Mi negocio tiene mal el aviso de privacidad

¿Tienes razón?

Tu posición —es decir, si puedes estar en incumplimiento— depende de cuatro elementos: qué datos recolectas, cómo lo notificas, si los titulares dieron el consentimiento cuando es necesario y si existe tratamiento sensible. Un aviso mal redactado puede ir desde un defecto formal menor hasta una omisión que impida ejercer derechos de los titulares. Si el aviso no menciona cesiones a terceros (por ejemplo, proveedores de pago o plataformas de nube) o no explica bases legales y derechos, autoridades o titulares pueden reclamar. Además, la forma de entrega importa: un aviso escondido en un link poco visible es distinto a un aviso claro en el punto de recogida de datos.

Errores habituales que determinan la gravedad: no indicar finalidades precisas; no identificar al responsable; no explicar transferencia internacional; no señalar los derechos de acceso, rectificación, cancelación o oposición (y cómo ejercerlos). Si tratas datos especialmente protegidos, el cumplimiento es más estricto. En resumen: no es sólo el texto, es la práctica real. Si lo que haces difiere de lo que dices, estás en peor posición.

Cómo se soluciona

1. Haz un inventario de datos. Lista qué datos recolectas, el origen (directo, terceros), la finalidad de cada tratamiento, dónde se almacenan y quién accede. Incluye proveedores (cloud, procesadores de pago, marketing) y si se comparten fuera del país.

1. Redacta o actualiza el aviso de privacidad real. El aviso debe describir quién eres como responsable, las finalidades del tratamiento, las bases legales (consentimiento, ejecución de contrato, obligación legal u otros), los derechos de los titulares y el procedimiento para ejercerlos, y, si aplican, transferencias a terceros o internacionales. Hazlo en lenguaje claro.

1. Publica y entrega el aviso adecuadamente. Si la recolección es en punto de venta, entrégalo impreso o con medio accesible; si es en línea, facilita un enlace visible y una forma de obtener copia. Conserva prueba de haber informado: registros de envío, páginas con fecha y versiones guardadas.

1. Implementa mecanismos para ejercer derechos. Define un correo o buzón de atención, un responsable interno y un procedimiento para responder a solicitudes de titulares. Capacita al personal que recaba datos.

1. Revisa cláusulas en contratos con proveedores. Incluye obligaciones de confidencialidad, medidas de seguridad y cláusulas de subprocesamiento cuando uses terceros. Exige que los procesadores apoyen en la atención de derechos y ofrezcan garantías técnicas.

1. Si recibes una reclamación o inspección, responde con la documentación: inventario, aviso, registros de entrega y medidas de seguridad. Si la autoridad inicia procedimiento, puedes negociar medidas correctivas y planes de cumplimiento.

Qué puedes hacer tú y cuándo necesitas abogado: puedes actualizar el aviso y documentar la entrega; necesitas abogado cuando la autoridad inicia procedimiento, cuando hay reclamaciones colectivas o cuando el tratamiento implica datos sensibles o transferencias internacionales complejas.

Qué puede pasar

1. Corrección directa. En muchos casos, corregir el aviso y probar que ahora las prácticas son conformes basta para solventar la situación con el titular o con un reclamo informal. Esto suele ser la salida más rápida y menos costosa.

1. Acuerdo o medidas ante la autoridad. Si la autoridad recibe quejas, puede negociar medidas correctivas y sanciones administrativas. A veces un plan de cumplimiento evita sanciones mayores, pero depende del estado de la práctica y de la normativa aplicable.

1. Proceso administrativo y sanciones. En casos graves, la autoridad puede imponer sanciones administrativas. Además, titulares afectados pueden buscar reparación civil si existió daño. Si el negocio pierde en un procedimiento administrativo, la ejecución de la sanción puede suponer multas y medidas coercitivas. También está la posibilidad de requerimientos adicionales de la autoridad para corregir prácticas.

¿Y si ganas, cobro? Si hay un reclamo civil por daños, una resolución a favor puede dar derecho a reparación; pero cobrar depende de la solvencia del responsable y de los mecanismos de ejecución.

Errores que arruinan el caso

• Mantener un aviso genérico y no ajustarlo a servicios nuevos o terceros contratados.
• No conservar versiones históricas ni registros de entrega al titular.
• No capacitar al personal que solicita datos; la práctica real puede contradecir el aviso.
• Firmar contratos con proveedores sin cláusulas de protección y subprocesamiento.
• Ignorar solicitudes de titulares: no responder puede agravar sanciones.