AsesoraYa.es

Cursos · RGPD para pequeñas empresas (2026)

Lección 4 de 5

Cláusulas RGPD en la web, los formularios y los contratos: textos para adaptar (2026)

Tiempo de lectura: 9 minutos

Resumen rápido: Los arts. 13 y 14 RGPD obligan a informar a las personas cuando recoges sus datos. El art. 11 LOPDGDD permite hacerlo por capas: una información básica en el propio formulario o contrato (capa 1) y la política de privacidad completa enlazada (capa 2). Informar no es pedir consentimiento: el consentimiento solo hace falta cuando es tu base legal (newsletter, publicidad…) y entonces debe darse con una casilla propia, separada y sin marcar. Para enviar emails comerciales manda además la LSSI (art. 21). En esta lección tienes cláusulas para formularios, contratos laborales y con clientes, email y WhatsApp, y los 6 errores más frecuentes.

Por qué importan las cláusulas

Los arts. 13 y 14 RGPD obligan a informar a la persona en el momento en que recoges sus datos (o, si no te los da ella, en el plazo del art. 14). La información debe ser:

  • Concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo (art. 12 RGPD).
  • Por escrito o por medios electrónicos.
  • Antes o en el momento de recoger el dato, no después.

No informar, o hacerlo de forma incompleta, es una infracción del deber de transparencia que se sanciona con el tramo alto del art. 83.5 RGPD.

Información por capas (art. 11 LOPDGDD)

La LOPDGDD permite, y la AEPD recomienda, informar en dos capas:

  • Capa 1: información básica en el propio formulario o contrato. Como mínimo, quién es el responsable, para qué se usan los datos y cómo ejercer los derechos (art. 11.2 LOPDGDD); se suele añadir la base legal y los destinatarios.
  • Capa 2: la política de privacidad completa, enlazada o accesible de forma sencilla.

Así cumples sin llenar cada formulario de texto legal.

Cláusula para un formulario de contacto (capa 1)

Responsable: TU EMPRESA SL (B-12345678).
Finalidad: atender tu consulta.
Legitimación: tu consentimiento al enviarnos
la consulta.
Destinatarios: no cedemos tus datos a terceros,
salvo obligación legal.
Derechos: acceso, rectificación, supresión,
oposición, limitación y portabilidad, y retirar
tu consentimiento, en privacidad@tuempresa.es.
Puedes reclamar ante la AEPD (www.aepd.es).
Más información: [enlace a la política de privacidad].

Si el formulario sirve para pedir un presupuesto, la base suele ser la aplicación de medidas precontractuales a petición del interesado (art. 6.1.b RGPD).

Las casillas

  • Información: una casilla del tipo "☐ He leído la información sobre protección de datos" es habitual y te ayuda a demostrar que informaste. Lo importante es que la información se vea antes de enviar.
  • Marketing, si lo ofreces: una casilla separada, específica y sin marcar:

    ☐ Quiero recibir comunicaciones comerciales y novedades de TU EMPRESA por email.

Lo que no vale

  • ❌ Una sola casilla para leer la política y aceptar publicidad.
  • ❌ Casillas ya marcadas al cargar la página (art. 4.11 y considerando 32 RGPD).
  • ❌ "Al enviar este formulario aceptas recibir publicidad".
  • ❌ Condicionar el servicio a que acepte el marketing cuando no es necesario para prestarlo (art. 7.4 RGPD).

Newsletter: consentimiento, LSSI y doble opt-in

  • Consentimiento previo y expreso: la LSSI (art. 21.1) prohíbe enviar comunicaciones comerciales por email o medios equivalentes sin que el destinatario lo haya solicitado o autorizado expresamente.
  • Excepción para clientes (art. 21.2 LSSI): puedes enviar publicidad de productos o servicios similares a los que te compró a quien ya es tu cliente, si obtuviste su email en esa relación y le ofreciste oponerse al recogerlo.
  • Baja sencilla y gratuita en todos los envíos.
  • Doble opt-in: es una buena práctica, no una obligación legal. El usuario marca la casilla, recibe un email de confirmación y no queda suscrito hasta que pulsa el enlace. Así puedes demostrar que fue él quien se suscribió.

Cláusulas en contratos

Contrato de trabajo (o documento que se entrega al empleado al darle de alta)

PROTECCIÓN DE DATOS

Responsable: TU EMPRESA SL.
Finalidades: gestión de la relación laboral,
nóminas, prevención de riesgos, formación,
registro de jornada, permisos y bajas.
Base legal: ejecución del contrato de trabajo y
cumplimiento de obligaciones legales (ET, LGSS,
Ley del IRPF, Ley de Prevención de Riesgos
Laborales).
Destinatarios: Agencia Tributaria, Seguridad
Social, mutua, entidad bancaria y asesoría laboral
(como encargada del tratamiento).
Conservación: durante la relación laboral y,
después, durante los plazos legales (p. ej., 4 años
la documentación tributaria y el registro de
jornada; 6 años la contable).
Derechos: acceso, rectificación, supresión,
oposición, limitación y portabilidad en
privacidad@tuempresa.es. Puedes reclamar ante
la AEPD (www.aepd.es).

