitima el tratamiento de datos personales.

Se incluye como interés legítimo lo que en realidad es un tratamiento necesario para la ejecución de un contrato, o encuadrando dentro del interés legítimo lo que en realidad no es tal.

Si bien el RGPD reconoce hasta seis bases jurídicas para considerar lícito el tratamiento de datos personales, en el ámbito privado las bases más comunes suelen ser los intereses legítimos del responsable del tratamiento o un tercero (art. 6.1.f) del RGPD), o bien, que el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales (art. 6.1.b del RGPD).

-Análisis web

También se menciona, como interés de las empresas, el análisis de la utilización de la web, a fin de comprobar el comportamiento de los usuarios de la misma, y el envío de comunicaciones comerciales sobre productos o servicios similares a los contratados.

En este sentido, cabe recordar que si se trata de la utilización de dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios (cookies), o bien, comunicaciones comerciales no solicitadas por vía electrónica o a través de llamadas telefónicas, el régimen jurídico aplicable es el estipulado por la Ley 34/2002Enlace añadido por la extensión vLex, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSIEnlace añadido por la extensión vLex) y la Ley 9/2014, de 9 de mayoEnlace añadido por la extensión vLex, General de Telecomunicaciones (LGT), en vez del régimen establecido por el RGPD.

-Proteger la seguridad de la red

Por su parte, también se mencionan como intereses legítimos de los responsables proteger la seguridad de la red y las operaciones, proteger sus derechos y defenderse en caso de disputa, así como la prevención del fraude y otras actividades ilícitas.

-Realización de perfiles

Por último, se ha observado que varias empresas mencionan entre sus intereses legítimos la realización de perfiles, ya sea para mejorar su oferta de productos y servicios, o bien para prestar un servicio más personalizado al usuario.

Información proporcionada al interesado:

Identidad y datos de contacto

En general, casi todas las empresas informan sobre la identidad del responsable de tratamiento de los datos personales y proporcionan sus datos de contacto en el apartado dedicado a su política de privacidad.

No obstante, casi ninguna de las empresas proporciona información respecto a la identidad de su representante.

Forma de contactar

En cuanto al modo de contactar con el responsable para cuestiones relativas a la utilización de datos personales, casi todas proporcionan un domicilio postal al cual dirigirse y tres de cada cuatro entidades facilitan una dirección de correo electrónico a tal fin.

Una cuarta parte de las empresas cuenta con un formulario electrónico habilitado para ello y la que proporciona un número de teléfono de contacto es la excepción.

Transferencias internacionales de datos

En general, se hace mención a aquellas transferencias realizadas fuera del Espacio Económico Europeo (en su mayoría, a EE. UU.) sin detallar las garantías adoptadas.

Tan solo se suele hacer una mención genérica, como por ejemplo:

“Siempre que transmitamos información personal a países situados fuera del Espacio Económico Europeo, nos aseguraremos de que la información es transferida de acuerdo con este Aviso de Privacidad y conforme a lo permitido por las leyes aplicables en materia de protección de datos”, o bien “…con filiales de la UE y otras entidades de XXX tanto dentro como fuera del Espacio Económico Europeo lo que incluye, entre otros, a XXX con domicilio social en EE.UU., que procesar sus datos personales únicamente de conformidad con nuestras instrucciones y para los fines que se presentan en esta Declaración de Privacidad” o “En estos casos, se adoptan las garantías adecuadas para proteger su información”.

Algunas empresas mencionan, entre las garantías, la adopción de cláusulas contractuales tipo o el Escudo de Privacidad entre la Unión Europea y EE. UU, como por ejemplo:

“En tales casos, XXXXX garantizará que la transferencia de sus datos personales se realiza de conformidad con las leyes de privacidad aplicables y, en particular, que se apliquen las medidas contractuales, técnicas y organizativas necesarias, como las cláusulas contractuales estándar aprobada por la Comisión Europea”

o

“A este respecto, le informamos que la misma se encuentra regularizada por medio de cláusulas contractuales tipo, autorizados previamente por la AEPD”, o bien, “Entre proveedores se encuentra XXXX, entidad ubicada en Estados Unidos y adherida al Privacy Shield”).

Por su parte, hay que señalar que solo unas pocas empresas enumeran varios mecanismos que se utilizarán cuando la información sea transferida fuera del Espacio Económico Europeo, tales como cláusulas contractuales tipo aprobadas por la Comisión Europea, el Escudo de Privacidad entre la Unión Europea y los EE. UU., así como normas corporativas vinculantes.

Cabe destacar como buena práctica que se ha observado algún supuesto que detalla los destinatarios a los que se transferirán los datos personales, con indicación del país en que se encuentran y el detalle de las medidas adoptadas en cada caso.

Derecho a presentar una reclamación ante la autoridad de control:

Casi todas las empresas cumplen con la obligación de informar sobre el derecho del interesado a presentar una reclamación ante la autoridad de control.

Todas las entidades que mencionan este derecho indican también ante quién ejercerlo, si bien solo algunas de ellas proporcionan un enlace a la página web de la Agencia, sin más indicación.

Dos de cada tres entidadess señalan a la AEPD como la autoridad de control indicada para presentar una reclamación, pero en otras se menciona, por ejemplo, a la Plataforma europea de resolución de conflictos o a “nuestra autoridad de control principal, la Commission Nationale pour la Protection des Donées de Luxemburgo o ante un organismo local” o a la Autoridad de protección de datos de Suecia.

Información específica

Nos referimos a la información sobre si la comunicación de datos es requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales.

En tales casos, las posibles consecuencias de no facilitar tales datos: todas las empresas exigen determinados datos de los interesados para poder contratar su producto o servicio.

No obstante, casi la tercera parte no indica que esos datos sean obligatorios en los formularios de recogida, sino que simplemente no permite continuar con el proceso de compra, suscripción o registro.

En cuanto a la información sobre las posibles consecuencias de no facilitar tales datos, en general no se ofrece ninguna, solo no se permite continuar con el procedimiento hasta no proporcionar los datos requeridos.

No obstante, unas pocas empresas sí que indican que si no se facilitan los datos requeridos no se podrá prestar el servicio que se solicita.

Información sobre la existencia de decisiones automatizadas

En cuanto a las empresas que realizan elaboración de perfiles, estas no dan al interesado información sobre la lógica aplicada ni la importancia de estas.

En general, esta actividad se menciona entre las actividades de tratamiento realizadas junto con las finalidades para las que se recogen los datos personales.

Casi la mitad de estas empresas reconoce la realización de perfiles para mejorar su oferta de productos o personalizar el envío de ofertas comerciales o dar un trato más personalizado al cliente, mientras que un tercio analiza la utilización de su sitio web para comprobar las preferencias y comportamientos de los usuarios.

Por no hacerlo más largo, en el siguiente post realizaremos una serie de Recomendaciones para cumplir con la política de privacidad de tu página web.

La entrada POLÍTICA DE PRIVACIDAD EN TU WEB. ERRORES. se publicó primero en Gestiona Abogados.