Tu sitio web y la LOPDP: checklist para captar datos sin riesgos
Carlos Amores
·
·
3 min de lectura
Cada formulario de contacto, cada suscripción al boletín y cada checkout de tu tienda recoge datos personales. En Ecuador eso está regulado por la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en mayo de 2021, cuyo régimen sancionatorio rige desde mayo de 2023. Las multas se calculan como un porcentaje del volumen de negocio, y la Superintendencia de Protección de Datos Personales ya emite resoluciones y guías.
Esta lista no reemplaza una revisión legal, pero cubre lo que más se ve mal implementado en los sitios de empresas.
Antes de pedir el dato
- Pide solo lo necesario. Si para responder una consulta basta el correo, no pidas la fecha de nacimiento.
- Explica para qué. «Para responder tu solicitud» o «para enviarte el boletín», junto al formulario.
- Casilla de consentimiento sin marcar. La marca el usuario; nunca debe venir preseleccionada.
- Separa los fines. Aceptar que te respondan no es aceptar publicidad. Si quieres ambas cosas, son dos casillas.
La política de privacidad
Debe estar publicada, enlazada desde cada formulario y escrita para que se entienda. Como mínimo debe decir:
- Quién es el responsable y cómo contactarlo.
- Qué datos recoges y para qué.
- Con qué proveedores los compartes: hosting, correo, CRM, pasarela de pago.
- Cuánto tiempo los guardas.
- Cómo ejercer los derechos de acceso, rectificación, eliminación, oposición y portabilidad.
Dónde y cómo se guardan
- HTTPS en todo el sitio, no solo en el checkout.
- Nada de datos en carpetas públicas. Es más común de lo que parece encontrar listas de contactos que se descargan desde el navegador.
- Accesos con nombre propio. Cada persona con su usuario; nada de contraseñas compartidas.
- Respaldos cifrados y probados.
- Proveedores con contrato que diga cómo tratan tus datos.
Cookies y analítica
Si usas Google Analytics, el píxel de Meta u otras herramientas de seguimiento, infórmalo en tu política y, para las que no son necesarias para que el sitio funcione, pide consentimiento antes de activarlas.
Cuando alguien ejerce sus derechos
Ten un canal claro —un correo dedicado sirve— y un procedimiento: quién recibe la solicitud, cómo se verifica la identidad de quien la hace, cómo se responde dentro del plazo que fija la ley y cómo se deja constancia.
Si algo sale mal
Una filtración de datos tiene que notificarse a la autoridad y, según el caso, a las personas afectadas. Define antes a quién llamar y qué hacer en las primeras horas; improvisar en ese momento sale caro.
Checklist
- Formularios con casilla de consentimiento sin marcar
- Fines separados: respuesta y publicidad
- Política de privacidad publicada y enlazada
- HTTPS en todo el sitio
- Datos fuera de carpetas públicas
- Accesos individuales y respaldos probados
- Consentimiento para cookies de seguimiento
- Canal y procedimiento para los derechos
- Plan ante filtraciones
Fuentes
- NMS Law — La entrada en vigencia del régimen sancionatorio de la LOPDP
- Superintendencia de Protección de Datos Personales — Atención de solicitudes de titulares
Este artículo es informativo y no reemplaza la asesoría de tu contador, tributarista o abogado.