Política de privacidad para página web en Uruguay: modelo
Si tu web tiene un formulario, un botón de WhatsApp o una herramienta que cuenta visitas, estás recibiendo datos personales. La política de privacidad para página web en Uruguay es el texto que le explica a quien entra qué datos juntás, para qué, quién más los ve y cómo puede pedirte que los corrijas o los borres. Lo que tiene que decir sale de la Ley 18.331 de Protección de Datos Personales.
Una aclaración: esto no es asesoramiento legal. Es lo que revisamos cuando armamos una web. Si manejás datos de salud, de menores o de muchos clientes, consultá con un abogado.
¿Tu web necesita una política de privacidad?
Para la ley, un dato personal es “información de cualquier tipo referida a personas físicas o jurídicas determinadas o determinables” (artículo 4). Un nombre, un correo o un celular entran sin discusión.
La política tiene que estar si tu web tiene alguna de estas cosas:
- Formulario de contacto, reserva o presupuesto.
- Suscripción a novedades, aunque sea una lista de correos.
- Herramientas de medición o publicidad, como Google Analytics o el píxel de Meta.
- Contenido de terceros embebido, como un mapa de Google Maps o un video de YouTube, que pueden instalar cookies.
¿Y una web de una página sin formulario? En los proyectos que hacemos la incluimos igual: siempre hay algún servicio de por medio, como el hosting o el correo.
Qué pide la Ley 18.331, en criollo
Consentimiento (art. 9)
Tratar datos personales es lícito cuando el titular dio su consentimiento “libre, previo, expreso e informado”, y ese consentimiento tiene que quedar documentado.
Hay excepciones, como los datos que derivan de una relación contractual o profesional, pero quien completa tu formulario todavía no es tu cliente. Por eso, cuando el formulario manda los datos a un correo, en las webs que hacemos va una casilla sin marcar (“Leí la política de privacidad y acepto que usen mis datos para responder mi consulta”) con el enlace a la política: la ley pide consentimiento expreso. Si solo abre WhatsApp con el mensaje armado, como en el ejemplo de página web para abogados, la persona confirma el envío allí y el aviso va en una línea junto al botón.
Qué informar: la lista del artículo 13
Es el corazón de la política: qué hay que informar antes de recabar los datos.
| Qué pide el art. 13 | En criollo |
|---|---|
| A) Finalidad y posibles destinatarios | Para qué usás los datos y quién más los recibe |
| B) Existencia de la base, identidad y domicilio del responsable | Quién sos y dónde estás |
| C) Carácter obligatorio o facultativo de las respuestas | Qué campos son necesarios y cuáles opcionales |
| D) Consecuencias de dar los datos, de negarse o de que sean inexactos | Qué pasa si no los deja o están mal |
| E) Posibilidad de ejercer los derechos de los artículos 14 a 16 | Cómo pide verlos, corregirlos o borrarlos |
| F) Existencia o no de transferencias internacionales | Si usás servicios del exterior |
| G) Criterios y programa usado en decisiones automatizadas | En una web de profesional o pyme casi nunca aplica |
Acceso, rectificación y supresión (arts. 14 y 15)
Cualquiera puede preguntarte qué datos suyos tenés y pedirte verlos. El artículo 14 dice que la información se da “dentro de los cinco días hábiles de haber sido solicitada”, gratis si se pide a intervalos de seis meses. Si el plazo vence sin respuesta, queda habilitada la acción de habeas data.
El artículo 15 suma el derecho a pedir que se corrijan, actualicen, completen o borren si hay un error, una falsedad o una omisión. Tenés cinco días hábiles como máximo para hacerlo o explicar por qué no corresponde, sin cargo para la persona.
Cinco días hábiles es poco: la política tiene que dar un correo que alguien lea. Si no tenés uno, mirá cómo armar un correo profesional con dominio propio.
Datos sensibles (art. 18)
Son los que revelan origen racial y étnico, preferencias políticas, convicciones religiosas o morales, afiliación sindical, salud o vida sexual. Nadie puede ser obligado a darlos y solo se tratan con consentimiento expreso y escrito (art. 18). El artículo 19 permite a los profesionales de la salud tratar los de sus pacientes, respetando el secreto profesional.
Nuestro criterio en webs de salud: el formulario no pregunta por el motivo de consulta ni por diagnósticos; eso se habla en la primera sesión. Lo desarrollamos en la guía de página web para psicólogos.
Inscribir la base de datos en la URCDP
Según los artículos 28 y 29, quien cree una base de datos personales tiene que inscribirla en el registro de la Unidad Reguladora y de Control de Datos Personales (URCDP).
La ley la define como un “conjunto organizado de datos personales”, “electrónico o no”: la planilla donde guardás los contactos que llegan por la web puede entrar.
El trámite de inscripción de bases de datos personales es en línea y no tiene costo. Necesitás usuario gub.uy u otra identificación electrónica, como la cédula digital. Por dudas sobre el trámite, la URCDP atiende al 2901 0065, opción 3.
Cookies y herramientas de medición
Uruguay no tiene una norma específica sobre cookies, aclara la URCDP en su guía de cookies y perfiles, pero en la medida en que afectan datos personales se aplican los principios de previo consentimiento informado (art. 9) y finalidad (art. 8), y el derecho de información (art. 13). Según esa guía, quien las usa tiene que:
- Pedir el consentimiento antes de instalarlas.
- Usar los datos solo para la finalidad informada.
- Informar quién es el responsable y para qué, “dejando en claro que se va a rastrear su actividad en línea”.
