Formulario de contacto y RGPD: casilla y texto correctos

Tienes un formulario de contacto en tu web y quieres saber si cumple con la protección de datos: si hace falta una casilla, qué texto poner debajo y qué tienes que conservar por si algún día te lo reclaman. Vamos al grano. Un formulario conforme necesita tres cosas: informar antes de enviar, tener una prueba de que la persona aceptó y tratar esos datos solo para lo que dijiste. En esta guía tienes cada pieza explicada y, al final, una plantilla de texto lista para copiar y adaptar a tu negocio.

Qué necesita un formulario: información previa, casilla y prueba

Antes de discutir casillas, entiende las tres obligaciones de fondo, porque de ahí sale todo lo demás:

Información previa: la persona tiene que poder saber, antes de darle a enviar, quién eres, para qué vas a usar sus datos y cómo ejercer sus derechos. Esto es obligatorio siempre, con casilla o sin ella.
Base legal: necesitas un motivo válido para tratar esos datos. En un formulario de contacto suele ser tu interés legítimo en responder a quien te escribe, o el propio consentimiento de la persona. Aquí es donde la casilla entra o no en juego.
Prueba: tienes que poder demostrar que informaste y, cuando corresponda, que la persona aceptó. Si no puedes probarlo, a efectos prácticos es como si no hubiera pasado.

Con estas tres ideas claras, las decisiones concretas caen solas. Este formulario es solo una pieza de tus obligaciones generales; si quieres el mapa completo, tienes la guía de obligaciones de RGPD para una web pequeña.

La casilla de aceptación: cuándo hace falta y cuándo sobra

La pregunta del millón. La respuesta corta: para un formulario de contacto normal, en el que alguien te escribe una consulta y tú le respondes, no siempre hace falta una casilla de consentimiento, porque puedes ampararte en el interés legítimo de atender a quien se pone en contacto contigo. Lo que sí es obligatorio siempre es la información: el texto legal debajo del formulario con el enlace a tu política de privacidad.

Dicho esto, en la práctica muchas webs ponen una casilla de «He leído y acepto la política de privacidad». No es que legalmente sea imprescindible en todos los casos, pero deja constancia clara de que informaste, y eso ayuda con la parte de la prueba. Si la pones, respeta dos reglas:

Nunca marcada por defecto. La persona tiene que marcarla activamente. Una casilla ya marcada no vale como consentimiento.
Separada de cualquier otra cosa. Aceptar la política de privacidad es una cosa; suscribirse a tu boletín es otra distinta. No las mezcles en la misma casilla.

Donde la casilla sí pasa a ser imprescindible es cuando vas a usar los datos para algo más que responder: apuntar a la persona a una newsletter, mandarle ofertas, cederlos a un tercero. Ahí ya no basta el interés legítimo.

Cómo redactar la cláusula informativa por capas

El RGPD pide mucha información, y meterla toda debajo del botón de enviar dejaría un ladrillo ilegible. La solución que la propia Agencia Española de Protección de Datos recomienda es la información por capas: un resumen corto junto al formulario y el detalle completo en tu política de privacidad.

La primera capa (la que va debajo del formulario) debe recoger lo esencial en pocas líneas:

Responsable: quién eres (nombre o razón social).
Finalidad: para qué (responder a tu consulta).
Legitimación: la base legal (tu consentimiento o el interés legítimo).
Destinatarios: si los datos van a alguien más (por ejemplo, tu proveedor de correo o tu CRM).
Derechos: que la persona puede acceder, rectificar y suprimir sus datos, con un enlace a cómo.

La segunda capa es tu política de privacidad completa, enlazada desde ahí. Esa página tiene que existir y estar accesible: forma parte de los textos legales obligatorios de una web.

Consentimiento para la newsletter: siempre separado del envío

Este es el error que más multas se lleva. Si en tu formulario ofreces apuntarse al boletín o recibir novedades comerciales, ese consentimiento tiene que ir en una casilla propia, separada e independiente del envío del formulario. No puedes obligar a alguien a aceptar tu publicidad para poder hacerte una simple consulta.

