Moltes pimes creuen que complir el RGPD és posar un bàner de cookies i una pàgina de privacitat. El bàner pot ser necessari, però no és el punt de partida. El punt de partida és una pregunta més incòmoda: quines dades necessites de veritat i per què?
1. Fes un mapa de dades
Abans de redactar res, apunta:
- Quins formularis tens i què recullen.
- On s’envien les dades.
- Qui hi té accés.
- Quant temps les guardes.
- Amb quins proveïdors comparteixes dades.
Si no pots respondre això, cap text legal et salvarà.
2. Minimitza
No demanis telèfon si no el necessites. No demanis empresa si no canvia la resposta. No guardis missatges “per si de cas” durant anys.
Cada camp ha de tenir una finalitat clara. Si no la té, elimina’l.
3. Tria una base legal
No tot es basa en el consentiment. Un pressupost pot basar-se en mesures precontractuals. Una obligació fiscal, en una obligació legal. La seguretat del lloc, en interès legítim.
El consentiment és necessari per a coses com la newsletter o les cookies no essencials. I ha de ser lliure, específic, informat i reversible.
4. Cookies: només les que calen
Si només uses cookies tècniques, no cal inventar un bàner. Si uses analítica o publicitat, necessites consentiment previ i una opció de rebuig igual de visible.
No carreguis Google Analytics abans que l’usuari accepti. No facis que rebutjar sigui més difícil que acceptar.
5. Textos legals coherents
La política de privacitat ha de descriure el que fas realment:
- Responsable i contacte.
- Finalitats i bases legals.
- Categories de dades.
- Destinataris i proveïdors.
- Transferències internacionals, si n’hi ha.
- Terminis de conservació.
- Drets i com exercir-los.
No copiïs una plantilla d’una altra empresa sense adaptar-la.
6. Seguretat i proveïdors
Complir també és protegir. HTTPS, accessos mínims, contrasenyes fortes, 2FA, backups i actualitzacions. I signar o revisar els contractes d’encarregat del tractament amb els proveïdors que tracten dades per tu.
7. Registre i revisió
Guarda evidència del consentiment: versió de la política, data, formulari i, si cal, IP. Revisa el mapa de dades quan canviïs eines o formularis.
Conclusió
El RGPD no és un tràmit estètic. És una manera de decidir quines dades necessites i com les protegeixes. Si vols revisar-ho sense alarmisme, parlem-ne.