El cumplimiento del RGPD en el comercio minorista comienza por identificar qué se hace con los datos de cada cliente. Cobrar una compra, entregar un pedido, acumular puntos, enviar ofertas y vigilar el establecimiento son operaciones diferentes. No comparten automáticamente la misma base jurídica, el mismo plazo de conservación ni las mismas personas autorizadas a consultar la información.
La tienda de barrio y la cadena con aplicaciones móviles aplican los mismos principios, aunque cambien los riesgos y las medidas necesarias. Una compra presencial anónima puede requerir muy pocos datos; asociarla a una cuenta, registrar el recorrido del teléfono y cruzarlo con compras anteriores modifica considerablemente el tratamiento. Esta guía permite organizar esas decisiones antes de implantar servicios que después sean difíciles de corregir.
Separar las finalidades desde el mostrador
Conviene describir el recorrido real del cliente: reserva, pedido, pago, entrega, garantía, devolución y posible adhesión a un programa comercial. Para cada operación hay que determinar qué datos resultan necesarios y qué norma o base permite tratarlos. La ejecución de un contrato puede justificar los datos necesarios para entregar un pedido; una obligación fiscal puede exigir conservar determinada documentación. Ninguna de esas razones permite utilizar todo el historial para cualquier campaña futura.
El principio de minimización afecta también a los formularios pequeños. Pedir fecha completa de nacimiento, documento de identidad o profesión en todas las altas requiere una explicación concreta. Si solo se ofrece una felicitación de cumpleaños, puede bastar día y mes; si el servicio necesita verificar una edad, debe analizarse un mecanismo proporcionado. No debe conservarse una copia íntegra del documento por comodidad cuando una comprobación menos intrusiva resulte suficiente.
El comercio debe informar de forma comprensible sobre responsable, fines, bases, destinatarios, conservación y derechos, incluyendo los demás elementos aplicables de los artículos 13 o 14 del RGPD. Una primera capa breve en caja o en la aplicación puede enlazar con información completa accesible. La aceptación de una política de privacidad acredita, como mucho, una interacción informativa; no convierte en consentidos todos los usos descritos dentro de ella.
Tarjetas de puntos y perfiles de compra
El programa de fidelización debe definir qué prestación ofrece al socio. Calcular puntos y aplicar las ventajas acordadas puede apoyarse en la ejecución del contrato cuando esos datos y operaciones sean objetivamente necesarios. No basta con incluir una cláusula extensa en sus condiciones para convertir cualquier explotación del historial en parte imprescindible del servicio. Hay que separar la administración del programa, la prevención de abusos y las acciones publicitarias.
El perfilado consiste en utilizar datos para evaluar aspectos personales, como preferencias o comportamiento de compra. Su base jurídica debe analizarse para la finalidad concreta, junto con las normas del canal utilizado para contactar. No todo perfilado exige necesariamente consentimiento, pero tampoco basta invocar interés legítimo sin estudiar necesidad, expectativas y efectos. Si se pretende inferir información sobre salud u otras categorías especiales, entran en juego las condiciones adicionales del artículo 9.
Cuando se recurre al consentimiento, debe ser libre, informado, específico e inequívoco, con una decisión afirmativa y posibilidad real de retirarlo. Es necesario evaluar la condicionalidad del programa y evitar un consentimiento agrupado para usos distintos. La negativa a publicidad accesoria no puede convertirse automáticamente en la pérdida de una prestación para la que esa publicidad no sea necesaria. Las condiciones de cada programa importan; una casilla separada no corrige por sí sola un diseño coercitivo.
También debe comprobarse qué decisiones se toman con los perfiles. Una recomendación de productos no equivale automáticamente a una decisión exclusivamente automatizada con efectos jurídicos o similarmente significativos. Si se alcanzan esas condiciones, el artículo 22 añade requisitos específicos. La información al cliente debe reflejar el funcionamiento real, sin esconder una clasificación relevante detrás de expresiones vagas como «mejorar su experiencia».
Tickets digitales, promociones y oposición
El correo recogido para enviar un ticket solicitado tiene una finalidad concreta. El comercio debe evitar que ese dato active por defecto una suscripción comercial. En el artículo 21 de la LSSI, la regla para publicidad por correo electrónico o medios equivalentes es la solicitud o autorización expresa previa, con una excepción delimitada para relaciones contractuales anteriores.
La excepción exige haber obtenido lícitamente el contacto y utilizarlo para productos o servicios de la propia empresa similares a los contratados. Además, debe ofrecerse una oposición sencilla y gratuita al recoger los datos y en cada comunicación. Por tanto, recibir un ticket no constituye consentimiento publicitario, pero tampoco es correcto afirmar que el consentimiento sea la única vía posible en cualquier comunicación a un cliente anterior. Un envío para otra empresa del grupo no queda cubierto automáticamente.
