Cualquier empresa que recopile datos de clientes necesita una política de privacidad, incluidos los propietarios de sitios web, los propietarios de aplicaciones y todos los demás.
Tener una política de privacidad es obligatorio por ley y demuestra a los consumidores que usted es honesto sobre sus actividades de tratamiento de datos.
Para ayudar a simplificar la elaboración de una de estas políticas empresariales esenciales, he elaborado la lista de comprobación definitiva de los requisitos de la política de privacidad, que explica qué debe incluir una política de privacidad, las leyes que afectan a la misma, dónde publicarla y mucho más.
- Lista de control de la política de privacidad
- Requisitos legales de las políticas de privacidad
- Explicación de los requisitos de la política de privacidad
- Consejos para cumplir los requisitos de la política de privacidad
- Sanciones por incumplimiento de la legislación sobre política de privacidad
- Cómo Termly ayuda a su empresa a crear una política de privacidad
- Resumen
Lista de control de la política de privacidad
A continuación encontrará mi lista de comprobación de la política de privacidad, que incluye detalles sobre las cláusulas exigidas legalmente, la información que debe figurar en dichas cláusulas y las leyes de privacidad que las exigen.
| Cláusula de Confidencialidad | Tareas pendientes | Requerido por la... |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Requisitos legales de las políticas de privacidad
En la siguiente tabla, proporciono los requisitos específicos de la política de privacidad esbozados por diferentes leyes de privacidad que pueden afectar a sus negocios.
| Ley de protección de datos | Requisitos de la política de privacidad |
| 🇪🇺 Reglamento general de protección de datos (rgpd) |
|
| 🇬🇧 La Ley de Protección de Datos(Reino Unido rgpd) |
|
| 🇺🇸 Ley modificada de Derechos de Privacidad del Consumidor de California(CCPA/CPRA) |
|
| 🇺🇸 Ley de Protección de la Privacidad en Línea de California(CalOPPA) |
|
| 🇺🇸 Ley de Protección de Datos de los Consumidores de Virginia(VCDPA) |
|
| 🇺🇸 Ley de Protección de Datos de Connecticut(CTDPA) |
|
| 🇺🇸 Ley de Privacidad de Colorado(CPA) |
|
| 🇺🇸 Ley de Protección de la Privacidad Infantil en Internet(COPPA) |
|
| 🇨🇦 Ley de Protección de Datos Personales y Documentos Electrónicos(PIPEDA) |
|
| 🇦🇺 Ley australiana de protección de la intimidad de 1988 |
|
| 🇳🇿 Ley de Privacidad de Nueva Zelanda de 2020 |
|
| 🇿🇦 Ley sudafricana de Protección de Datos Personales(PoPIA) |
|
Explicación de los requisitos de la política de privacidad
A continuación, explico con más detalle qué debe incluirse en las cláusulas obligatorias que proporcioné en la lista de comprobación de la política de privacidad anterior.
Recogida de datos personales
Todas las leyes de protección de datos otorgan a las personas el derecho a saber qué datos personales se recopilan o procesan sobre ellas, por lo que ésta es una de las cláusulas más importantes de su política de privacidad.
Para cumplir estas leyes, debe enumerar claramente todas las categorías de datos personales que recopila, incluida la información personal sensible, que está sujeta a directrices más estrictas en virtud de leyes como rgpd, la CCPA y la VCDPA.
Aunque la definición exacta de datos personales varía en función de la legislación que se consulte, normalmente se refiere a cualquier información que pueda relacionarse razonablemente con una persona o un hogar, directa o indirectamente.
Además de los datos que recopila, también debe declarar:
- Por qué recoge los datos, incluida su base jurídica si debe cumplir leyes como la rgpd
- Cómo recopila los datos personales: por ejemplo, puede recopilar la información voluntariamente del usuario, a través de formularios web, colocando cookies en los navegadores de los usuarios, o cuando se registran en cuentas o realizan compras, etc.