Bajado a tu web: si usás Google Analytics (en el plan Despegue lo configuramos), la política tiene que nombrarlo, decir para qué lo usás, que lo provee Google y que funciona con cookies, y el aviso tiene que permitir rechazarlo antes de que se active. Si no vas a mirar las estadísticas, mejor no instalarlo.
Formularios, WhatsApp y Gmail: datos que salen de Uruguay
El formulario: pedí solo lo necesario
El artículo 7 pide datos “veraces, adecuados, ecuánimes y no excesivos” para la finalidad, y el artículo 8, que se eliminen cuando dejaron de ser necesarios. Traducido: si alcanza con nombre y teléfono, no pidas la cédula, y borrá las consultas viejas que no terminaron en trabajo. Si dudás entre formulario y botón de WhatsApp, lo comparamos en formulario de contacto o WhatsApp.
Servicios del exterior: transferencias internacionales
Si usás WhatsApp (Meta), Gmail (Google) o un hosting del exterior, hay datos que salen del país.
El artículo 23 prohíbe transferir datos a países sin un nivel de protección adecuado, con excepciones como el consentimiento inequívoco de la persona. Qué se considera adecuado lo define la URCDP: su Resolución 63/023 incluyó las transferencias a organizaciones del Marco de Privacidad de Datos (Data Privacy Framework) de Estados Unidos.
Google, Meta y Cloudflare declaran estar adheridos (podés chequear cualquier proveedor en la lista oficial), pero eso no alcanza: la Resolución 70/023 pide tener la base inscripta antes de transferir y presentar ante la URCDP una declaración de la empresa de que extiende esas garantías a los datos que salen de Uruguay. Sin la declaración, hacen falta cláusulas contractuales autorizadas por la URCDP u otra base legal, como el consentimiento.
Además, el literal F del artículo 13 pide informarlo, y la misma resolución detalla qué decir: país de destino, rol de cada empresa, plazo, base legal y qué hace con los datos. Por ejemplo: “WhatsApp (Meta), Gmail (Google) y Cloudflare (hosting) son empresas de Estados Unidos que guardan tus datos para prestarnos esos servicios mientras los conservemos. La transferencia se basa en [tu consentimiento u otra base legal]”.
Modelo de política de privacidad en criollo
Completá lo que está entre corchetes y borrá lo que no aplique:
- Quién es responsable. “Esta web es de [nombre o razón social], con domicilio en [dirección, ciudad]. Por temas de datos personales, escribinos a [correo].”
- Qué datos juntamos. “Por el formulario: nombre, correo, teléfono y tu mensaje. Por WhatsApp: tu número y lo que nos mandes.”
- Para qué. “Para responder tu consulta y, si nos contratás, darte el servicio. No los vendemos ni los usamos para otra cosa.”
- Qué es obligatorio. “Nombre y una forma de contacto. Sin ellos no podemos responderte por esta vía.”
- Con quién se comparten. Los servicios que usás (hosting, correo, WhatsApp, el que envía el formulario, medición) y, para los del exterior, el detalle del ejemplo de arriba.
- Cookies. “Usamos Google Analytics para contar visitas; solo se activa si aceptás”, o “Esta web no usa cookies para seguir tu navegación”.
- Cuánto tiempo. “Las consultas que no terminan en un trabajo las borramos a los [plazo que definas].”
- Tus derechos. “Podés pedirnos ver, corregir o borrar tus datos, sin costo. Te respondemos dentro de los cinco días hábiles. Si no, podés dirigirte a la URCDP o iniciar una acción de habeas data.”
- Inscripción. “Nuestra base de datos está inscripta en la URCDP”, si ya lo hiciste.
- Cambios. “Última actualización: [fecha].”
Enlazala en el pie de todas las páginas y junto al formulario, y actualizala si sumás herramientas. Si estás armando la web desde cero, el resto de la lista está en qué necesitás para hacer tu página web.
Preguntas frecuentes
¿Es obligatorio tener política de privacidad en una web en Uruguay?
Si tu web recaba datos personales, el artículo 13 de la Ley 18.331 te obliga a informar antes para qué los usás, quién es el responsable, si hay transferencias internacionales y cómo se ejercen los derechos. La política de privacidad es la forma ordenada de cumplirlo y dejarlo escrito.
¿Tengo que inscribir mi base de datos en la URCDP?
En principio, sí. La Ley 18.331 dice que toda base de datos, pública o privada, se inscribe en el registro de la URCDP, y la define de forma amplia: un conjunto organizado de datos personales, electrónico o no. El trámite es en línea y gratuito. Si dudás de tu caso, consultá a la URCDP.
¿Necesito un aviso de cookies en mi web?
Si usás cookies que registran la navegación, como las de Google Analytics o el píxel de Meta, sí. La guía de la URCDP indica pedir el consentimiento antes de instalarlas e informar para qué se usan. Si tu web no instala cookies, no hay consentimiento que pedir: alcanza con decirlo en la política.
¿Puedo copiar la política de privacidad de otra web?
Podés tomar ideas de la estructura, pero no copiarla tal cual. La política describe qué datos junta tu web y con qué servicios; si copiás la de otro negocio, vas a declarar herramientas que no usás u omitir las que sí. Y la de un sitio de España suele citar el reglamento europeo, no la Ley 18.331.
Una buena política de privacidad no es un texto largo: es uno que dice la verdad sobre lo que hace tu web. Si estás por armar tu web, mirá los planes publicados o escribinos por WhatsApp y lo vemos juntos.