Un formulario de consentimiento RGPD debe permitir una elección libre, específica, informada e inequívoca y dejar una prueba adecuada de esa decisión. Una casilla inicialmente vacía puede servir para recogerla, pero no garantiza por sí sola que exista consentimiento válido. Hay que comprobar qué información se muestra, si se puede rechazar la finalidad sin consecuencias indebidas y si después resulta igual de fácil retirar la autorización.
Los modelos siguientes son estructuras para adaptar a operaciones concretas. Separan la información de privacidad, las finalidades opcionales y la constancia de la decisión. No deben utilizarse para pedir autorización genérica sobre cualquier tratamiento presente o futuro. Antes de copiarlos, la organización necesita saber qué datos usará, para qué, durante cuánto tiempo y quién decidirá sobre ellos.
1. Cuándo necesita consentimiento y cuándo corresponde otra base
El RGPD contempla varias bases de legitimación. Si un tratamiento es objetivamente necesario para ejecutar un contrato con la persona o cumplir una obligación legal, debe identificarse esa base y su alcance. «Gestión de clientes» no explica por sí sola por qué son necesarios todos los datos que se piden. Tampoco cualquier operación de una empresa puede justificarse automáticamente mediante interés legítimo.
El consentimiento puede ser adecuado para una finalidad verdaderamente opcional. La organización debe poder detener ese tratamiento si se retira, sin inventar entonces una base alternativa para mantenerlo igual. Distintos fines pueden apoyarse en bases distintas: dejar de recibir un boletín no impide conservar una factura cuando una obligación legal lo exige. Esa separación debe existir en los sistemas y en la información desde el principio.
No todo uso de imágenes, comunicación a terceros o tratamiento de datos sensibles exige necesariamente consentimiento como única solución. Hay que estudiar las normas y condiciones aplicables. Para categorías especiales, además de una base del artículo 6, hace falta una excepción válida del artículo 9.2. Revise las bases de legitimación del RGPD antes de decidir qué formulario tiene sentido en el caso concreto.
2. Qué invalida un consentimiento
La persona debe poder elegir por finalidades suficientemente diferenciadas. Un botón que combina publicidad propia, comunicación a otros responsables y elaboración de perfiles distintos impide una decisión granular si no permite seleccionar los usos pertinentes. El artículo 6.2 LOPDGDD exige que, cuando se pretenden varias finalidades, conste de forma específica e inequívoca que se consienten todas. Su apartado 3 regula una cuestión diferente: la vinculación contractual de finalidades ajenas a la relación.
Las casillas premarcadas, el silencio o la mera navegación no acreditan una acción afirmativa válida. En Planet49, C-673/17, de 1 de octubre de 2019, el Tribunal de Justicia rechazó la casilla marcada por defecto para cookies. En Orange România, C-61/19, de 11 de noviembre de 2020, precisó la necesidad de probar un consentimiento válido y los problemas de una casilla marcada por el responsable antes de firmar el contrato.
Una casilla vacía sigue siendo insuficiente si el texto es ambiguo, el rechazo provoca un perjuicio improcedente o se ocultan destinatarios. En el empleo y otras relaciones con desequilibrio de poder, hay que valorar especialmente la libertad real. No transforme un permiso opcional en requisito para recibir una prestación que no necesita ese tratamiento. Los ejemplos de consentimiento ayudan a contrastar la finalidad con la elección que se ofrece.
El diseño también influye. Una pantalla que hace visible la aceptación y oculta las alternativas puede desvirtuar la decisión. Revise el formulario en el canal donde se usa: móvil, papel, llamada o aplicación. No existe una obligación universal de utilizar una casilla para cualquier consentimiento; sí debe existir una declaración o acción inequívoca y una forma proporcionada de acreditar qué significaba en ese contexto.
3. Información común que acompaña a los modelos
El formulario no debe confundir una autorización breve con toda la información del artículo 13. La política de privacidad o segunda capa tiene que completar los elementos pertinentes, accesibles al recoger los datos. Puede organizarse por capas, pero la información esencial para decidir no debe quedar escondida detrás de una referencia genérica e incomprensible.
