RGPD y e-commerce: la guía completa de obligaciones para quien vende online
Si gestionas una tienda online y vendes a clientes en España o en la Unión Europea, el RGPD en el e-commerce no es una formalidad que puedas aplazar: es un conjunto de obligaciones legales que se activan desde el primer pedido que recibes. Cada vez que un cliente introduce nombre, dirección, correo o datos de pago, estás tratando datos personales. Y el Reglamento General de Protección de Datos (Reglamento UE 2016/679) establece reglas precisas sobre cómo recogerlos, conservarlos y protegerlos.
La buena noticia es que ponerse en regla no exige un departamento jurídico interno. Sí exige entender cuáles son las obligaciones concretas y afrontarlas con método. Esta guía pilar te acompaña paso a paso: de la base jurídica del tratamiento a la política de privacidad, del banner de cookies a la gestión de los datos de clientes, hasta el consentimiento para la newsletter, los derechos de los usuarios, la brecha de datos y las sanciones. Al final tienes una checklist operativa y algunas indicaciones sobre cómo comprobar, en la práctica, si tu tienda está en regla.
Aviso: este artículo tiene finalidad meramente informativa y divulgativa. No constituye asesoramiento jurídico ni sustituye la opinión de un abogado o de un DPD cualificado. Para situaciones concretas, acude a un profesional.
Por qué el RGPD afecta a toda tienda online
Mucha gente cree que el RGPD es un problema de las grandes empresas. En realidad se aplica a cualquiera que trate datos personales de personas que se encuentran en la UE, con independencia del tamaño. Un maker que vende productos artesanales desde un sitio hecho con herramientas no-code, una pequeña tienda con un shop en una plataforma estándar y un e-commerce con miles de pedidos al día tienen las mismas obligaciones básicas.
El tema es aún más delicado para quien ha creado su sitio con herramientas de IA y vibe coding (Lovable, Bolt.new, v0, Cursor). Estas herramientas generan interfaces rapidísimas, pero rara vez se ocupan del cumplimiento: el resultado suele ser una tienda cuidada con el banner de cookies ausente, una política de privacidad genérica y rastreadores que se activan antes del consentimiento. Errores invisibles a la vista, pero muy visibles para una autoridad de control.
El principio clave es el de responsabilidad proactiva (accountability): no basta con cumplir las reglas, tienes que ser capaz de demostrar que las cumples. Documentación, registros y pruebas del consentimiento no son burocracia: son tu defensa.
La base jurídica del tratamiento: el punto de partida
Antes incluso de recoger un dato, debes saber por qué tienes derecho a hacerlo. El RGPD no permite tratar datos "porque hacen falta": cada tratamiento debe apoyarse en una de las bases jurídicas del artículo 6. En un e-commerce las más relevantes son:
| Base jurídica | Cuándo se aplica en un e-commerce |
|---|---|
| Ejecución de un contrato | Procesar el pedido, gestionar envío, pago y devoluciones. Es la base de los datos imprescindibles para la venta. |
| Obligación legal | Conservar facturas y documentos fiscales durante el periodo previsto por la ley. |
| Consentimiento | Newsletter, email marketing, cookies de perfilado, remarketing. |
| Interés legítimo | Prevención del fraude, seguridad del sitio, algunos análisis estadísticos (con ponderación documentada). |
La distinción es crucial. Los datos necesarios para enviar un pedido no requieren consentimiento aparte: la base es el contrato. Pero enviar ofertas comerciales por correo a quien ya ha comprado, o activar un píxel de seguimiento, son tratamientos adicionales que casi siempre requieren un consentimiento libre, específico e informado. Confundir ambas cosas es uno de los errores más comunes y más sancionados.
La política de privacidad específica para e-commerce
La información sobre privacidad (o política de privacidad del e-commerce) es el documento con el que explicas a tus clientes cómo tratas sus datos. No es un texto copiado de otro sitio: debe reflejar lo que ocurre realmente en tu tienda.
Qué debe contener
Una política de privacidad completa para una tienda online incluye al menos:
- Identidad y contacto del responsable del tratamiento (tú o tu empresa) y, en su caso, del DPD si lo has designado.
- Tipos de datos recogidos: identificativos, de contacto, de pago, de navegación, historial de pedidos.
- Finalidades y bases jurídicas de cada tratamiento, distinguidas con claridad.
- Destinatarios de los datos: transportistas, pasarelas de pago, plataformas de email marketing, servicios de analítica.
- Transferencias fuera de la UE, si usas servicios con servidores fuera del Espacio Económico Europeo.
