RGPD en el comercio minorista: guía 2026

En una frase. El comercio minorista trata datos personales en la fidelización, la videovigilancia, el wifi de clientes y los tickets digitales, y el caso Mercadona —sancionada con 2,52 millones de euros por reconocimiento facial en sus tiendas— marca el límite de lo que la AEPD tolera en biometría de prevención del hurto.

El RGPD comercio minorista afecta tanto a la tienda de barrio como a las grandes cadenas. Aunque la venta física parece menos “digital” que el ecommerce, cada programa de puntos, cada cámara y cada red wifi genera datos personales sujetos a la norma. Esta guía ordena las obligaciones y los límites marcados por la Agencia Española de Protección de Datos.

Puntos clave

• La fidelización y el perfilado de compras exigen base válida e información clara.
• La videovigilancia se rige por el art. 22 LOPDGDD (cartel, conservación máxima de un mes).
• El reconocimiento facial en tienda es de altísimo riesgo: Mercadona fue multada con 2,52 M EUR.
• El wifi de clientes es un tratamiento que debe informarse y consentirse.
• Los tickets digitales por email requieren consentimiento para el envío comercial.

1. Programas de fidelización y perfilado de compras

Las tarjetas de puntos y las apps de fidelización son minas de datos: identifican al cliente, registran qué compra, cuándo y con qué frecuencia, y permiten perfilarlo. Obligaciones:

• Base jurídica clara: la adhesión al programa (ejecución de contrato) cubre la mecánica de puntos, pero el perfilado con fines publicitarios y el envío de ofertas requieren normalmente consentimiento.
• Información transparente sobre qué datos se tratan y para qué, evitando el consentimiento en bloque.
• Minimización: no pedir en el alta datos innecesarios (no hace falta el DNI para una tarjeta de puntos).

Separa cada finalidad con casillas independientes y nunca premarcadas. Revisa cómo hacerlo en la guía de consentimiento RGPD, y documenta cada tratamiento en tu registro de actividades de tratamiento.

Un matiz importante es que la ventaja del programa (el descuento, los puntos) no puede condicionarse a aceptar el perfilado publicitario. El art. 7.4 del Reglamento (UE) 2016/679 exige que el consentimiento sea libre, y no lo es si el cliente se ve forzado a autorizar usos que van más allá de lo necesario para obtener el beneficio. En la práctica, esto obliga a diseñar el alta de forma que el cliente pueda unirse al programa de puntos y, por separado, decidir si quiere recibir ofertas personalizadas. Vincular ambas cosas —“solo tienes descuento si aceptas que analicemos tus compras para enviarte publicidad”— es una de las prácticas que la autoridad de control considera consentimiento no válido.

2. Videovigilancia y el límite del reconocimiento facial

La videovigilancia es habitual en el comercio para prevenir el hurto, pero tiene límites estrictos del art. 22 LOPDGDD:

• Cartel informativo homologado en el acceso.
• Conservación máxima de un mes, salvo imágenes que documenten una infracción.
• No captar la vía pública más allá de lo imprescindible.
• Prohibición de cámaras en zonas de descanso o vestuarios del personal.

El límite duro llega con la biometría. El caso más relevante es el de Mercadona, sancionada por la AEPD con 2,52 millones de euros por implantar un sistema de reconocimiento facial en tiendas para detectar a personas con órdenes de alejamiento. La Agencia consideró que el tratamiento de datos biométricos a esa escala era desproporcionado. La lección para el sector es clara: el reconocimiento facial de clientes con fines de prevención del hurto es, en la práctica, inviable sin una justificación excepcional y una evaluación de impacto rigurosa. Analiza el riesgo con la guía de evaluación de impacto antes de plantear cualquier sistema biométrico.

3. Wifi de clientes y captación de datos en tienda

El wifi gratuito para clientes suele exigir registro (email, teléfono, redes sociales) y permite rastrear la presencia y el movimiento en la tienda mediante la MAC del dispositivo. Cada una de esas capas es un tratamiento:

• El registro para dar acceso necesita información y, si se usa para marketing, consentimiento.
• El rastreo de presencia mediante señales del dispositivo requiere información clara y, según el caso, consentimiento; no puede hacerse de forma encubierta.

La regla es la misma que en toda la norma: nada de captación silenciosa. El cliente debe saber qué se trata y poder negarse. En el caso concreto del rastreo por señales del dispositivo, la práctica correcta es informar mediante carteles a la entrada del establecimiento y ofrecer una vía real de exclusión; medir el aforo o los flujos de personas de forma anónima y agregada, sin identificar a individuos, es una alternativa mucho menos invasiva y normalmente preferible cuando el objetivo es solo estadístico.

4. Tickets digitales y comunicaciones

Enviar el ticket por email en lugar de en papel es cómodo, pero convierte una operación de caja en un tratamiento de datos. El envío del ticket solicitado por el cliente se ampara en la ejecución de la operación; aprovechar ese email para mandar publicidad exige consentimiento independiente. Mezclar ambas cosas —“te mando el ticket y de paso te apunto a la newsletter”— es una de las prácticas que generan reclamaciones. Cada comunicación comercial debe incluir una vía de baja sencilla y gratuita, y el comercio debe conservar la prueba de que el cliente consintió específicamente ese uso, no solo la entrega del ticket. La distinción entre la finalidad de venta y la finalidad publicitaria es la clave de todo este apartado.

5. Diferencias con el ecommerce y cumplimiento

El comercio físico comparte muchas obligaciones con el ecommerce, pero añade la dimensión presencial (cámaras, wifi, biometría) y suele descuidar la parte documental. Si tu negocio combina tienda y venta online, alinéalo con la guía de RGPD para ecommerce en España y, si usas la web para captar clientes, cumple la bandera de cookies conforme a la AEPD.

El régimen sancionador del RGPD llega hasta 20 M EUR o el 4% de la facturación; el caso Mercadona demuestra que la AEPD no duda en aplicar cifras millonarias a grandes cadenas por biometría. Revisa la escala en la guía de sanciones RGPD. Para un comercio con varios tratamientos —fidelización, cámaras, wifi, web— mantener la documentación al día es laborioso; plataformas como Legiscope automatizan el registro y las cláusulas, aunque un pequeño comercio puede empezar con plantillas bien construidas.

Véase también, para sectores con obligaciones de protección de datos similares: RGPD para agencias de viajes, RGPD para peluquerías y centros de estética y RGPD para gimnasios y centros deportivos.

FAQ

¿Puedo instalar reconocimiento facial en mi tienda para prevenir robos?

En la práctica, no sin una justificación excepcional y una evaluación de impacto rigurosa. La AEPD sancionó a Mercadona con 2,52 millones de euros por un sistema de reconocimiento facial en tiendas al considerarlo desproporcionado.

¿Cuánto tiempo puedo guardar las grabaciones de las cámaras?

Un máximo de un mes, según el art. 22.3 LOPDGDD, salvo que las imágenes documenten hechos objeto de investigación. Debes colocar el cartel informativo homologado y no captar la vía pública más allá de lo imprescindible.

¿Necesito consentimiento para la tarjeta de fidelización?

La mecánica de puntos se cubre con la adhesión al programa (ejecución de contrato). El perfilado publicitario y el envío de ofertas requieren consentimiento independiente, con casillas separadas y no premarcadas.

¿Puedo mandar publicidad al email con el que envío el ticket digital?

Solo con consentimiento específico para ello. El envío del ticket se ampara en la operación de venta, pero usar ese email para comunicaciones comerciales necesita un consentimiento separado y una vía de baja sencilla.