Una política de privacidad es un documento legalmente vinculante que informa a los afectados sobre cómo se recopilan, procesan y utilizan sus datos personales. Crea transparencia y es un elemento central del cumplimiento del RGPD para empresas de cualquier tamaño.
Las políticas de privacidad son obligatorias según los Art. 13 y 14 del RGPD para cumplir con las obligaciones de información hacia las personas afectadas. Permiten a los afectados tomar decisiones informadas sobre sus datos y son la base para el ejercicio de sus derechos como interesados.
Una política de privacidad conforme al RGPD debe contener entre otros información sobre el responsable, datos de contacto del delegado de protección de datos, finalidades del tratamiento, bases jurídicas, destinatarios de datos, duración del almacenamiento, derechos de los interesados y en caso de transferencias a terceros países las garantías correspondientes.
La política de privacidad debe ser fácilmente localizable - en sitios web habitualmente a través de un enlace en el pie de página o navegación. En aplicaciones móviles debe ser accesible antes de la instalación y dentro de la app. En la recopilación física de datos debe entregarse en el momento de la recopilación.
Una política de privacidad debe actualizarse cuando cambian los procesos de tratamiento de datos, se añaden nuevas finalidades de tratamiento, nuevos destinatarios obtienen acceso, cambian las bases jurídicas o cuando cambios legales como reformas legislativas o nueva jurisprudencia lo requieren.
Con políticas de privacidad faltantes o deficientes se arriesgan multas de hasta 20 millones de euros o el 4% de la facturación anual mundial. Además pueden seguir amonestaciones por competidores, asociaciones o afectados, así como daños reputacionales y pérdida de confianza de los clientes.
Descubra soluciones personalizadas para su empresa: Asesoramiento personalizado de nuestros expertos líderes en el sector.
Concertar citaEn las políticas de privacidad de sitios web deben presentarse de manera transparente información adicional sobre cookies, herramientas de seguimiento, servicios de análisis, plugins de redes sociales y servicios integrados de terceros. También el uso de formularios de contacto, suscripciones a newsletters y funcionalidades de tiendas online requiere información específica.
Una política de privacidad comprensible utiliza un lenguaje claro y preciso sin jerga técnica o frases jurídicas. Secciones estructuradas con títulos, destacados de puntos importantes y posiblemente elementos visuales aumentan la legibilidad. Se deben ofrecer versiones multiidioma cuando se dirijan a usuarios internacionales.
En aplicaciones móviles deben explicarse en la política de privacidad adicionalmente los accesos a datos del dispositivo como ubicación, cámara, micrófono, contactos o almacenamiento. También el uso de notificaciones push y mecanismos de seguimiento específicos de apps deben presentarse de manera transparente y justificarse.
Para sitios web o servicios internacionales deben considerarse además del RGPD también leyes locales de protección de datos como el CCPA (California), LGPD (Brasil) o PIPL (China). Esto requiere frecuentemente complementos específicos por país a la política de privacidad y banners de cookies adaptados para diferentes regiones.
Un banner de cookies conforme al RGPD debe ofrecer una opción real de elección y no puede consistir solo en un botón "Aceptar". Debe distinguir entre cookies necesarias, funcionales, estadísticas y de marketing y proporcionar información detallada sobre cada cookie utilizada. La decisión de los usuarios debe documentarse.
El consentimiento a la política de privacidad debe almacenarse con marca de tiempo, versión de la política de privacidad y tipo de consentimiento. En sitios web esto puede realizarse mediante procesos de doble opt-in, en conclusiones de contratos mediante referencias correspondientes en el proceso de pedido y en datos de empleados mediante confirmaciones firmadas de conocimiento.
La creación de una política de privacidad personalizada comienza con un inventario exhaustivo de todos los procesos de tratamiento de datos. Basándose en esto se formulan las secciones relevantes según los requisitos del RGPD. Las actividades especiales de tratamiento como actividades de marketing, cookies o servicios de terceros deben explicarse específicamente.
Las herramientas generadoras y plantillas estándar para políticas de privacidad conllevan el riesgo de que no cubran todos los procesos de tratamiento específicos de la empresa. A menudo contienen formulaciones estándar que no se ajustan al tratamiento real de datos, lo que puede llevar a información incompleta o engañosa y conlleva riesgos legales.
Un sistema de versionado para políticas de privacidad debe documentar cada versión con fecha, número de versión y un resumen de los cambios. Las versiones anteriores deben archivarse para poder demostrar cuando sea necesario qué información se proporcionó en qué momento. Esto es especialmente importante en litigios legales.
En cambios sustanciales de la política de privacidad se debe informar proactivamente a los usuarios - mediante notificaciones por email, avisos en el sitio web o en la app. En cambios especialmente sensibles puede ser necesario un nuevo consentimiento. Todos los cambios deben anunciarse al menos 30 días antes de su entrada en vigor.
Las políticas de privacidad se ven influidas continuamente por nuevas leyes, jurisprudencia y directrices de las autoridades de protección de datos. Los desarrollos actuales afectan especialmente a transferencias internacionales de datos tras Schrems II, el Reglamento ePrivacy, nuevas decisiones sobre banners de cookies así como cambios legislativos nacionales y regulaciones sectoriales específicas.
En políticas de privacidad multiidioma debe asegurarse que todas las versiones idiomáticas sean idénticas en contenido y se actualicen simultáneamente. Una versión debe marcarse como legalmente vinculante. Las particularidades locales de los sistemas jurídicos pueden requerir secciones adicionales específicas por país.
Nuestros expertos en protección de datos analizan su situación actual y ofrecen recomendaciones concretas de acción para una implementación conforme al RGPD.
Creamos y mantenemos todos los documentos relevantes como DPAs, MTOs, directrices y pruebas – legalmente seguros y actuales.
Creamos para usted DPAs legalmente seguros con todos los contenidos necesarios – individuales, completos y comprensibles.
Designe con nosotros un delegado de protección de datos certificado que supervise su empresa de manera legalmente segura y la exonere.