- Plazos de conservación de los datos, diferenciados por finalidad.
- Derechos del usuario y forma de ejercerlos.
- Derecho a reclamar ante la autoridad de control (en España, la AEPD).
Un error frecuente en tiendas creadas con prisa es tener una política por defecto, genérica o directamente ausente. Profundiza en el tema en nuestra guía dedicada a por qué la política de privacidad de un sitio web es obligatoria: vale todavía más cuando recoges datos de pago y direcciones de envío.
Dónde y cómo mostrarla
La información debe ser fácilmente accesible: normalmente enlazada en el pie de cada página y referida en los puntos donde recoges datos (checkout, alta en la newsletter, creación de cuenta). Debe estar escrita en lenguaje claro, no en jerga jurídica incomprensible: la transparencia es un requisito, no un extra.
Banner de cookies y consentimiento: el error más extendido
Las cookies en el e-commerce son el terreno en el que tropieza la mayoría de las tiendas online. La regla, repetida por las autoridades y las directrices europeas, es sencilla en la teoría: las cookies y rastreadores no técnicos (marketing, perfilado, analítica de terceros) solo pueden activarse después de que el usuario haya dado un consentimiento explícito.
El error típico: los rastreadores que se activan antes del consentimiento
Este es el escenario que se ve continuamente: un usuario llega a la tienda, el banner de cookies aparece superpuesto, pero mientras tanto Google Analytics, el píxel de Meta y otros scripts ya han recogido datos. Eso es una infracción, aunque después el usuario haga clic en "Aceptar". El consentimiento debe ser previo: ningún rastreador de marketing o analítica debe cargarse antes del clic.
Un banner de cookies conforme debe cumplir unos requisitos mínimos:
- Ningún rastreador no técnico activo antes de la elección del usuario.
- Botones "Aceptar" y "Rechazar" equivalentes: rechazar debe ser tan fácil como aceptar.
- Ningún consentimiento implícito: el simple desplazamiento de la página o el cierre del banner no valen como aceptación.
- Granularidad: posibilidad de elegir por categorías (analítica, marketing, etc.).
- Revocación sencilla: el usuario debe poder cambiar de opinión en cualquier momento.
Las cookies técnicas, las estrictamente necesarias para el funcionamiento del sitio (por ejemplo el carrito o la sesión de acceso), no requieren consentimiento, pero deben describirse igualmente en la política de cookies.
Si no estás seguro de cómo se comporta tu banner, una herramienta de auditoría RGPD del sitio puede mostrarte exactamente qué scripts se activan y cuándo, sin tener que buscarlos a mano en el código.
Gestión de los datos de clientes y pedidos
Cada pedido genera datos que debes custodiar con criterio. La gestión correcta de los datos de clientes bajo el RGPD se apoya en tres principios prácticos.
Minimización
Recoge solo los datos que realmente necesitas. Pedir la fecha de nacimiento o el teléfono cuando no son necesarios para la venta es una práctica a evitar: cada dato de más es una responsabilidad de más.
Limitación del plazo de conservación
Los datos no se guardan "para siempre". Debes definir cuánto tiempo conservas cada categoría:
| Categoría de dato | Referencia práctica para la conservación |
|---|---|
| Datos fiscales y facturas | El periodo previsto por la normativa fiscal (varios años) |
| Datos de cuenta e historial de pedidos | Mientras la cuenta esté activa, después según la política definida |
| Datos para marketing (con consentimiento) | Hasta la revocación del consentimiento o un periodo predefinido |
| Registros técnicos y de seguridad | Plazos cortos, proporcionados a la finalidad |
No son valores absolutos válidos en todos los casos: defínelos con tu asesor según tu actividad.
Seguridad de los datos
El RGPD exige medidas técnicas y organizativas adecuadas. Para un e-commerce significa, como mínimo: HTTPS en todo el sitio, gestión segura de las contraseñas, actualizaciones constantes de CMS y plugins, accesos limitados y, cuando sea posible, cifrado de los datos sensibles. Un fallo de seguridad no es solo un riesgo técnico: si expone datos personales, se convierte en un problema de cumplimiento con todas las letras. Para una visión más amplia, consulta nuestra guía sobre cómo tener un sitio conforme al RGPD.
Consentimiento para newsletter y email marketing
El consentimiento para la newsletter merece capítulo aparte porque es de las áreas más delicadas. Enviar comunicaciones comerciales por correo requiere casi siempre un consentimiento específico y demostrable.
