Una tienda online española trata datos en varios momentos distintos: visita, carrito, compra, pago, envío, atención posventa y publicidad. El RGPD no se resuelve con una única casilla en el checkout. Cada operación necesita finalidad, base jurídica, información clara, acceso limitado y plazo propio. Se suman la LOPDGDD y la LSSI en su versión consolidada, especialmente para datos del prestador, comunicaciones comerciales y cookies. Las obligaciones de consumo, contabilidad y fiscalidad también influyen, pero no sustituyen el análisis de protección de datos.
Esta guía sigue el recorrido de un pedido para que el responsable pueda tomar decisiones concretas. La cuestión central es separar lo necesario para vender de lo opcional para medir y promocionar. Después hay que identificar quién recibe los datos, qué papel cumple y cuándo dejan de ser necesarios. Una tienda de reservas turísticas, por ejemplo, puede tener deberes sectoriales adicionales; la guía RGPD para hoteles en España explica esa situación específica.
Aviso legal e identificación del vendedor
El artículo 10 LSSI exige que los destinatarios y órganos competentes puedan acceder de forma permanente, fácil, directa y gratuita a información sobre el prestador. Revise denominación, domicilio, dirección de correo electrónico y otros datos de contacto que permitan comunicación directa y efectiva, datos registrales cuando procedan y la información adicional prevista para actividades autorizadas o profesiones reguladas. No copie una lista universal sin comprobar qué elementos corresponden a su negocio. Una marca visible no identifica necesariamente a la persona jurídica que vende.
En la práctica, enlace el aviso legal desde el pie de página y manténgalo accesible antes de que el usuario pague. La información sobre precios, impuestos y gastos de envío también debe ser coherente con la oferta y las condiciones contractuales. Si un marketplace aloja a varios vendedores, distinga quién presta la plataforma y quién celebra la venta. La LSSI trata la identificación del prestador; las condiciones de contratación a distancia y derechos de consumo añaden otra capa que debe coordinarse con ella.
Separar finalidades desde el formulario de compra
Para tramitar un pedido suelen necesitarse datos de contacto, dirección de entrega y contenido de la compra. La ejecución del contrato con la persona compradora puede ser base para los datos objetivamente necesarios para esa compra, conforme al artículo 6.1.b RGPD. La emisión y conservación de justificantes puede responder a obligaciones legales. Un sistema antifraude requiere una evaluación propia de necesidad, proporcionalidad y base jurídica; no convierta cualquier enriquecimiento del perfil en «ejecución del contrato». Consulte las bases de legitimación del RGPD si varias finalidades comparten el mismo formulario.
El consentimiento para newsletters, seguimiento publicitario o perfiles opcionales debe separarse de la aceptación de condiciones de venta. No marque casillas por defecto ni haga que comprar dependa de aceptar publicidad no necesaria. Si ofrece una cuenta opcional, permita valorar si el usuario necesita crearla para una compra puntual. Pida solo lo imprescindible en cada paso y revise qué campos se transmiten a logística, atención al cliente y analítica. La minimización de datos suele reducir también errores operativos y exposición ante una brecha.
Una matriz interna por finalidad ayuda más que una fórmula genérica en la política: quién es responsable, dato usado, base del artículo 6, destinatario, transferencia, periodo y evento de borrado. Incluya al menos visita y cookies, carrito, pedido, factura, devoluciones, fraude, soporte y marketing. Si una actividad cambia —por ejemplo, usar historiales de compra para entrenar una recomendación— reevalúe antes de activarla. La base válida para entregar un paquete no cubre automáticamente el uso publicitario posterior del historial.
Política de privacidad que refleje la tienda real
La plantilla de política de privacidad y el modelo de política para web española sirven de estructura, no de descripción de los sistemas que no ha inventariado. Explique quién es el responsable, cómo contactarlo, las finalidades y bases por actividad, qué destinatarios reciben información, transferencias fuera del EEE cuando existan, criterios de conservación y derechos. Si hay decisiones exclusivamente automatizadas con efectos jurídicos o similares, examine y explique el artículo 22; no afirme que cualquier regla antifraude constituye por sí sola ese supuesto.
Haga coincidir el aviso del checkout con la política completa. Una primera capa puede explicar brevemente por qué se piden nombre, correo y dirección y enlazar los detalles. El consentimiento de marketing debe recoger una opción separada si esa es la vía elegida. Si usa el correo para confirmar el pedido, eso no significa que el comprador se haya inscrito en campañas. Revise el texto cada vez que introduzca una pasarela, herramienta de analítica o país de almacenamiento distinto. La claridad de la información también facilita responder solicitudes de clientes.
Cookies y medición: decidir antes de cargar etiquetas
El artículo 22.2 LSSI regula el almacenamiento y acceso a información en el dispositivo. Las cookies estrictamente necesarias para el servicio solicitado, como mantener el carrito o la sesión, se analizan de manera distinta de la publicidad y el seguimiento opcional. La guía de cookies de la AEPD de mayo de 2024 exige una elección real: aceptar y rechazar deben presentarse al mismo nivel en la primera capa, y la configuración por finalidad debe ser accesible cuando existan varias categorías. La tienda debe impedir que las etiquetas no exentas se activen antes de la elección correspondiente.
