¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer un procedimiento para determinar cuándo corresponde obtener el consentimiento de los titulares de datos personales, cómo debe solicitarse, de qué forma debe registrarse y cómo se gestionará su modificación o retiro cuando corresponda.
El consentimiento es importante porque permite demostrar que el titular autorizó un tratamiento específico de sus datos personales, siempre que esa sea la base legal aplicable. Además, este procedimiento te ayudará a conservar evidencia frente a auditorías, revisiones internas o requerimientos relacionados con el tratamiento de datos personales.
También es especialmente útil para tratamientos vinculados a actividades de marketing, publicidad, comunicaciones comerciales u otros usos de datos personales que requieren una gestión clara, separada y verificable del consentimiento.
¿Qué tengo que hacer? 🚀
💡Este procedimiento debe estar alineado a las operaciones reales de tu empresa. El template editable está diseñado para ayudarte a documentar el procedimiento, pero debes ajustarlo a tu contexto, tus canales de atención, tus sistemas, las finalidades de tratamiento y la normativa aplicable a tu organización.
Al trabajar en el template, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Identificación de la necesidad de consentimiento.
El área responsable debe identificar si el tratamiento de datos personales requiere consentimiento del titular o si existe otra base legal aplicable.
Esta revisión debe considerar la finalidad del tratamiento, el tipo de datos personales involucrados, la normativa aplicable y los criterios definidos por tu empresa.
Generalmente, el consentimiento puede ser necesario para tratamientos de datos sensibles, cambios en las finalidades informadas, ciertas transferencias de datos o actividades de marketing y publicidad, cuando no exista otra base legal aplicable.
⚖️ Recomendación legal: No solicites consentimiento de forma automática para todos los tratamientos. Si el tratamiento es necesario para cumplir un contrato, una obligación legal o una finalidad que cuenta con otra base legal válida, pedir consentimiento puede generar un problema operativo. Si el titular luego lo retira, la empresa podría quedar sin fundamento para realizar un tratamiento que en realidad necesita seguir efectuando o conservando por motivos legales.
Definición del mecanismo de obtención.
Una vez identificada la necesidad de consentimiento, debes definir cómo será solicitado y obtenido.
El mecanismo debe permitir que el titular otorgue su consentimiento de forma previa al tratamiento, mediante una acción libre, específica, informada e inequívoca.
Puedes utilizar distintos mecanismos, según el canal y el tipo de tratamiento: formularios web, casillas de aceptación, aceptación electrónica, firma de documentos, formularios internos, registros en plataformas o medios equivalentes.
⚖️ Recomendación legal: El Aviso de Privacidad es clave para informar al titular sobre el tratamiento de sus datos, pero no siempre equivale por sí solo a consentimiento. Para que exista consentimiento, debe haber una acción clara del titular. Por eso, evita usar casillas premarcadas o fórmulas ambiguas. Lo recomendable es que el titular realice una acción afirmativa, como marcar una casilla, firmar un documento o aceptar expresamente una finalidad determinada.
Obtención del consentimiento.
El consentimiento debe obtenerse antes de iniciar el tratamiento de datos personales que dependa de esa autorización.
El titular debe recibir información clara sobre la finalidad del tratamiento, los datos involucrados, el responsable del tratamiento y cualquier otra información exigida por la normativa aplicable.
Si el tratamiento está vinculado a marketing, publicidad o comunicaciones comerciales, el consentimiento o mecanismo habilitante debe gestionarse de forma diferenciada respecto del servicio principal.
⚖️ Recomendación legal: No mezcles finalidades distintas en una sola autorización. Por ejemplo, una cosa es tratar datos para prestar un servicio contratado y otra distinta es usarlos para enviar comunicaciones comerciales. En la medida de lo posible, cada finalidad relevante debe estar claramente identificada para que el titular entienda qué está aceptando.
Registro del consentimiento.
Una vez obtenido, el consentimiento debe registrarse en el Inventario de Datos Personales o en el registro que tu empresa utilice para administrar sus tratamientos.
Como mínimo, deberías conservar información sobre el tipo de consentimiento obtenido, el mecanismo utilizado, la fecha, la finalidad autorizada y la evidencia disponible.
La evidencia puede incluir formularios, registros electrónicos, capturas de aceptación, logs de sistema, documentos firmados, correos electrónicos u otros medios que permitan demostrar que el consentimiento fue otorgado.
Uso y verificación del consentimiento.
