RGPD: cookies, formularios y política de privacidad

Módulo 9: Correo electrónico, posicionamiento (SEO), RGPD, mantenimiento y migración · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá poner en orden la base del RGPD de un sitio WordPress: saber qué datos personales trata, configurar correctamente las cookies y el contenido externo, organizar bien los formularios y redactar una política de privacidad.

Conceptos clave: datos personales, tratamiento, base legal, deber de información, política de privacidad, norma sobre cookies (Directiva ePrivacy), consentimiento, cookies funcionales y analíticas, cookies de seguimiento, banner de cookies, contenido externo, formularios, plazo de conservación, encargado del tratamiento, contrato de encargo del tratamiento, brecha de seguridad

Esta lección es una explicación general, no un asesoramiento jurídico. Para su situación concreta, consulte la información de la autoridad de protección de datos de su país o pida consejo a un experto.

Qué tiene que ver el RGPD con su sitio web

El RGPD (Reglamento General de Protección de Datos) trata sobre los datos personales: todo aquello con lo que se pueda reconocer a alguien directa o indirectamente. En un sitio web eso es más de lo que se piensa: un nombre y una dirección de correo de un formulario, un pedido, una cuenta, pero también una dirección IP y una cookie con un número único.

Casi todos los sitios WordPress tratan por tanto datos personales: en formularios, comentarios, cuentas, pedidos, registros del servidor, copias de seguridad, registros de correo (lección 9.1) y en lo que su sitio envía a otros terceros. Para ello se aplican, entre otras, estas reglas:

• Necesita una base legal para cada tratamiento (artículo 6 del RGPD), por ejemplo: necesario para ejecutar un contrato (un pedido), consentimiento (un boletín), o un interés legítimo.
• No trata más datos de los necesarios y no los conserva más tiempo del necesario.
• Informa a las personas sobre lo que hace (artículo 13 del RGPD): esto lo hace en su política de privacidad.
• Protege los datos de forma adecuada (https, actualizaciones, copias de seguridad: el resto de este curso).
• Si deja que otra parte trate datos por usted (su proveedor de alojamiento, un servicio de correo, un plugin con un servicio en la nube), se trata de un encargado del tratamiento y debe firmar un contrato de encargo del tratamiento (artículo 28 del RGPD). Los proveedores de alojamiento y los grandes servicios suelen tenerlo preparado de forma estándar.
• Si algo sale mal (un hackeo, una copia de seguridad filtrada), se trata de una brecha de seguridad que a veces debe notificarse (lección 7.5).

Cookies: la Directiva ePrivacy

Para las cookies (y técnicas similares como el almacenamiento local y los píxeles de seguimiento) se aplica además la norma sobre cookies de la Directiva europea ePrivacy (en España: artículo 22.2 de la LSSI; en los Países Bajos: artículo 11.7a de la Telecommunicatiewet). En resumen, tal como lo explica la autoridad de protección de datos:

• Cookies funcionales necesarias para que el sitio funcione (una cookie de inicio de sesión, un carrito de la compra, recordar la propia elección sobre cookies): se permiten sin consentimiento. Aun así, debe informar sobre ellas.
• Cookies analíticas con ningún o escaso impacto en la privacidad: se permiten sin consentimiento, si cumplen ciertas condiciones. Piense en estadísticas que usted mismo controla o que están configuradas de forma respetuosa con la privacidad (sin compartir datos, direcciones IP truncadas, sin seguimiento entre sitios).
• Cookies de seguimiento y todo lo que siga a los visitantes o cree perfiles (publicidad, redes sociales, la mayoría de los servicios integrados de grandes plataformas): solo tras obtener consentimiento, y por tanto solo se cargan después de que el visitante haya dicho «sí».

Un banner de cookies solicita ese consentimiento. La autoridad de protección de datos señala, entre otras cosas: explique qué cookies utiliza y para qué, rechazar debe ser igual de fácil que aceptar, y no debe haber casillas marcadas por defecto. Un banner que solo tiene la opción «Aceptar», o que ya carga el código de seguimiento antes de que se haya elegido, no cumple. Existen muchos plugins de cookies para WordPress; elija uno que realmente bloquee los scripts hasta que haya consentimiento, y compruébelo (el ejercicio de esta lección le ayuda).

Contenido externo: qué envía su sitio a terceros

Incluso sin cookies, su sitio envía datos a otros terceros en cuanto una página carga algo de ellos. El navegador de su visitante lo obtiene entonces de ese tercero, que ve al menos la dirección IP. Algunos ejemplos:

En Alemania, un tribunal (LG München I, enero de 2022) determinó que cargar fuentes de un servicio externo sin consentimiento infringía el RGPD, porque con ello se transmitía la dirección IP del visitante. No es una sentencia neerlandesa, pero muestra de qué se trata: debe poder explicar cada fuente externa.

Formularios

Un formulario es un tratamiento de datos. Tenga en cuenta:

• Pida solo lo que necesita. Para una solicitud de devolución de llamada necesita un nombre y un número de teléfono, no una dirección ni una fecha de nacimiento.
• Mediante https (lección 3.1), de lo contrario los datos viajan sin cifrar por internet.
• ¿Dónde quedan los datos? Muchos plugins de formularios también guardan cada envío en la base de datos, además del correo. Al cabo de los años se acumulan miles de envíos. Configure un plazo de conservación o desactive el guardado si el correo es suficiente. El registro de correo de su plugin SMTP (lección 9.1) también los contiene.
• El consentimiento para un boletín es una casilla aparte, no marcada por defecto. Un formulario de contacto no es una suscripción al boletín.
• Protección antispam: véase la tabla anterior.