- Qué hace con los datos, como utilizarlos con fines de marketing o investigación, para mejorar la experiencia del usuario en su sitio web o para ofrecer a los consumidores anuncios dirigidos y recomendaciones de productos más específicas.
Muchas empresas incluyen esta información en tablas o listas de viñetas en su política de privacidad, con títulos que representan cada requisito legal específico, como el servicio de streaming de música Spotify, que puedes ver en la captura de pantalla siguiente.
Vender o compartir datos personales
Si comparte o vende los datos personales que recopila a terceros, debe revelarlo en su política de privacidad, tal y como exigen leyes como rgpd, la CCPA y otras.
Para cumplir la normativa, también debe enumerar todas las categorías de terceros con los que comparte información o a los que vende los datos directamente.
Para el formato, considere el uso de una tabla o una lista de viñetas, como la forma en que Spotify escribe esta cláusula en su política de privacidad, como se muestra en la siguiente captura de pantalla.
Derecho a la intimidad de los consumidores
Varias leyes de protección de datos le exigen que enumere los derechos de las personas en su política de privacidad y proporcione instrucciones para el seguimiento de esos derechos, lo que puede conseguirse redactando cláusulas específicas para las distintas leyes que se aplican a su empresa.
Por ejemplo, si usted está sujeto tanto a la VCDPA como a la CCPA modificada, elabore una cláusula que describa los derechos de los usuarios en Virginia y otra para los usuarios en California.
El minorista de productos generales Target lo hace en su política de privacidad, como se muestra en la captura de pantalla siguiente.
A continuación, consulte sus derechos como residente en Virginia.
Asegúrese de que sigue las especificaciones marcadas por todas las leyes que se aplican a su empresa, ya sea un enlace de "No Vender Ni Compartir Mis Datos" como el descrito por la CCPA o un formulario genérico de solicitud de acceso del sujeto de los datos(DSAR o SAR) como el recomendado por la rgpd.
Transferencias internacionales de datos
Puede estar sujeto a requisitos de transferencia internacional, en particular por parte de rgpd y el Reino Unido rgpd, si transfiere datos personales de usuarios que viven en un país diferente al de la sede de su empresa.
En virtud de la rgpd, si existe una decisión de adecuación, la transferencia internacional de datos desde una nación de la UE/EEE puede producirse sin otras autorizaciones o evaluaciones.
Pero si no hay ninguna decisión en vigor, como en el caso de EE.UU., debe asegurarse de que la transferencia internacional cumple todos los requisitos establecidos en los artículos 44 a 50 del capítulo 5 del Reglamento.
También debe incluir una cláusula en su política de privacidad que explique si transfiere los datos y dónde, y qué protecciones existen para garantizar que la información está debidamente protegida y que las personas pueden hacer valer sus derechos.
Vea cómo el motor de búsqueda de Internet Google escribe sobre las transferencias internacionales de datos en su política de privacidad a continuación.
Límites de conservación de datos
Leyes como rgpd, la LPRPDE canadiense y otras obligan a conservar los datos personales sólo durante el tiempo necesario en función de los fines descritos en la política de privacidad. Pero también debe describir su proceso de limitación de datos en una cláusula dentro de la política.
Si la finalidad de la recogida de datos personales no tiene un final o un límite temporal claros, explique cómo determinará cuándo ha logrado su objetivo y ya no necesita conservar la información.
Vea a continuación cómo redacta Google su cláusula de limitación de datos en su política de privacidad.
Medidas de seguridad para proteger los datos personales
Leyes de protección de datos como rgpd y la CCPA responsabilizan a las empresas si se produce una violación o filtración de información personal. Debes explicar en una cláusula de tu política de privacidad qué medidas de seguridad tienes implantadas para evitar que se produzcan este tipo de ciberdelitos o errores.
Podrías considerarlo:
- Anonimizar los datos
- Cifrar los datos
- Pseudonimización de los datos
Esta cláusula puede ser breve y dulce, pero es legalmente necesaria. A continuación, puede ver un buen ejemplo de cómo la cadena de supermercados Woolworths formula la parte de seguridad de su política de privacidad.
