Introducción
Si tu sitio web recoge de algún modo datos de visitantes de la UE, lo más probable es que hayas oído el término gestión del consentimiento del GDPR más de una vez. Pero ¿a qué se refiere exactamente y por qué importa tanto para tu negocio? En resumen, la definición de gestión del consentimiento del GDPR se ocupa del consentimiento de los usuarios para recoger y tratar sus datos personales, y de su administración.
Muchas empresas tienden a creer que instalar un banner de cookies de cualquier tipo basta para cumplir todos los requisitos de cumplimiento en materia de cookies y las obligaciones legales, pero en realidad se trata solo de una parte mínima del proceso. De hecho, los banners de cookies forman parte de un sistema más amplio que se encarga de todos los requisitos legales relativos a las cookies, la recogida de datos y el consentimiento del usuario. Y si no dispones de las herramientas adecuadas para gestionar el consentimiento de los usuarios, expones a tu empresa a multas cuantiosas o a una pérdida de credibilidad.
Este blog pretende ofrecer un recorrido por el tema de la gestión del consentimiento del GDPR: desde lo mínimo imprescindible para mantenerte del lado correcto de la ley hasta un análisis en profundidad de las herramientas que quizá quieras considerar. Los blogueros pequeños, las grandes empresas SaaS y todos los que están en medio pueden beneficiarse de leer este artículo sobre la gestión del consentimiento de los usuarios. Al terminar esta entrada, sabrás con precisión qué hay que hacer para poner tu sitio web a la altura de los estándares actuales y qué exige específicamente el GDPR a las empresas que operan en la web. También proporcionaremos ejemplos para que nuestros lectores puedan aplicar en la vida real lo que aprendan.
Seis reglas esenciales del consentimiento del GDPR
Antes de poder controlar el consentimiento, necesitarás conocer las reglas básicas que el GDPR establece para recogerlo. Una buena gestión del consentimiento del GDPR solo es posible cuando se cumplen todas ellas, ya que basta un solo error para que el consentimiento recogido no sea legítimo ante la ley.
Y estas son las seis reglas que toda empresa debe seguir:
| Regla | Qué significa |
|---|---|
| Libre de cargas | No se debe coaccionar ni persuadir a los usuarios para que consientan |
| Específico | El consentimiento debe solicitarse para una finalidad definida y no debe agruparse con otros consentimientos |
| Informado | El usuario debe conocer la naturaleza de los datos que se recogen y la finalidad para la que se van a utilizar |
| Inequívoco | El consentimiento debe expresarse mediante un acto afirmativo, como marcar una casilla, y no mediante la ausencia de acción |
| Fácil de retirar | Retirar el consentimiento debe ser tan sencillo como darlo |
| Documentado | La fecha y la forma del consentimiento deben quedar registradas por la empresa que lo solicita |
Al integrar estas seis reglas en tu práctica del consentimiento, podrás garantizar un cumplimiento pleno y construir una estrategia eficaz en la que tus usuarios se sientan escuchados y respetados. Sin embargo, un solo error en una sola regla puede invalidar toda tu práctica del consentimiento ante la ley, por muy bien desarrollado que esté el resto del diseño de tu sitio web.
Una forma de evitar estos escollos es revisar y actualizar periódicamente este conjunto de reglas, ya que la práctica legislativa y la interpretación de la ley cambian constantemente. Hace unos años, algo que cumplía plenamente los requisitos del GDPR habría bastado, pero hoy ya no resulta aceptable.
Otra forma de evitar cualquier problema inesperado es formar no solo al departamento jurídico de tu empresa, sino también a otros departamentos, como marketing y atención al cliente, en los fundamentos de las reglas del consentimiento y su importancia.
¿Cuáles son los 7 requisitos principales del GDPR?
El GDPR se basa en varios principios clave que definen las reglas del tratamiento de datos personales. Estos principios ayudan a crear una estrategia de consentimiento integral, ya que ponen de relieve los objetivos que no pueden alcanzarse sin un sistema de consentimientos correctamente construido.
Los siete principios clave son los siguientes:
- Licitud, lealtad y transparencia exige un tratamiento honesto de los datos.