Las reglas de oro
- Nada de casillas premarcadas. El consentimiento debe ser fruto de una acción positiva del usuario: la casilla de alta debe estar vacía por defecto. Una casilla ya marcada no constituye consentimiento válido.
- Consentimiento separado de la compra. El alta en la newsletter no puede ser condición para completar el pedido, ni estar escondida en la aceptación de las condiciones de venta.
- Finalidad clara. El usuario debe saber a qué consiente: promociones, novedades de producto, ofertas personalizadas.
- Baja siempre disponible. Cada correo debe incluir un enlace de baja que funcione y sea inmediato.
- Prueba del consentimiento. Debes poder demostrar cuándo y cómo se dio de alta el usuario (el doble opt-in es la práctica más sólida).
Un caso particular es el llamado soft spam: en determinadas condiciones puedes enviar comunicaciones sobre productos análogos a quien ya te ha comprado, pero solo con garantías precisas y ofreciendo siempre la posibilidad de oponerse. Las condiciones son específicas: verifícalas con un profesional antes de aplicarlas.
Los derechos de los usuarios: cómo responder a las solicitudes
El RGPD atribuye a los interesados una serie de derechos que, como responsable, debes respetar, por lo general en el plazo de un mes desde la solicitud. Los principales son:
- Acceso: el usuario puede preguntarte qué datos suyos tratas y obtener copia.
- Rectificación: corrección de datos inexactos.
- Supresión ("derecho al olvido"): eliminación de los datos, salvo obligaciones de conservación (por ejemplo las fiscales).
- Limitación y oposición al tratamiento.
- Portabilidad: recibir sus datos en un formato estructurado y legible por otro sistema.
- Revocación del consentimiento, en cualquier momento y con la misma facilidad con la que se dio.
En la práctica necesitas un canal claro (un correo dedicado a privacidad basta para una actividad pequeña) y un proceso interno para gestionar las solicitudes dentro del plazo. Ignorar una solicitud o responder tarde es en sí mismo una infracción.
Brecha de datos: qué hacer si algo sale mal
Una brecha de datos (data breach) es una violación de la seguridad que lleva a la destrucción, pérdida, alteración o acceso no autorizado a datos personales. Una base de datos robada, una cuenta de administrador comprometida, una copia de seguridad que acaba online: todo eso son brechas de datos.
Las obligaciones son concretas:
- Notificación a la autoridad de control en 72 horas desde que se detecta, si la violación supone un riesgo para los derechos y libertades de las personas.
- Comunicación a los interesados sin dilación indebida, cuando el riesgo es alto.
- Registro de violaciones: debes documentar cada brecha, incluidas las que no notificas, con las valoraciones realizadas.
Para respetar la ventana de las 72 horas hace falta darse cuenta de la violación a tiempo. Aquí es donde la monitorización de la seguridad marca la diferencia: muchas actividades pequeñas descubren un problema semanas después, cuando el plazo ya se ha superado ampliamente.
Encargados externos: pasarelas de pago, transportistas y plugins
Cuando vendes online no eres el único que maneja los datos de tus clientes. La pasarela de pago ve los datos de la transacción, el transportista la dirección de envío, la plataforma de email marketing las direcciones de los suscriptores, algunos plugins recogen datos de navegación. Todos ellos son, a efectos del RGPD, encargados del tratamiento.
La obligación del contrato de encargo
Para cada proveedor que trate datos por tu cuenta debes tener en vigor un contrato de encargo del tratamiento (Data Processing Agreement, DPA) conforme al artículo 28. El contrato define qué puede hacer el proveedor con los datos, qué garantías ofrece y cómo los protege. Los grandes proveedores ponen a disposición un contrato estándar que hay que aceptar o firmar: comprueba que lo tienes con cada uno.
Un aspecto a menudo descuidado son las transferencias fuera de la UE: si un proveedor conserva o procesa datos fuera del Espacio Económico Europeo, hacen falta garantías adecuadas. Haz un mapa honesto de todas las herramientas conectadas a tu tienda: suelen ser más de las que crees.
Sanciones: qué se arriesga de verdad
El RGPD prevé sanciones que pueden llegar a 20 millones de euros o al 4% de la facturación anual mundial, según cuál sea mayor. Son cifras pensadas para las grandes infracciones, pero las autoridades de control sancionan con regularidad también a organizaciones pequeñas, sobre todo por cookies no conformes, información ausente y marketing sin consentimiento.
Más allá de la multa, el daño más concreto para un pequeño e-commerce suele ser reputacional: una reclamación o la pérdida de confianza de los clientes pesan tanto como la sanción. Vista así, la conformidad no es un coste: es parte de la calidad del servicio.
