Términos de uso y política de privacidad: lo que no puede faltar en su sitio web

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

Toda empresa que recopila datos personales a través de internet debe documentar cómo trata esa información, y el uso de modelos genéricos copiados de otros sitios es una de las principales fuentes de exposición jurídica frente a la Ley General de Protección de Datos de Brasil.

La presencia digital de cualquier negocio, desde una tienda virtual hasta un simple formulario de contacto, implica la recopilación de datos personales. El nombre, el correo electrónico, el teléfono, la dirección IP y el historial de navegación son información protegida por la Ley 13.709/2018, conocida como LGPD (Ley General de Protección de Datos de Brasil). La norma exige que el tratamiento de esos datos se informe al titular de manera transparente y que cuente con una base legal definida.

El cumplimiento de esta exigencia se concreta en documentos específicos. La política de privacidad, los términos de uso y el aviso de cookies dejaron de ser formalidades decorativas para convertirse en piezas centrales del cumplimiento normativo. Cuando están mal elaborados, se transforman en una prueba en contra de la propia empresa en una eventual fiscalización o acción judicial.

Por qué los modelos genéricos representan un riesgo real

Es habitual que las pequeñas y medianas empresas recurran a textos prefabricados, encontrados en buscadores o copiados de la competencia. La práctica parece económica, pero suele salir cara. Un documento que describe un tratamiento de datos distinto del que la empresa realmente practica genera una peligrosa contradicción entre lo que se promete y lo que se hace.

Esa divergencia tiene consecuencias concretas. Si la política afirma que los datos no se comparten con terceros, pero la empresa utiliza herramientas de marketing que transmiten información a otras plataformas, existe una declaración falsa dirigida al titular. La Autoridad Nacional de Protección de Datos, la ANPD, puede interpretar la conducta como una infracción del deber de transparencia previsto en la ley.

Los modelos copiados también ignoran las particularidades del negocio. Un comercio electrónico trata datos de pago y de dirección de entrega; una clínica recopila datos sensibles de salud; una plataforma educativa puede manejar información de menores de edad. Cada escenario exige cláusulas propias, bases legales distintas y medidas de seguridad proporcionales al riesgo.

Cláusulas esenciales de la política de privacidad

La política de privacidad es el documento que informa al titular cómo se tratan sus datos. Para cumplir con el artículo 9º de la LGPD, debe responder, en un lenguaje accesible, a un conjunto mínimo de preguntas sobre el ciclo de vida de la información.

El primer punto es identificar al controlador, es decir, a la persona física o jurídica responsable de las decisiones sobre el tratamiento. El documento debe consignar la denominación de la empresa y un canal de contacto funcional, normalmente el del encargado de la protección de datos, figura también conocida como DPO.

A continuación, es indispensable describir qué datos se recopilan y con qué finalidad. La finalidad debe ser específica y legítima. No basta con afirmar que los datos sirven para «mejorar la experiencia del usuario»; la empresa debe indicar, por ejemplo, que el correo electrónico se usará para enviar la confirmación de compra y comunicar novedades sobre el pedido.

La base legal de cada tratamiento es otro elemento obligatorio. La LGPD prevé diez supuestos que autorizan el uso de datos, entre ellos el consentimiento, el cumplimiento de una obligación legal y el interés legítimo. Confundir el consentimiento con el interés legítimo es un error frecuente que debilita toda la estructura del documento.

La política también debe aclarar el plazo de conservación de los datos, los supuestos de comunicación a terceros y los derechos del titular. Entre esos derechos se encuentran el acceso, la rectificación, la eliminación y la portabilidad de la información, todos ellos ejercitables a través del canal de atención indicado.

La Autoridad Nacional de Protección de Datos, la ANPD, puede interpretar la conducta como una infracción del deber de transparencia previsto en la ley.

Los términos de uso y el aviso de cookies

Mientras que la política de privacidad se ocupa de la protección de datos, los términos de uso regulan la relación contractual entre la empresa y quien accede al sitio web o a la aplicación. Definen las reglas de utilización, las responsabilidades, los límites de uso del contenido y las condiciones de registro. En las plataformas de venta, disciplinan el pago, el cambio, la devolución y los plazos.