- Limitación de la finalidad los datos solo deben tratarse para los objetivos definidos inicialmente.
- Minimización de datos los conjuntos de datos no deben incluir datos irrelevantes.
- Exactitud los datos deben ser siempre pertinentes y estar actualizados.
- Limitación del plazo de conservación los datos solo deben estar disponibles cuando sea necesario.
- Integridad y confidencialidad los datos deben protegerse con medidas adecuadas.
- Responsabilidad proactiva: la organización que trata los datos debe poder demostrar su cumplimiento.
Una herramienta de gestión del consentimiento conforme al GDPR ayuda a una organización a cumplir cada uno de los requisitos. En la mayoría de los casos, una sola herramienta permite alcanzar varios objetivos, ya que está construida en torno a las reglas generales del tratamiento de datos. Por ejemplo, un sistema de gestión del consentimiento bien construido ayuda a mantener la responsabilidad proactiva, la transparencia y la limitación de la finalidad. Al mismo tiempo, ofrecer a los usuarios la opción de retirar su consentimiento contribuye al principio de limitación de la finalidad y de minimización de datos.
Al implantar un sistema que ayude a cumplir cada uno de los requisitos, las empresas suelen centrarse demasiado en los objetivos en sí y pasan por alto un detalle crítico: estos principios deben usarse como una brújula. Las nuevas funcionalidades, herramientas y servicios de terceros que impliquen datos personales de cualquier forma deben evaluarse a la luz de los principios existentes. Una empresa debería preguntarse si una innovación concreta encaja o no con los objetivos existentes relacionados con el GDPR, en lugar de esperar a que los usuarios se opongan a sus prácticas de tratamiento.
Además, un empleado que trabaja directamente con datos personales debe conocer los principios lo suficientemente bien como para poder dar forma a la estrategia de GDPR de la empresa. De este modo, las reglas se convertirían en parte integral de las operaciones diarias y contribuirían a construir mejores prácticas de tratamiento de datos en general. En muchos sentidos, los principios actúan como un factor motivador para las organizaciones que están genuinamente interesadas en crear sistemas pensados desde la privacidad del usuario.
¿Cuáles son las bases jurídicas para tratar datos conforme al GDPR?
El consentimiento no es la única base jurídica para el tratamiento de datos personales conforme al GDPR, aunque sí es la más habitual en las actividades de marketing y las cookies. Conocer las demás bases jurídicas puede ayudarte a aplicar las medidas adecuadas a situaciones concretas, en lugar de depender únicamente de casillas de consentimiento.
El GDPR permite y reconoce seis bases jurídicas:
| Base jurídica | Ejemplo de uso |
|---|---|
| Consentimiento | Marketing por correo electrónico, cookies no esenciales |
| Contrato | Tratamiento de un pago para la ejecución de un contrato |
| Obligación legal | Tratamientos relacionados con obligaciones fiscales |
| Intereses vitales | Tratamiento de información médica (casos de salvamento) |
| Misión de interés público | Operaciones de tratamiento para funciones gubernamentales |
| Intereses legítimos | Prevención del fraude o de la seguridad (alcance limitado) |
La mayoría de las empresas y servicios basados en internet tienen que operar principalmente sobre la primera base jurídica, razón por la cual la gestión del consentimiento del GDPR resulta de importancia vital. Las cookies específicas de marketing, las herramientas de analítica y de personalización requieren consentimiento explícito para instalarse en el dispositivo del usuario final. Ten en cuenta que a veces puede usarse el interés legítimo en lugar del consentimiento, pero exige niveles más altos de documentación y transparencia. Las organizaciones deberían evitar usar esta base cuando el consentimiento sea una alternativa viable, para evitar el riesgo de desconfianza de los usuarios y de intervención de los reguladores.
Al elegir entre las posibles bases jurídicas para tu organización, es esencial no cometer el error de seleccionar la que se aplicaría de forma universal. De lo contrario, si los reguladores determinan que el interés legítimo se está usando de forma inadecuada, las consecuencias pueden ser graves para las empresas, así como para la base de usuarios de la que dependen.
