Firma de email y RGPD: datos de la plantilla, medición de clics y encargados del tratamiento
Foto, teléfono, estadísticas de banners, proveedor: lo que implica el RGPD para las firmas de email, para la plantilla, los destinatarios y el proveedor.
El equipo de Soniako Publicado el 4 min de lectura
Una firma de email parece inofensiva desde el punto de vista de la protección de datos. Sin embargo, afecta a tres grupos de personas: la plantilla, cuyos datos aparecen en ella; los destinatarios, cuyas interacciones quizá midas; y el proveedor que lo gestiona todo. Estos son los puntos de atención para cada uno.
Este artículo es información general, no asesoramiento jurídico. Implica a tu DPD o a tu asesor en tus decisiones.
1. Los datos de la plantilla
Una firma contiene datos personales: nombre, cargo, teléfono y, a veces, foto y perfil de LinkedIn.
Datos de contacto profesionales
El nombre, el cargo, el email y el teléfono profesionales son necesarios para la actividad de la empresa. Mostrarlos en la firma suele basarse en el interés legítimo del empleador o en la ejecución del contrato de trabajo. Basta con informar a la plantilla, por ejemplo en la cláusula informativa de RR. HH.
Número de móvil
Un móvil de empresa sigue la misma lógica. Un número personal nunca debería publicarse sin el consentimiento explícito de la persona.
Foto de perfil
La foto es más delicada. La recomendación prudente: que sea opcional. Cada persona debe poder negarse a que su foto aparezca en su firma, sin consecuencias. Si la foto viene del directorio (Google Workspace, Microsoft 365), comprueba que su uso en la firma sea conocido y aceptado.
Minimización
Muestra solo lo útil. Cada campo adicional (dirección personal, fecha de nacimiento, etc.) necesita una justificación, que casi nunca existe.
2. Los datos de los destinatarios
Si tus firmas incluyen banners medidos (impresiones, clics), estás tratando datos de los destinatarios de tus emails.
Los clics
La medición de clics suele hacerse mediante un enlace de redirección. A nivel agregado («240 clics en la campaña»), el impacto es limitado. Un seguimiento individual («este destinatario hizo clic») es más intrusivo y requiere más justificación.
Las impresiones
Contar las cargas de una imagen funciona de forma parecida a los píxeles de seguimiento. Las autoridades europeas de protección de datos prestan cada vez más atención al seguimiento en los emails y a la cuestión del consentimiento. Para limitar el riesgo:
- prioriza las estadísticas agregadas por campaña;
- evita perfilar individualmente a los destinatarios;
- documenta el tratamiento en tu registro de actividades;
- informa con transparencia, por ejemplo con un enlace a tu política de privacidad en la firma.
Consulta también medir el ROI de la firma.
3. El proveedor de gestión de firmas
Una solución de gestión de firmas accede a tu directorio y trata los datos de tu plantilla: es un encargado del tratamiento según el RGPD. Comprueba:
| Punto de control | Por qué |
|---|---|
| Contrato de encargo del tratamiento (DPA) | Obligatorio (artículo 28 del RGPD) |
| Ubicación del alojamiento | Alojar en la UE simplifica el cumplimiento |
| Subencargados | Saber quién más accede a los datos |
| Alcance del acceso al directorio | Limitado a los atributos necesarios |
| Cifrado y copias de seguridad | Seguridad del tratamiento (artículo 32) |
| Plazos de conservación | Supresión de los datos de quienes se van |
Estos puntos forman parte de los criterios para elegir herramienta: consulta cómo elegir un software de firmas de email.
4. Las bajas
Cuando alguien deja la empresa, sus datos de firma deben suprimirse o desactivarse en un plazo razonable. La sincronización con el directorio lo hace automáticamente: una cuenta desactivada deja de recibir firma. Consulta las altas y bajas de empleados.
Lista de comprobación RGPD para tus firmas
- Plantilla informada de los datos que aparecen en su firma
- Ningún número personal sin consentimiento explícito
- Foto opcional, con posibilidad de negarse
- Estadísticas de banners agregadas, sin perfiles individuales
- Tratamiento inscrito en el registro de actividades
- DPA firmado con el proveedor
- Alojamiento y subencargados conocidos
- Supresión de los datos cuando alguien se va
Para la obligación de mostrar los datos de la empresa, consulta los requisitos legales de la firma.