En particular, identifique al responsable, las finalidades, los datos afectados y la posibilidad de retirar el consentimiento. El conjunto informativo debe cubrir contactos pertinentes, destinatarios, transferencias cuando existan, conservación, derechos, reclamación y decisiones automatizadas cuando corresponda. La información sobre si los datos son obligatorios y las consecuencias de no aportarlos debe ser coherente con una finalidad presentada como voluntaria.
BLOQUE INFORMATIVO COMÚN — COMPLETAR POR TRATAMIENTO
Responsable: [identidad y contacto].
Representante y contacto del DPD, cuando procedan: [datos].
Finalidad opcional: [uso concreto].
Datos utilizados: [categorías necesarias].
Base de esta finalidad: consentimiento, que puede negarse o retirarse.
Destinatarios o categorías: [información real].
Transferencias internacionales, si existen: [destinos, adecuación o garantías
y forma de obtener copia o consultar su contenido].
Conservación: [plazo o criterios por finalidad].
Retirada: [medio sencillo], sin afectar a la licitud del tratamiento previo.
Derechos: [acceso, rectificación, supresión, limitación, oposición y
portabilidad según sus condiciones, con canal de ejercicio].
Reclamación: [autoridad de control competente y vía informativa].
Datos opcionales y consecuencias de no aportarlos: [explicación exacta].
Decisiones automatizadas del artículo22, si existen: [información exigida].
Información adicional accesible: [enlace o documento entregado].
Versión y fecha del texto: [identificación].
Compruebe que el formulario no contradice esa segunda capa. Si una casilla permite comunicar datos a otra empresa, el aviso no puede afirmar que «no habrá cesiones». Si un proveedor actúa por cuenta del responsable, explique su intervención según corresponda, sin confundirla con una autorización para sus propios fines. La diferencia entre responsable y encargado ayuda a formular correctamente la petición.
4. Formulario web y comunicaciones comerciales
Un formulario de contacto puede servir para responder a una solicitud y ofrecer, separadamente, una suscripción. Determine la base adecuada para contestar la petición, que no tiene por qué coincidir con la del boletín. Marcar una casilla de lectura de privacidad no convierte automáticamente ambas operaciones en consentidas. Si la persona solo quiere una respuesta, debe poder enviarla sin aceptar publicidad que no sea necesaria para atenderla.
El artículo 21 LSSI establece reglas específicas para correo electrónico y medios equivalentes. Además de comunicaciones solicitadas o expresamente autorizadas, contempla una excepción limitada para una relación contractual previa, datos de contacto obtenidos lícitamente y productos o servicios de la propia empresa similares a los contratados, con oposición sencilla y gratuita al recogerlos y en cada envío. No extienda esa excepción a cualquier tercero del grupo ni a una lista comprada.
MODELO: BOLETÍN OPCIONAL
☐ Quiero recibir por correo electrónico [contenido comercial definido]
de [responsable identificado]. Puedo darme de baja mediante [medio sencillo].
Información de privacidad de esta suscripción: [enlace o documento].
MODELO SEPARADO: COMUNICACIÓN A OTRO RESPONSABLE
☐ Consiento que [responsable de origen] comunique mis datos de [categorías]
a [otro responsable identificado] para que los utilice con la finalidad de
[finalidad concreta]. Información sobre ese tratamiento y retirada: [acceso].
Ninguna casilla se presenta marcada. La segunda no se activa al elegir la primera.
Si la campaña se basa en consentimiento, el sistema de envío debe consultar esa preferencia antes de incluir a la persona. Guarde separadas las autorizaciones de cada finalidad y evite exportar una lista general de «clientes activos» que mezcle suscriptores con personas que nunca eligieron el boletín. Una buena redacción pierde utilidad si el proceso operativo ignora la selección.
5. Uso de fotografías e imágenes
Para una publicación voluntaria, concrete la finalidad, los soportes y el alcance previsto. Publicar en una memoria interna no es lo mismo que difundir una imagen en una red social abierta. Explique las diferencias de forma comprensible y permita decisiones separadas cuando sean finalidades distintas. Evite una autorización genérica para «cualquier medio, para siempre», especialmente cuando la persona no puede prever usos futuros.
El derecho a la propia imagen tiene además su régimen en la Ley Orgánica 1/1982. No debe confundirse su autorización civil con la base de protección de datos ni trasladarse automáticamente la edad de consentimiento de la LOPDGDD a todos los requisitos relativos a imágenes de menores. El modelo necesita una revisión específica si concurren esas circunstancias o finalidades comerciales complejas.