Contrato con un cliente

PROTECCIÓN DE DATOS

Responsable: TU EMPRESA SL.
Finalidades: gestión del contrato, facturación,
atención posventa y comunicaciones sobre el
servicio.
Base legal: ejecución del contrato y obligaciones
legales (fiscales y contables).
Destinatarios: Agencia Tributaria, entidad
bancaria y proveedores que nos prestan servicios
(como encargados, con contrato).
Conservación: durante la relación y, después,
6 años (art. 30 del Código de Comercio).
Derechos: privacidad@tuempresa.es. Puedes
reclamar ante la AEPD (www.aepd.es).

El contrato de encargo es otro documento

El contrato de encargo del art. 28.3 RGPD (lección 2) no informa a nadie: regula la relación entre tu empresa (responsable) y el proveedor que trata datos por tu cuenta (asesoría, hosting, software). No lo confundas con la cláusula informativa.

Otros canales

Firma del email

TU EMPRESA SL trata tus datos para gestionar
nuestra relación profesional. Puedes ejercer tus
derechos en privacidad@tuempresa.es. Más
información: [enlace a la política de privacidad].

WhatsApp Business

  • En la primera respuesta, incluye una información breve: "Te informamos de que TU EMPRESA SL tratará tus datos para atender tu consulta. Más información: [enlace a la política de privacidad]."
  • Si recoges datos por WhatsApp, da la misma información que en un formulario.
  • Para enviar promociones por WhatsApp necesitas consentimiento, como en el email.

Redes sociales y mensajes directos

Las mismas reglas: informa de que tratas sus datos y enlaza la política de privacidad.

Tiques y recibos con datos del cliente

Una mención breve: "Tratamos tus datos para gestionar la venta y cumplir obligaciones contables. Más información y derechos: privacidad@tuempresa.es".

Los 6 errores más frecuentes

1. Consentimiento implícito

"Al enviar este formulario aceptas recibir nuestras comunicaciones comerciales."

No es consentimiento válido. El art. 4.11 RGPD exige una declaración o una clara acción afirmativa para esa finalidad concreta: una casilla que la persona marque.

2. Una casilla para todo

Una sola casilla para "leer la política" y "recibir publicidad". No vale: el consentimiento tiene que ser específico para cada finalidad.

3. Casillas premarcadas

No valen: el considerando 32 RGPD excluye las casillas ya marcadas como forma de consentimiento, y así lo confirmó el Tribunal de Justicia de la UE (asunto C-673/17, Planet49, 1 de octubre de 2019).

4. Derechos incompletos

Una cláusula que solo nombra "acceso, rectificación y supresión". En la política de privacidad deben figurar todos:

  • Acceso, rectificación y supresión.
  • Oposición.
  • Limitación.
  • Portabilidad.
  • Retirar el consentimiento, si es la base.
  • Reclamar ante la AEPD.
  • Y, si las hay, la existencia de decisiones automatizadas.

5. Letra ilegible

Cláusulas en letra diminuta, gris claro o escondidas. Incumplen la transparencia (arts. 5.1.a y 12 RGPD).

6. Enlaces rotos o políticas desactualizadas

La cláusula enlaza a una página que no existe o a una política de hace años que no recoge tus tratamientos actuales. Revisa los enlaces y la política periódicamente, por ejemplo cada 6 meses y siempre que cambies de proveedor o de forma de trabajar.

Resumen

  1. Informar por capas: cláusula básica + política completa enlazada.
  2. Informar no es consentir: el consentimiento, solo cuando sea la base, con casilla separada y sin marcar.
  3. Emails comerciales: consentimiento previo o excepción de clientes (art. 21 LSSI) y baja sencilla.
  4. Cláusulas adaptadas a cada contrato; el contrato de encargo es otro documento.
  5. 6 errores frecuentes: consentimiento implícito, casilla única, premarcadas, derechos incompletos, letra ilegible y enlaces rotos.

¿Quieres que lo llevemos nosotros?

En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA, el RGPD completo (auditoría y documentación) está incluido en los planes Plus:

  • Plan Autónomos Plus, desde 44,95 €/mes + IVA: impuestos trimestrales, declaración de la renta, RGPD completo y consulta jurídica mensual, con asesor personal.
  • Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades y cuentas anuales, más Renta, RGPD, canal de denuncias y consulta jurídica.

¿Quieres saber en qué punto estás? Haz gratis el Test RGPD. Más información en asesoraya.es/servicios o en el 91 000 47 83.

En la lección 5 vemos qué hacer si sufres una brecha de seguridad: las 72 horas para notificar a la AEPD.

Última actualización: octubre de 2026. Normativa: Reglamento (UE) 2016/679 (RGPD, arts. 4.11, 6, 7, 12, 13 y 14 y considerando 32), Ley Orgánica 3/2018 (LOPDGDD, art. 11), Ley 34/2002 (LSSI, arts. 20 a 22) y sentencia del TJUE de 1 de octubre de 2019, asunto C-673/17 (Planet49). Las cláusulas son modelos orientativos que debes adaptar a tu caso. Información divulgativa: no sustituye al asesoramiento personalizado.