¿Cómo puedes obtener el consentimiento del GDPR?
Obtener un consentimiento válido es la piedra angular de la gestión del consentimiento del GDPR, que debe ser fácil de usar y transparente para evitar cualquier malentendido entre el proveedor del servicio y el cliente.
A continuación se detallan los pasos esenciales para recoger el consentimiento del usuario en un sitio web:
- Mostrar un banner con información sobre la recogida de datos: el usuario debe saber exactamente qué datos se recogen y con qué finalidad.
- Dar al usuario la opción de aceptar o rechazar: la configuración por defecto debe ser «no aceptado».
- No usar un lenguaje ambiguo: el usuario debe poder entender el texto sin explicaciones adicionales.
- Hacer que cada finalidad sea independiente: si el usuario quiere aceptar cookies con fines de marketing, funcionales y analíticos, debe poder hacerlo sin aceptarlas todas a la vez.
- Almacenar la información necesaria: el sitio web debe poder mostrar la fecha y la hora del consentimiento, la versión de la política y la elección del usuario.
- Ofrecer una forma sencilla de retirar el consentimiento: el usuario debe poder deshacer su decisión con un solo clic.
Tras implementar estos pasos, el sitio web podrá ofrecer una solución de gestión del consentimiento acorde con el GDPR y fácil de entender para los usuarios. Además, es crucial tener en cuenta que el usuario debe dar su consentimiento cada vez que haya un cambio en el sitio, como un nuevo complemento de terceros.
Asimismo, algunas empresas ofrecen la opción de traducir el banner de la política de cookies al idioma local del usuario, mejorando así la experiencia de usuario (UX). Por último, puede resultar útil probar el sitio web desde la perspectiva del usuario, recorrer el proceso de dar o retirar el consentimiento, comprobar cómo se comporta el sitio tras rechazar las cookies y asegurarse de que todos los elementos de seguimiento están desactivados.
¿Cómo pueden las empresas SaaS, las agencias y las apps gestionar el consentimiento del GDPR?
Los distintos tipos de empresas tienen requisitos distintos para la gestión del consentimiento. Un sitio web y un SaaS no son lo mismo en cuanto a soluciones de gestión del consentimiento.
En los productos de software como servicio, las soluciones de gestión del consentimiento del GDPR deben estar integradas en el propio producto. Esto significa que la interfaz para gestionar el consentimiento tiene que estar en el producto y no solo en el sitio web. Además, en este tipo de proyectos es vital contar con una solución de gestión del consentimiento para todos los clientes, y los datos de cada cuenta deben estar separados.
En el caso de las agencias, el requisito está relacionado con el trabajo con varios sitios web y con la tarea de gestionar sus consentimientos. La mejor solución para estas agencias sería un panel agregado para todos los sitios web y la gestión de banners. Esto les ayudará a actualizar los banners y a revisar los consentimientos con mayor facilidad. En otros tipos de negocio, los requisitos están relacionados con la prestación de servicios a través de aplicaciones móviles. La gestión del consentimiento dentro de las apps es la más compleja, ya que las aplicaciones móviles suelen requerir permisos adicionales más allá del sitio web, como facilitar a la app los datos de ubicación del usuario. Las reglas de gestión del consentimiento en las apps deben ser las mismas que en los sitios web. A medida que crece la popularidad de las aplicaciones móviles, aumenta también la importancia de gestionar el consentimiento en dispositivos móviles, y las autoridades reguladoras están ahora centradas en esta cuestión.
Sin embargo, pese a la diferencia de requisitos, existen similitudes entre las necesidades de las agencias, el SaaS y las apps móviles. Estas similitudes giran en torno al tema de la visibilidad. Para estos tipos de negocio, el aspecto más crítico de la gestión del consentimiento es la capacidad de tener una visión de conjunto de los consentimientos y de su estado. Esta visión es vital para los tres tipos de organización, ya que les permite responder a cualquier pregunta o requerimiento de usuarios y reguladores de forma ágil y eficiente.
