¿Puedo copiar la política de privacidad de otra persona?

Leer otras políticas es una forma sensata de aprender. El objetivo es tomar prestadas la estructura y las ideas, nunca las frases. Un método práctico:

1. Lee tres o cuatro políticas de negocios parecidos al tuyo, incluida al menos una que opere en tu mercado principal
2. Anota los temas que cubren y el orden que siguen, no su redacción
3. Fíjate en qué hace fácil de leer una política, como los resúmenes, las tablas y las instrucciones claras para hacer solicitudes
4. Cierra esas pestañas y elabora tu propio inventario de datos a partir de tu producto, tus formularios y tus proveedores
5. Escribe cada sección con tus propias palabras a partir de ese inventario
6. Compara tu esquema con un checklist del contenido obligatorio para detectar huecos
7. Comprueba que tu banner de consentimiento, las etiquetas de las tiendas de apps y la política dicen lo mismo

Si quieres la misma estructura con menos trabajo manual, el generador de políticas de privacidad te pregunta por cada tema en lenguaje sencillo y compone la redacción a partir de una biblioteca de cláusulas versionadas. Como el texto se selecciona a partir de tus respuestas en lugar de copiarse de un tercero, describe tu producto y no el de otra persona.

Aunque los derechos de autor no fueran un problema, una política copiada describe el negocio de otra empresa. Piensa en lo que suele fallar cuando una pequeña tienda online copia la política de una gran empresa de software:

• Nombra a la entidad legal, la dirección y el contacto de privacidad equivocados
• Enumera proveedores que la tienda no usa y omite los que sí usa, como su procesador de pagos y su plataforma de correo
• Describe funciones que la tienda no tiene, como apps móviles, asistentes de voz o cuentas empresariales
• Promete procesos de solicitud, plazos de respuesta y herramientas de exclusión que la tienda nunca ha creado
• Alega bases jurídicas, transferencias de datos y plazos de conservación que no se corresponden con la realidad
• Cubre regiones a las que la tienda no da servicio y omite aquellas a las que sí

Cada discrepancia es una declaración falsa sobre cómo se trata la información personal. Los lectores no pueden ejercer sus derechos a través de datos de contacto que pertenecen a otra persona, y cualquiera que revise tu producto, desde un revisor de apps hasta un cliente empresarial, puede detectar la diferencia entre la política y lo que hace realmente tu web.

Normalmente, sí. Una política de privacidad es un texto escrito, y los textos escritos suelen estar protegidos por derechos de autor como obras originales. Según la Oficina de Derechos de Autor de EE. UU. (U.S. Copyright Office), una obra está protegida desde el momento en que se crea y se fija en un soporte tangible, y el registro suele ser voluntario. Que no haya un aviso de copyright en el pie de página no significa que puedas llevarte el texto.

Los derechos de autor tienen límites que aquí importan. La Copyright Office explica que no protegen hechos, ideas, sistemas ni métodos de funcionamiento, y tampoco nombres, títulos, eslóganes ni frases cortas. Eso significa que los temas que cubre una política de privacidad, como las categorías de datos, las finalidades, los derechos y la conservación, puede tratarlos cualquiera. Lo que puede estar protegido es la expresión concreta de un autor: las frases específicas, las decisiones de estructura y las explicaciones que escribió.

Las normas varían de un país a otro, y la mayoría de los países protegen las obras automáticamente, sin registro. Esto es una explicación general, no asesoramiento jurídico. La conclusión práctica es sencilla: reutilizar las ideas está bien, mientras que copiar la redacción de otra persona en bloque es un riesgo que no necesitas correr.

Puede, porque una política de privacidad se trata como un conjunto de promesas sobre hechos. En Estados Unidos, el artículo 5 de la Ley de la Comisión Federal de Comercio (FTC Act) prohíbe los actos o prácticas desleales o engañosos en el comercio o que lo afecten, y la FTC ha presentado muchos casos contra empresas cuyas declaraciones de privacidad no coincidían con sus prácticas reales. La mayoría de los estados tienen sus propias leyes de protección del consumidor que cubren conductas similares.

California añade una norma específica. La CalOPPA exige a las webs comerciales y servicios en línea que recogen información de identificación personal de residentes en California que publiquen una política con un contenido determinado, y su artículo 22576 considera una infracción no cumplir tu propia política publicada, ya sea a sabiendas y de forma deliberada o por negligencia y de manera sustancial. Una política copiada que promete prácticas que no sigues es exactamente ese tipo de exposición.

Da igual que las palabras las escribiera otra persona. En cuanto las publicas como tu política, son tus declaraciones sobre tu negocio, y eres responsable de que sean ciertas.

