El formulario de contacto es la puerta de entrada más usada en la web de un despacho, y también la que más datos personales recoge sin que nadie se pare a pensarlo: nombre, correo, teléfono y, muchas veces, un resumen del problema legal del cliente. Quien lo gestiona es responsable del tratamiento desde el primer envío. Esta pieza repasa qué exige de verdad el RGPD en ese formulario: cuándo hace falta casilla de consentimiento, cuándo no, y qué debe llevar el aviso que lo acompaña.
Un formulario de contacto que solo sirve para responder una consulta no necesita casilla de consentimiento: la base legal es el interés legítimo del artículo 6.1.f del RGPD. La casilla sí es obligatoria en cuanto ese mismo formulario se usa además para enviar boletines o comunicaciones comerciales.
Base legal del formulario de contacto
El RGPD obliga a fijar, antes de tratar cualquier dato, cuál de las seis bases del artículo 6 legitima ese tratamiento. Para un formulario de contacto cuyo único fin es responder una consulta, la base habitual es el interés legítimo del despacho en atender a quien le escribe, recogido en el artículo 6.1.f del texto oficial del Reglamento. No hace falta pedir consentimiento para algo que el propio visitante ha iniciado voluntariamente: enviar sus datos para recibir una respuesta.
El interés legítimo es la base del artículo 6.1.f que permite tratar datos sin consentimiento previo cuando el tratamiento es necesario para un fin legítimo del responsable y no perjudica de forma desproporcionada los derechos de quien los aporta.
Eso no libera al despacho de informar. El artículo 13 exige decir quién trata los datos, con qué fin, cuánto tiempo se conservan y a quién pueden cederse, aunque no haga falta ninguna casilla para marcarlo. Ese aviso puede ir en una línea corta bajo el botón de envío, siempre que enlace al aviso legal completo del despacho. Confundir «informar» con «pedir consentimiento» es el error más repetido en los formularios de despachos de abogados, y el que más fácil se corrige.
Consentimiento explícito solo en casos concretos
El interés legítimo cubre la respuesta puntual, no cualquier uso posterior de esos datos. En cuanto el formulario sirve para algo distinto de contestar la consulta, la base cambia y el consentimiento deja de ser opcional. Dos casos aparecen con frecuencia en la web de un despacho.
Boletines y comunicaciones comerciales
Si el formulario añade automáticamente al remitente a un boletín o a campañas de email marketing, esa casilla tiene que estar sin marcar por defecto y ser independiente de la de enviar la consulta: agrupar ambas en una sola aceptación invalida el consentimiento, porque deja de ser específico. La AEPD descarta expresamente las casillas premarcadas como forma válida de consentimiento. Enviar comunicaciones comerciales sin esa aceptación previa es justo lo que sanciona la AEPD con más frecuencia en el sector.
Consultas con datos de categoría especial
Un despacho laboral o de incapacidades recibe consultas que, sin que el formulario lo pida, incluyen datos de salud: un diagnóstico, un grado de discapacidad, una baja médica. El artículo 9 del Reglamento trata esos datos como categoría especial y exige consentimiento explícito, no basta el interés legítimo del artículo 6. La solución no es impedir que el cliente cuente su caso, sino avisar junto al campo de mensaje de que, si va a incluir datos de salud, ese tratamiento tiene una base distinta, con una casilla específica para ese supuesto, separada de la general.
Información por capas en el propio formulario
Cumplir el artículo 13 entero —responsable, finalidad, base legal, plazo de conservación, destinatarios, derechos y forma de ejercerlos— no cabe junto a un formulario de tres campos sin que el usuario lo abandone antes de enviarlo. La guía de la AEPD sobre el deber de informar resuelve esto con la información por capas: una primera capa breve junto al botón de envío, y una segunda capa completa en la política de privacidad enlazada desde ahí. La segunda capa, la que recibe quien pincha en el enlace, tiene que reunir como mínimo:
- Quién es el responsable del tratamiento, con su identificación fiscal y dirección de contacto.
- La finalidad exacta: responder la consulta, no una fórmula genérica de «mejorar el servicio».
- El plazo durante el que se conservan los datos una vez atendida la consulta.
- Los derechos de acceso, rectificación, supresión, oposición y portabilidad, y cómo ejercerlos.
La primera capa puede resolverse en una línea: «[Despacho] tratará tus datos para responder a tu consulta. Consulta cómo ejercer tus derechos en nuestra política de privacidad», con el enlace correspondiente. Colocada justo antes del botón de enviar, y no escondida en el pie de página, es lo que un usuario espera encontrar.
