Texto de protección de datos para formularios: ejemplos por capas y por canal

El texto de protección de datos de un formulario, lo que mucha gente sigue llamando «texto LOPD», es la información que das a quien rellena el formulario: quién eres, para qué vas a usar sus datos, con qué base legal, a quién se los comunicas y cómo puede ejercer sus derechos. La LOPDGDD permite darla en dos capas: un resumen junto al formulario y un enlace a la información completa.

Si además vas a enviar comunicaciones comerciales, el formulario necesita casillas de consentimiento sin marcar y, mejor, una por canal: email, SMS y WhatsApp. En esta guía tienes ejemplos de primera capa para cuatro tipos de formulario, qué va en la segunda capa, cómo redactar las casillas, cómo guardar la prueba del consentimiento y cuándo conviene el doble opt-in.

Esto es orientación general, no asesoramiento legal. Los ejemplos usan una empresa inventada, Tu Empresa, S.L.: adáptalos a lo que tu empresa hace con los datos (cuáles recoge, para qué, con qué base legal y durante cuánto tiempo) y, si tienes dudas, consúltalo con tu asesor o con tu delegado de protección de datos.

Primera capa: el texto de protección de datos bajo el formulario

La primera capa es el resumen que se lee sin salir del formulario. La LOPDGDD pide que contenga, al menos, la identidad del responsable, la finalidad y la posibilidad de ejercer los derechos (art. 11.2). La Guía para el cumplimiento del deber de informar de la AEPD (consultada el 28-10-2026; la versión publicada lleva la marca «en revisión») recomienda además:

• Cinco epígrafes: Responsable, Finalidad, Legitimación, Destinatarios y Derechos, más Procedencia cuando los datos no te los da la persona.
• Un título claro, como «Información básica sobre protección de datos».
• Junto al botón de enviar, «en el mismo campo de visión».
• En forma de tabla, que es su forma de presentación preferente, con la indicación de dónde está la información adicional.

Ejemplo para un formulario de suscripción a la newsletter

Debajo de un formulario de suscripción a la newsletter, la primera capa en tabla queda así:

Desliza la tabla para ver todas las columnas →

Si el formulario es pequeño (el pie de la web, un pop-up), la misma información cabe en un párrafo:

Tu Empresa, S.L. usará tus datos para enviarte la newsletter y las ofertas que elijas, con tu consentimiento, que puedes retirar cuando quieras. No los cedemos a terceros salvo obligación legal. Puedes acceder a ellos, rectificarlos, suprimirlos y ejercer otros derechos como te explicamos en tuempresa.es/privacidad.

Si vas a segmentar a tus contactos por lo que hacen o lo que compran, revisa con tu asesor si eso es elaborar perfiles. El RGPD llama así a usar datos personales para «analizar o predecir» aspectos como las preferencias, los intereses o el comportamiento de una persona (art. 4.4), y la LOPDGDD pide que, en ese caso, la información básica lo diga (art. 11.2). Basta una línea más en la Finalidad:

Finalidad: enviarte la newsletter y las ofertas que elijas y, con tu actividad y tus compras, elaborar un perfil para enviarte lo que más te pueda interesar.

Ejemplo para un formulario de contacto

El formulario de contacto sirve para responder a quien te escribe. Si además quieres enviarle publicidad, pídelo en una casilla aparte y opcional.

Responsable: Tu Empresa, S.L. Finalidad: responder a tu consulta y, si nos pides información sobre un servicio, enviártela. Legitimación: las medidas precontractuales que nos pides o tu consentimiento al enviarnos el formulario. Destinatarios: no cedemos tus datos a terceros, salvo obligación legal. Derechos: acceso, rectificación, supresión y otros, como explicamos en tuempresa.es/privacidad.

La legitimación depende de tu caso. El RGPD recoge, entre otras bases, el consentimiento (art. 6.1.a) y la aplicación, a petición del interesado, de medidas precontractuales (art. 6.1.b): deja la que corresponda y quita la otra.

Ejemplo para una landing page de descarga

En una landing page para descargar una guía, lo más claro es separar la descarga de la suscripción: la guía la recibe todo el que rellena el formulario, y la newsletter, solo quien marca su casilla. Si prefieres ligar las dos cosas, dilo con claridad en el propio formulario y revísalo antes con tu asesor: el RGPD pide tener en cuenta si la prestación de un servicio se supedita a un consentimiento que no es necesario para prestarlo (art. 7.4).

