Web de boda RGPD: código de invitación, privacidad y hosting

Casi todos los artículos sobre protección de datos en bodas están escritos para un solo país y traducidos para los demás. Esta guía intenta lo contrario: primero separa lo que depende de dónde vivís de lo que no depende de nada, y después dice qué hacer en cada caso.

Lo que no depende de nada es la parte estructural: qué se pregunta, quién lo ve y cuánto tiempo se guarda. Eso vale igual en Sevilla que en Bogotá, y es donde se resuelve casi todo. Cómo se separa en la práctica la mitad pública de la mitad privada se explica en contraseña o código de invitación.

En cualquier web de boda hay dos partes que tratan datos y no responden de lo mismo.

Vosotros lo hacéis como particulares, para una celebración privada. En la Unión Europea existe una excepción para la actividad puramente personal o doméstica, y una lista de invitados de una boda privada suele entrar dentro. Pero esa excepción se ha entendido siempre de forma estrecha: deja de amparar lo que se publica abierto en internet al alcance de cualquiera. Es decir, la lista privada detrás de un acceso está protegida por la excepción; los mismos nombres publicados en una página abierta, no. Ahí está la razón de fondo de que la parte de invitados no deba ser pública, y es una razón bastante más sólida que la estética.

El proveedor no está amparado por ninguna excepción, en ningún país. Trata esos datos por encargo y con ánimo comercial, y por eso es a él a quien se le pueden exigir garantías concretas. La consecuencia práctica es cómoda: la mayor parte de vuestras obligaciones se cumplen eligiendo bien y dejándolo por escrito, no rellenando formularios.

Aquí es donde las traducciones fallan. El RGPD es una norma europea, y quien lo cita como si valiera en todo el mundo hispanohablante está afirmando algo falso para la mayoría de quienes leen esto.

• España. Se aplica el RGPD directamente y, junto a él, la Ley Orgánica 3/2018 de protección de datos personales y garantía de los derechos digitales. La autoridad de control es la Agencia Española de Protección de Datos.
• México. Rige la ley federal de protección de datos personales en posesión de los particulares, con su propio esquema de aviso de privacidad, que no es lo mismo que una política de privacidad europea.
• Argentina. La Ley 25.326 de protección de los datos personales, anterior al RGPD y con obligaciones formales propias.
• Colombia. La Ley 1581 de 2012, con su régimen de autorización previa del titular.
• Chile. La Ley 19.628, reformada en los últimos años.

Todas se parecen en el principio de fondo: pedid solo lo necesario, decid para qué lo pedís y atended a quien os pida que lo borréis. Se diferencian en lo formal, sobre todo en qué hay que firmar con quien trata los datos por vosotros y en qué se debe informar por adelantado.

Y hay un cruce que conviene entender, porque decide bastante. Si el proveedor está establecido en la Unión Europea, es él quien queda sujeto al marco europeo, viváis donde viváis, y eso os beneficia sin que hagáis nada. Si vivís fuera de la Unión y contratáis a un proveedor local, quien os protege es vuestra propia ley, y donde esa ley exige menos, el documento firmado con el proveedor pasa a ser el único instrumento fiable que tenéis. Por eso la sección siguiente es la más importante de este artículo en cualquier mercado.

Estas siete preguntas funcionan igual en España, en México o en Chile, porque no dependen de ninguna ley: dependen de que la respuesta esté escrita. Mandadlas por correo antes de contratar y guardad la respuesta.

1. ¿Dónde se guardan físicamente los datos? El país concreto, no «en la nube».
2. ¿Quién tiene acceso por parte del proveedor, y en qué casos entra un técnico en vuestra cuenta?
3. ¿Qué empresas subcontratadas intervienen? Correo, almacenamiento de imágenes, estadísticas. Cada una es un sitio más donde están esos nombres.
4. ¿Cuánto tiempo se conserva todo después de que la cuenta se cierre, y se puede pedir el borrado antes?
5. ¿Podéis descargarlo todo en un archivo, en cualquier momento y sin coste?
6. ¿Se usan esos datos para algo más? Publicidad, cesión a terceros o entrenamiento de sistemas automáticos. La respuesta correcta es un no por escrito.
7. ¿Qué pasa si hay una brecha de seguridad? A quién avisan, en cuánto tiempo y por qué medio.

Si alguna respuesta llega en forma de enlace a un texto general de treinta páginas, volved a preguntar. Un proveedor que trabaja con listas de invitados sabe contestar estas siete cosas en un párrafo, y el que no sabe ya os ha dado una respuesta.

La parte que de verdad reduce el riesgo no está en ningún documento legal, está en cinco decisiones vuestras.

• No preguntéis lo que no vais a usar. Una fecha de nacimiento sin consecuencia es un dato que os toca custodiar a cambio de nada.
• No subáis la agenda entera. Importar todos los contactos «por si acaso» mete en el sistema a gente que ni siquiera está invitada.
• Tratad las alergias como lo que son. Un aviso médico va a la cocina, no al chat familiar ni a una tarjeta de sitio.
• No publiquéis la combinación completa. Nombre y apellidos, más el día y la hora exactos en que esa casa estará vacía, es exactamente lo que no debería ser público.
• Poned fecha de caducidad. Cuando estén enviados los agradecimientos, la mayoría de los campos ya no tienen ninguna razón de ser.

Las cinco valen en cualquier jurisdicción y ninguna cuesta dinero. Quién puede ver la lista mientras tanto, que es la otra mitad de esta decisión, se trata en la lista de invitados online, y el caso particular de las imágenes, en la galería con subida de invitados.

No hace falta un texto legal para una boda, pero sí una nota corta junto al formulario. En España se le llama información sobre protección de datos y en México, aviso de privacidad; el nombre cambia y el contenido útil es el mismo.

1. Quién pregunta. Vuestros nombres, no el de la herramienta.
2. Para qué. Organizar la celebración: comida, sitio y transporte.
3. Quién lo ve. Vosotros dos y, en lo imprescindible, el restaurante o el catering.
4. Hasta cuándo. Una fecha, aunque sea aproximada. «Hasta tres meses después de la boda» ya es una respuesta.
5. Cómo se corrige o se borra. Una dirección de correo vuestra, que funcione.

Escrito así, en cinco frases y sin jerga, cumple su función en todos los mercados de esta guía y además hace algo que ningún texto legal consigue: los invitados responden con más confianza cuando saben adónde va lo que escriben.