Los formularios son una de las vías por las que entran datos personales en un sitio web, y uno de los primeros puntos que revisa una autoridad de control. También forman parte de toda auditoría de cookies de un sitio web, porque muchas herramientas de formularios cargan sus propios scripts y cookies. Esta guía trata del consentimiento: qué debe decir la casilla, qué debe informar el formulario y cómo conservar la prueba.
¿Qué es un formulario de consentimiento RGPD?
El artículo 4.11 del RGPD define el consentimiento como "toda manifestación de voluntad libre, específica, informada e inequívoca" por la que la persona acepta, mediante una declaración o una clara acción afirmativa, el tratamiento de sus datos. El formulario de consentimiento es el lugar donde ocurre esa acción: marcar una casilla, pulsar un botón, firmar un documento.
No existe una única plantilla oficial. Una autorización en papel para las fotos de una excursión escolar, un módulo de suscripción a la newsletter y el banner de cookies de su página de inicio son formularios de consentimiento si se basan en esa base jurídica. Comparten los mismos requisitos, que nuestra guía sobre las condiciones de validez del consentimiento RGPD explica uno a uno.
¿Cuándo necesita consentimiento un formulario?
El consentimiento es solo una de las seis bases jurídicas del artículo 6. Muchos formularios no lo necesitan, y pedirlo sin motivo crea problemas: si la persona lo retira, usted tendría que dejar de tratar datos que realmente necesita.
- Formulario de contacto: responder al mensaje es justo lo que la persona solicita. La base jurídica suele ser la aplicación de medidas precontractuales (artículo 6.1.b) o el interés legítimo. No hace falta ninguna casilla para enviar el mensaje.
- Pedido o creación de cuenta: los datos necesarios para entregar el pedido o gestionar la cuenta se basan en el contrato.
- Newsletter y comunicaciones comerciales por correo: consentimiento, en la mayoría de los casos. En España, el artículo 21 de la LSSI exige autorización previa para enviar comunicaciones comerciales por correo electrónico, salvo a clientes existentes y sobre productos similares, ofreciendo siempre la posibilidad de oponerse en la recogida y en cada envío.
- Datos sensibles (salud, religión, biometría): consentimiento explícito según el artículo 9, salvo otra excepción.
- Cookies y rastreadores no estrictamente necesarios: consentimiento, en aplicación de la Directiva ePrivacy.
La regla práctica: pida consentimiento solo para lo que es opcional para la persona. Nuestra comparación entre opt-in y opt-out explica por qué el modelo europeo parte del "no".
Qué debe incluir un formulario conforme al RGPD
Hacen falta dos capas: el consentimiento en sí y la información que exige el artículo 13.
La casilla de consentimiento
- Una casilla sin marcar o una elección activa. El considerando 32 aclara que el silencio, las casillas ya marcadas y la inacción no constituyen consentimiento. El Tribunal de Justicia lo confirmó para las casillas premarcadas en el asunto Planet49 (C-673/17, 2019).
- Una casilla por finalidad. Newsletter, ofertas de terceros y elaboración de perfiles son tres finalidades, es decir, tres elecciones.
- Separada de las condiciones generales. El artículo 7.2 exige que la solicitud de consentimiento se distinga claramente de los demás asuntos. "Acepto las condiciones y recibir ofertas" no es válido.
- Sin condicionar un servicio que no necesita esos datos (artículo 7.4).
La información junto al formulario
El artículo 13 enumera lo que la persona debe saber en el momento de la recogida. En la práctica, un breve texto junto al botón y un enlace a la política de privacidad:
- quién es el responsable del tratamiento y cómo contactar con él o con su delegado de protección de datos;
- la finalidad de cada tratamiento y su base jurídica;
- los destinatarios, incluidos los encargados como su herramienta de email marketing;
- el plazo de conservación;
- el derecho a retirar el consentimiento en cualquier momento y los demás derechos (acceso, supresión, oposición, reclamación ante la AEPD);
- las transferencias fuera de la Unión Europea, si las hay.
El tipo de consentimiento también importa: nuestro artículo sobre los tipos de consentimiento explícito e implícito explica cuándo basta una acción afirmativa y cuándo hace falta una declaración expresa.
7 ejemplos de formularios de consentimiento RGPD
Los textos siguientes son un punto de partida. Adapte el nombre de la empresa, las finalidades y los plazos a sus tratamientos reales.
1. Suscripción a la newsletter
> ☐ Deseo recibir la newsletter de [Empresa] (un correo al mes con novedades y guías). Puedo darme de baja en cualquier momento mediante el enlace de cada correo.
>
> [Empresa] utiliza su correo electrónico solo para enviarle esta newsletter, a través de [herramienta de envío]. Se conserva hasta que se dé de baja. Más información en nuestra política de privacidad.
La casilla está vacía, se indican la frecuencia y el contenido, y se explica cómo darse de baja.
2. Formulario de contacto
> Utilizamos su nombre y su correo para responder a su mensaje. Los datos se conservan 12 meses después de nuestro último intercambio. Consulte sus derechos en nuestra política de privacidad.