En la práctica: una casilla para la política de privacidad (si la usas) y otra distinta, sin marcar, que diga algo como «Quiero recibir el boletín con novedades y ofertas». Quien no la marque, te escribe igual, pero no entra en tu lista. Y guardas la constancia de quién marcó esa segunda casilla, porque enviar comerciales sin consentimiento tiene sus propias reglas, que verás en cuándo puedes enviar correos comerciales según la LSSI y el RGPD.

Dónde acaban esos datos: correo, CRM y hojas de cálculo

Un formulario no guarda los datos en el aire. Cuando alguien lo envía, esa información viaja a algún sitio, y ese sitio también cuenta a efectos de protección de datos. Los destinos habituales:

Tu correo: el mensaje te llega a una bandeja de entrada. Ese proveedor de correo es un destinatario de los datos.
La base de datos de WordPress: algunos plugins de formularios guardan cada envío dentro de tu propia web. Revisa si el tuyo lo hace, porque entonces acumulas datos personales ahí sin darte cuenta.
Un CRM o una hoja de cálculo: si conectas el formulario a una herramienta externa, esos datos salen hacia ella.

Cada uno de esos sitios debería estar contemplado. Si usas herramientas de terceros, en general actúan como encargados del tratamiento y conviene tener firmado el acuerdo correspondiente. Y ojo con acumular envíos indefinidamente en la base de datos de la web: es información personal que, si te entran, se llevan de golpe. Cuantos menos datos guardes y en menos sitios, mejor.

Cuánto tiempo puedes conservar un contacto que nunca compró

No hay un número mágico en la ley, pero sí un principio claro: los datos se guardan mientras haga falta para el fin que los recogiste, y luego se borran. Para un formulario de contacto, el fin es responder a la consulta. Cuando esa consulta está atendida y cerrada, y no hay una relación posterior, el motivo para conservar esos datos se agota.

En la práctica, para una pyme esto significa:

Si la persona no se convierte en cliente, no tiene sentido guardar su mensaje para siempre. Fija un plazo razonable (por ejemplo, mientras la conversación tenga sentido) y luego elimina.
Si sí se convierte en cliente, entran en juego otros plazos (los contables y fiscales, por ejemplo), pero ya no bajo la finalidad «contacto».
Limpia periódicamente los envíos viejos, sobre todo si tu plugin los almacena en la web.

El principio a recordar: conservar por si acaso no es una finalidad válida. Esto encaja dentro del conjunto de obligaciones de protección de datos y ciberseguridad para pymes que conviene tener claras.

Plantilla de texto lista para copiar y adaptar

Este es un texto de primera capa que puedes poner debajo de tu formulario. Adáptalo sustituyendo los datos entre corchetes por los tuyos; no lo copies tal cual sin rellenar:

Responsable: [Tu nombre o razón social] - [NIF].
Finalidad: responder a tu consulta o solicitud.
Legitimación: tu consentimiento al enviar este formulario.
Destinatarios: [tu proveedor de correo / CRM, o "no se ceden
datos a terceros salvo obligación legal"].
Derechos: puedes acceder, rectificar y suprimir tus datos,
así como otros derechos, escribiendo a [tu correo].
Más información en nuestra Política de Privacidad: [enlace].

Y, si usas casilla, un texto para ella: «He leído y acepto la política de privacidad« (enlazando a la tuya real). Recuerda: sin marcar por defecto, y la de la newsletter siempre aparte.

Este texto te deja el formulario en un punto razonable, pero tu web tiene otros frentes de cumplimiento (el banner de cookies, la analítica, el aviso legal). Si quieres una foto completa y honesta de por dónde está tu web, solicita un informe gratuito y revisa todo de una vez en lugar de ir parche a parche.

Seguir leyendo en esta sección

Ver todo en RGPD y protección de datos → · Mapa completo del sitio