Actualizaciones de la política de privacidad
Desde el punto de vista legal, su política de privacidad debe estar siempre actualizada, así que incluya una cláusula que explique cuándo realizará cambios en la política, por qué pueden ser necesarios los cambios y cómo actualizará a sus usuarios.
La CCPA modificada le obliga a actualizar su política de privacidad al menos una vez cada 12 meses.
Pero muchas de estas leyes, incluidas rgpd y la VCDPA, establecen que sólo se pueden utilizar los datos personales en función de lo que se indique en la política de privacidad. Por tanto, si quieres cambiar tus actividades de recogida y tratamiento de datos, también tienes que actualizar tu política, informar a tus usuarios y, a veces, incluso volver a obtener su consentimiento.
Vea un excelente ejemplo de este tipo de cláusula de la política de privacidad de Woolworths en la siguiente captura de pantalla.
Recuerde que se trata de un documento vivo. Debe cambiar tan a menudo como lo necesite.
Sólo tiene que asegurarse de informar adecuadamente a sus consumidores en cada ocasión, fijar la fecha de "Última actualización" en su póliza e informar a sus usuarios de qué es exactamente diferente en su póliza.
Presentar denuncias
Las leyes, como rgpd, PoPIA y otras, otorgan a los particulares el derecho a presentar reclamaciones si creen que usted viola sus derechos de privacidad de datos.
Debe incluir una cláusula en su política de privacidad que explique este derecho y facilite la información de contacto adecuada en función de la legislación aplicable.
Si su empresa está sujeta a varias leyes, debería considerar la posibilidad de utilizar una cláusula independiente para cada regulador o autoridad de supervisión pertinente, de modo que sus usuarios de esos lugares puedan encontrar fácilmente la información de contacto adecuada.
Una vez más, vea cómo lo hace Woolworths en su política de privacidad, que se muestra a continuación.
A modo de comparación, así de sencillo lo hace la popular cadena de supermercados sudafricana Shoprite en su política de privacidad, resaltada en la siguiente captura de pantalla, para cumplir con la PoPIA.
Evaluaciones de impacto del tratamiento de datos (EIPD)
Cuando tenga intención de realizar determinados tipos de tratamiento que conlleven un "alto riesgo" para sus consumidores, la legislación sobre privacidad de datos, incluidas la rgpd y la CTDPA, le obligan a realizar DPIA, y debe explicar este proceso en una cláusula de su política de privacidad para mantener a sus consumidores adecuadamente informados.
Debe explicar que ha realizado una DPIA adecuada para evaluar los riesgos asociados al tratamiento e identificar las protecciones adecuadas para sus usuarios.
Tus usuarios también tienen derecho a limitar el uso que se hace de sus datos personales sensibles, así que dales una forma de hacer valer sus derechos en relación con esta información.
A continuación, vea cómo el grupo de educación superior Study.Iceland trata esta cláusula en su política de privacidad.
Información de Contacto de la Empresa
Varias leyes sobre privacidad de datos exigen que incluya información de contacto adecuada en su política de privacidad para que sus usuarios puedan presentar una queja, hacer preguntas o solicitar el seguimiento de sus derechos de acceso, modificación o eliminación de sus datos.
En virtud de la rgpd, si ha designado a un responsable de la protección de datos, también debe identificarlo y facilitar sus datos de contacto.
En virtud de leyes como la COPPA, que protege a los menores, debe incluir información de contacto correcta en su política de privacidad para que los tutores legales puedan proteger los derechos de privacidad de sus hijos.
A continuación, puede ver un ejemplo en el que los grandes almacenes Harrods incluyen sus datos de contacto en su política de privacidad.
10 consejos para cumplir los requisitos de la política de privacidad
Dado que la elaboración de una política de privacidad incluye el equilibrio entre los requisitos legales, las cláusulas necesarias y mucho más, he recopilado algunos consejos para ayudar a su empresa a cumplir simplemente la normativa.
