Tu formulario recoge datos personales: lo que la web debe hacer bien
Si tu página web tiene un formulario de contacto, un botón de WhatsApp o una suscripción al boletín, estás recogiendo datos personales. En Colombia eso no es un detalle de la letra pequeña: la Ley 1581 de 2012 establece cómo deben tratarse esos datos y la Superintendencia de Industria y Comercio es la autoridad que vigila la materia. No somos abogados y este texto no reemplaza a tu asesor. Lo que sí podemos explicarte es la parte que le corresponde al sitio: qué debe pedir, qué debe guardar y qué debe poder demostrar el día que alguien pregunte.
Qué estás recogiendo sin darte cuenta
La lista es más larga de lo que parece. Está el formulario obvio: nombre, teléfono, correo. Pero también la conversación que se abre en WhatsApp desde tu sitio, el carrito con la dirección de entrega, el número de cédula que pides para una cotización, la foto que sube un cliente y los identificadores que dejan las herramientas de analítica y los píxeles de publicidad.
Hay una categoría que exige más cuidado: los datos sensibles. Si tienes una clínica, un consultorio o cualquier servicio de salud, la información sobre el estado de una persona tiene requisitos más estrictos y no debería estar viajando por un formulario improvisado ni quedándose para siempre en la bandeja de correo de alguien del equipo.
Las tres piezas que tu sitio debe tener
La primera es la autorización. La ley pide que sea previa, expresa e informada: la persona debe saber quién recoge sus datos, para qué y qué derechos tiene, y aceptarlo con una acción propia. En la práctica eso significa una casilla que no viene marcada, un texto en lenguaje entendible y un enlace a la política. Y algo que casi nadie hace: que quede registro de esa aceptación.
La segunda es la política de tratamiento publicada y fácil de encontrar, no escondida en un enlace gris al pie. La tercera es el canal para ejercer derechos: quien te dio sus datos puede consultarlos, actualizarlos, rectificarlos, pedir que se supriman o revocar la autorización, y tiene que haber una dirección clara para hacerlo y alguien encargado de responder.
- Casilla de autorización sin premarcar y separada del resto del formulario
- Texto corto y claro sobre quién trata los datos y para qué, con enlace a la política
- Registro de la evidencia: fecha, hora y qué versión del texto aceptó la persona
- Política de tratamiento accesible desde todas las páginas
- Un correo o canal real para ejercer derechos, con un responsable que lo atienda
- Una finalidad honesta: si el dato es para cotizar, no lo uses para enviar promociones sin haberlo advertido
Dónde terminan los datos: el mapa que casi nadie dibuja
Cuando se envía el formulario, ¿a dónde llega? La respuesta típica es “al correo”, pero la real suele ser: al correo de dos personas, a una hoja de cálculo compartida con el equipo comercial, a un CRM, a una herramienta de campañas y, a veces, a un chat de WhatsApp del que nadie borra nada. Cada uno de esos destinos es un lugar donde el dato existe y donde alguien puede verlo.
Dibujar ese mapa es la mitad del trabajo, y es una tarea de negocio antes que técnica: cuántas copias hay, quién tiene acceso, cuánto tiempo se conservan y qué proveedores externos participan. Muchas de esas herramientas operan fuera del país, lo cual es habitual y manejable, pero debe estar contemplado en tu política y no descubrirse después.
- Lista de destinos para cada formulario del sitio
- Quién del equipo tiene acceso a cada destino y con qué cuenta
- Cuánto tiempo se conserva un contacto que nunca compró
- Qué proveedores externos participan y desde dónde operan
- Cómo se borra un dato cuando alguien lo solicita, en todos los destinos y no solo en uno
Cookies, píxeles y analítica: la parte que se ignora
El píxel de publicidad y la analítica también recogen información. La práctica que más vemos es la peor posible: un aviso de cookies con un único botón de aceptar, montado sobre un sitio que ya cargó todas las herramientas de seguimiento antes de que la persona tocara nada. Ese aviso no informa ni protege; es decoración.
Si vas a poner uno, que sea honesto: rechazar debe ser tan fácil como aceptar, y la decisión tiene que controlar de verdad qué se carga. Es una decisión de implementación y conviene tomarla al construir el sitio, porque añadirla después casi siempre obliga a rehacer todo el seguimiento.
Qué es trabajo del estudio y qué es de tu asesor legal
Nosotros hacemos la parte técnica: el formulario con la autorización bien planteada, el registro de la evidencia, el almacenamiento del contacto en tu lado antes de enviarlo a cualquier herramienta externa, la carga condicionada de píxeles, las páginas legales conectadas y el canal de derechos funcionando. También te decimos cuando un formulario está pidiendo datos que no necesita, que es la forma más simple y barata de reducir riesgo.
Lo que no hacemos es redactar tus textos legales, definir si tu organización debe registrar sus bases de datos ni responder por ti ante un requerimiento. Eso depende del tipo de responsable que seas y lo determina tu asesor con el marco vigente. Si alguien te ofrece “dejarte cumpliendo” con una plantilla descargada, desconfía: lo que se copia es el texto, no el proceso.
Preguntas frecuentes
¿Necesito política de tratamiento si solo tengo un formulario de contacto?
Si recoges nombre, correo o teléfono, estás tratando datos personales aunque el volumen sea pequeño. La escala cambia el esfuerzo, no la obligación. Un sitio chico puede resolverlo con una política breve, una autorización clara y un correo de contacto que alguien realmente atienda.
¿La casilla de aceptación puede venir marcada por defecto?
No, y es uno de los errores más frecuentes. La autorización tiene que ser una acción de la persona. Una casilla premarcada no demuestra que alguien aceptó; demuestra que la marcaste tú.
¿Sirve copiar la política de otra empresa?
Es mala idea por dos motivos: describe responsables, finalidades y canales que no son los tuyos, y suele mencionar tratamientos que tú no haces. Una política que no coincide con tu operación real es peor que no tenerla, porque documenta por escrito algo que no cumples.
¿Y los mensajes que me llegan por WhatsApp desde la página?
Son datos personales igual que los del formulario, con el agravante de que quedan en el teléfono de alguien. Conviene definir quién los atiende, con qué línea y qué pasa con esa información el día que esa persona deja el equipo.
¿Ustedes registran mis bases de datos ante la SIC?
No. Ese es un trámite del responsable y su alcance depende del tipo de organización; consúltalo en el portal de la Superintendencia de Industria y Comercio y con tu asesor. Nosotros dejamos el sitio preparado para que el cumplimiento sea posible y ordenado.
Si tu sitio recoge contactos y no tienes claro qué pasa con esos datos después, cuéntanos qué formularios tienes y a dónde llegan hoy. Revisamos la parte técnica y te decimos qué ajustar; los textos legales los deja tu asesor y nosotros los conectamos.