Finalidad: enviarte la guía que has pedido y, si marcas la casilla, nuestra newsletter. Legitimación: tu consentimiento, que nos das al pedir la guía y, por separado, al marcar la casilla de la newsletter.

Con el creador de landing pages y formularios montas la página y el formulario de descarga sin programar.

Ejemplo para el registro o la compra en una tienda online

En una tienda online, los datos del pedido se tratan para cumplir el contrato de compra. La publicidad va aparte, y no puedes supeditar la compra a que la acepte (art. 7.4 del RGPD y art. 6.3 de la LOPDGDD).

Finalidad: gestionar tu pedido, el envío y la factura y, si marcas la casilla, enviarte ofertas. Legitimación: la ejecución del contrato de compra y, para las ofertas, tu consentimiento.

Si en vez de pedir el consentimiento vas a escribir a tus clientes con la excepción del artículo 21.2 de la LSSI (ofertas de productos o servicios de tu empresa similares a los que compraron), la ley te pide ofrecer la posibilidad de oponerse «tanto en el momento de recogida de los datos» como en cada envío. En el checkout, por ejemplo:

☐ No quiero recibir ofertas de Tu Empresa sobre productos parecidos a los que compro.

Aquí no pides un consentimiento, ofreces oponerse: por eso la casilla dice «no quiero».

Segunda capa: dónde va y qué incluye

La segunda capa es la información completa. Lo habitual es tu página de política de privacidad, enlazada desde la primera capa: la LOPDGDD pide indicar «una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información» (art. 11.1). La guía de la AEPD añade que esta capa debe ser completa, sin omitir lo que ya dijiste en la primera, y considera recomendable, en la web, poner junto a cada epígrafe de la primera capa un enlace a su apartado de la segunda.

Según el artículo 13 del RGPD, en la segunda capa tiene que estar:

• La identidad y los datos de contacto del responsable y, si lo tienes, los del delegado de protección de datos.
• Los fines del tratamiento y su base jurídica; si te basas en el interés legítimo, cuál es ese interés.
• Los destinatarios o las categorías de destinatarios.
• Si vas a transferir datos fuera de la Unión Europea, y con qué garantías.
• Cuánto tiempo guardas los datos o con qué criterio lo decides.
• Los derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad.
• El derecho a retirar el consentimiento en cualquier momento.
• El derecho a reclamar ante una autoridad de control; en España, la AEPD.
• Si dar los datos es un requisito legal o contractual y qué pasa si no se dan.
• Si tomas decisiones automatizadas de las del artículo 22, incluida la elaboración de perfiles, la lógica aplicada y sus consecuencias.

Texto LOPD o RGPD: qué normas se aplican a un formulario

La LOPD de 1999 quedó derogada por la LOPDGDD, la Ley Orgánica 3/2018 (disposición derogatoria única). Hoy, el texto de protección de datos de un formulario se basa en el RGPD y en la LOPDGDD; si el formulario sirve para enviar publicidad por email o por otro medio electrónico, también en la LSSI. Esto es lo que dicen:

Desliza la tabla para ver todas las columnas →

Textos consultados en el BOE el 28-10-2026: RGPD, LOPDGDD y LSSI.

Una casilla de consentimiento por canal: email, SMS y WhatsApp

La LSSI prohíbe las comunicaciones publicitarias que no hayan sido «solicitadas o expresamente autorizadas» por sus destinatarios (art. 21.1). Vale para el email y para los medios electrónicos equivalentes, y la AEPD cita entre ellos los SMS y los mensajes de WhatsApp (publicidad no deseada, consultado el 28-10-2026). La ley no dice «una casilla por canal», pero separarlas ayuda a cumplir lo que sí dice: que el consentimiento sea específico (art. 4.11 del RGPD) y que puedas demostrar a qué dijo que sí cada persona (art. 7.1).

☐ Quiero recibir por email la newsletter y las ofertas de Tu Empresa.
☐ Quiero recibir por SMS las ofertas de Tu Empresa.
☐ Quiero recibir por WhatsApp las ofertas y novedades de Tu Empresa.

• Sin marcar. Las casillas ya marcadas no cuentan como consentimiento (RGPD, considerando 32), y la guía de la AEPD pide evitarlas.
• Cada casilla dice qué y por dónde. «Acepto la política de privacidad» no dice ni lo uno ni lo otro.
• Separadas del resto. La petición de consentimiento tiene que distinguirse de los demás asuntos (art. 7.2): no la mezcles con las condiciones de compra.
• Opcionales cuando la publicidad no es el objeto del formulario. En un formulario de contacto o de compra, deja enviarlo sin marcarlas (RGPD, art. 7.4; LOPDGDD, art. 6.3).
• Pide el móvil solo si vas a usarlo. El RGPD pide que los datos se limiten «a lo necesario» para sus fines (art. 5.1.c, «minimización de datos»).