La tienda necesita ejecutar el derecho de oposición en todas las herramientas afectadas por su alcance: plataforma de correo, aplicación, campañas de la central y ficheros entregados a colaboradores. El cliente no debe repetir la baja ante cada encargado. Si la oposición es general a publicidad de la entidad, debe respetarse como tal, conservando únicamente una señal de exclusión proporcionada que evite reactivar el contacto por una importación posterior.
Cámaras: finalidad, encuadre y conservación
El artículo 22 de la LOPDGDD permite tratar imágenes para preservar la seguridad de personas, bienes e instalaciones, con los límites previstos. El encuadre debe evitar captar más vía pública de la imprescindible, salvo los supuestos legales específicos. No se justifica grabar zonas ajenas porque el equipo permita un ángulo mayor. Es conveniente verificar físicamente lo que aparece en cada cámara y no limitarse al plano presentado por el instalador.
Debe existir un dispositivo informativo en un lugar suficientemente visible que identifique, al menos, la existencia del tratamiento, al responsable y la posibilidad de ejercer derechos, manteniendo disponible la información completa. No hay que confundir este deber con un supuesto cartel «homologado» que legitime cualquier instalación. El acceso a imágenes debe restringirse a funciones autorizadas y las exportaciones deben responder a una necesidad documentada.
Las imágenes se suprimen en un plazo máximo de un mes desde su captación. La excepción se refiere a su conservación para acreditar actos contra la integridad de personas, bienes o instalaciones; deben ponerse a disposición de la autoridad competente en un máximo de setenta y dos horas desde que se conoce la existencia de la grabación. No es una habilitación para conservar todo el archivo mientras se investiga cualquier incidencia. A estos tratamientos no se aplica el bloqueo del artículo 32 previsto para otros datos.
Si las cámaras afectan a trabajadores, también se aplican las garantías del artículo 89: información previa expresa, clara y concisa en los términos de la norma y prohibición de sistemas de grabación en espacios destinados a descanso o esparcimiento, como vestuarios y aseos. La grabación de sonido exige riesgos relevantes para la seguridad y respeto a proporcionalidad e intervención mínima. La guía de videovigilancia en España permite desarrollar el procedimiento de acceso y entrega de imágenes.
Reconocimiento facial: qué acredita el expediente Mercadona
No debe equipararse una cámara convencional con un sistema que extrae rasgos biométricos para identificar de manera unívoca a una persona. En este último caso es necesario analizar el artículo 9, además de la base del artículo 6 y los demás principios. Ni una finalidad de seguridad genérica ni una evaluación de impacto sustituyen una condición válida que levante la prohibición de tratar categorías especiales.
La resolución PS/00120/2021 de la AEPD ilustra esta diferencia. El expediente se refería al reconocimiento facial implantado por Mercadona para detectar personas con sentencias firmes y órdenes de alejamiento. La propuesta transcrita sumaba 3,15 millones de euros. La empresa pagó 2,52 millones el 19 de julio de 2021, aplicando una reducción del veinte por ciento por pago voluntario, y la resolución declaró terminado el procedimiento sancionador.
La parte dispositiva recoge infracciones de licitud y categorías especiales, información, minimización, protección desde el diseño y evaluación de impacto, y prohíbe ese tratamiento de reconocimiento facial en sus establecimientos. El documento contempla la posibilidad de recurso contencioso-administrativo. Por ello, esa resolución permite explicar una decisión administrativa de 2021 y su pago reducido, sin afirmar a partir de ella que exista una sentencia judicial definitiva posterior.
La consecuencia práctica es revisar primero la necesidad y la habilitación del sistema, comparándolo con medios menos intrusivos. Una evaluación de impacto debe realizarse antes de los tratamientos que probablemente entrañen alto riesgo. Si persiste alto riesgo sin medidas suficientes para mitigarlo, procede la consulta previa obligatoria del artículo 36. El examen puede conducir a descartar el proyecto, no solo a añadir documentos a la compra del equipo.
Wi-Fi de cortesía y seguimiento de dispositivos
Ofrecer conexión y analizar los movimientos de los visitantes son finalidades distintas. Los datos necesarios para prestar y proteger la conexión deben limitarse a ese servicio y contar con una base adecuada. No es correcto exigir siempre consentimiento para cualquier operación técnica, ni dar por autorizado el rastreo porque el visitante se conectó a la red. Tampoco debe condicionarse el acceso a usos publicitarios sin evaluar la libertad de la decisión.
Las orientaciones españolas sobre seguimiento Wi-Fi de mayo de 2024 explican que puede captarse información de dispositivos sin que estén conectados a la red del comercio. Un identificador técnico o una huella del dispositivo puede permitir singularizar o identificar indirectamente a su usuario. Sustituir la dirección original por un código no demuestra, por sí mismo, que los datos sean anónimos.
