Por qué una lista de invitados es un dato personal
El Reglamento General de Protección de Datos se aplica cuando trata información sobre personas identificables en la Unión Europea y el Espacio Económico Europeo; en España lo completa la LOPDGDD, y la AEPD es la autoridad de control. Cualquier lista de invitados entra en su ámbito: basta un nombre y un correo. También un registro de acceso que anota quién entró y a qué hora, y una galería de fotos en la que se reconoce a los invitados.
Algunas respuestas exigen un cuidado especial. Una indicación alimentaria que revela una religión, una alergia o una necesidad de accesibilidad puede considerarse una categoría especial de datos, como los de salud. Pídala solo si va a usarla y compártala solo con quien tenga que actuar.
Una base jurídica para cada finalidad
El RGPD pide una base jurídica por finalidad, no una para todo el evento. Invitar a la plantilla a un evento de empresa, gestionar la confirmación de un invitado y dejarle entrar suelen apoyarse en fundamentos distintos de añadirle después a una lista comercial. Escriba cada finalidad con su base antes del primer envío.
- Contrato o medidas precontractuales: un invitado se inscribe o reserva una plaza y usted necesita sus datos para cumplir.
- Interés legítimo: por ejemplo invitar a contactos profesionales existentes, ponderado con lo que los invitados pueden esperar razonablemente.
- Consentimiento: para todo lo opcional, como comunicaciones comerciales tras el evento o compartir datos con un patrocinador; libre, específico, informado y tan fácil de retirar como de dar.
- Obligación legal: cuando una norma exige conservar un registro, como ciertos documentos fiscales.
Recoger solo lo que el evento necesita
La minimización de datos es el principio que más problemas ahorra. Cada campo de un formulario de confirmación es un campo que hay que proteger, explicar y algún día borrar. Antes de añadir una pregunta, piense qué hará con la respuesta y quién la verá. La fecha de nacimiento, la dirección particular y el cargo se piden muchas veces por costumbre y nunca se usan.
Informe a los invitados, en el momento de recoger los datos, de qué recoge y para qué, con palabras sencillas: una breve nota junto al formulario con un enlace a la política de privacidad completa. Indique quién es el responsable, para qué se usan los datos, a quién se comunican y cuánto tiempo se conservan.
Un consentimiento que signifique algo
Cuando se apoye en el consentimiento, debe ser una elección real. Una casilla premarcada o un consentimiento escondido en unas condiciones generales no vale. Pregunte por separado para cada finalidad opcional, guarde constancia de quién aceptó qué y cuándo, y haga fácil cambiar de opinión.
Lo mismo vale para fotos y vídeos. Avise en la invitación y en la entrada si el evento se fotografía o se graba, ofrezca cuando pueda una forma de no aparecer y piénselo dos veces antes de publicar imágenes reconocibles de invitados que no lo esperaban.
Patrocinadores, expositores y otros destinatarios
Dar la lista de asistentes a un patrocinador porque pagó un stand es uno de los errores de privacidad más frecuentes en los eventos. Un patrocinador es otra organización; comunicarle los datos de los invitados requiere normalmente el acuerdo propio y específico de cada invitado. El esquema más seguro: cada visitante decide en el stand si comparte sus datos con ese patrocinador, y esa decisión queda registrada.
Sus proveedores son otro caso. Una plataforma de inscripción, un servicio de correo o una imprenta de acreditaciones que trata datos por su cuenta es un encargado del tratamiento, y necesita un contrato de encargo por escrito con cada uno. Compruebe dónde se alojan los datos y qué pasa con ellos al terminar el contrato.
Protegerlos y guardarlos solo el tiempo necesario
La seguridad forma parte del reglamento, no es un añadido. Limite quién del equipo ve la lista completa, no haga circular hojas de cálculo de invitados por correo, proteja los dispositivos de acceso y retire los permisos al acabar el evento. Si algo sale mal, por ejemplo una lista enviada a quien no debía, el RGPD pide evaluarlo rápido y, si supone un riesgo para las personas, notificarlo a la AEPD sin dilación indebida y, si es posible, en un plazo de 72 horas.
Fije un plazo de conservación para cada tipo de dato y respételo. Un registro de acceso puede necesitarse unas semanas, la lista de quienes quieren saber de próximos eventos más tiempo, una indicación alimentaria nada en absoluto una vez terminada la cena.
Solicitudes de acceso y supresión de los invitados
Los invitados pueden preguntar qué datos tiene sobre ellos, pedir que los rectifique o que los suprima. Con el RGPD dispone normalmente de un mes para responder. Decida de antemano quién atiende estas solicitudes, cómo comprueba la identidad de quien pide y dónde buscará, incluidas las hojas de cálculo en portátiles y las exportaciones enviadas a proveedores.
- Una persona o dirección identificada para las solicitudes de privacidad.
- Un inventario de todos los lugares donde hay datos de invitados, con copias y proveedores.
- Una plantilla de respuesta breve para acceso, rectificación y supresión.
- Un registro de cada solicitud y de cuándo se respondió.
- Una comprobación de que patrocinadores y proveedores borran también sus copias, cuando corresponda.