Si programas tú el formulario, este es el HTML de las tres casillas, sin el atributo checked:

<label><input type="checkbox" name="consentimiento_email" value="si"> Quiero recibir por email la newsletter y las ofertas de Tu Empresa.</label>
<label><input type="checkbox" name="consentimiento_sms" value="si"> Quiero recibir por SMS las ofertas de Tu Empresa.</label>
<label><input type="checkbox" name="consentimiento_whatsapp" value="si"> Quiero recibir por WhatsApp las ofertas y novedades de Tu Empresa.</label>

Cómo se hace en NewsletterSoft

En Captación → Formularios eliges los campos (el email siempre y hasta cinco más) y, en Ajustes, el Texto de consentimiento. Si lo escribes, aparece una casilla y solo quien la marca queda suscrito; sin ese texto, enviar el formulario no cambia su suscripción. Debajo activas el doble opt-in y eliges la lista a la que entra cada contacto.

Esa casilla da el consentimiento general del contacto. En su ficha, el email, el SMS y el WhatsApp tienen además su propio estado: el SMS y el WhatsApp heredan el consentimiento general («Permitido por el global») salvo que el contacto se haya dado de baja de ese canal, y Baja del canal lo quita solo de ese. Por eso:

• En el Texto de consentimiento, nombra los canales por los que vas a escribir.
• Si pides el teléfono, di para qué lo vas a usar (que te llame tu equipo comercial, enviarte SMS o WhatsApp…) y, si es para enviarte publicidad por SMS o WhatsApp, nombra esos canales en el Texto de consentimiento.
• Si alguien no quiere uno de los canales, dale de baja de ese canal en su ficha o, para muchos a la vez, con la acción masiva de dar de baja de un canal.

El formulario se pega en tu web con dos líneas de código. Pon la primera capa en tu página, justo debajo, para que quede junto al botón. En los pop-ups, el paso Lanzamiento te deja exigir el consentimiento antes de enviar y enlazar tu política de privacidad.

Cómo guardar la prueba del consentimiento

Si te basas en el consentimiento, «el responsable deberá ser capaz de demostrar que aquel consintió» (art. 7.1 del RGPD). El Reglamento no da una lista de qué guardar; con estos datos puedes reconstruir cada alta:

• Quién: el email o el teléfono.
• Cuándo: la fecha y la hora del alta y, con doble opt-in, las de la confirmación.
• Dónde: el formulario o la página en la que se apuntó.
• Qué vio: el texto de la casilla y de la primera capa en ese momento. Cuando lo cambies, guarda una copia fechada de la versión anterior.
• A qué dijo que sí: los canales y las finalidades que marcó.
• Qué cambió después: las bajas y los cambios de preferencias.

En NewsletterSoft, la ficha de cada contacto muestra de dónde vino y su consentimiento por canal, y cada envío de un formulario queda en su actividad como Formulario enviado. Con Exportar CSV descargas el email, el nombre, el origen, el consentimiento, las etiquetas, la última actividad y la fecha de alta de tus contactos. La copia de cada versión del texto de tu formulario, guárdala aparte.

Doble opt-in: el RGPD no lo pide, pero ayuda

El doble opt-in consiste en pedir a quien se apunta que confirme el alta desde un enlace que le llega por email. Ni el RGPD ni la LOPDGDD ni la LSSI lo mencionan. Pero ayuda: confirmas que el email es de quien lo escribió, la fecha de la confirmación pasa a formar parte de tu prueba y no entran direcciones mal escritas. A cambio, hay un paso más y parte de las altas se quedan sin confirmar.

En NewsletterSoft se activa en el mismo formulario. El alta queda pendiente y el contacto recibe un email para confirmar; al pulsar el enlace, queda suscrito. Si entra en una automatización mientras está pendiente, el paso de email le espera hasta 7 días; si no confirma, sale del flujo. Cambia el mensaje de éxito del formulario por algo así:

¡Casi está! Te hemos enviado un email a la dirección que has escrito. Pulsa el enlace que contiene para confirmar tu suscripción. Si no lo ves en unos minutos, mira en la carpeta de spam o de promociones.

El email de confirmación lo envía la plataforma por ti y su contenido no se puede personalizar, así que no tienes que escribirlo.