Encontrar la mejor solución de gestión del consentimiento del GDPR
Con tantas herramientas disponibles, puede ser difícil saber cuál es la adecuada para ti. Céntrate en las funciones imprescindibles: algo que te ayude a cumplir la normativa y que, además, sea fácil de manejar.
| Función que buscar | Por qué importa |
|---|---|
| Banners personalizables | Encajan con tu marca sin dejar de cumplir la normativa |
| Soporte multiidioma | Ayuda a atender con equidad a audiencias internacionales |
| Registros y evidencias de consentimiento | Aportan pruebas en auditorías y disputas |
| Bloqueo automático de scripts | Detienen los rastreadores hasta que se da el consentimiento |
| Actualizaciones de cumplimiento periódicas | Siguen el ritmo de las reglas cambiantes del GDPR |
| Integraciones sencillas | Funcionan sin fricción con tu sitio web o aplicación actuales |
La herramienta adecuada también debe crecer contigo: puedes empezar usándola para un sitio web, pero si amplías tu servicio a más sitios o usas más herramientas, querrás asegurarte de que la herramienta escala contigo. Esto puede ahorrarte quebraderos de cabeza técnicos y legales a medida que avanzas.
ConsentX entiende que quieres algo sencillo y eficaz para gestionar varios clientes, sitios web y aplicaciones, a la vez que te ofrece la posibilidad de personalizar los banners para tus propios casos de uso.
Aunque las demos pueden ser útiles, te recomendamos que solicites una prueba para que compruebes de primera mano lo fácil que puede resultar para tu sitio web algo como la visualización del banner personalizable en ConsentX, veas la rapidez con la que bloquea scripts y sepas qué aspecto tendrían tus informes y registros.
Conclusión
La gestión del consentimiento del GDPR ha dejado de ser una práctica opcional para cualquier empresa que recoja y trate datos de usuarios. Todo, desde las seis reglas básicas hasta los siete puntos, es necesario para ganarte la confianza de tu audiencia.
Tu sitio web, tu aplicación web o tu práctica de gestión en agencia se beneficiarán notablemente de una herramienta bien configurada para gestionar los consentimientos. Así no se desperdiciará ni un céntimo en posibles infracciones y demostrarás a tus clientes que respetas su privacidad. Y todo esto es necesario para la confianza y una buena reputación. La elección correcta de instrumentos para el cumplimiento del GDPR te permitirá dedicar mucho menos tiempo a la gestión directa de los consentimientos.
Prueba Consentx hoy y haz que la gestión del consentimiento del GDPR sea sencilla.
Preguntas frecuentes
¿Qué es la gestión del consentimiento del GDPR?
Se refiere a los procedimientos para solicitar permiso a los usuarios para recoger y utilizar su información y al almacenamiento de esta información con registros claros del consentimiento de un usuario que otorga su permiso.
¿Por qué es importante la gestión del consentimiento del GDPR para las empresas?
Protege a la empresa de desaparecer por sanciones y multas legales, ya que garantiza el cumplimiento de las leyes establecidas, y refuerza la confianza entre los usuarios, puesto que estos otorgan su permiso voluntariamente y sin ninguna forma de coacción.
¿Cuáles son los requisitos de la gestión del consentimiento del GDPR?
El consentimiento otorgado por el usuario debe ser libre, y su retirada debe ser tan sencilla como darlo. Este consentimiento debe ser específico y, si hay varios consentimientos, cada uno debe estar especificado y ser fácilmente identificable.
¿Cuáles son las buenas prácticas para la gestión del consentimiento del GDPR?
Las buenas prácticas incluyen disponer de un banner informativo, el rechazo del consentimiento por finalidad, evitar cualquier selección por defecto y conservar los registros de todos los consentimientos otorgados. También debería enviarse un recordatorio con un nuevo banner de consentimiento cuando se produzcan cambios en las prácticas de tratamiento de datos.
¿Qué herramienta deberías usar para la gestión del consentimiento del GDPR?
La herramienta ideal debe tener opción de personalización, un banner de cookies fácil de leer, soporte para varios idiomas y una función de bloqueo de scripts. También debe contar con pistas de auditoría para los registros de consentimiento. Puede usarse una herramienta como ConsentX.