Enmienda 13 de la ley de privacidad de Israel: lista para tu web

Indicadores, no asesoramiento legal. Esta lista resume las orientaciones públicas de la Autoridad de Protección de la Privacidad de Israel para propietarios de webs. No sustituye el asesoramiento sobre tu negocio concreto.

Qué cambió con la Enmienda 13

La Enmienda 13 es la mayor actualización de la Ley de Protección de la Privacidad, 5741-1981, desde su aprobación. Entre otras cosas, acerca las definiciones a los estándares internacionales (los datos personales incluyen ahora expresamente identificadores en línea y datos de ubicación), reduce la obligación de registrar bases de datos, exige a algunas organizaciones nombrar un delegado de protección de datos (DPO) y da a la Autoridad de Protección de la Privacidad la facultad de imponer multas administrativas. Para la mayoría de las webs de pequeñas empresas, los cambios del día a día tienen que ver con la transparencia, el consentimiento y la seguridad.

1. Mapea lo que recoge tu web

Lista cada lugar donde la web pide o registra datos personales: formularios de contacto y presupuesto, altas en el boletín, proceso de pago, registro de cuentas, widgets de chat, herramientas de reservas y scripts de terceros como analítica, píxeles publicitarios, mapas y vídeos incrustados. Para ver de qué servicios externos carga scripts tu página de inicio:

curl -s https://yourdomain.com | grep -oE '<script[^>]+src="https?://[^/"]+' \
  | sed -E 's#.*src="https?://##' | sort -u

Repítelo en las páginas de pago, contacto y registro; los gestores de etiquetas pueden cargar más servicios después de abrirse la página, así que revisa también la pestaña Red del navegador.

2. Pon un aviso junto a cada formulario (artículo 11)

Cuando pides a alguien datos personales para guardarlos y usarlos, la petición debe ir acompañada de un aviso. Desde la Enmienda 13 debería indicar:

• Si la persona está legalmente obligada a facilitar los datos o depende de su voluntad, y qué pasa si no los da.
• La finalidad para la que se piden los datos (todas, no «entre otras»).
• Quién recibirá los datos y con qué fin (el tipo de destinatario, por ejemplo una empresa de mensajería).
• La identidad del responsable de la base de datos (normalmente tu empresa) y cómo contactar con él.
• El derecho a acceder a los datos y a pedir que se corrijan.

Un aviso breve junto al botón de envío, con un enlace a la política de privacidad completa, mantiene el formulario legible. Escríbelo en el idioma de tu web; esta es la estructura:

<form action="/contact" method="post">
  <!-- name, email, phone fields -->
  <p class="form-notice">
    Providing these details is optional, but without them we can't reply to you.
    We use them only to answer your request. We share them with no one except our email provider.
    Controller: Example Ltd., privacy@yourdomain.com. You may ask to see or correct your data.
    <a href="/privacy">Privacy policy</a>
  </p>
  <button type="submit">Send</button>
</form>

3. Actualiza la política de privacidad

La política de privacidad es donde vive el aviso completo. Enlázala desde el pie de cada página, escríbela en lenguaje sencillo y asegúrate de que coincide con lo que la web hace de verdad: cada finalidad, los tipos de destinatarios (incluidos los servicios de analítica y publicidad que encontraste en el paso 1), cuánto tiempo guardas los datos, cómo pueden ejercer sus derechos y una dirección de contacto. Quita los restos de plantilla; una política que dice «[Nombre de la empresa]» indica a los visitantes que nadie la leyó.

4. Haz que el consentimiento sea real

Cuando te basas en el consentimiento, debe ser una elección activa e informada:

• Las casillas empiezan sin marcar. Aceptar las condiciones y aceptar el marketing son casillas separadas.
• El correo y los SMS comerciales necesitan el consentimiento previo de la persona según las normas antispam de Israel (artículo 30A de la Ley de Comunicaciones), y cada mensaje necesita una forma sencilla de darse de baja.
• Guarda constancia de cuándo y cómo aceptó cada persona y qué texto vio.
• Evita diseños que empujan hacia una respuesta, como una opción de «rechazar» escondida.

<label><input type="checkbox" name="terms" required> I agree to the <a href="/terms">terms</a></label>
<label><input type="checkbox" name="marketing"> Send me news and offers by email (optional)</label>

Para los rastreadores de analítica y publicidad, las orientaciones de la Autoridad sobre el consentimiento apuntan a un consentimiento separado y activo para la elaboración de perfiles y el marketing directo. Si también tienes visitantes de la UE, el RGPD y las normas de ePrivacy ya exigen consentimiento antes de las cookies no esenciales, así que una herramienta de consentimiento que solo carga los rastreadores tras «Aceptar» cubre ambos casos.

5. Atiende las solicitudes de acceso y rectificación

Las personas pueden pedir ver los datos personales que guardas sobre ellas y corregir o borrar los que sean erróneos, incompletos o estén desactualizados. Publica un contacto claro (por ejemplo un buzón privacy@) y decide quién responde, cómo verificas la identidad y dónde están los datos. Según el reglamento sobre solicitudes de acceso, el acceso debe darse en un plazo de 30 días desde la solicitud.

6. Protege los datos

El Reglamento de Protección de la Privacidad (Seguridad de los Datos) de 2017 ya exige medidas de seguridad acordes con la sensibilidad de los datos. Para una web, lo básico es:

• HTTPS en todas partes, con un certificado válido y HSTS. Consulta cómo quitar el aviso «No seguro».
• CMS, plugins y temas actualizados; elimina lo que no uses.
• Acceso en dos pasos para cada administrador y el rol más bajo que sirva para todos los demás. Consulta cómo proteger el acceso a WordPress.
• No envíes por correo formularios completos con datos sensibles en texto plano; guárdalos en el área de administración protegida.
• Copias de seguridad y un plan de qué hacer si hay una brecha.

7. Comprueba si necesitas un DPO

La obligación de nombrar un delegado de protección de la privacidad se aplica a organismos públicos, a comerciantes de datos y servicios de correo directo con datos de al menos 10.000 personas, a organizaciones cuya actividad principal es el seguimiento sistemático de personas a gran escala y a organizaciones cuya actividad principal es tratar grandes volúmenes de datos especialmente sensibles, como datos de salud, biométricos o financieros. La mayoría de las webs de pequeñas empresas no están en estos grupos, pero compruébalo si haces elaboración de perfiles, seguimiento de ubicación o servicios relacionados con la salud.

Por qué importa ahora

Según la guía de la Autoridad, no dar el aviso del artículo 11 al recoger datos del público, por ejemplo mediante un enlace en una web, puede acarrear una multa de 2 NIS por persona incluida en la base de datos (4 NIS si contiene datos especialmente sensibles), con un mínimo de 20.000 NIS (40.000 NIS con datos sensibles).

Qué comprueba HackGrade

Los planes Pro, Business y Agency de HackGrade incluyen indicadores de cumplimiento a partir de las mismas páginas que ve un visitante: páginas de privacidad o condiciones que faltan, rastreadores cargados antes del consentimiento o sin herramienta de consentimiento, casillas de consentimiento premarcadas, una política de privacidad sin sección de derechos, restos de texto de plantilla y la falta de declaración de accesibilidad en webs israelíes. Son indicadores que revisar, no asesoramiento legal, y no cambian la nota de seguridad. El análisis gratuito cubre HTTPS, certificados, cabeceras de seguridad y software desactualizado.