El RGPD asusta más de lo que debería. Para una web pequeña se reduce a unas pocas obligaciones concretas, y casi todas se cumplen con sentido común y un par de textos bien escritos.
Cuándo te aplica
En cuanto tratas un dato personal. Un nombre, un correo, un teléfono, una dirección IP. Si tienes formulario de contacto, te aplica. Si tienes newsletter, te aplica. Si tienes Google Analytics, también.
Las cinco obligaciones que sí te tocan
Informar. Antes de que alguien te dé un dato, tiene que poder saber quién eres, para qué lo quieres y qué vas a hacer con él. De ahí la política de privacidad y el enlace junto al formulario.
Pedir consentimiento cuando toca. Para contestar a alguien que te escribe, el consentimiento va implícito en que te escriba. Para mandarle publicidad después, no: eso necesita una casilla aparte, sin marcar de antemano.
Guardar solo lo necesario. Si para dar un presupuesto te basta el nombre y el correo, no pidas el DNI ni la fecha de nacimiento. Cada dato de más es una responsabilidad de más.
Atender los derechos. Cualquiera puede pedirte que le digas qué datos suyos tienes, que los corrijas o que los borres. Tienes un mes para contestar. Esto se hace a mano y no pasa nada: son cuatro correos al año en un negocio pequeño.
Llevar un registro de actividades. Un documento interno, ni siquiera publicado, que diga qué datos tratas, para qué y cuánto tiempo. Para un autónomo cabe en dos folios.
Lo que probablemente no necesitas
Un delegado de protección de datos solo hace falta en casos concretos: administraciones, tratamiento a gran escala o datos sensibles. Una peluquería con formulario de contacto no lo necesita, por mucho que se lo vendan.
El error más caro: la casilla marcada
Poner la casilla de «acepto recibir comunicaciones» ya marcada no es consentimiento válido. Tampoco lo es meterlo dentro de la casilla de aceptar la política de privacidad. Tienen que ser dos casillas separadas y las dos sin marcar.
Es exactamente el tipo de detalle por el que llegan las denuncias, porque el usuario lo nota cuando empieza a recibir correos que no recuerda haber pedido.
Cuánto tiempo guardar las cosas
Los mensajes de un formulario, mientras dure la conversación y un plazo razonable después. Las facturas, seis años por obligación fiscal. Los suscriptores, hasta que se den de baja. Y las bajas se ejecutan de verdad, no se marcan como inactivas.
Por dónde empezar si no tienes nada
Por la política de privacidad escrita para tu web concreta, el enlace junto a cada formulario y la casilla de consentimiento separada. Con eso cubres lo que provoca el 90 % de las reclamaciones.
Lo demás, el registro de actividades y el protocolo de derechos, se prepara una vez y se guarda. Si quieres verlo hecho, ahí está nuestra política.
