La política de privacidad de un despacho de abogados no es un trámite ni una plantilla descargada de internet: es el documento que explica a cada visitante qué datos recoge la web, para qué los usa y durante cuánto tiempo los conserva. El Reglamento General de Protección de Datos fija un contenido mínimo que muchas webs jurídicas incumplen sin saberlo, aunque tengan un enlace con ese nombre en el pie de página. Esto es lo que debe llevar esa página para que exista de verdad, y qué errores la vacían de contenido legal aunque parezca completa.
La política de privacidad de un despacho debe identificar al responsable del tratamiento, la finalidad y base jurídica de cada dato recogido, los plazos de conservación, las cesiones si las hay y cómo ejercer los derechos de acceso, rectificación, supresión y oposición, tal y como exige el artículo 13 del RGPD. Sin estos puntos, la página existe pero no cumple.
La política de privacidad, obligatoria desde el primer dato
La obligación no depende del tamaño del despacho ni de si hay un abogado o quince: nace en el momento en que la web recoge un solo dato personal. Un formulario de contacto, una casilla de newsletter, un chatbot que pide el nombre y el caso antes de responder o un simple clic en un enlace de WhatsApp activan ya el deber de informar del artículo 13 del RGPD.
La Agencia Española de Protección de Datos recomienda un modelo por capas: una primera capa breve, visible antes de que el usuario escriba el primer dato, y una segunda capa completa en la propia página de política de privacidad. La primera no sustituye a la segunda, solo la anticipa.
Como mínimo, esa página debe recoger:
- Quién es el responsable del tratamiento y cómo contactar con él.
- Con qué finalidad se usan los datos y durante cuánto tiempo se conservan.
- La base jurídica de cada tratamiento: consentimiento, contrato o interés legítimo.
- Si los datos se ceden a terceros y a quién.
- Cómo ejercer los derechos de acceso, rectificación, supresión y oposición.
Identidad del responsable del tratamiento en el despacho
Antes de hablar de finalidades o plazos, la política de privacidad tiene que decir con quién trata el visitante. No basta con «este despacho» junto a un logo en la cabecera: hace falta el nombre completo o la razón social, el NIF, el domicilio profesional y una dirección de contacto que funcione, normalmente un correo distinto del genérico donde llegan los currículums.
El responsable del tratamiento es quien decide para qué se usan los datos que recoge la web: en un despacho, el propio abogado individual o la sociedad profesional titular del dominio, nunca el proveedor de hosting ni quien programó el formulario.
La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, concreta este deber de información para el derecho español y exige incluir también el contacto del delegado de protección de datos cuando exista. En un despacho pequeño no es habitual, pero pasa a ser obligatorio si se tratan datos a gran escala o categorías especiales, como los de salud en un asunto de incapacidad.
Base jurídica y finalidad del tratamiento de datos
Cada dato que pide la web necesita una finalidad concreta y una base jurídica propia: no vale una frase genérica del tipo «tratamos tus datos para prestarte nuestros servicios» que sirva para todo a la vez. El artículo 13.1.c del RGPD exige declarar esa base para cada finalidad: consentimiento explícito para la newsletter, ejecución de medidas precontractuales para el presupuesto que pide un cliente potencial, o interés legítimo para la analítica interna del propio sitio.
El consentimiento en el formulario de contacto
El formulario de contacto suele ser el punto donde más datos entran de golpe: nombre, correo, teléfono y, en la mayoría de despachos, un resumen del caso que puede incluir datos de salud, de menores o de procedimientos penales. Marcar la casilla de enviar no equivale a autorizar cualquier uso posterior de esos datos: si además de responder a la consulta se piensa incorporar el contacto a una lista de email marketing, hace falta una casilla separada, sin marcar por defecto, específica para eso. Fundir ambos consentimientos en una sola casilla es el error más repetido en despachos que reutilizan un formulario de otro sector, donde ese matiz nunca importó del mismo modo.
