Casillas de consentimiento que sirven como prueba

El artículo 6, apartado 1, del RGPD enumera seis bases jurídicas, y el consentimiento es solo una de ellas. Cuál encaja depende de lo que hagas con los datos, no del formulario en sí.

• Responder a una consulta. La persona te ha preguntado algo y espera una respuesta. Suele tratarse con el artículo 6, apartado 1, letra b), medidas precontractuales a petición de la persona, o con la letra f), intereses legítimos. Una casilla de consentimiento aporta poco aquí y tiene un coste: el consentimiento puede retirarse en cualquier momento (artículo 7, apartado 3), y a partir de ese momento tendrías que dejar de tratar los datos sobre esa base.
• Correo de marketing o boletín. Añadir a alguien a una lista de correo va más allá de lo que la persona pidió. Es el caso típico para una casilla de consentimiento separada y opcional. El marketing por correo electrónico también se rige por las normas nacionales que transponen la Directiva sobre privacidad y comunicaciones electrónicas, que en la mayoría de los casos exigen igualmente el consentimiento previo.
• Conservar datos para más adelante. Guardar el CV de una persona candidata para futuras vacantes, o compartir sus datos con un socio para su propio uso, son finalidades distintas. Cada una necesita su propia base, y el consentimiento suele ser la que encaja.
• Datos de categorías especiales. La información de salud y las demás categorías del artículo 9 requieren una condición del artículo 9, apartado 2, además de una base jurídica; el consentimiento explícito es una de ellas.

El artículo 4, apartado 11, define el consentimiento como libre, específico, informado e inequívoco. El artículo 7 añade las condiciones. En términos de formularios:

• La casilla empieza desmarcada. El silencio, las casillas premarcadas y la inactividad no son consentimiento (considerando 32).
• Una casilla por finalidad, separada de la aceptación de tus condiciones (artículo 7, apartado 2).
• El servicio no depende de marcarla cuando los datos no son necesarios para el servicio (artículo 7, apartado 4).
• La persona puede retirar el consentimiento tan fácilmente como lo dio, y se le informa de ello antes de aceptar (artículo 7, apartado 3).
• Puedes demostrar que la persona consintió y con qué texto (artículo 7, apartado 1).

El Comité Europeo de Protección de Datos desarrolla cada condición en detalle, con ejemplos, en sus Directrices 05/2020 sobre el consentimiento.

Un buen texto de consentimiento indica quién eres, la finalidad concreta y cómo retirarlo. Se lee como una frase que una persona aceptaría, no como una cláusula legal. Por ejemplo:

Envíame la newsletter mensual de Acme Studio sobre nuevos cursos. Puedo darme de baja en cualquier momento con el enlace que aparece en cada correo. Lee la política de privacidad.

Formulaciones que conviene evitar: «Acepto los términos y la política de privacidad» (agrupa todo y no indica una finalidad concreta), «Doy mi consentimiento para el tratamiento de mis datos» (¿qué tratamiento, para qué?), o cualquier texto que condicione el envío de la consulta a suscribirse a una lista de correo.

Cada formulario tiene un ajuste de consentimiento RGPD en su configuración de privacidad, disponible en todos los planes, incluido Free. Activas la captura de consentimiento, escribes el texto del consentimiento (hasta 2.000 caracteres) y eliges si el consentimiento es obligatorio.

• Los formularios alojados muestran la casilla automáticamente, sin marcar, con tu texto al lado.
• Consentimiento obligatorio. Cuando es obligatorio, un envío sin la casilla marcada se rechaza con 422 consent_required antes de guardarse o de contar en tu cuota.
• Prueba. Cuando la persona marca la casilla, Formward guarda junto al envío el texto de consentimiento configurado en el formulario y la hora del envío. Ambos se muestran en la vista del envío. El texto es una instantánea: si cambias la redacción más adelante, los envíos anteriores conservan la redacción que vieron sus remitentes.
• Consentimiento opcional. Si el consentimiento no es obligatorio y la casilla queda sin marcar, el envío se acepta y no se registra ningún consentimiento para él.

Formward registra el consentimiento, pero no gestiona la retirada por ti. Si una persona retira su consentimiento, deja de tratar los datos que dependían de él (en el caso de un boletín, dale de baja en tu herramienta de correo) y, si lo pide, borra sus envíos.

En un formulario que alojas tú mismo, añade una casilla llamada _consent. Formward considera que hay consentimiento cuando recibe on, true, 1 o yes. Un navegador envía on si la casilla está marcada y nada si no lo está.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Usa como etiqueta exactamente el texto de consentimiento de la configuración del formulario. Formward guarda el texto configurado, nunca el texto enviado por el navegador, así que ambos deben coincidir para que el registro describa lo que la persona realmente vio. El valor de _consent no se guarda con las respuestas.