El RGPD en el formulario de contacto: los puntos que importan en la práctica

Todo formulario de contacto trata datos personales: un nombre, una dirección de correo electrónico, a menudo un número de teléfono y un mensaje de texto libre que puede contener casi cualquier cosa. El RGPD no prohíbe nada de esto, pero establece algunas expectativas: para el propio formulario, para lo que se carga a su alrededor y para lo que ocurre después con el mensaje.

En el formulario: informe y pida pocos datos

El artículo 13 del RGPD exige informar a las personas en el momento en que se recopilan sus datos. En un formulario de contacto, eso significa hacerlo junto al formulario, no solo mediante un enlace en el pie de página mucho más abajo. El enfoque habitual tiene varias capas: una frase breve junto al botón de envío, como «Usamos sus datos únicamente para responder a su consulta; más información en nuestra política de privacidad», con un enlace a esa política. La política detalla después toda la información.

El segundo principio es la minimización de datos (artículo 5(1)(c)). Para responder, normalmente se necesita una vía de respuesta y el propio mensaje. Un nombre ayuda, un número de teléfono a veces es útil y una dirección postal rara vez lo es. Omita lo que no necesite y marque como opcionales los campos que solo resultan convenientes. Imagine un consultorio dental cuyo formulario hace obligatorio el número de teléfono: a todas las personas que prefieren el correo electrónico se les obliga a entregar más datos de los que requiere la finalidad.

Responder a una solicitud normalmente no requiere una casilla de consentimiento

Muchos formularios incluyen una casilla obligatoria que dice «Consiento el tratamiento de mis datos». Parece una precaución, pero normalmente no es la herramienta adecuada. Cuando alguien hace una pregunta o solicita una cotización, la base jurídica suele ser el artículo 6(1)(b) —medidas adoptadas a petición de la persona antes de celebrar un contrato— o el artículo 6(1)(f), su interés legítimo en responder. El consentimiento trae obligaciones propias: debe otorgarse libremente y puede retirarse en cualquier momento. Las categorías especiales de datos son distintas: si un formulario pide información de salud, por ejemplo en un consultorio médico o dental, se aplica el Art. 9 del RGPD y la base jurídica requiere una revisión independiente.
El marketing es diferente. Un boletín necesita un consentimiento auténtico: una casilla separada y desmarcada de forma predeterminada —el considerando 32 indica que las casillas premarcadas no cuentan—, y el formulario debe funcionar sin ella.

Qué más se carga en la página del formulario

Los campos rara vez están solos en la página. Un CAPTCHA de un proveedor externo, un píxel publicitario o de analítica o una herramienta de reproducción de sesiones pueden ejecutarse mientras alguien escribe. Cada uno puede enviar datos —al menos la dirección IP— a un tercero, y almacenar o leer información en el dispositivo generalmente requiere consentimiento conforme a las normas de ePrivacy tal como se aplican a nivel nacional, tanto en Alemania y Polonia como en otros países, salvo que sea estrictamente necesario. La reproducción de sesiones es lo más delicado: sin enmascaramiento, puede registrar lo que escribe una persona antes incluso de que haga clic en Enviar.
Aquí el banner de consentimiento debe cumplir su función: después de «Rechazar», los píxeles deben permanecer inactivos. Se debate si un CAPTCHA de terceros es estrictamente necesario. Si solo se carga tras el consentimiento, ofrezca a quienes lo rechazaron otra forma de comunicarse con usted, como una dirección de correo electrónico simple. La protección sin terceros —un campo trampa, una verificación de tiempo o un desafío de prueba de trabajo— evita por completo esa cuestión.

• Abra la página del formulario en una ventana privada, rechace el banner y revise la pestaña de red de las herramientas de desarrollador: ¿qué solicitudes externas siguen saliendo?
• Busque píxeles publicitarios y de analítica en la página del formulario y en la página de agradecimiento que aparece después del envío.
• Si usa reproducción de sesiones, asegúrese de que los campos del formulario estén enmascarados o de que se excluyan las páginas de formularios.
• Anote qué proveedor de CAPTCHA se carga y cuándo: antes o después del consentimiento.
• Nombre a cada tercero que siga presente y su finalidad en su política de privacidad.

Adónde van los mensajes y cuánto tiempo permanecen

Todo servicio que maneja los mensajes por cuenta de usted —alojamiento, proveedor de correo, un SaaS de formularios al que se envían los datos, un servicio de asistencia o un CRM— es un encargado del tratamiento conforme al artículo 28 del RGPD. Necesita un acuerdo de tratamiento de datos (ATD) con cada uno; la mayoría de los proveedores ofrece uno estándar. Si los datos se tratan fuera de la UE/EEE, la transferencia también necesita una base conforme al capítulo V, como una decisión de adecuación —por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. para empresas certificadas— o cláusulas contractuales tipo.

Las consultas no deben conservarse para siempre. Conforme al principio de limitación del plazo de conservación (artículo 5(1)(e)), usted establece un plazo y efectivamente elimina los datos, incluidas las copias en buzones, bases de datos de plugins y el CRM. Si una consulta se convierte en una relación comercial, las normas comerciales y fiscales —que existen tanto en Alemania como en Polonia— pueden exigir conservar parte de la correspondencia durante años; en ese caso, esa obligación determina el plazo. Por último, la seguridad: el artículo 32 menciona el cifrado como ejemplo de medida adecuada. Un formulario servido sin HTTPS o con un certificado vencido envía datos personales sin protección.

El escáner de formexposed revisa varios de estos puntos desde el exterior: un enlace a la política de privacidad junto al formulario, si rechazar el banner de cookies realmente detiene el seguimiento, los píxeles y las herramientas de reproducción de sesiones en las páginas de formularios, y si la dirección del destinatario es visible en el código fuente de la página. No envía nada. Una verificación gratuita sin cuenta proporciona el nivel general y los hallazgos de protección principales; los detalles del RGPD están en el informe completo.