Consejo 1: Una política de privacidad difiere de los términos y condiciones, y usted necesita ambos porque hacen cosas diferentes. Tus términos y condiciones protegen tu negocio, y ciertas cláusulas y exenciones de responsabilidad deben figurar en ellos y no en tu política de privacidad.
Consejo 2: Realice una auditoría de privacidad de su sitio web o aplicación antes de elaborar su política de privacidad para asegurarse de que conoce todos los datos que procesa y dónde se recopilan.
Consejo 3: utilice únicamente un lenguaje fácil de leer en toda la política de privacidad para que sea accesible al mayor número de personas posible, y evite la jerga jurídica y técnica.
Consejo 4: Para garantizar que sus consumidores tengan fácil acceso a las políticas legales pertinentes, incluya enlaces directos a esos otros documentos en su aviso de privacidad, incluidos sus acuerdos política de cookies y condiciones de servicio (y viceversa).
Consejo 5: ponga una política de privacidad en su sitio web aunque no recopile datos ni esté sujeto a la legislación sobre privacidad. La gente espera verla y puede pensar que su sitio no es de confianza si no la encuentra.
Consejo 6: Planifique la publicación de su política de privacidad en varios lugares, incluido el pie de página de su sitio web y en o antes de los puntos en los que se produce la recopilación de datos, como las pantallas de pago o las páginas de creación de nuevas cuentas de usuario.
Consejo 7: También debe establecer un proceso para actualizar su política de privacidad. Debes revisar este documento cada pocos meses y adaptarlo siempre que cambien tus protocolos de privacidad.
Consejo 8: Aunque puede escribir una política de privacidad por su cuenta, pruebe a utilizar un Generador de política de privacidad o comience con un sitio gratuito plantilla de política de privacidad para empezar con buen pie. Por supuesto, si utiliza un generador como el nuestro, éste hará todo el trabajo duro por usted.
Consejo 9: No mienta sobre sus actividades de tratamiento de datos ni intente soluciones engañosas, ya que se trata de una cuestión importante que debe evitar en su política de privacidad. Si te pillan, la mala prensa y las multas potencialmente elevadas por infringir la ley podrían perjudicar a tu negocio.
Consejo 10: Política de privacidad, aviso de privacidad y acuerdo de privacidad se refieren a lo mismo, así que póngale el título que quiera. Pero asegúrese de que sus consumidores tengan muy claro que se trata del documento que explica sus actividades de tratamiento de datos.
Confíe en mí, he ayudado a muchas empresas y agencias de marketing a crear políticas de privacidad, y seguir estos consejos le facilitará todo el proceso.
Sanciones por incumplimiento de la legislación sobre política de privacidad
Ya he mencionado que violar las leyes de privacidad de datos podría acarrear multas cuantiosas y mucho escrutinio público... pues bien, aquí es donde pongo mi dinero donde está mi boca.
En la tabla siguiente, lea las consecuencias económicas de infringir las leyes y normativas de protección de datos que he mencionado en la lista de comprobación de la política de privacidad.
| Ley de protección de datos | Sanciones por infringir la ley |
| Reglamento General de Protección de Datos (RGPD) |
|
| Ley de Protección de Datos(Reino Unido rgpd) |
|
| Ley modificada de Derechos de Privacidad del Consumidor de California(CCPA/CPRA) |
|
| Ley de Protección de la Privacidad en Línea de California(CalOPPA) |
|
| Ley de Protección de Datos de los Consumidores de Virginia(VCDPA) |
|
| Ley de Protección de Datos de Connecticut(CTDPA) |
|
| Ley de Privacidad de Colorado(CPA) |
|
| Ley de Protección de la Privacidad Infantil en Internet(COPPA) |
|
| Ley de Protección de Datos Personales y Documentos Electrónicos(PIPEDA) |
|
| Ley australiana de Protección de la Intimidad de 1988 |
|
| Ley de privacidad de Nueva Zelanda de 2020 |
|
| Ley sudafricana de Protección de Datos Personales(PoPIA) |
|
Dependiendo del tamaño de su empresa, el incumplimiento de estas leyes, aunque sea por accidente, puede acarrearle multas lo suficientemente cuantiosas como para hundir a su empresa.