MODELO: PUBLICACIÓN VOLUNTARIA DE IMAGEN
☐ Consiento que [responsable] trate mi imagen captada en [actividad]
para [finalidad], mediante [soportes y alcance definidos].
Esta elección es opcional y puedo retirarla por [medio accesible].
La retirada no afecta a la licitud del tratamiento basado en el consentimiento
antes de retirarlo. Se atenderá el cese de los usos posteriores y la supresión
que proceda conforme a la normativa aplicable.
Información completa sobre destinatarios, conservación y derechos: [acceso].
Autorizaciones adicionales de imagen necesarias en este caso: [identificar].
La retirada no convierte retroactivamente en ilícita una publicación que era lícita, pero mantener una fotografía accesible puede constituir tratamiento posterior. No prometa que «los usos ya realizados nunca se verán afectados» como autorización para dejarla indefinidamente en línea. Identifique los soportes controlados por la organización y las actuaciones que procedan respecto de otros destinatarios, sin garantizar la desaparición de copias ajenas que no puede controlar.
6. Menores: edad, representación y excepciones
En España, el artículo 7 LOPDGDD sitúa en catorce años la edad de referencia para fundar el tratamiento en el consentimiento del menor, con la excepción de actos o negocios para los que la ley exige asistencia de quienes ejercen patria potestad o tutela. Para menores de catorce años, cuando esa sea la base, se requiere el consentimiento del titular correspondiente, con su alcance. Esto no significa que todo tratamiento de datos de un menor necesite consentimiento.
El artículo 8 RGPD regula específicamente los servicios de la sociedad de la información ofrecidos directamente a niños cuando se apoyan en consentimiento. Hay que realizar esfuerzos razonables para comprobar la autorización parental cuando proceda, atendiendo a la tecnología disponible. Pedir a cualquiera que marque «soy su tutor» puede ser insuficiente en determinadas circunstancias; exigir indiscriminadamente copias completas de documentos también puede resultar excesivo.
Las Directrices 05/2020 del CEPD, en su apartado 150 y conforme al considerando 38, recuerdan que no se requiere autorización parental para servicios preventivos o de asesoramiento ofrecidos directamente al niño, incluido un chat de protección infantil. Es una excepción específica, no una habilitación general de cualquier aplicación para menores. No debe desaparecer al resumir la regla de edad.
MODELO: REPRESENTACIÓN CUANDO SEA LEGALMENTE NECESARIA
Persona menor y referencia del tratamiento: [identificación proporcionada].
Persona que presta o autoriza el consentimiento: [identidad].
Condición y alcance de representación: [patria potestad o tutela pertinente].
Finalidad concreta autorizada y datos afectados: [descripción].
Información entregada y versión: [referencia].
Decisión afirmativa: [acción o declaración]. Fecha: [dato].
Forma de retirada: [canal accesible].
Comprobación razonable de representación realizada por el responsable:
[método y resultado, sin acumular documentación innecesaria].
En centros educativos y actividades con menores, diferencie la actividad educativa necesaria de la difusión opcional de imágenes. La información también debe ser adecuada a la comprensión del menor. Si hay dudas sobre representación, conflicto entre titulares o una autorización de imagen distinta, resuélvalas antes de publicar; una declaración estándar no elimina esos problemas.
7. Consentimiento explícito y categorías especiales
Cuando se utiliza la excepción del artículo 9.2.a, el consentimiento debe ser explícito y referirse a las finalidades especificadas. Esto no convierte el consentimiento en la única excepción disponible ni permite omitir una base del artículo 6. Identifique exactamente qué información sensible se trata: no toda fotografía es por sí misma un dato biométrico de categoría especial, aunque un tratamiento técnico para identificación única pueda cambiar el análisis.
El artículo 9.1 LOPDGDD añade que el consentimiento por sí solo no levanta la prohibición cuando la finalidad principal es identificar ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico. No se limita a cuatro categorías ni utiliza la condición de finalidad «única». Antes de presentar una casilla, compruebe si la excepción elegida es legalmente utilizable en ese tratamiento.
MODELO: CONSENTIMIENTO EXPLÍCITO, SI RESULTA JURÍDICAMENTE ADMISIBLE
Declaro expresamente que consiento el tratamiento por [responsable]
de mis datos de [categoría especial concreta] para [finalidad especificada].