Si das servicio a personas del Espacio Económico Europeo o del Reino Unido, el RGPD concreta aún más la exigencia de exactitud. El artículo 13 te obliga a facilitar, en el momento de la recogida, tu identidad y tus datos de contacto, los datos de contacto del delegado de protección de datos si lo hay, las finalidades y la base jurídica del tratamiento, los destinatarios, las transferencias fuera de la región y sus garantías, los plazos de conservación o sus criterios, los derechos disponibles y el derecho a reclamar ante una autoridad de control.

Una política copiada incumple la mayoría de estos puntos desde el primer día. Nombra a otro responsable del tratamiento, describe otro conjunto de finalidades y enumera los encargados de otra empresa. El artículo 5(1)(a) exige además que el tratamiento sea lícito, leal y transparente, y el artículo 12 pide la información de forma concisa, transparente, inteligible y de fácil acceso.

Las infracciones de las disposiciones sobre transparencia y derechos de los artículos 12 a 22 entran en el tramo superior de multas del RGPD. Pero no hace falta esperar una multa para ver el problema: un aviso que describe el tratamiento de otra persona sencillamente no informa a tus usuarios, que es el sentido de tenerlo. La guía de la política de privacidad según el RGPD enumera cada elemento obligatorio.

Pueden hacerlo, y un texto copiado hace más probable el rechazo. La política de Datos de usuario de Google Play exige una política de privacidad que incluya información del desarrollador y un punto de contacto de privacidad, que indique los tipos de datos de usuario personales y sensibles a los que la app accede y que recoge, usa y comparte, y que explique el tratamiento seguro y la política de conservación y eliminación del desarrollador. Una política con el nombre y los datos de contacto de otra empresa no cumple esa descripción.

De forma similar, la directriz 5.1.1(i) de Apple exige que la política indique qué datos recoge la app, cómo los recoge y todos sus usos, y que explique la conservación, la eliminación y cómo pueden los usuarios revocar el consentimiento o solicitar la eliminación. Los revisores de las tiendas también comparan la política con las etiquetas de privacidad y las respuestas de Seguridad de los datos que enviaste; las incoherencias entre ellas son un motivo habitual de preguntas adicionales.

Otras plataformas aplican una lógica parecida. La verificación de Google OAuth, las fichas de Chrome Web Store y los proveedores de pago esperan que la política describa tu producto. Copiar ahorra minutos y puede costarte días de reenvíos.

Las plantillas son distintas de copiar porque se ofrecen para reutilizarse. Su autor espera que las adaptes, y sus condiciones te dicen qué puedes hacer. Antes de usar cualquier plantilla, comprueba tres cosas:

• La licencia: algunas plantillas se pueden usar y editar gratis, otras exigen atribución y otras prohíben el uso comercial o la redistribución
• La fecha: una plantilla escrita antes de cambios legales recientes puede carecer de elementos obligatorios
• El encaje: una plantilla pensada para un blog no cubrirá una app con compras integradas y SDK de publicidad

Algunas organizaciones publican sus propias políticas con licencias abiertas como Creative Commons. Si una política tiene una licencia así, puedes reutilizarla en las condiciones indicadas, que pueden incluir la atribución y compartir tu versión adaptada con la misma licencia. El permiso resuelve la cuestión de los derechos de autor, pero no la de la exactitud: sigues teniendo que reescribir cada hecho.

Un enfoque mejor es una plantilla que se adapte a tus respuestas en lugar de una que edites a mano. La página de la plantilla de política de privacidad explica cómo puede cambiar una estructura según el servicio que describas.

Tienes tres vías realistas, y todas empiezan por lo mismo: un inventario honesto de lo que recoges y por qué.

• Redactarla tú: gratis y totalmente bajo tu control si sigues un proceso metódico. La guía paso a paso sobre cómo redactar una política de privacidad incluye un checklist que puedes usar mientras escribes.
• Usar un generador: más rápido y coherente, siempre que pregunte por tus prácticas reales. El cuestionario y la vista previa completa de Legal Policy Generator son gratis y sin cuenta, y la descarga simple en HTML y PDF es gratuita.
• Contratar a un abogado: la opción adecuada cuando tratas datos sensibles, das servicio a menores, vendes o compartes datos para publicidad o tienes clientes empresariales exigentes.

Elijas la vía que elijas, el coste suele ser menor de lo que se piensa; cuánto cuesta una política de privacidad compara las opciones. Cualquiera de ellas es más segura que copiar, porque cada una produce un documento que describe tu negocio y no el de otra persona.