Política de privacidad: la lista de servicios, al día

Qué exige el RGPD

Cuando obtienes datos personales de una persona, el artículo 13, apartado 1, del RGPD enumera lo que tienes que comunicarle en ese momento. La letra e) son «los destinatarios o las categorías de destinatarios de los datos personales, en su caso». Según el artículo 4, punto 9, un destinatario es una persona, autoridad, servicio u otro organismo al que se comuniquen datos personales, se trate o no de un tercero. La letra f) añade, en su caso, información sobre una transferencia a un tercer país. El artículo 12, apartado 1, exige que esta información se facilite en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo.

El RGPD admite categorías de destinatarios. Si en tu caso basta una categoría como «proveedores de análisis» o si conviene nombrar cada servicio es una cuestión jurídica que esta guía no resuelve. Si tu política de privacidad nombra servicios concretos, esa lista tiene que coincidir con el sitio web.

Por qué la lista se desvía

El sitio web cambia más a menudo que la política de privacidad. Un plugin nuevo, un tema nuevo, un vídeo en una entrada del blog, el cambio a otra herramienta de boletín: cada una de estas cosas puede añadir o quitar un destinatario. A menudo varias personas trabajan en un mismo sitio web, y cada cambio parece pequeño. Nadie actualiza la política, porque el cambio no parecía un asunto de protección de datos. Al cabo de un año, la política puede describir un sitio web que ya no existe.

Fallos típicos

• Un plugin o un tema carga una fuente, un mapa o un script desde un servidor externo, y nadie se ha dado cuenta.
• Un gestor de etiquetas añade una herramienta nueva sin ningún cambio en el código del sitio web.
• Un redactor inserta un vídeo o una publicación de redes sociales en un solo artículo.
• Una herramienta se quitó hace meses, pero la política la sigue nombrando.
• Cambiaste de proveedor, por ejemplo para el boletín o el chat, y la política sigue nombrando al anterior.
• Una plantilla o un generador de textos añadió servicios que tu sitio web nunca ha usado.

Cómo elaborar la lista real

1. 1Comprueba qué carga el sitio web: abre las páginas principales en una ventana privada con las herramientas para desarrolladores de tu navegador, o usa un análisis. Anota cada servidor externo y el servicio que hay detrás.
2. 2Comprueba qué está instalado: los plugins y extensiones de tu sistema de gestión de contenidos, las etiquetas de tu gestor de etiquetas y los contenidos insertados.
3. 3Comprueba quién más recibe datos: revisa los contratos y las facturas de tus prestadores de servicios, también los de aquellos que nunca aparecen en el sitio web.
4. 4Compara esta lista con la política de privacidad, servicio por servicio: ¿aparece nombrado, con la empresa correcta, la finalidad y, cuando proceda, la transferencia a un tercer país?
5. 5Compárala también con tu banner de consentimiento. El banner tiene su propia lista de servicios, y debería describir la misma realidad.

El banner de consentimiento es una segunda lista

Para almacenar información en el dispositivo del visitante o acceder a ella, por ejemplo mediante cookies, el § 25 TDDDG exige en Alemania un consentimiento basado en información clara y completa. En Polonia, el artículo 399 de la Ley de comunicaciones electrónicas exige que primero se informe al usuario, entre otras cosas sobre la finalidad, y que después este dé su consentimiento. Ambas disposiciones prevén excepciones para lo estrictamente necesario o lo necesario para un servicio solicitado. Si falta un servicio en el banner, el visitante no puede decidir sobre él. Si un servicio retirado sigue en la lista, el banner describe algo que no ocurre.

Una rutina de revisión

Anota brevemente cada revisión: la fecha, las páginas que comprobaste, lo que encontraste y lo que cambiaste en la política o en el banner. Así podrás ver más tarde qué se comprobó y cuándo. Designa a una persona responsable de la revisión, para que no dependa del azar. Es un hábito que te sugerimos, no una norma de la ley.

Cómo usar Do4U

La Comprobación de la política de privacidad compara tu política de privacidad con tu sitio web. Introduces la página de inicio, si quieres algunas páginas más del mismo sitio web, y la dirección o el texto de tu política de privacidad. Do4U lee las páginas y encuentra los servicios de terceros que cargan. La IA de Do4U lee la política de privacidad y enumera cada servicio y cada destinatario que nombra, cada uno con una cita. El código comprueba que cada cita figura palabra por palabra en la política y hace él mismo la comparación. Obtienes tres listas: insertado pero no nombrado, nombrado pero no encontrado, y encontrado y nombrado. La comprobación es estática: no ejecuta JavaScript y solo lee las páginas que introduces.

Do4U encuentra indicios; tú compruebas y decides. «Nombrado pero no encontrado» puede significar que un servicio se carga más tarde, en otras páginas o fuera del sitio web. El resultado no dice si tu política de privacidad es completa o correcta.