Las dos leyes que mandan
- RGPD: Reglamento General de Protección de Datos, el Reglamento (UE) 2016/679. Se aplica en toda la Unión Europea.
- LOPDGDD: Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales. Adapta el RGPD a España y añade algunas reglas propias.
Quien vigila que se cumplan en España es la AEPD (Agencia Española de Protección de Datos), que puede poner multas.
Qué datos vamos a tratar
Hoy, en la fase 1, la web no tiene usuarios ni formularios, así que tratamos muy pocos datos (casi solo los registros técnicos del alojamiento). Cuando lleguen el boletín, el registro y los pagos, la lista será algo así:
| Tratamiento | Datos | Para qué |
|---|---|---|
| Boletín | Correo, nombre (opcional) | Enviar novedades |
| Cuentas de alumno | Nombre, correo, contraseña cifrada, progreso | Dar acceso a los cursos |
| Pagos y facturas | Nombre, NIF si piden factura, importe | Cobrar y cumplir con Hacienda |
| Atención al cliente | Correo y mensajes | Resolver dudas |
| Analítica y publicidad | Identificadores, IP, páginas vistas | Medir y anunciarnos |
Regla de oro: minimización de datos. Pide solo lo imprescindible. Si no necesitas la fecha de nacimiento, no la pidas. Los datos de la tarjeta, que los guarde la pasarela de pago, nunca nosotros.
La base legal: con qué permiso
El RGPD solo permite tratar datos si hay una base legal (un motivo de los que admite la ley). Las que usaremos:
- Contrato: para dar el curso que alguien ha comprado necesitamos su correo y su cuenta.
- Obligación legal: guardar las facturas durante los años que exige la normativa fiscal y mercantil.
- Consentimiento: para el boletín y para las cookies de analítica o publicidad. Debe ser libre, informado, concreto y dado con un acto claro (marcar una casilla). Se puede retirar en cualquier momento, tan fácil como se dio.
- Interés legítimo: por ejemplo, la seguridad de la web. Hay que ponderar que no pese más el interés del usuario.
Menores: en España, la LOPDGDD permite que una persona dé su propio consentimiento a partir de 14 años. Por debajo, hace falta el de sus padres o tutores. Si llegamos a alumnado de ESO, habrá que prever cómo comprobarlo.
Informar al usuario: la política de privacidad
Hay que contar, de forma clara y sencilla, quiénes somos, qué datos tratamos, para qué, con qué base legal, cuánto tiempo los guardamos, a quién se los damos, si salen de la UE y qué derechos tiene la persona. Todo eso va en la política de privacidad (la vemos en el apartado siguiente). En cada formulario se pone un resumen corto y el enlace a la política completa: es lo que se llama información por capas.
Registro de actividades de tratamiento
El registro de actividades de tratamiento es una tabla interna (no se publica) donde describimos cada tratamiento: finalidad, datos, personas afectadas, destinatarios, plazos de borrado y medidas de seguridad. La tabla de arriba es un buen punto de partida.
El RGPD exime de él a algunas empresas de menos de 250 trabajadores, pero no cuando el tratamiento es habitual, como el de una plataforma con alumnos. Así que, en la práctica, nos toca tenerlo. Es una hoja de cálculo que se actualiza cuando añadimos algo nuevo.
Contratos con los encargados
Cada proveedor que toca datos por nosotros necesita un contrato de encargo del tratamiento (en inglés, DPA, data processing agreement). En nuestro caso:
- Vercel, que aloja la web y ve las direcciones IP de los visitantes.
- La pasarela de pago (Stripe, Redsys u otra).
- El servicio de envío de correo del boletín.
- Más adelante, el servicio de cuentas de usuario (por ejemplo, Supabase).
Las grandes plataformas lo tienen ya redactado: se acepta en su web, a veces dentro de las condiciones generales. Nuestro trabajo es localizarlo, guardarlo y apuntarlo en el registro.
Transferencias fuera de la UE
Muchos proveedores son de Estados Unidos. Enviar datos fuera del Espacio Económico Europeo es una transferencia internacional, permitida solo con garantías. Las habituales:
- Decisión de adecuación: la Comisión Europea declara que ese país protege bien los datos. Para Estados Unidos existe el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), que cubre a las empresas que se adhieren a él. Está vigente, pero ha sido recurrido ante los tribunales europeos: conviene vigilar su situación.
- Cláusulas contractuales tipo: contratos modelo aprobados por la Comisión, que muchos proveedores incluyen en su DPA.
Siempre que se pueda, elige alojar los datos en servidores de la UE (muchos proveedores lo permiten).
Los derechos de los usuarios
Cualquier persona puede pedirnos: acceso (saber qué datos tenemos), rectificación, supresión (que los borremos), oposición, limitación del tratamiento y portabilidad (recibirlos en un formato que pueda llevarse). Hay que responder en un mes como norma general, gratis. Prepara un correo de contacto para esto (por ejemplo, privacidad@ nuestro dominio) y una pequeña guía interna de cómo buscar y borrar los datos de alguien.
Seguridad y brechas
Hay que aplicar medidas de seguridad adecuadas: contraseñas fuertes y verificación en dos pasos en todas las cuentas de la empresa, acceso solo a quien lo necesita, copias de seguridad y conexiones cifradas.
Una brecha de seguridad es cualquier incidente que hace que se pierdan, se roben o se vean datos personales sin permiso (por ejemplo, alguien entra en la base de datos de alumnos). Si ocurre:
- Contenerla: cerrar el agujero y cambiar contraseñas.
- Notificarla a la AEPD en un máximo de 72 horas desde que la conocemos, salvo que sea improbable que suponga un riesgo para las personas. La AEPD tiene un formulario en su sede electrónica.
- Avisar a los afectados sin demora si el riesgo para ellos es alto.
- Apuntarla en un registro interno de incidentes, aunque no haya que notificarla.
Qué nos conviene a nosotros
Empezar ya el registro de actividades, aunque hoy tenga una sola fila, y elegir proveedores con DPA claro y servidores en la UE. La AEPD ofrece Facilita RGPD, una herramienta gratuita pensada para pequeñas empresas que trata datos de poco riesgo: es un buen primer paso.