Checklist operativa RGPD para e-commerce
Usa esta lista como punto de partida para ver en qué punto estás:
- He identificado la base jurídica de cada tratamiento (contrato, obligación legal, consentimiento, interés legítimo).
- Tengo una política de privacidad específica de mi e-commerce, accesible desde el pie y desde los puntos de recogida de datos.
- Tengo una política de cookies actualizada con la lista de cookies y rastreadores usados.
- Mi banner de cookies bloquea los rastreadores no técnicos hasta que el usuario consiente.
- Los botones "Aceptar" y "Rechazar" son equivalentes y fáciles de usar.
- Aplico la minimización: recojo solo los datos necesarios.
- He definido los plazos de conservación de cada categoría de dato.
- La casilla de alta en la newsletter no está premarcada y está separada de la compra.
- Conservo la prueba del consentimiento para las comunicaciones de marketing.
- Tengo un canal para gestionar las solicitudes de acceso, supresión y revocación dentro del plazo.
- Tengo un procedimiento de brecha de datos y sé a quién notificar en 72 horas.
- Tengo un contrato de encargo con cada proveedor externo (pagos, envíos, marketing, plugins).
- He mapeado las posibles transferencias fuera de la UE y sus garantías.
- El sitio usa HTTPS y el software está actualizado.
Cómo comprobar la conformidad de tu e-commerce
Marcar una checklist de memoria es un buen comienzo, pero la forma más fiable de saber si tu tienda está realmente en regla es observar qué hace de verdad el sitio cuando un usuario lo visita: qué scripts se activan, en qué orden, antes o después del consentimiento, y si la política de privacidad y la de cookies están presentes y son coherentes.
Este tipo de revisión, hecha a mano, exige conocimientos técnicos y tiempo. Un escáner automático como Appurai analiza tu e-commerce y te muestra los problemas de conformidad con el RGPD y los posibles fallos de seguridad en pocos minutos: banner de cookies no conforme, política de privacidad ausente o genérica, rastreadores que se activan antes del consentimiento. Es útil también si has creado la tienda con herramientas de IA, donde estos problemas son especialmente frecuentes. La versión gratuita te muestra dónde intervenir; si además necesitas generar los documentos legales básicos, existen herramientas dedicadas como los generadores de política de privacidad que te permiten partir de un texto ya estructurado.
Uses la herramienta que uses, recuerda: el cumplimiento no es una meta que alcanzas una vez y olvidas. Cada nuevo plugin, cada nueva herramienta de marketing y cada cambio en el sitio puede introducir un riesgo. Trátalo como un mantenimiento periódico, no como un trámite puntual.
Preguntas frecuentes
¿El RGPD se aplica también a un pequeño e-commerce o a un maker?
Sí. El RGPD se aplica a cualquiera que trate datos personales de personas en la UE, con independencia de la facturación o del número de pedidos. Incluso un maker que vende desde un sitio no-code tiene las mismas obligaciones básicas que una gran tienda online.
¿Puedo usar Google Analytics en mi tienda online?
Puedes, pero solo tras obtener el consentimiento del usuario mediante el banner de cookies y tras verificar las condiciones sobre la transferencia de datos. Analytics no debe activarse antes del clic de aceptación: es uno de los errores más sancionados en el e-commerce.
¿La casilla de alta en la newsletter puede estar ya marcada?
No. El consentimiento debe derivar de una acción positiva del usuario, así que la casilla debe estar vacía por defecto. Una casilla premarcada no constituye consentimiento válido según el RGPD.
¿Tengo que designar obligatoriamente un DPD para mi e-commerce?
No siempre. La designación del DPD (delegado de protección de datos) es obligatoria solo en casos concretos, normalmente en tratamientos a gran escala o de categorías especiales de datos. Muchos pequeños e-commerce no están obligados, pero la valoración se hace caso por caso con un profesional.
¿Cuánto tiempo debo conservar los datos de los clientes?
Depende de la finalidad. Los datos fiscales siguen los plazos de la normativa fiscal, los datos de marketing duran hasta la revocación del consentimiento, otros datos deben eliminarse cuando ya no sirven. Necesitas una política de conservación diferenciada.
¿Qué debo hacer si sufro un ataque y me roban los datos?
Si la violación supone un riesgo para los usuarios, debes notificarla a la autoridad de control en 72 horas desde que la detectas y, en los casos más graves, informar también a los interesados. En cualquier caso debes documentar lo ocurrido en un registro de violaciones.