GDPR para equipos de marketing: los principios que importan

Cuando le aplica a una empresa chilena, los siete principios traducidos a decisiones de campaña, las seis bases de licitud y el artículo 21, que está escrito casi literalmente para marketing directo.

El GDPR tiene noventa y nueve artículos y casi nadie en un equipo de marketing va a leerlos. Tampoco hace falta: el trabajo diario se juega en unos pocos, y hay uno —el 21— escrito casi literalmente para lo que hacemos.

Esto no es asesoría jurídica. Es la lectura operativa de lo que cambia en una campaña concreta. Todos los artículos citados salen del texto oficial del Reglamento (UE) 2016/679 en EUR-Lex.

Primero: te aplica?

La pregunta importa porque la respuesta más común en Chile es «no, salvo que…», y ese «salvo que» aparece más seguido de lo que parece. El artículo 3.2 extiende el Reglamento a responsables no establecidos en la Unión cuando el tratamiento se relaciona con:

ofrecer bienes o servicios a personas que están en la Unión —con o sin pago de por medio—, o
observar su comportamiento, en la medida en que ese comportamiento ocurra dentro de la Unión.

Leelo dos veces, porque el segundo punto es el que engancha a una operación de marketing. No se trata de tener oficina en Europa: si segmentás campañas hacia países europeos, o si tu sitio rastrea a visitantes que están ahí, estás en el terreno del punto 2.

Los siete principios, y que prohibe cada uno

Los principios del artículo 5 se leen como una lista abstracta. Traducidos a decisiones concretas de marketing, cada uno descarta algo que se hace todos los días:

Principio (art. 5)	Lo que prohibe en la practica
Licitud, lealtad y transparencia	Recolectar de un modo que la persona no entenderia si se lo explicaras.
Limitacion de la finalidad	Usar para B un dato que pediste para A.
Minimizacion de datos	Pedir el telefono "por si acaso" en un formulario que solo manda un PDF.
Exactitud	Dejar correr una base desactualizada que segmenta mal a la gente.
Limitacion del plazo de conservacion	Guardar leads de 2019 en la lista activa porque nadie definio un plazo.
Integridad y confidencialidad	Compartir el export por un canal abierto o dejar accesos sin revisar.
Responsabilidad proactiva (art. 5.2)	Cumplir sin poder demostrarlo.

Y hay un octavo que no está en el artículo 5 sino en el 25: protección de datos desde el diseño y por defecto. El apartado 2 es el más concreto de todo el Reglamento para un equipo de producto: por defecto solo deben tratarse los datos personales necesarios para cada finalidad específica, y eso aplica a la cantidad recogida, a la extensión del tratamiento, al plazo de conservación y a su accesibilidad.

Seis bases de licitud, no una

El reflejo de pedir consentimiento para todo viene de no conocer la lista. El artículo 6.1 admite seis fundamentos, y basta con que se cumpla uno:

Consentimiento del interesado para una o varias finalidades específicas.
Contrato: el tratamiento es necesario para ejecutarlo, o para pasos previos pedidos por la persona.
Obligación legal aplicable al responsable.
Intereses vitales de la persona o de otra.
Misión de interés público o ejercicio de poderes públicos.
Interés legítimo del responsable o de un tercero, salvo que prevalezcan los intereses o derechos de la persona —con especial cuidado si es menor.

Para marketing los que importan son el primero, el segundo y el sexto. El interés legítimo es una base real, no un atajo: exige la ponderación, y el propio artículo dice que cede cuando los derechos de la persona prevalecen.

Articulo 21: el que esta escrito para marketing

Si hay que quedarse con uno solo, es este. El apartado 2 dice que cuando los datos se tratan con fines de marketing directo, la persona tiene derecho a oponerse en cualquier momento, incluida la elaboración de perfiles ligada a ese marketing. Y el apartado 3 cierra la puerta: a partir de la oposición, los datos ya no se tratan para esos fines.

Notá la diferencia con el apartado 1. Para el resto de las oposiciones el responsable todavía puede demostrar motivos legítimos imperiosos que prevalezcan. Para marketing directo no hay ponderación: la persona se opone y se acabó.

Y el apartado 4 es el que casi nadie implementa: ese derecho debe ponerse en conocimiento del interesado a más tardar en la primera comunicación, de forma explícita, clara y separada de cualquier otra información. No es una línea gris en el pie del correo mezclada con el aviso legal: es un bloque propio, en el primer mensaje.

Vale mirar también el artículo 22, que da derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado —perfilado incluido— cuando producen efectos jurídicos o afectan significativamente a la persona. Si estás automatizando scoring de leads con consecuencias reales, ese artículo te mira a vos.

Como se ve un consentimiento valido

El artículo 7 pone condiciones que se traducen directo a una interfaz:

El responsable debe poder demostrar que la persona consintió. Sin evidencia, no hay consentimiento.
Si la solicitud va dentro de una declaración que trata otros asuntos, debe presentarse de forma claramente distinguible, inteligible y en lenguaje claro.
Se puede retirar en cualquier momento, y —esta es la frase que más incumple la web— retirarlo debe ser tan fácil como darlo.

Esa última condición es la que ordena cómo debe verse un banner de cookies: si aceptar es un botón y rechazar está a tres clics de profundidad, el diseño ya contesta la pregunta. En nuestro propio sitio aceptar y rechazar tienen el mismo tamaño y el mismo peso, y hay una entrada en el pie para volver a cambiar la decisión.

En que se diferencia Chile

Si ya estás mirando la Ley 21.719, buena parte del trabajo sirve para las dos. Las diferencias que conviene tener presentes:

Bases de licitud. El Reglamento enumera seis; el marco chileno se articula sobre cuatro —consentimiento, contrato, obligación legal e interés legítimo—, que son justamente las que más se usan en marketing.
El plazo de brechas coincide. 72 horas en los dos, aunque el matiz difiere: el artículo 33 exime cuando sea improbable que la brecha suponga un riesgo, y pide explicar el retraso si se notifica tarde.
La lógica de fondo es la misma. Responsabilidad demostrable, minimización, finalidad, seguridad y privacidad desde el diseño. Un programa hecho para uno cubre la mayor parte del otro.

Por eso conviene no montar dos programas separados. Se construye uno sobre el estándar más exigente que te aplique, y se documenta cuál obligación viene de dónde.

Preguntas frecuentes

Mi empresa esta en Chile. Me aplica el GDPR? Puede aplicarte. El articulo 3.2 lo extiende a responsables fuera de la Union cuando el tratamiento se relaciona con ofrecer bienes o servicios a personas que estan en la Union, o con observar su comportamiento en la medida en que ocurra dentro de ella. Tener visitantes europeos no es el criterio; apuntarles o rastrearlos si.
El interes legitimo es una forma de saltarse el consentimiento? Es una base de licitud propia (articulo 6.1.f), no un atajo. Exige ponderar contra los derechos y libertades de la persona, y no se sostiene cuando esos prevalecen. Tampoco sobrevive a una oposicion al marketing directo.
Alguien puede darse de baja aunque yo tenga base de licitud? Si. El articulo 21.2 da un derecho incondicional a oponerse en cualquier momento al tratamiento con fines de marketing directo, y el 21.3 dice que a partir de ahi los datos ya no se tratan para esos fines. Para este derecho no hay ponderacion que valga.
Cuanto tiempo tengo para reportar una brecha? El articulo 33 exige notificar a la autoridad de control sin dilacion indebida y, de ser posible, en un plazo maximo de 72 horas desde que se tuvo conocimiento, salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas. Si se notifica tarde, hay que explicar por que.