Pero además de perder dinero, se enfrentaría a una reacción pública que podría ser tan perjudicial para su marca como una multa.
No hay más que ver estas estadísticas sobre privacidad de datos que sugieren que los clientes no temen poner fin a su relación con usted si no trata su información personal con respeto:
- El 63% de los usuarios de Internet cree que la mayoría de las empresas no son transparentes sobre el uso que hacen de sus datos, y el 48% ha dejado de comprar en una empresa por motivos de privacidad.(Tableau)
- El 33% de los usuarios han puesto fin a sus relaciones con empresas a causa de los datos. Abandonaron empresas de medios sociales, ISP, minoristas, proveedores de tarjetas de crédito y bancos o instituciones financieras.(Cisco)
Las consecuencias no merecen la pena. Consigue más clientes y evita multas y mala prensa publicando en tu plataforma una política de privacidad honesta y conforme a la normativa.
Cómo Termly ayuda a su empresa a crear una política de privacidad
A estas alturas, espero haberle convencido de lo esenciales que son las políticas de privacidad para las empresas que operan en línea.
Pero no se preocupe, no tiene por qué crear el suyo propio: Termly puede ayudarle a hacer el trabajo duro por usted si utiliza nuestro Generador de política de privacidad o una plantilla gratuita.
Termly's Generador de Política de Privacidad
Permítanme tomar un segundo para presumir de Termly's Generador de política de privacidad - es bastante genial.
Nuestro equipo la actualiza cada vez que entran en vigor nuevas normativas (o si se modifican las antiguas).
Siempre que esto ocurre, nuestros clientes reciben un correo electrónico con instrucciones por si es necesario hacer algo para garantizar el cumplimiento de la legislación pertinente sobre privacidad de datos.
Para utilizarla, sólo tienes que responder a unas sencillas preguntas sobre tu empresa y la aplicación creará una política de conformidad basada en tus respuestas y lista para publicar en tu sitio web o aplicación.
Vea una captura de pantalla a continuación.
TermlyPlantillas de política de privacidad
Además de nuestro generador, también ofrecemos un plantilla de política de privacidad que puede personalizar para adaptarlo a cualquier necesidad empresarial que se le ocurra.
Las plantillas requieren más trabajo por tu parte porque tienes que rellenar manualmente las secciones en blanco con detalles sobre tu negocio. Pero ya están formateadas para ti e incluyen cláusulas que siguen las leyes de privacidad que he tratado en esta guía.
A continuación, vea una captura de pantalla de su aspecto.
Echa un vistazo a esta enorme tabla de guías y plantillas en las que puedes basarte en función de tu sector, la plataforma que utilices o las leyes relevantes para tu negocio.
Resumen
Las políticas de privacidad son documentos esenciales que ayudan a las empresas a cumplir la legislación aplicable y a generar confianza informando a los usuarios sobre lo que se hace con sus datos personales.
Siguiendo mi lista de comprobación de la política de privacidad y los consejos proporcionados, podrá elaborar una política completa y conforme a la ley para su empresa.
Hágalo más fácil utilizando Termly's Generador de política de privacidad para tener su póliza lista en minutos.
Más sobre el autor
Escrito por James Ó Nuanáin, CIPP/E, CIPM, CIPT
James es un profesional de la privacidad de la información con más de siete años de experiencia ayudando a grandes organizaciones a cumplir sus obligaciones en virtud del RGPD y otras normativas locales sobre privacidad. Le apasiona la privacidad de los datos y la intersección entre el derecho y la tecnología. Más sobre el autor
