El Reglamento General de Protección de Datos (RGPD) es la norma europea que regula cómo se recogen y se usan los datos personales, y se aplica a cualquier tienda online que venda a personas físicas, sea cual sea su tamaño. En un ecommerce no hay un único tratamiento de datos, sino varios con reglas distintas. El pedido se apoya en el contrato, la factura en una obligación legal, las ofertas por correo en la LSSI y las cookies de analítica en el consentimiento. Saber qué base jurídica tiene cada uno es lo que decide qué textos legales necesita la tienda, qué casillas pone en sus formularios y qué puede hacer con su base de clientes.
Si necesitas abogados para los textos legales de tu tienda online, solicita una valoración inicial gratuita.
Cada uso de los datos de un cliente necesita una de las bases jurídicas del artículo 6.1 del RGPD, y la base cambia según la finalidad, no según el dato. El mismo correo electrónico se trata para enviar la confirmación del pedido, por ejecución del contrato, y para enviar ofertas, con otra base y con las reglas de la LSSI. La tabla recoge el mapa habitual de una tienda online.
| Tratamiento | Base jurídica | Qué hay que tener en cuenta |
|---|---|---|
| Gestionar el pedido, el pago y la entrega | Ejecución del contrato (art. 6.1.b) | Solo los datos necesarios para vender y entregar. Pedir más datos de los necesarios no se cubre con esta base |
| Cuenta de cliente | Ejecución del contrato (art. 6.1.b) con quien la crea | Explicar para qué sirve y permitir borrarla |
| Facturación y contabilidad | Obligación legal (art. 6.1.c) | Se conservan los datos durante los plazos de la normativa mercantil y tributaria, aunque el cliente pida borrarlos |
| Atención al cliente, desistimiento y garantía | Ejecución del contrato y obligación legal (art. 6.1.b y c) | Los datos de la reclamación se guardan mientras puedan exigirse responsabilidades |
| Newsletter a quien no ha comprado | Consentimiento (art. 6.1.a) y artículo 21.1 de la LSSI | Casilla sin marcar, separada de la aceptación de las condiciones de compra |
| Ofertas por correo a clientes | Interés legítimo (art. 6.1.f) y artículo 21.2 de la LSSI | Solo productos similares a los comprados, con oposición sencilla y gratuita en cada envío |
| Correo de carrito abandonado | Consentimiento si el correo es comercial y la persona todavía no es cliente | Sin compra previa no hay relación contractual y no se aplica la excepción del artículo 21.2 de la LSSI |
| Reseñas con nombre o foto | Consentimiento de quien publica la reseña (art. 6.1.a) | Informar de cómo se comprueba que la reseña procede de un comprador |
| Analítica, publicidad y píxeles | Consentimiento (art. 6.1.a) y artículo 22.2 de la LSSI | Ninguna cookie o píxel no necesario se activa antes de que el usuario acepte |
| Prevención del fraude en el pago | Interés legítimo (art. 6.1.f) | Limitarlo a lo necesario y explicarlo en la política de privacidad |
El consentimiento no arregla una base jurídica mal elegida. El artículo 6.3 de la LOPDGDD prohíbe condicionar el contrato a que el cliente consienta tratamientos que no tienen que ver con él. Una casilla única que acepta a la vez las condiciones de compra y la newsletter no vale para la newsletter.
La Ley 34/2002 de servicios de la sociedad de la información (LSSI) prohíbe en su artículo 21.1 enviar comunicaciones comerciales por correo electrónico que el destinatario no haya solicitado o autorizado expresamente. El RGPD decide si se pueden tratar los datos y la LSSI decide si se puede enviar el correo, y la tienda tiene que cumplir las dos.
La única excepción es la del artículo 21.2. Se puede escribir sin consentimiento previo a quien ya es cliente si se cumplen tres condiciones:
Además, el cliente tiene que poder oponerse en el momento de la compra y en cada comunicación, con un procedimiento sencillo y gratuito. Fuera de esa excepción, incluidos los suscriptores que nunca han comprado y los carritos abandonados por quien no es cliente, hace falta consentimiento previo.
El artículo 22.2 de la LSSI exige consentimiento informado para instalar o leer cookies y tecnologías similares en el dispositivo del usuario, salvo las técnicas o las estrictamente necesarias para el servicio que el usuario pide. El carrito, la sesión de compra o el recuerdo de la elección de cookies no necesitan consentimiento. La analítica, la publicidad, los píxeles de redes sociales y el remarketing sí.
La guía sobre el uso de cookies de la AEPD, actualizada en julio de 2023 conforme a las directrices del Comité Europeo de Protección de Datos, exige que aceptar y rechazar se presenten al mismo nivel, sin que rechazar sea más difícil que aceptar. Sus criterios se aplican desde el 11 de enero de 2024. La propuesta europea de Ómnibus Digital plantea eximir algunos usos, como la medición de audiencia propia. Sigue en negociación, y el Consejo de la UE fijó su posición el 21 de octubre de 2026, como explicamos en nuestro artículo sobre las cookies tras el Ómnibus digital. Lo explicamos en nuestro artículo sobre el Ómnibus Digital y los cambios en el RGPD.
