RGPD en el formulario de contacto: los puntos que importan en la práctica

Todo formulario de contacto trata datos personales: un nombre, una dirección de correo electrónico, a menudo un número de teléfono y un mensaje de texto libre que puede contener casi cualquier cosa. El RGPD no prohíbe nada de eso, pero establece algunas expectativas: para el propio formulario, para lo que se carga a su alrededor y para lo que ocurre después con el mensaje.

En el formulario: informar y pedir poco

El artículo 13 del RGPD le obliga a informar a las personas en el momento en que recoge sus datos. En un formulario de contacto, eso significa en el formulario, no solo mediante un enlace en el pie de página muy abajo. El enfoque habitual es por capas: una frase breve junto al botón de envío, como «Utilizamos sus datos únicamente para responder a su consulta; más información en nuestra política de privacidad», con un enlace a la política. La política recoge después todos los detalles.

El segundo principio es la minimización de datos (artículo 5(1)(c)). Para responder, normalmente necesita una forma de contestar y el propio mensaje. Un nombre ayuda, un número de teléfono a veces es útil, una dirección postal rara vez. Omita lo que no necesite y marque como opcionales los campos que son un simple extra. Imagine una clínica dental cuyo formulario hace obligatorio el número de teléfono: todos los que prefieren el correo electrónico se ven obligados a facilitar más de lo que exige la finalidad.

Responder a una consulta normalmente no requiere una casilla de consentimiento

Muchos formularios llevan una casilla obligatoria que dice «Consiento el tratamiento de mis datos». Parece cuidadoso, pero normalmente es la herramienta equivocada. Cuando alguien hace una pregunta o solicita un presupuesto, la base jurídica suele ser el artículo 6(1)(b) (medidas precontractuales adoptadas a petición del interesado) o el artículo 6(1)(f), su interés legítimo en responder. El consentimiento conlleva obligaciones propias: debe darse libremente y puede retirarse en cualquier momento. Las categorías especiales de datos son distintas: si un formulario pide información sobre la salud, por ejemplo en una consulta médica o dental, se aplica el Art. 9 RGPD y la base jurídica requiere un examen aparte.
El marketing es otra cosa. Un boletín requiere un consentimiento auténtico: una casilla aparte, sin marcar por defecto (el considerando 32 establece que las casillas premarcadas no cuentan), y el formulario debe funcionar sin ella.

Qué más se carga en la página del formulario

Los campos rara vez están solos en la página. Un CAPTCHA de un proveedor externo, un píxel publicitario o de analítica o una herramienta de grabación de sesiones pueden estar funcionando mientras alguien escribe. Cada uno puede enviar datos (al menos la dirección IP) a un tercero, y almacenar o leer información en el dispositivo requiere en general consentimiento con arreglo a las normas de privacidad electrónica tal como se han transpuesto en cada país, en Alemania y Polonia como en otros lugares, salvo que sea estrictamente necesario. La grabación de sesiones es lo más delicado: sin enmascaramiento, puede registrar lo que la gente escribe incluso antes de hacer clic en Enviar.
Aquí es donde el banner de consentimiento tiene que cumplir: tras «Rechazar», los píxeles deben permanecer en silencio. Si un CAPTCHA de terceros es estrictamente necesario es objeto de debate. Si solo se carga tras el consentimiento, ofrezca a quienes lo rechazaron otra forma de contactarle, como una simple dirección de correo electrónico. La protección sin terceros (un campo honeypot, una comprobación de tiempo, un desafío de prueba de trabajo) evita la cuestión por completo.

• Abra la página del formulario en una ventana privada, rechace el banner y revise la pestaña de red en las herramientas de desarrollo: ¿qué solicitudes externas siguen saliendo?
• Busque píxeles publicitarios y de analítica en la página del formulario y en la página de agradecimiento tras el envío.
• Si utiliza la grabación de sesiones, asegúrese de que los campos del formulario están enmascarados o de que las páginas de formularios están excluidas.
• Anote qué proveedor de CAPTCHA se carga y cuándo: antes o después del consentimiento.
• Mencione en su política de privacidad a todos los terceros restantes, con su finalidad.

Adónde van los mensajes y cuánto tiempo se quedan

Todo servicio que gestiona los mensajes por cuenta de usted (alojamiento, proveedor de correo, un SaaS de formularios al que envía el formulario, un servicio de asistencia o un CRM) es un encargado del tratamiento con arreglo al artículo 28 del RGPD. Necesita un contrato de encargo del tratamiento con cada uno de ellos; la mayoría de los proveedores ofrecen uno estándar. Si los datos se tratan fuera de la UE/EEE, la transferencia necesita además una base con arreglo al capítulo V, como una decisión de adecuación (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. para empresas certificadas) o cláusulas contractuales tipo.

Las consultas no deberían conservarse para siempre. Con arreglo al principio de limitación del plazo de conservación (artículo 5(1)(e)), usted fija un plazo de conservación y suprime realmente los datos, incluidas las copias en buzones, bases de datos de plugins y el CRM. Si una consulta se convierte en una relación comercial, las normas mercantiles y fiscales (Alemania y Polonia las tienen) pueden exigir conservar parte de la correspondencia durante años; en ese caso, esa obligación marca el plazo. Por último, la seguridad: el artículo 32 cita el cifrado como ejemplo de medida apropiada. Un formulario servido sin HTTPS o con un certificado caducado envía datos personales sin protección.

El escáner de formexposed examina varios de estos puntos desde fuera: un enlace a la política de privacidad en el formulario, si rechazar el banner de cookies detiene realmente el seguimiento, píxeles y herramientas de grabación de sesiones en las páginas de formularios, y si la dirección del destinatario es visible en el código fuente de la página. No envía nada. Una comprobación gratuita sin cuenta le ofrece el nivel global y los hallazgos esenciales sobre la protección; los detalles de RGPD figuran en el informe completo.