Los dos documentos se complementan, pero no se confunden. Reunirlos en un único texto confuso perjudica la claridad y dificulta acreditar que el titular fue informado sobre el tratamiento de sus datos de manera destacada, como valora la ley.

El aviso de cookies merece una atención particular. Las cookies y las tecnologías similares recopilan datos de navegación y, en muchos casos, dependen del consentimiento previo del usuario. El banner que aparece en el primer acceso debe permitir aceptar, rechazar y configurar las categorías de cookies, sin que el rechazo impida la navegación básica.

Bloquear el contenido hasta que el usuario acepte todas las cookies es una práctica cuestionable, pues el consentimiento debe ser libre. La empresa que fuerza la aceptación corre el riesgo de que el consentimiento se considere inválido, lo que derrumba la base legal del tratamiento asociado.

Lenguaje claro y deber de transparencia

La LGPD exige que la información sobre el tratamiento se proporcione de forma clara, adecuada y ostensible. Este mandato descarta el texto rebuscado y lleno de remisiones cruzadas que, en la práctica, nadie lee. La transparencia no se mide por la cantidad de páginas, sino por la comprensión real del titular.

Escribir con claridad significa preferir frases breves, evitar la jerga técnica innecesaria y organizar el contenido en secciones con títulos objetivos. Cuando un término jurídico es inevitable, conviene explicarlo la primera vez que aparece. Un glosario o una versión resumida al comienzo del documento ayudan al lector no especializado.

Esta preocupación no es meramente estética. En una fiscalización, la claridad del documento forma parte de la evaluación sobre el cumplimiento del deber de información. Los textos deliberadamente oscuros pueden interpretarse como un intento de ocultar prácticas, lo que agrava la responsabilidad de la empresa.

Pasos prácticos para estructurar la documentación

El punto de partida no es la redacción, sino el mapeo. Antes de escribir cualquier cláusula, la empresa debe relevar todos los datos que recopila, en qué puntos del sitio web ocurre, con qué herramientas y para qué finalidades. Ese inventario, llamado mapeo de datos, es la base de todo lo demás.

Con el mapeo en mano, se define la base legal de cada tratamiento y se identifican las comunicaciones de datos a terceros, como proveedores de alojamiento web, pasarelas de pago y herramientas de análisis. Solo entonces el documento refleja la realidad y no una ficción conveniente.

El tercer paso es la revisión periódica. Cada vez que la empresa adopta una nueva herramienta, modifica un proceso o comienza a ofrecer un servicio, la documentación debe volver a evaluarse. Una política congelada en el tiempo pierde adecuación a los hechos y vuelve a exponer al negocio al mismo riesgo de los modelos genéricos.

Preguntas frecuentes

Mi empresa es pequeña y tiene pocos clientes. ¿Aun así necesito una política de privacidad?

Sí. La LGPD no exime a los pequeños negocios de la obligación de informar cómo tratan los datos personales. El tamaño de la empresa influye en la proporcionalidad de las medidas de seguridad y puede flexibilizar ciertos procedimientos, según la orientación de la autoridad, pero el deber de transparencia permanece. Cualquier sitio web que recopile nombre y correo electrónico mediante un formulario ya realiza un tratamiento de datos y debe documentar esa actividad de forma adecuada a su realidad.

¿Puedo usar el mismo documento de la casa matriz para el sitio brasileño de una empresa extranjera?

No directamente. Los documentos elaborados conforme a legislaciones extranjeras, como el reglamento europeo, parten de conceptos parecidos, pero no idénticos a los de la ley brasileña. Las bases legales, los derechos del titular y la estructura de la autoridad fiscalizadora tienen particularidades propias. Lo ideal es adaptar el contenido a la LGPD, traduciendo no solo el idioma, sino también las instituciones jurídicas al ordenamiento nacional, so pena de generar lagunas de cumplimiento.

¿Con qué frecuencia debo revisar la política de privacidad del sitio web?

La ley no establece un plazo fijo, pero la revisión debe acompañar los cambios reales del negocio. Se recomienda un análisis cada vez que la empresa adopta una nueva herramienta de recopilación, modifica las finalidades de uso o comienza a compartir datos con nuevos socios. Incluso sin cambios aparentes, una verificación anual es una práctica prudente, pues mantiene el documento alineado con las orientaciones más recientes de la autoridad y con la evolución de las prácticas del mercado.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.