Cómo adaptar tu página web a la RGPD ó LOPD para cumplir con la protección de datos
En este artículo vamos a explicar qué requisitos debe cumplir tu sitio web para que cumpla con la RGPD, anteriormente LOPD.
Esta «receta» es el fruto de adaptar las páginas web de muchos de nuestros clientes a la protección de datos durante estos últimos meses. Cada uno de ellos nos ha facilitado sus requisitos, elaborados por abogados o empresas especializadas, y con todo ello hemos escrito el presente artículo que te servirá para tener las ideas muy claras.
NOTA: Este artículo no pretende ni puede sustituir a la consultoría que debe hacer un abogado en tu actividad para analizar cómo debes cumplir con la citada ley, sólo pretendemos contarte cuál es la parte técnica aplicable a las páginas web.
Aviso legal y Política de privacidad
Siempre que tengas una actividad profesional y estés constituido legalmente, ya sea como sociedad o autónomo, tu sitio web debe tener estas dos páginas: Aviso legal y Política de privacidad. Casi siempre se suelen poner por separado, en páginas distintas, aunque también hemos adaptado webs donde estaban juntas, en la misma página o URL.
El contenido de estas páginas legales lo tiene que elaborar un abogado que haya auditado tu empresa, no te recomiendo que «copies» y «pegues» de otro sitio web, legalmente no te servirá y Google te puede penalizar.
Una vez tengas creadas dichas páginas la ley dice que deben ser fácilmente visibles y accesibles, sin duda el mejor sitio es el pié de página de tu sitio web, ahí deberás colocar los dos enlaces. Si usas WordPress seguramente tu theme viene con alguna opción para ello, si no puede que sea necesario modificar el footer.php manualmente.
Formularios de recogida de datos
La normativa es muy estricta con la recogida de datos personales del usuario. En una web estándar la principal y normalmente la única fuente de recogida de datos se produce a través de los formularios de contacto. Los formularios suelen solicitar el nombre, el teléfono, email, etc., todos ellos datos de carácter personal.
La forma de que un formulario cumpla con la normativa consiste básicamente en dos acciones muy concretas:
- Añadir la típica casilla de verificación «He leído y acepto la política de privacidad». Esta casilla debe tener en cuenta:
- Debe estar desmarcada por defecto.
- El usuario debe marcarla sí o sí para poder enviar el formulario.
- Debe incluir un enlace que diriga a dicha página, recomendablemente abriéndola en otra ventana o pestaña del navegador.
- Coletilla legal debajo del formulario. En algunas ocasiones nos han solicitado suprimir el punto 1 a cambio de añadir una coletilla legal que debemos colocar debajo del formulario. Dicha coletilla suele quedar mal estéticamente porque suele ser larga además de que un texto informativo no requiere acción del usuario y podría generar situaciones ambigüas en caso de litigio. A priori parece mucho mejor opción aplicar el punto 1 en lugar del 2 ya que parece más defendible.
- Se debe almacenar la IP del usuario al enviar el formulario. Muchos propietarios de páginas web no conocen este detalle, no almacenan la IP del usuario, se limitan a aplicar el punto 1 pero desconocen que ante una posible denuncia no hay forma de demostrar que ése usuario relleno voluntariamente el formulario en una fecha y hora determinadas. La forma de probarlo es saber qué IP tenía el usuario en el momento de enviar el formulario, a partir de dicha IP se podría saber qué operador era el propietario y por tanto el abonado de la línea. Muchas páginas WordPress usan el plugin Contact Form 7 que no almacena la IP, si necesitas ayuda en este sentido contacta con nosotros.
¿Qué formularios hay en una página web?
A priori parece que el formulario de contacto es el único en una web pero no suele ser así. Si es un sitio WordPress existe el formulario de comentarios y si tenemos una suscripción a un boletín o newsletter tenemos otro formulario más. En todos ellos se recogen datos personales, por tanto debemos aplicar las reglas descritas en el punto anterior.
Cookies
A estas alturas todo el mundo sabe lo que son las cookies y que prácticamente cualquier página web debe implementar una política de cookies. Pues no es así, sólo debe implementarse si la página almacena cookies en el navegador del usuario. Hemos auditado páginas web de empresas que no instalaban ninguna cookie al usuario ya que ni siquiera integraban Google Analytics. En estos casos no es necesaria una política de cookies, en el resto de casos sí.
En el caso de que sea necesaria una política de cookies los requisitos ideales son:
- Hay que mostrar el aviso de cookies nada más visitar la página por primera vez. Hasta este momento no se debería haber instalado ninguna cookie en el navegado del visitante.
- A continuación se debe dar al usuario la opción de configurarlas de forma individual. Esto significa que se debe permitir elegir qué cookies se instalan y cuáles no. Hay un tipo de cookies que se pueden instalar forzosamente que son las técnicas o necesarias para el correcto funcionamiento de la web pero en el resto de casos debe elegir el usuario.
- Es necesaria una página de información sobre cookies y una sobre la política de cookies. Dicho texto legal lo debe preparar alguien ducho en la materia.
- Es necesario publicar en la política de cookies un listado de cookies usadas por el sitio web en el navegador del visitante. Esta labor debe hacerla alguien técnico. Por ejemplo, las de Google Analytics tienen el aspecto que aparece más abajo. Al hacer el listado de cookies debemos especificar la finalidad (publicidad, analizar comportamiento del visitante, etc.), el propietario (el del sitio web) y la caducidad (1 día, 6 meses o lo que corresponda).
Newsletter o boletines para envío masivo de correos electrónicos.
Si su sitio web envía boletines debes tener en cuenta lo siguiente:
- El formulario de alta al boletín debe cumplir con lo descrito en el punto 2.
- Si ya tenías una base de usuarios anterior a Mayo de 2018, debes enviarles un correo para confirmar que quieren seguir suscritos a tu boletín. No hacerlo es un imcumplimiento de la ley.
- Si haces envíos a una base de usuarios que no han aceptado recibir boletines… estás haciendo spam e incumpliendo la normativa.
Aparición de direcciones email en nuestro sitio web
En una ocasión que implementamos la protección de datos de un sitio web el abogado en cuestión nos pidió algo realmente sutil y que puede tener más sentido de lo que parece inicialmente. Nos pidió que quitaramos los enlaces a las direcciones de correo electrónico que apareciesen en la pagina. Es decir, el típico info@webartesanal.com podía aparecer pero si el usuario hacía click en él no debía abrirse el programa de correo porque no era posible pedir el consentimiento previamente.
Hoy día todos los sitios web deberían tener eliminada cualquier dirección de correo electrónico para evitar spam pero se sigue viendo con bastante frecuencia.
Cómo adaptar tu web a la RGPD.
En nuestro caso lo hacemos en apenas unas horas de trabajo. Contrata el mantenimiento web con nosotros y te lo preparamos en tiempo record.