Diferencias entre aviso legal y página de privacidad
Muchos despachos meten ambos textos en una sola página y el resultado es un documento largo que nadie lee entero. Son obligaciones distintas, con origen normativo distinto, y conviene separarlas aunque se enlacen entre sí desde el pie de página.
- El aviso legal identifica al titular del sitio como prestador de servicios de la sociedad de la información: quién lo edita, su colegiación y las condiciones generales de uso.
- La política de privacidad explica el tratamiento de datos personales: qué se recoge, para qué, cuánto se conserva y cómo se ejercen los derechos.
Cuando el visitante busca «cómo borro mis datos de esta web», espera encontrar la respuesta en la política de privacidad, no mezclada entre las condiciones de uso del contenido del blog. Separar los dos documentos, con un enlace propio a cada uno, evita que uno tape al otro.
Plazos de conservación y derechos del cliente
Decir que los datos se conservan «el tiempo necesario» no es un plazo, es una forma de no decir nada. La política tiene que fijar un criterio objetivo: la duración de la relación profesional con el cliente más el plazo de prescripción de las acciones que puedan derivarse de ese encargo, o una cifra concreta cuando el dato no se vincula a un expediente, como ocurre con los formularios de contacto que no llegan a convertirse en cliente.
El ejercicio de los derechos ARCO+ desde la web
Acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento: el visitante tiene que poder ejercer cada uno de estos derechos sin llamar por teléfono ni rellenar un tercer formulario distinto. Basta un correo dedicado o un apartado claro dentro de la propia página de privacidad, con el plazo de respuesta indicado, un mes desde la solicitud, ampliable a tres en casos complejos. El mismo razonamiento se aplica a otros puntos de recogida de datos del sitio, como las cookies analíticas que registran el comportamiento del visitante: si la web usa mapas de calor para ver dónde hace clic, ese tratamiento necesita su propio consentimiento y su propia mención en la política, no una referencia genérica a «cookies de terceros».
Errores frecuentes en la política de privacidad
El error más común es la plantilla genérica descargada de internet sin adaptar: menciona un «responsable» distinto, cita herramientas que el despacho no usa o, al contrario, calla las que sí usa, como Google Analytics o WhatsApp Business. Un texto que promete «no ceder datos a terceros» mientras la web incrusta un vídeo de YouTube o un mapa de Google ya está incumpliendo lo que dice defender.
El segundo error es la fecha: una política sin fecha de última revisión, o con una fecha de hace cinco años, no transmite que alguien la mantiene viva. Y el tercero es de visibilidad: un enlace en gris de ocho píxeles al final del pie de página cumple la letra pero no el espíritu de la norma, que exige que la información sea «fácilmente accesible», no simplemente localizable si se sabe buscar.
Preguntas frecuentes sobre la política de privacidad
¿Es obligatoria la política de privacidad en la web de un despacho?
Sí, desde el momento en que la web recoge cualquier dato personal, incluido un simple formulario de contacto. No depende del tamaño del despacho ni de si se factura por internet: basta con pedir un nombre y un correo para que el deber de informar del RGPD se active.
¿Puede estar en la misma página que el aviso legal?
Puede, pero no conviene. Son obligaciones de normas distintas y, si se funden en un único texto largo, el visitante tiene más difícil encontrar la parte que le interesa. Lo habitual y más claro es separarlas en dos páginas enlazadas entre sí desde el pie.
¿Cada cuánto hay que actualizar la política de privacidad?
Cada vez que cambie algo real: una nueva herramienta de analítica, un chatbot nuevo, un cambio de responsable o de finalidad. No hace falta una revisión anual si nada ha cambiado, pero conviene fechar la página para que se note cuándo fue la última revisión.
¿Quién responde si la política de privacidad está mal hecha?
El responsable del tratamiento, es decir, el despacho o la sociedad profesional titular de la web, no el proveedor que construyó el sitio. La AEPD puede sancionar directamente al despacho por una política incompleta o engañosa, con independencia de quién programase el formulario.