No todas las herramientas de análisis tienen idéntico régimen. La AEPD explica en su guía para medición de audiencia que determinadas cookies destinadas exclusivamente a estadísticas anónimas para el editor pueden quedar exentas si cumplen condiciones estrictas de finalidad, proveedor y garantías. Una implementación corriente de analítica, publicidad o retargeting no queda exenta por llamarse «agregada». Inventarie cada script, finalidad, destinatario y duración; compruebe en el navegador qué se instala antes y después del rechazo. El análisis del banner de cookies de la AEPD ayuda con la interfaz, pero la verificación técnica depende de la tienda concreta.
Evite atribuir a la AEPD un máximo general de trece meses para todas las cookies. La duración debe justificarse por su finalidad y por las condiciones de la tecnología o excepción que se use. Mantenga la posibilidad de retirar o cambiar la elección de forma sencilla. Si un proveedor cambia sus etiquetas mediante una actualización, vuelva a probar el banner: una configuración aparentemente correcta puede dejar de bloquear una llamada nueva a terceros.
Email, mensajes y la excepción del cliente existente
El artículo 21 LSSI prohíbe enviar comunicaciones comerciales por correo electrónico o medios equivalentes que no hayan sido solicitadas o autorizadas previamente. Su apartado 2 permite una excepción delimitada: relación contractual previa, datos de contacto obtenidos lícitamente y promociones de productos o servicios de la propia empresa similares a los inicialmente contratados. Debe ofrecerse oposición sencilla y gratuita tanto al recoger los datos como en cada mensaje. El hecho de que alguien haya abandonado un carrito o recibido un regalo no equivale sin más a esa relación contractual previa.
Diseñe dos rutas de envío. Para nuevos suscriptores, recoja una autorización separada y conserve la prueba de su alcance. Para clientes existentes, documente por qué una campaña concreta encaja en la excepción y compruebe las oposiciones antes del envío. Un comprador de material deportivo no debería recibir promociones de un negocio distinto del grupo invocando su compra anterior. Revise también mensajes por WhatsApp u otros medios electrónicos equivalentes. Un enlace de baja que no funciona convierte una decisión inicial correcta en una práctica difícil de defender.
No publique tablas de «multas típicas» con bandas fijas por casillas, cookies o newsletter: la gravedad depende de hechos, duración, número de afectados y norma infringida. La recopilación de sanciones AEPD en ecommerce y retail sirve para estudiar casos, no para predecir una multa de la próxima campaña. Para gestionar preferencias a escala, una plataforma de consentimiento puede ordenar pruebas y bajas, pero su configuración debe coincidir con los fines reales y la base jurídica elegida.
Pagos, transportistas y plataformas: analizar cada papel
El comerciante suele decidir por qué recoge datos del pedido y a quién entrega lo imprescindible. Un alojamiento o proveedor de email que trata datos por cuenta de la tienda puede ser encargado y necesita las garantías del artículo 28 RGPD. Una entidad de pago puede tener obligaciones propias y actuar como responsable independiente para determinadas operaciones. Un transportista puede decidir aspectos de su servicio bajo su propia responsabilidad. El nombre comercial del proveedor no determina el papel: revise contrato, fines, instrucciones, datos recibidos y capacidad real de decisión. La guía del artículo 28 RGPD aclara el contenido de un acuerdo de encargo cuando esa relación existe.
Para la pasarela, minimice la exposición: una página alojada por el proveedor puede evitar que el comerciante almacene datos completos de tarjeta. PCI DSS es una exigencia del ecosistema de tarjetas con alcance técnico y contractual; no es una base jurídica RGPD ni prueba general de cumplimiento. Determine qué datos del pago conserva la tienda, cuáles necesita para devolución y fraude y cuáles maneja la entidad financiera por sus propias obligaciones. Compruebe transferencias internacionales y subencargados solo para los tratamientos en que realmente existan.
En dropshipping, el proveedor recibe normalmente nombre y dirección para enviar el producto, pero no es automáticamente encargado en todos los casos. Puede actuar siguiendo instrucciones de la tienda, ser responsable independiente de una parte de la entrega o compartir decisiones según el servicio real. Documente el flujo, la finalidad de cada comunicación, la base jurídica y el país de destino. Si hay transferencia fuera del EEE, compruebe decisión de adecuación o garantías del capítulo V RGPD y, cuando corresponda, la evaluación del contexto de transferencia. No presente un simple contrato de envío como sustituto de este análisis.
Una plataforma como Shopify tampoco confiere cumplimiento por defecto. El comerciante controla habitualmente textos, categorías de cookies, aplicaciones instaladas, autorizaciones de marketing y destinatarios del pedido. Audite la configuración y los complementos de la tienda concreta. No atribuya una frecuencia de sanciones a tiendas de una marca de plataforma sin una serie de decisiones verificables. Lo que importa es qué datos salen de esa instalación y cómo se informan, protegen y suprimen.