Sin casilla: responder es justo lo que la persona pide. Una casilla "Acepto el tratamiento de mis datos" aquí es innecesaria y da a entender que sin ella no habría respuesta. Si además quiere añadir a la persona a una lista de envío, incluya una casilla aparte, opcional y sin marcar.
3. Creación de cuenta o checkout
> ☐ Deseo recibir ofertas y novedades por correo electrónico.
> ☐ Acepto que mi correo se comunique a [socio] para recibir sus propias ofertas.
El pedido se completa sea cual sea la elección. Cada finalidad opcional tiene su casilla y el socio aparece nombrado.
4. Contenido descargable (libro blanco, plantilla, webinar)
Condicionar la descarga a la suscripción a la newsletter es arriesgado según el artículo 7.4: el consentimiento deja de ser libre si la persona no puede obtener el contenido sin darlo. Una versión más segura:
> Indique su correo para recibir la guía.
> ☐ Deseo recibir también la newsletter mensual.
5. Autorización de derechos de imagen
> ☐ Autorizo que las fotos tomadas de mí durante [evento] se publiquen en el sitio web de [Empresa].
> ☐ Autorizo que se publiquen en las redes sociales de [Empresa].
Un canal, una casilla. Para menores se necesita la autorización de los padres o tutores. En España, la LOPDGDD fija en 14 años la edad a partir de la cual un menor puede consentir por sí mismo el tratamiento de sus datos.
6. Datos de salud o investigación
> ☐ Consiento expresamente que [Organización] trate los datos de salud descritos arriba para [estudio], en los términos de la hoja de información al participante.
El artículo 9 exige un consentimiento explícito: una declaración expresa, a menudo con firma o una segunda confirmación.
7. El banner de cookies
El banner de cookies es el formulario de consentimiento que ven más visitantes. Se aplican las mismas reglas: ninguna categoría premarcada, "Rechazar" tan visible como "Aceptar", una elección por finalidad y una forma de cambiar de opinión. Nuestros ejemplos de banner de cookies RGPD muestran versiones buenas y malas. ¿No sabe qué bloquea realmente su banner? Compruebe en 30 segundos qué cookies instala su sitio con el escáner gratuito.
Textos que conviene evitar
- "Si continúa navegando, acepta…": seguir navegando no es una clara acción afirmativa.
- "Acepto el tratamiento de mis datos personales" sin finalidad: ni específico ni informado.
- Lenguaje jurídico o un aviso de varias páginas en una ventana emergente: la solicitud debe ser clara y sencilla.
- Una baja más complicada que el alta, como "escríbanos por correo postal". El artículo 7.3 exige que retirar el consentimiento sea tan fácil como darlo.
- Textos que presionan ("No, gracias, no me gusta ahorrar"): el diseño manipulador perjudica la libertad del consentimiento.
Cómo registrar y demostrar el consentimiento
El artículo 7.1 le atribuye la carga de la prueba: usted debe poder demostrar que la persona consintió. Para cada consentimiento, conserve:
- quién consintió (un identificador como el correo, sin más datos de los necesarios);
- cuándo (fecha y hora);
- qué se le mostró (la versión del formulario y del texto informativo);
- qué aceptó (cada casilla marcada);
- cómo (formulario web, papel, confirmación por doble opt-in);
- si lo retiró y cuándo.
El doble opt-in, en el que la persona confirma mediante un enlace recibido por correo, no figura en el RGPD, pero es la forma habitual de demostrar que la dirección pertenece a quien marcó la casilla. La misma lógica se aplica a las cookies: nuestra guía sobre la prueba del consentimiento de cookies detalla qué guardar y durante cuánto tiempo.
Por último, revise lo que carga la propia página del formulario. Las herramientas de formularios integradas, los chats y reCAPTCHA pueden instalar cookies antes de cualquier elección. Nuestro artículo para ver las cookies de una web explica cómo encontrarlas en el navegador.
Lista de comprobación para cada formulario
- Definir la base jurídica de cada finalidad y pedir consentimiento solo para las opcionales.
- Una casilla sin marcar por finalidad, separada de las condiciones generales.
- Un texto breve con el responsable, las finalidades, los destinatarios, el plazo y los derechos.
- Una forma de retirar el consentimiento tan sencilla como el alta, indicada en el formulario.
- Un registro de quién, cuándo, qué y cómo, vinculado a la versión del formulario.
- Una prueba de la página en ventana privada para ver qué scripts se cargan antes del consentimiento.
Cómo gestiona FlowConsent el consentimiento en formularios
FlowConsent se encarga del formulario de consentimiento que los visitantes ven primero: el banner de cookies. Bloquea los scripts no esenciales antes del consentimiento, da el mismo peso a "Aceptar" y "Rechazar", ofrece una elección por categoría y guarda cada decisión como prueba exportable. El escaneo automático detecta también las cookies que instalan las herramientas de formularios integradas en sus páginas. Sus propios formularios de alta y de marketing siguen bajo su control: FlowConsent no los crea. En cambio, los webhooks de consentimiento envían a su servidor un evento firmado cada vez que un visitante acepta, rechaza o retira su consentimiento, para que sus registros estén en un solo lugar. FlowConsent es gratuito hasta 25.000 sesiones al mes y se instala en unos diez minutos.