Cifrado y destino de los datos que envías
El formulario es solo la entrada: lo que importa es dónde acaban esos datos después de enviarse. La configuración por defecto de la mayoría de plugins manda una copia por correo electrónico al buzón del despacho, además de guardar la entrada en la base de datos de WordPress. Si ese correo se reenvía, se archiva en una carpeta compartida o llega a un gestor externo, el dato sale del entorno que describe la política de privacidad sin que nadie lo haya decidido.
Dos medidas reducen ese riesgo sin cambiar de plugin: limitar quién recibe la copia por correo a una única dirección con acceso restringido, y revisar cada cierto tiempo cuántas entradas quedan acumuladas en el panel de WordPress, porque ahí no aplica ningún plazo de conservación automático salvo que el plugin lo permita configurar. Un formulario bien planteado en cuanto a consentimiento pierde todo su sentido si las respuestas se acumulan sin fecha de caducidad en un panel al que accede cualquiera con usuario de editor.
Plugins de formularios con RGPD ya integrado
No hace falta programar nada para aplicar lo anterior: los plugins de formularios más usados en WordPress ya incluyen, en distinto grado, casilla de consentimiento configurable y opción de no guardar la IP de quien escribe. La diferencia está en si esas funciones vienen de serie o hay que montarlas con plugins adicionales, y en el precio de la licencia que las activa.
| Plugin | Precio primer año | Versión gratuita | Casilla de consentimiento | Ocultar IP y navegador |
|---|---|---|---|---|
| Contact Form 7 | Gratis | Sí, sin límites | No, requiere un plugin aparte | No |
| WPForms (Basic) | 39,60 $ | Sí, versión Lite limitada | Sí, campo GDPR Agreement | Sí, opción para desactivarla |
| Fluent Forms (1 dominio) | 63 $ | Sí, con RGPD incluido | Sí, campo GDPR Agreement | Sí, vía integración con FluentCRM |
| Gravity Forms (Basic) | 59 $ | No | No nativa, necesita add-on | No nativa |
Contact Form 7 es la opción más barata, pero la que más trabajo manual exige después: sin un plugin adicional, ni el aviso ni el borrado de IP existen de serie. WPForms y Fluent Forms activan ambas funciones dentro del propio plugin, sin depender de un tercero, lo que reduce el margen de error de quien administra la web. Gravity Forms compensa esa carencia con más potencia para formularios complejos, pero no para esta necesidad concreta.
Contenido mínimo del aviso junto al formulario
El enlace que acompaña al formulario no puede llevar a una política de privacidad genérica copiada de otro sitio: tiene que nombrar al despacho como responsable, con su identificación fiscal y dirección, y describir la finalidad real de responder consultas, no una frase vaga sobre «mejorar la experiencia». También debe fijar un plazo de conservación concreto: mientras dure la gestión de la consulta y un margen razonable después, nunca «de forma indefinida».
Ese mismo documento es donde se listan los derechos de acceso, rectificación, supresión, oposición y portabilidad, con la vía para ejercerlos, normalmente un correo dedicado y no el buzón general del despacho. Si el resto del aviso legal ya está resuelto, extender esa misma base al formulario es cuestión de añadir el párrafo específico sobre esta finalidad, no de redactar un documento nuevo.
Preguntas frecuentes sobre el formulario de contacto y el RGPD
¿Necesito casilla de aceptación si el formulario solo pide nombre y correo?
No, si el único uso de esos datos es responder la consulta: basta con informar del tratamiento junto al botón de envío. La casilla solo es obligatoria cuando el formulario añade al remitente a comunicaciones comerciales, boletines o cualquier uso distinto de contestar lo que ha preguntado.
¿Puedo usar Contact Form 7 y cumplir igualmente el RGPD?
Sí, pero no de serie: hay que añadir el aviso informativo junto al formulario a mano y, si se piden comunicaciones comerciales, un plugin aparte para la casilla de consentimiento, porque Contact Form 7 no trae ninguna de las dos funciones integrada.
¿Cuánto tiempo puedo guardar las consultas recibidas por el formulario?
El plazo debe fijarse en la política de privacidad y ajustarse a la finalidad: mientras se tramita la consulta y un margen razonable después, nunca de forma indefinida. Pasado ese plazo, conviene borrar las entradas acumuladas en el panel de WordPress.
¿La IP que registra el formulario es un dato personal?
Sí, la AEPD la considera dato de carácter personal porque puede identificar, directa o indirectamente, a quien envía el formulario. Por eso conviene desactivar su almacenamiento automático cuando el plugin lo permita, salvo que sea necesario para prevenir spam o fraude.