El aviso de privacidad es uno de los documentos que más ve el cliente y, al mismo tiempo, uno de los que con mayor frecuencia se copia de otra empresa. El riesgo aparece cuando el texto promete una práctica y la operación realiza otra: recopila más datos, usa finalidades diferentes, comparte información con terceros no identificados o conserva datos durante períodos que nunca fueron definidos.
El aviso debe responder a la operación real
El derecho a la información exige transparencia sobre el tratamiento. El documento debe construirse a partir de los procesos reales: quién es el responsable, qué categorías de datos se recopilan, para qué finalidades, cuál es la base de legitimación, con quién se comparte información, cómo se ejercen derechos y qué elementos adicionales exige la normativa según el caso.
Para comprobar la integridad del aviso, recorra los diecisiete apartados del artículo 12 de la LOPDP. Identifique expresamente lo que no exista o no corresponda al tratamiento:
- Finalidades para las que se usan los datos.
- Base legal que sustenta cada tratamiento.
- Tipos de operaciones realizadas con los datos.
- Tiempo de conservación.
- Existencia de la base de datos en la que constan.
- Origen, si los datos no se obtuvieron directamente del titular.
- Otras finalidades y usos posteriores previstos.
- Identidad del responsable y domicilio legal, teléfono y correo de contacto.
- Identidad del DPD cuando corresponda, domicilio, teléfono y correo de contacto.
- Comunicaciones o transferencias previstas, destinatarios o clases, finalidades y garantías.
- Consecuencias de entregar o negarse a entregar los datos.
- Efectos de proporcionar información incorrecta o inexacta.
- Posibilidad de retirar el consentimiento.
- Canales para acceder, corregir y actualizar, eliminar, oponerse, solicitar anulación o limitar el tratamiento y evitar decisiones basadas solo en automatización.
- Mecanismos para solicitar portabilidad.
- Dónde y cómo reclamar ante el responsable y la SPDP.
- Existencia de valoraciones o decisiones automatizadas, incluido perfilamiento.
Un solo aviso puede no servir para todos los públicos
Clientes, empleados, candidatos, proveedores, pacientes, estudiantes o usuarios de una plataforma tienen relaciones distintas con la organización. Las finalidades y categorías de datos cambian. Por eso puede ser necesario utilizar avisos específicos o capas de información adaptadas a cada proceso, en lugar de intentar cubrir toda la empresa con un texto excesivamente amplio.
Ejemplo de primera capa para una consulta: «[Responsable y contacto] utiliza tu nombre y medio de contacto para atender esta consulta. Base: [base aplicable]. Los campos señalados permiten responder. Consulta conservación, destinatarios y derechos en [aviso completo]». Complete los campos con datos reales y muestre el enlace antes de enviar. Si pretende remitir promociones, informe esa finalidad y determine su base por separado; aceptar el aviso no equivale a consentir todo uso.
El momento en que se informa también importa
Publicar una política en el pie de página no garantiza que la persona haya recibido información de manera adecuada cuando entrega sus datos. Formularios, contratos, procesos de selección, canales presenciales y campañas deberían incorporar mecanismos de información coherentes con el punto de recolección y permitir consultar el contenido completo cuando corresponda.
Cuando obtiene los datos del titular, comunique la información previamente, en el momento de la recogida. Si llegan de otra fuente, informe dentro de treinta días o en la primera comunicación, lo que ocurra antes, e indique el origen. Recibir el teléfono de un referido no significa que éste haya consentido: verifique una base válida antes de contactarlo.
Versiones y cambios deben poder demostrarse
La organización debería conservar control de versiones para saber qué aviso estaba vigente cuando se recopiló la información. Si cambia un proveedor, una finalidad o un flujo internacional, conviene revisar si el documento debe actualizarse y cómo se comunicará el cambio. Esta trazabilidad es especialmente útil cuando existe un reclamo meses o años después.
¿Puedo descargar una política de privacidad de internet y adaptarla?
Puede servir como referencia de formato, pero no sustituye el levantamiento de tratamientos. El aviso debe reflejar la realidad de la organización y las bases legales aplicables a cada finalidad.
¿El aviso de privacidad es lo mismo que pedir consentimiento?
No. Informar al titular y obtener consentimiento son obligaciones distintas. Un tratamiento puede apoyarse en otra base de legitimación y, aun así, requerir que la persona sea informada conforme a la normativa.
¿Tu empresa tiene un aviso de privacidad genérico o desactualizado? En TempoLegal levantamos los tratamientos reales y redactamos avisos para clientes, trabajadores, candidatos, proveedores y canales digitales alineados con la operación.
jag@tempolegal.com · 097 888 7392 · www.tempolegal.com
Consulte también la evidencia de consentimiento y el procedimiento para ejercer derechos.
Fuentes oficiales: LOPDP. Contenido revisado por TempoLegal al 12 de octubre de 2026.