RGPD y formularios online: lista de comprobación práctica
La mayoría de textos sobre RGPD y formularios se quedan en «obtén el consentimiento». Eso es inexacto y, además, insuficiente. Esta es una lista de comprobación que puedes aplicar a un formulario en diez minutos para ver qué falta y, lo que es más útil, qué no necesita estar ahí en absoluto.
Dato útil: el editor y la cuenta de Gatherino están disponibles en inglés o checo. Los formularios que rellenan quienes responden pueden mostrarse en 18 idiomas, incluido el español.
Trabaja de arriba abajo
- 1
1. Anota para qué se usan los datos
Una frase por finalidad. «Tramitar el pedido.» «Enviar el programa del evento.» Sin esto no se puede decidir nada más.
- 2
2. Asigna una base jurídica a cada finalidad
Pedidos e inscripciones de pago = ejecución de un contrato. Responder a una consulta = interés legítimo. Correos de marketing = consentimiento. El consentimiento no es el valor por defecto; es una de las seis bases.
- 3
3. Elimina los campos que la finalidad no necesita
Una fecha de nacimiento en un formulario de contacto, un DNI en una inscripción a un taller. Lo que nunca recoges, nunca tienes que protegerlo, exportarlo ni borrarlo.
- 4
4. Separa el marketing del resto
La casilla para la newsletter debe ser independiente: no marcada de antemano y no obligatoria para enviar el formulario.
- 5
5. Indica quién eres y qué haces con los datos
Enlaza tu política de privacidad junto al botón de enviar. El deber de informar se aplica aunque no necesites consentimiento.
- 6
6. Decide cuánto tiempo conservas los datos
No existe una cifra fija: depende de la finalidad. Una vez cumplida, bórralos o anonimízalos.
- 7
7. Comprueba quién puede ver las respuestas
Configura roles de equipo para que los datos personales solo sean visibles para quienes los necesitan para su trabajo.
Errores habituales
«Acepto el tratamiento de mis datos» en un formulario de pedido no tiene sentido: el pedido no puede tramitarse sin los datos, así que el consentimiento no sería libre. Una casilla marcada de antemano no es consentimiento. Y enlazar una política de privacidad cumple el deber de informar, pero no proporciona una base jurídica.
Dónde te ayuda Gatherino
Los datos se almacenan en servidores de la UE, se cifran en tránsito y en reposo, y se hacen copias de seguridad a diario. El acceso a las respuestas puede limitarse por rol y por formulario, de modo que un empleado temporal en recepción no vea toda la base de datos.
Puedes añadir un campo de consentimiento con el texto que redactes tú, enlazado a tu propia política. Las respuestas pueden eliminarse de una en una o en bloque.
Lo que Gatherino no hará: decidir por ti la base jurídica, ni borrar datos por su cuenta cuando termine un plazo de conservación. Eso corresponde a ti.
Preguntas frecuentes
¿Necesito un consentimiento de tratamiento en todos los formularios?
No. Los pedidos y las inscripciones suelen basarse en la ejecución de un contrato. El consentimiento se suele pedir para los correos de marketing.
¿Puede estar marcada de antemano la casilla de consentimiento?
No. Una casilla marcada de antemano no es un consentimiento válido.
¿Cuánto tiempo puedo conservar las respuestas?
Hasta que se cumpla la finalidad, más cualquier plazo que exijan otras normas (la contabilidad, por ejemplo). Las cifras exactas dependen del tipo de dato.
¿Dónde deben almacenarse las respuestas?
En un lugar que puedas justificar. Los servidores de la UE evitan por completo el problema de las transferencias a terceros países.
Relacionados
Prueba Gatherino gratis
Plan gratuito: 3 formularios y 100 respuestas al mes. Sin tarjeta de crédito. Datos alojados en la UE.
Empieza gratis →