Además, los formularios de NewsletterSoft descartan solos los envíos de robots: llevan un campo trampa invisible y no aceptan envíos hechos en menos de 2,5 segundos. Y no pidas todo de golpe: con el email y, como mucho, el nombre basta para empezar; el resto lo puedes preguntar en el email de bienvenida. Lo explicamos más a fondo en qué es el doble opt-in y cuándo usarlo.

Bajas y derechos: lo que tiene que funcionar después

El RGPD dice que retirar el consentimiento será «tan fácil» como darlo (art. 7.3), y la LSSI pide un procedimiento sencillo y gratuito para revocarlo (art. 22.1). En NewsletterSoft:

• Cada email lleva el enlace de baja: sin él, la checklist del envío no deja enviar.
• Baja del canal, en la ficha, da de baja solo del SMS o del WhatsApp.
• Dar de baja suprime al contacto: no recibe más envíos por ningún canal.
• Eliminar borra el contacto y todo su rastro (eventos, envíos, historial) y no se puede deshacer.

Lo tienes todo en la gestión de contactos con bajas automáticas.

Y si estás eligiendo plataforma, mira qué comprobar en un proveedor de email marketing para cumplir el RGPD.

Si ya tienes contactos: formularios para confirmar o actualizar datos

El mismo editor sirve para pedir a tus contactos que confirmen su suscripción o actualicen sus datos. Si el email ya existe, el contacto se actualiza con lo nuevo, sin duplicarse; con el Texto de consentimiento, quien marca la casilla queda suscrito; y el evento Formulario enviado te deja segmentar a quien respondió. Si solo necesitas que confirmen, basta con el email y la casilla; si quieres que revisen sus datos, añade esos campos.

Para empezar tienes plantillas de suscripción a la newsletter, contacto, descarga de una guía y registro a un evento.

Los textos del email que lleva a ese formulario, con ejemplos para confirmar la suscripción, elegir canales o avisar de un cambio en la política de privacidad, están en el texto de protección de datos para emails.

Antes de publicar el formulario

1. La primera capa está junto al botón y enlaza a la segunda.
2. La Finalidad dice para qué usarás los datos, también si vas a elaborar perfiles.
3. Cada casilla está sin marcar y dice qué vas a enviar y por qué canal.
4. En un formulario de contacto o de compra, las casillas de publicidad son opcionales.
5. Pides solo los datos que vas a usar.
6. Guardas la prueba de cada alta y una copia de cada versión del texto.
7. La baja funciona en cada email, SMS y WhatsApp.

¿Quieres montar tus formularios con el texto de consentimiento y el doble opt-in, y ver cómo queda cada alta en la ficha del contacto? Mira el creador de landing pages y formularios o solicita una demo.

Preguntas frecuentes

¿Qué es la información por capas?

Es dar la información de protección de datos en dos niveles: un resumen junto al formulario (como mínimo, quién es el responsable, la finalidad y cómo ejercer los derechos) y una indicación de dónde está la información completa. Lo permite el artículo 11 de la LOPDGDD y lo recomienda la guía de la AEPD sobre el deber de informar.

¿Hace falta una casilla de «He leído y acepto la política de privacidad»?

El RGPD pide que facilites la información al recoger los datos (art. 13), no que la persona la acepte. Si el formulario se basa en el consentimiento para algo, como enviar publicidad, pídelo con su propia casilla y su propio texto, separado de los demás asuntos (art. 7.2). Una casilla de «acepto la política» no dice para qué ni por qué canal.

¿El RGPD obliga a usar el doble opt-in?

No lo menciona. Lo que pide es que puedas demostrar el consentimiento (art. 7.1), y el doble opt-in te ayuda porque deja constancia de que quien tiene ese email confirmó el alta.

¿Puedo usar una sola casilla para email, SMS y WhatsApp?

El consentimiento tiene que ser específico (art. 4.11 del RGPD). Una casilla por canal deja más claro a qué dice que sí cada persona y te permite respetar que quiera tus emails pero no tus SMS. Si usas una sola, que nombre los canales; y si tienes dudas sobre tu caso, consúltalo con tu asesor.

¿Tengo que volver a pedir el consentimiento a los contactos que ya tengo?

El RGPD no fija un plazo para renovarlo. Lo que pide es que puedas demostrarlo (art. 7.1) y que lo uses para los fines para los que se dio (art. 6.1.a). Si no tienes esa prueba, o quieres usar los datos para algo nuevo o por otro canal, pídelo con un formulario como los de arriba.