La política de privacidad

WordPress crea al instalarse una página borrador llamada Política de privacidad y dispone en Ajustes > Privacidad de una ayuda con textos de ejemplo; los plugins que tratan datos pueden añadir texto allí. Eso es un comienzo, no un resultado final. Una política de privacidad describe, según el artículo 13 del RGPD, entre otras cosas:

• quién es usted y cómo se le puede contactar;
• qué datos personales trata, para qué y con qué base legal;
• con quién los comparte (encargados del tratamiento, otros terceros) y si salen de la UE;
• cuánto tiempo los conserva;
• qué derechos tienen las personas (acceso, rectificación, supresión, oposición) y que pueden presentar una reclamación ante la autoridad de protección de datos;
• qué cookies y servicios externos utiliza su sitio.

Añada un enlace a la política de privacidad en el pie de página (lección 4.3), para que sea localizable en cada página, y en cada formulario.

WordPress dispone también, en Herramientas, de funciones para exportar datos personales y borrarlos a petición de un usuario. Resulta útil ante una solicitud de acceso o de supresión, pero solo encuentran datos de WordPress y de los plugins compatibles con esa función.

Un plan de pasos sencillo

1. Haga una lista de todos los tratamientos de su sitio: formularios, cuentas, pedidos, comentarios, estadísticas, boletín, registros, copias de seguridad.
2. Revise qué envía su sitio a otros terceros al cargarse (el ejercicio de esta lección).
3. Elimine lo que no sea necesario; sustituya lo que pueda hacerse de forma más respetuosa con la privacidad.
4. Gestione el consentimiento para lo que quede y realmente lo necesite, con un banner que bloquee los scripts.
5. Firme contratos de encargo del tratamiento y redacte (o reescriba) su política de privacidad.
6. Revíselo cada año (lección 9.4), y después de cada nuevo plugin que trate datos.

Resumen

• Casi todos los sitios WordPress tratan datos personales: formularios, cuentas, direcciones IP, registros, copias de seguridad.
• Las cookies funcionales y las analíticas limitadas se permiten sin consentimiento; el seguimiento solo tras consentimiento, y entonces se carga.
• El contenido externo (fuentes, vídeos, mapas, captchas) envía datos a terceros; alójelo localmente o cárguelo solo tras un clic.
• En los formularios pida solo lo necesario, no conserve los envíos indefinidamente, casilla del boletín aparte y no marcada por defecto.
• Una política de privacidad conforme al artículo 13 del RGPD, localizable en cada página; contratos de encargo del tratamiento con su proveedor de alojamiento y servicios.

Cuestionario

Ejercicio

Ejercicio A9.3: ¿Qué envía su sitio a terceros? Introduzca la dirección de su sitio. El programa carga la página de inicio como lo haría un nuevo visitante sin cookies y sin consentimiento, y ofrece un resumen: qué cookies coloca el servidor de inmediato (solo los nombres), y de qué otros dominios carga la página scripts, fuentes, iframes o imágenes. Los servicios conocidos de estadísticas, publicidad, redes sociales, fuentes y vídeo se señalan por su nombre (en naranja: «compruebe si esto se carga solo tras obtener consentimiento, o sustitúyalo»). Además, comprueba si en la página de inicio hay un enlace a una política de privacidad.

Ejercicio D9.3: Su lista de tratamientos y su política de privacidad. Elabore una lista de todos los tratamientos de su sitio (formularios, cuentas, pedidos, comentarios, estadísticas, boletín, registros, copias de seguridad) con, para cada tratamiento: qué datos, para qué, base legal, dónde se almacenan, durante cuánto tiempo, y qué encargado del tratamiento interviene. Compare esa lista con su política de privacidad y marque lo que ya figura en ella. Anote qué añade o elimina, y qué servicios externos del ejercicio A9.3 sustituye o coloca tras el consentimiento.

Para saber más

Estos artículos tratan sobre WebOké; la explicación para su propio sitio la encontrará en la autoridad de protección de datos de su país.

• Cookies en WebOké: consultar o modificar su elección
• Cookies (Autoridad de Protección de Datos de los Países Bajos): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Cookies y su organización: cuide de una buena política (Autoridad de Protección de Datos de los Países Bajos): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/cookies-en-uw-organisatie-zorg-voor-een-goed-beleid
• Banners de cookies claros (Autoridad de Protección de Datos de los Países Bajos): https://www.autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/heldere-cookiebanners
• Derecho a la información (Autoridad de Protección de Datos de los Países Bajos): https://www.autoriteitpersoonsgegevens.nl/themas/basis-avg/privacyrechten-avg/recht-op-informatie
• Brechas de seguridad (Autoridad de Protección de Datos de los Países Bajos): https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken
• Privacidad en WordPress (wordpress.org, en inglés): https://wordpress.org/documentation/article/settings-privacy-screen/