Mi empresa no tiene política de privacidad en la web

¿Tienes razón?

Que la ausencia de política sea un problema depende de tres factores. Primero, qué tipo de datos recoge su sitio: solo correos para una newsletter es distinto a captar cédulas, direcciones o información sensible. Segundo, si los usuarios se registran o pagan en el sitio: los formularios que recogen datos hacen imprescindible una política. Tercero, si hay terceros implicados (proveedores de hosting, pasarelas de pago, servicios de analytics) que procesan datos en nombre de su empresa. Si su web procesa datos personales sin informar a los titulares y sin bases legales claras, existe un riesgo real de incumplimiento de las normas de protección.

No es cuestión de apariencia: la política debe reflejar prácticas reales. Copiar un texto genérico y no aplicar lo que dice crea riesgo adicional si llega una investigación.

Cómo se soluciona

1. Haga un inventario de datos. Liste qué datos recoge su web: formularios, cookies, registros de acceso, registros de compra, datos de mapas o formularios de contacto. Para cada dato indique quién lo procesa dentro de la empresa, si se comparte con terceros y con qué finalidad.

1. Identifique las bases legales. Para cada tratamiento decida la base legal aplicable: consentimiento, cumplimiento de una obligación, ejecución de un contrato, interés legítimo u otra prevista por la normativa aplicable en Ecuador. Si usa cookies que no son estrictamente necesarias, planifique un mecanismo de obtención de consentimiento.

1. Redacte una política clara y accesible. Incluya: finalidades del tratamiento, tipos de datos, destinatarios y transferencias, derechos de los titulares (acceso, rectificación, supresión, oposición), mecanismos para ejercerlos y la persona o área responsable dentro de la empresa. Publique la política en un enlace visible en el pie de página y en los formularios clave.

1. Implante medidas técnicas y organizativas. Defina quién tiene acceso a los datos, protocolos de respaldo, control de accesos y políticas de eliminación. Si contrata proveedores (proveedor de correo masivo, pasarela de pago), exija cláusulas de encargo de tratamiento que obliguen al tercero a seguir medidas de seguridad.

1. Configure mecanismos de consentimiento y registro de decisiones. Para cookies no esenciales, implemente una ventana de consentimiento con la posibilidad de aceptar o rechazar categorías. Para tratamientos basados en consentimiento, registre cuándo y cómo se dio ese consentimiento.

1. Revise contratos y proveedores. Asegúrese de que los contratos con terceros incluyan obligaciones de confidencialidad y seguridad. Verifique la localización de los servidores y, si hay transferencias internacionales, documente las garantías aplicadas.

Qué puede hacer usted solo y cuándo necesita ayuda: una pequeña empresa puede preparar una política inicial siguiendo el inventario y plantillas fiables. Recurra a un abogado cuando haya tratamientos complejos, transferencias internacionales, datos sensibles, o si planea usar evaluaciones de impacto sobre la privacidad.

Qué puede pasar

1) Se corrige internamente. La solución más habitual es redactar una política y aplicar medidas básicas: informar a los usuarios, instalar un gestor de cookies y firmar acuerdos con proveedores. Este resultado evita sanciones y mejora la confianza del cliente.

2) Acuerdo con la autoridad o requerimiento administrativo. Si la autoridad detecta incumplimiento, puede requerir medidas correctivas. Llegar a un acuerdo para subsanar fallos es frecuente, y suele implicar ajustes operativos y documentación que la empresa debe entregar.

3) Sanción administrativa o procedimiento. Si la empresa reincide o el incumplimiento es grave —por ejemplo, exposición masiva de datos sensibles— puede haber sanciones y la obligación de adoptar medidas de corrección más profundas. Además, los titulares pueden reclamar indemnizaciones por daños cuando prueben perjuicio. Si la empresa pierde en un procedimiento, la ejecución de la obligación o sanción dependerá de la situación patrimonial.

Y si gana, ¿cobro? Si usted reclama a un tercero y obtiene sentencia favorable, cobrar dependerá de la solvencia del responsable y de la posibilidad de ejecutar la sentencia contra sus bienes.

Errores que arruinan el caso

• Publicar una política que no corresponde con la práctica real. Eso facilita sanciones por engaño y dificulta la defensa.
• No registrar consentimientos. Si no tiene registros, será difícil probar que obtuvo permisos válidos para tratar datos.
• Depender de proveedores sin contratos formales. Muchos incidentes vienen de terceras partes que no cumplen medidas de seguridad.
• Ignorar cookies y herramientas de seguimiento. Los datos recopilados por analytics o pixels pueden considerarse tratamiento y requieren información o consentimiento según su naturaleza.