He recibido la información [versión y acceso] y conozco cómo retirar
mi consentimiento mediante [procedimiento accesible].
Acción o declaración explícita registrada: [método].
Comprobar que el formulario respeta la elección
Antes de utilizar el modelo, recorra un caso completo con datos ficticios. Una persona envía una consulta y rechaza el boletín: debería recibir la respuesta solicitada sin incorporarse a la campaña. Otra acepta publicidad propia, pero no comunicar sus datos a otro responsable: la exportación correspondiente debe respetar esa diferencia. Estas comprobaciones permiten detectar que el texto promete opciones que el sistema todavía no distingue.
Examine también lo que sucede cuando una persona modifica una elección. Si vuelve a completar un formulario para otra finalidad, no debería reactivarse por defecto una suscripción anteriormente retirada. La nueva interacción necesita interpretarse según lo que se ha presentado y elegido en ese momento. Conservar las preferencias por finalidad evita atribuir a una acción reciente un alcance que la persona no podía entender.
Los formularios en papel necesitan el mismo cuidado. Quien transcribe una respuesta no debe completar casillas vacías por considerar que la persona probablemente quería aceptar. Defina cómo se resuelven marcas ambiguas, cómo se relaciona el documento con la versión informativa y qué ocurre si falta una página. La necesidad de acreditar una decisión no justifica reconstruir retrospectivamente un consentimiento que no puede demostrarse.
Revise por último los cambios del propio texto. Corregir una errata no tiene el mismo alcance que añadir un destinatario responsable o una finalidad diferente. Documente qué versión sustituye a cuál y si el cambio requiere una nueva decisión de las personas afectadas. Actualizar una política publicada no amplía automáticamente los consentimientos obtenidos anteriormente ni elimina la obligación de explicar la nueva propuesta antes de utilizar los datos.
8. Retirada y evidencia proporcionada
Retirar el consentimiento debe ser tan fácil como prestarlo. Diseñe el mecanismo antes de iniciar el tratamiento y comuníquelo previamente. Una baja debe llegar a las listas, proveedores y procesos que ejecutan esa finalidad. No basta con contestar «recibido» mientras el siguiente envío utiliza una copia antigua. Si quedan datos por una obligación distinta o para atender responsabilidades, limite ese tratamiento a su fundamento y explíquelo.
Para demostrar la decisión, relacione a la persona o identificador pertinente con la finalidad, el texto mostrado, su versión, el momento y la acción afirmativa. El RGPD no impone registrar siempre la IP ni usar doble confirmación en todos los casos. Escoja pruebas adecuadas al contexto y aplique minimización, evitando recoger más información que la necesaria para demostrar la autorización.
La evidencia debe conservarse durante un período justificado, sin mantener indefinidamente datos porque alguna vez existió un consentimiento. Distinga la preferencia actual de la prueba histórica y limite accesos. Una solicitud de supresión o el ejercicio de otros derechos RGPD puede requerir actuaciones adicionales a desactivar una suscripción.
El registro de actividades debe describir el tratamiento correspondiente; no es una lista nominativa de todas las autorizaciones. Al evaluar software de cumplimiento, compruebe con un caso concreto si recupera las versiones y propaga las retiradas. Integre estas decisiones en la checklist RGPD y, cuando haya rastreo web, revise también los modelos sobre cookies.
FAQ
¿Basta con una casilla vacía?
No. Hace falta una elección libre, informada y específica, acompañada de una acción inequívoca y prueba suficiente. Revise también el rechazo, la retirada y la correspondencia entre el texto y las operaciones reales.
¿Tengo que pedir de nuevo el consentimiento cada año?
No existe una caducidad anual universal en el RGPD. La vigencia depende del contexto, el alcance de la información y los cambios del tratamiento. Si se pretende una finalidad nueva no cubierta, no puede ampliarse silenciosamente la autorización original.
¿La edad de catorce años permite cualquier tratamiento?
No. Es una regla sobre consentimiento con condiciones y excepciones, no una habilitación general. Deben respetarse finalidad, necesidad, información, capacidad para actos concretos y, cuando proceda, las reglas específicas sobre servicios dirigidos a niños o derecho a la propia imagen.