Una tienda online comparte datos con varios proveedores, y cada uno que los trate por cuenta de la tienda es un encargado del tratamiento. El artículo 28 del RGPD exige un contrato con cada encargado que fije el objeto, la duración, las medidas de seguridad y lo que pasa con los datos al terminar. En un ecommerce típico son encargados estos proveedores:
La pasarela de pago y la empresa de transporte suelen actuar en parte como responsables de sus propios tratamientos, porque los regula su propia normativa. Conviene revisar caso por caso qué papel declara cada una en sus condiciones.
Si algún proveedor guarda o consulta los datos fuera del Espacio Económico Europeo, se aplican además los artículos 44 y siguientes del RGPD sobre transferencias internacionales. Para los proveedores estadounidenses adheridos al Marco de Privacidad de Datos UE-EE. UU. basta la decisión de adecuación de la Comisión. Para los demás hacen falta garantías como las cláusulas contractuales tipo, y la tienda tiene que informar de la transferencia en su política de privacidad.
Además de elegir bien las bases jurídicas, el RGPD obliga a la tienda online a poder demostrar que cumple. Lo mínimo que tiene que tener por escrito es esto:
El delegado de protección de datos no es obligatorio para la mayoría de las tiendas. El artículo 34.1.d de la LOPDGDD lo exige a los prestadores de servicios de la sociedad de la información que elaboren perfiles de sus usuarios a gran escala, en la línea del artículo 37.1.b del RGPD.
Café de Altura, una tienda online ficticia de café de especialidad, tiene 4.000 clientes, una newsletter de 9.000 suscriptores y una campaña de remarketing en redes sociales. Su formulario de compra tiene una sola casilla, «Acepto las condiciones y quiero recibir novedades», y su banner de cookies solo ofrece «Aceptar» y «Configurar».
Al revisar la tienda aparecen tres problemas. La casilla única no da un consentimiento válido para la newsletter, porque va unida a la compra. El banner no permite rechazar al mismo nivel que aceptar, como pide la guía de la AEPD. Y la plataforma de email marketing guarda los datos en Estados Unidos sin que la política de privacidad lo diga.
La solución es separar la casilla de la newsletter, escribir a los clientes sin consentimiento solo con ofertas de café y accesorios, al amparo del artículo 21.2 de la LSSI, y pedir consentimiento al resto de suscriptores. Hay que añadir el botón de rechazar al banner, comprobar la adhesión del proveedor al Marco de Privacidad de Datos y reflejarlo en la política. Ninguno de estos cambios exige rehacer la tienda.
La protección de datos es una de las capas de la normativa de comercio electrónico en España, junto con la LSSI, los derechos de los consumidores y el DSA.
En la mayoría de los casos no. El artículo 34.1.d de la LOPDGDD solo lo exige a los prestadores de servicios de la sociedad de la información que elaboran perfiles de sus usuarios a gran escala. Una tienda que vende y envía pedidos, con una newsletter y analítica habitual, no suele estar en ese supuesto, aunque puede nombrarlo de forma voluntaria.
Sí, con tres condiciones del artículo 21.2 de la LSSI. El cliente tiene que haber comprado antes, su correo tiene que haberse obtenido en esa compra y la oferta tiene que ser de productos de tu empresa similares a los que compró. Además, debes darle la opción de oponerse al comprar y en cada correo, de forma sencilla y gratuita.
Si quien abandonó el carrito ya es cliente y el correo ofrece productos similares a los que compró, se aplica la excepción del artículo 21.2 de la LSSI. Si todavía no ha comprado nunca, no hay relación contractual previa y un correo comercial necesita su consentimiento previo, que puede pedirse con una casilla en el propio proceso de compra.
Sí, si la herramienta instala cookies o lee información del dispositivo del usuario. El artículo 22.2 de la LSSI solo exime las cookies técnicas y las estrictamente necesarias, y la analítica no lo es. La propuesta de Ómnibus Digital plantea eximir la medición de audiencia propia, pero no está aprobada.
Es una brecha de seguridad. Tienes que notificarla a la AEPD en un plazo de 72 horas desde que la conoces, salvo que sea improbable que suponga un riesgo para los clientes, según el artículo 33 del RGPD. Si el riesgo es alto, también tienes que comunicársela a los clientes afectados. Conviene documentar la brecha y las medidas tomadas aunque no se notifique.
Ordenar las bases jurídicas de una tienda online lleva poco tiempo y evita los problemas más frecuentes, que casi siempre están en una casilla, un banner o un proveedor sin contrato. En Innovatech revisamos la protección de datos de tiendas online junto con el resto de su documentación legal, dentro de nuestro servicio de abogados para los términos y condiciones y demás textos legales de tu tienda online. Escríbenos y te damos una valoración inicial gratuita.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.