Antes de usar datos personales para una finalidad basada en consentimiento, el área responsable debe verificar que el consentimiento exista, esté vigente y corresponda a la finalidad que se pretende realizar.
No deben utilizarse datos personales para finalidades distintas a las autorizadas por el titular, salvo que exista otra base legal o fundamento válido conforme a la normativa aplicable.
⚖️ Recomendación legal: El consentimiento no debe verse como un permiso general para usar datos personales de cualquier manera. Debe estar vinculado a una finalidad concreta. Si cambia la finalidad del tratamiento, es necesario revisar si el consentimiento anterior sigue siendo suficiente o si corresponde obtener uno nuevo.
Gestión de modificación o retiro del consentimiento.
La empresa debe facilitar a los titulares un mecanismo para modificar o retirar su consentimiento.
Cuando el titular solicite modificar o retirar su consentimiento, el área responsable debe recibir la solicitud, validar la identidad del titular o de su representante, analizar el alcance del pedido y detener el tratamiento basado en ese consentimiento, cuando corresponda.
Si el retiro del consentimiento implica eliminar datos personales, deben aplicarse los procedimientos internos correspondientes, como el Procedimiento de Acceso, Corrección y Borrado, la Política de Tratamiento de Información o los lineamientos de gestión de archivos temporales.
⚖️ Recomendación legal: Retirar el consentimiento no siempre significa eliminar todos los datos de forma inmediata. Si la empresa debe conservar cierta información por obligación legal, contractual, laboral, contable, tributaria o para la defensa de reclamos, lo correcto puede ser bloquear o restringir el uso de esos datos, en lugar de eliminarlos definitivamente. Bloquear significa conservarlos solo para la finalidad legal que justifica su retención, impidiendo otros usos no autorizados.
Emisión de respuesta al titular.
Una vez analizada la solicitud de modificación o retiro del consentimiento, la empresa debe comunicar la respuesta al titular.
La respuesta debe enviarse por el mismo canal por el cual se recibió la solicitud, salvo que la empresa tenga definido otro medio formal de comunicación.
Nuestro template contempla un plazo máximo de 20 días hábiles para emitir respuesta. Sin embargo, siempre debes validar si la normativa local aplicable establece un plazo distinto.
Conservación de evidencia y seguimiento.
La empresa debe conservar la evidencia asociada a la obtención, registro, uso, modificación o retiro del consentimiento.
También debe registrar la atención de solicitudes vinculadas al consentimiento en el Registro de Solicitudes sobre Datos Personales o en el mecanismo equivalente definido por la organización.
Los registros deben revisarse cuando existan cambios relevantes en las finalidades de tratamiento, canales de recolección, mecanismos de captura, textos informativos, normativa aplicable o sistemas utilizados.
Versionado del documento.
Al finalizar el procedimiento, debes completar la sección de versionado.
Esta sección permite identificar quién elaboró el documento, quién lo aprobó, la fecha de aprobación y la clasificación de la información.
También ayuda a demostrar que el procedimiento fue revisado, aprobado y comunicado formalmente dentro de la organización.
Nuestro template está estructurado con lineamientos para dar cumplimiento, además cuenta con ejemplos y recomendaciones que te servirán para terminar tu procedimiento fácil y rápidamente, pero recuerda que debes ajustarlo al contexto de tu empresa 💪🏼.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
Recomendaciones ✅
No uses el consentimiento como base legal por defecto. Antes de solicitarlo, revisa si el tratamiento puede estar justificado por otra base legal aplicable.
Asegúrate de que el consentimiento sea claro, específico y verificable. Evita textos generales o ambiguos.
Separa el consentimiento de marketing o publicidad del consentimiento vinculado al servicio principal.
Conserva evidencia suficiente para demostrar cuándo, cómo y para qué finalidad fue otorgado el consentimiento.
Define responsables internos claros para solicitar, registrar, verificar y gestionar el retiro del consentimiento.
Revisa este procedimiento periódicamente, especialmente si cambian tus finalidades de tratamiento, canales de recolección, infraestructura tecnológica, proveedores, herramientas de marketing o normativa aplicable.
Alinea este procedimiento con otros documentos internos, como el Inventario de Datos Personales, Avisos de Privacidad, Registro de Solicitudes sobre Datos Personales, Procedimiento de Acceso, Corrección y Borrado, Política de Tratamiento de la Información y Procedimientos de Gestión de Archivos Temporales.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.