Conservación: documento comercial frente a perfil de cliente
No existe un plazo único para «todos los datos del ecommerce». El artículo 30 del Código de Comercio establece seis años para libros, correspondencia, documentación y justificantes del negocio, desde el último asiento en los libros, salvo reglas especiales. El artículo 66 de la Ley General Tributaria prevé cuatro años para determinados derechos de la Administración y del obligado tributario; no es por sí solo un plazo universal de eliminación de facturas. Para acciones personales sin plazo especial, el artículo 1964.2 del Código Civil señala cinco años desde que puede exigirse la obligación, no los quince años de la redacción antigua. Las reglas especiales y posibles interrupciones exigen análisis separado.
Separe en la arquitectura una factura o justificante que debe conservarse de una cuenta comercial o de un historial de navegación usado para recomendaciones. Cuando el cliente pide supresión, puede retirarse publicidad y datos prescindibles mientras permanecen los justificantes necesarios con acceso restringido. La política debe explicar categorías y criterios, no una promesa de borrar absolutamente todo al cerrar la cuenta. Consulte la limitación de conservación RGPD y el derecho de supresión en España para diseñar el procedimiento.
Defina también eventos claros: compra completada, devolución cerrada, cuenta inactiva, retirada del consentimiento, oposición a marketing o fin de una reclamación. Evite inventar máximos generales para candidatos, registros de seguridad, carritos abandonados o cookies. La necesidad y las normas aplicables determinan el periodo de cada conjunto. Si una incidencia obliga a conservar pruebas durante una disputa, registre alcance, base y fecha de revisión para que la excepción no se convierta en archivo indefinido.
Derechos y brechas con responsables asignados
Ofrezca un canal sencillo para acceso, rectificación, oposición, portabilidad cuando proceda y supresión. El artículo 12 RGPD fija normalmente un mes para responder, ampliable hasta dos meses adicionales según complejidad y número de solicitudes, informando de la ampliación dentro del primer mes. Verifique identidad de forma proporcionada: no pida una copia del DNI por defecto a quien ya accede por una cuenta autenticada. Si deniega la solicitud, explique motivos y vías de reclamación conforme al artículo 12.4. Coordine instrucciones a encargados, pero no asuma que todo destinatario independiente debe obedecer automáticamente la orden de la tienda.
Prepare la respuesta a una brecha de seguridad RGPD para fugas de pedidos, credenciales robadas, scripts de checkout comprometidos y envíos erróneos. El artículo 33 exige notificar a la autoridad sin dilación indebida y, cuando sea posible, dentro de 72 horas desde que se tenga constancia, salvo que sea improbable el riesgo para derechos y libertades. El artículo 34 exige informar a personas afectadas si el riesgo es alto, con sus excepciones. Registrar hora de conocimiento, sistemas, datos, medidas y decisión permite demostrar por qué se notificó o no. El procedimiento de notificación a la AEPD concreta el flujo español.
Una revisión práctica del checkout
Haga una compra de prueba con el consentimiento de cookies rechazado. Compruebe si carrito y pago funcionan, si el pixel publicitario sigue bloqueado y si el aviso explica cada uso. Repita con autorización de marketing y verifique qué prueba queda guardada. Solicite una baja, una exportación y una supresión de prueba para comprobar que las herramientas de correo, soporte y pedidos reciben la instrucción correcta. Revise después una compra con devolución para saber qué datos siguen siendo necesarios por contabilidad o defensa de reclamaciones.
El resultado debería ser un mapa breve de decisiones y responsables, no solo una carpeta de políticas. Anote los cambios: bloquear una etiqueta anticipada, eliminar un campo de fecha de nacimiento, limitar la vista del transportista o separar el archivo de facturas del perfil de marketing. Asigne fecha y verificación a cada corrección. El checklist RGPD para España da una visión general, pero la prueba de compra aporta evidencia sobre el funcionamiento real de esta tienda.
Preguntas frecuentes
¿Puedo enviar promociones a todos los compradores?
No de forma indiscriminada. La excepción del artículo 21.2 LSSI requiere relación contractual previa, datos obtenidos lícitamente, productos o servicios similares de la propia empresa y oposición fácil tanto al recoger datos como en cada mensaje. Para otros envíos, revise la autorización previa y la base RGPD correspondiente.
¿Tiene toda tienda que nombrar un delegado de protección de datos?
No por vender online. El artículo 37 RGPD y los supuestos de la LOPDGDD determinan la obligación, por ejemplo según la actividad principal y la escala de observación sistemática o datos especiales. Una tienda debe evaluar sus operaciones; usar analítica o email no produce automáticamente el mismo resultado que una plataforma dedicada a perfiles masivos.
¿El transportista siempre es encargado del tratamiento?
No. El papel depende de fines y medios decididos en el servicio concreto. Puede existir encargo para algunas tareas y responsabilidad propia para otras. Revise hechos y contrato antes de utilizar una cláusula estándar del artículo 28.
¿Cuándo borro los datos de una compra?
Separe datos de publicidad, cuenta, pedido y justificantes. Aplique al documento comercial las obligaciones pertinentes y suprima o restrinja los datos ya innecesarios para las demás finalidades. Ni quince años civiles ni seis años fiscales son una respuesta universal para toda la ficha del cliente.