El comercio debe conocer qué se recoge, en qué zonas, durante cuánto tiempo y con qué otros datos se cruza. El resultado final agregado no elimina las obligaciones sobre una recogida inicial de datos personales. Si el objetivo es contar entradas, conviene comparar sistemas que no necesiten seguir trayectorias individuales. Un cartel y una supuesta posibilidad de apagar el teléfono no resuelven automáticamente la falta de base jurídica o de una exclusión practicable.
Las orientaciones sitúan estos tratamientos en un contexto de alto riesgo y explican los supuestos de evaluación de impacto obligatoria, además de recomendar realizarla cuando existan dudas sobre la obligatoriedad. No debe iniciarse el seguimiento bajo la idea de que «solo son estadísticas». La evaluación debe abarcar el tratamiento completo, sus alternativas y los riesgos para visitantes, empleados y personas que pasan fuera del local.
Venta en línea, proveedores y conservación
Si la tienda combina web, aplicación y venta presencial, debe explicar cuándo vincula esos canales a una misma persona. Una cuenta común puede facilitar garantías y pedidos, pero aumenta las posibilidades de cruzar historiales. La guía de comercio electrónico ayuda a ordenar esas operaciones; la configuración del aviso de cookies debe corresponderse con las tecnologías realmente instaladas y con las excepciones aplicables, no con un texto copiado.
Los proveedores deben clasificarse por su actuación efectiva. Una empresa que aloja la base bajo instrucciones puede ser encargada; una entidad de pago puede decidir tratamientos propios. Para encargados se necesita el instrumento del artículo 28, con instrucciones, seguridad, subencargados, asistencia y destino de los datos al terminar. Si existe acceso desde terceros países, debe evaluarse también el capítulo V, sin asumir que la dirección europea de facturación determina dónde se trata la información.
La conservación se organiza por conjuntos: pedidos y facturas, expedientes de devolución, cuentas de fidelización, registros técnicos, pruebas de consentimiento e imágenes. Cada conjunto necesita una duración o criterio y un punto de inicio. El cierre de una cuenta no obliga a destruir documentos que deban conservarse legalmente, pero tampoco permite mantener activos indefinidamente sus perfiles publicitarios. Cuando corresponda el bloqueo conforme al artículo 32, debe impedir el uso ordinario de esos datos.
Gestión cotidiana y respuesta a incidentes
El registro de actividades debe reflejar tratamientos y responsabilidades reales. La excepción para organizaciones con menos de 250 personas no opera si el tratamiento no es ocasional, puede entrañar riesgos para derechos y libertades o incluye categorías especiales del artículo 9 o datos penales del artículo 10. Una tienda con gestión habitual de clientes no debe utilizar su tamaño como exención automática.
Los accesos a aplicaciones deben ajustarse a funciones: quien cobra no necesita descargar todo el historial comercial, y el instalador no requiere acceso permanente a las cámaras. La baja de un empleado debe retirar sus permisos. Copias de seguridad protegidas, actualizaciones y comprobaciones de restauración reducen tanto pérdidas como accesos indebidos. La formación debe abordar situaciones concretas: pantallas visibles desde la caja, tickets enviados a direcciones erróneas y entrega de imágenes a quien no está autorizado.
Ante una brecha de datos, hay que evaluar sus consecuencias y documentarla. Se notifica a la autoridad sin dilación indebida y, cuando sea posible, dentro de las setenta y dos horas desde que se tiene constancia, salvo que sea improbable que entrañe riesgo para derechos y libertades; una demora requiere explicar sus motivos. La comunicación a afectados se analiza separadamente y, cuando sea probable un alto riesgo, debe realizarse sin dilación indebida, salvo las excepciones legales. La página de sanciones RGPD aporta contexto, sin convertir multas ajenas en una estimación automática del riesgo de la tienda.
Aplicar el procedimiento a un negocio pequeño
Puede empezarse revisando un alta de fidelización, una devolución y una solicitud de baja reales, sin extraer más datos de los necesarios. El objetivo es comprobar si el personal sabe qué información pedir, dónde registrarla y quién decide. Después se revisan proveedores y sistemas de mayor riesgo. Las actividades compartidas con agencias de viajes, peluquerías y centros de estética o gimnasios requieren adaptar el procedimiento a sus finalidades, especialmente cuando aparecen datos de salud.
La documentación debe seguir al funcionamiento efectivo del comercio. Si se cambia de plataforma, se añade una cámara o se lanza una campaña conjunta, corresponde revisar accesos, información y bases antes de activar el cambio. Una revisión vinculada a esas decisiones resulta más útil que conservar una carpeta formalmente completa que ya no describe lo que sucede en la caja, la aplicación o el almacén.