Implicaciones del GDPR en el comercio electrónico: Protegiendo la privacidad de los datos en la era digital

A lo largo del presente siglo, no han sido pocos los casos en los que enormes y relevantes empresas se han visto involucradas en escándalos internacionales que han tenido que ver con hackeo y robo de datos personales de sus clientes. Ante este panorama, la Unión Europea “se puso las pilas” y adoptó en abril de 2016 la Regulación General para la Protección de Datos (GDPR, por sus siglas en inglés), entrando en vigor el 25 de mayo de 2018. El Reglamento General de Protección de Datos (GDPR) se ha establecido como un pilar fundamental en la protección de la privacidad de los datos de los ciudadanos europeos desde su entrada en vigor en mayo de 2018.

Esta legislación no sólo tiene implicaciones para las empresas europeas, sino que también afecta a aquellas fuera de la UE que interactúan con ciudadanos de la UE. El GDPR se aplica a todas las empresas que procesan datos personales. Incluso si la organización que está establecida fuera de la Unión Europea, pero se dedica a cualquier tipo de comercio con cualquier individuo en la UE, entonces, tendrá que cumplir con la ley de protección de datos.

¿Qué es la normativa GDPR?

El GDPR (Reglamento General de Protección de Datos) es un conjunto de regulaciones que entraron en vigor en 2018 para proteger los datos personales de las personas dentro de la Unión Europea (UE). El reglamento se aplica a cualquier empresa que procese o almacene los datos personales de los ciudadanos de la UE, independientemente de dónde se encuentre el negocio.

GDPR toma al individuo como eje de la protección de los datos, por eso le otorga el derecho de conocer y decidir cómo se utilizan, almacenan, transfieren, protegen y eliminan sus datos personales. El GDPR se introdujo para estandarizar la protección de datos en toda la Unión Europea (UE) y para mejorar la protección de los datos personales en un mundo cada vez más digital. Antes del GDPR, los estados miembros de la UE tenían diferentes leyes de protección de datos. Esto dio lugar a diferencias significativas en el nivel de protección y supuso un reto para las empresas que operaban en varios países. El GDPR establece un marco jurídico único que se aplica a todos los países de la UE. El objetivo principal del GDPR es proteger a las personas en lo que respecta al tratamiento de datos personales. El reglamento pretende fomentar la confianza de los ciudadanos en el tratamiento de sus datos. El GDPR permite que las empresas de la UE operen de manera más eficiente porque pueden cumplir con estándares uniformes de protección de datos.

Según el GDPR, por datos personales se entiende cualquier información que pueda utilizarse para identificar a una persona directa o indirectamente. Incluye nombres, direcciones, direcciones de correo electrónico, números de teléfono, direcciones IP, datos de localización e incluso identificadores en línea como las cookies.

Principios del tratamiento de datos bajo el GDPR

El artículo 5 del GDPR regula los principios para el tratamiento de datos personales. Entre otros requisitos, los datos deben ser:

• Tratados de forma lícita y transparente para el interesado.
• Recopilados y procesados para fines específicos, explícitos y legítimos.
• Procesados solo en la medida necesaria para el propósito respectivo.
• Actualizados y correctos.
• Eliminados si ya no son necesarios para el propósito de su tratamiento.
• Protegidos por medidas técnicas y organizativas para evitar el acceso no autorizado, la pérdida o la destrucción.

El artículo 6 del GDPR estipula que los datos solo pueden ser procesados si se aplica una de las siguientes bases legales:

1. Consentimiento del interesado.
2. Un contrato con el interesado.
3. El tratamiento es necesario para cumplir con una obligación legal.
4. El tratamiento es necesario para proteger los intereses vitales del interesado o de otra persona física.
5. El tratamiento es necesario para el cumplimiento de una misión realizada en interés público.
6. El tratamiento es necesario para proteger los intereses legítimos del responsable del tratamiento o de un tercero, salvo que prevalezcan los intereses o derechos fundamentales del interesado.

Derechos de los interesados en el comercio electrónico

El GDPR para el comercio electrónico otorga varios derechos a las personas en relación con sus datos personales, entre los que se incluyen:

• Derecho de acceso: Los individuos tienen derecho a saber qué datos personales tienen sobre ellos y cómo se están procesando (artículo 15 del RGPD).
• Derecho de rectificación: Si alguno de sus datos personales es inexacto o está incompleto, tiene derecho a solicitar su rectificación (artículo 16 del RGPD). Los clientes pueden solicitar la rectificación de sus datos si es necesario. Necesita saber en todas partes en la organización dónde se guardan los datos personales de una persona, de modo que pueda actualizarse si así lo solicita el cliente.
• Derecho de supresión (también conocido como derecho al olvido): Las personas pueden solicitar que borres sus datos en determinadas circunstancias (artículo 17 del RGPD). Los clientes incluso pueden solicitarle al sitio que elimine la información o que no la utilice.
• Derecho a la portabilidad de los datos: Las personas pueden recibir una copia de sus datos en un formato estructurado, de uso común y lectura mecánica (artículo 20 del RGPD). Los interesados tienen derecho a recibir sus datos del responsable del tratamiento en un formato estructurado, común y legible por máquina. Así mismo, GDPR otorga el derecho de portabilidad al usuario. Esto significa que los datos deben estar en un formato estructurado, de uso común y lectura mecánica (un excel, por ejemplo), para que la gente pueda exportarlos fácilmente y trasladarlos a otro responsable.
• Derecho a restringir el tratamiento: Las personas tienen derecho a solicitar que limites el tratamiento de sus datos en determinadas circunstancias.
• Derecho a oponerse: En caso de que el cliente se objetive, la empresa debe detener inmediatamente el marketing directo (artículo 21 del RGPD). No se debe comercializar a una persona como una empresa no trivial.
• Derecho a ser informado: Las empresas deben informar a los clientes qué planean hacer con los datos al momento de recopilar su información. Los detalles de “dónde se procesarán esos datos”, “cuánto tiempo va a conservar los datos” y “los detalles de sus derechos según el GDPR” y otros detalles relacionados deben estar escritos claramente en un lenguaje simple.

Implicaciones clave del GDPR para el comercio electrónico

Para las empresas de ecommerce, el GDPR ha remodelado significativamente las estrategias de publicidad digital. El Reglamento General de Protección de Datos no es una revolución, pero representa un gran cambio para los minoristas.

Consentimiento explícito

Según el GDPR, las empresas deben obtener el consentimiento explícito de los usuarios antes de recopilar, procesar o almacenar sus datos personales. La aceptación silenciosa o suave no será aceptable para el consentimiento de GDPR después del comienzo de la ley. Se requiere el consentimiento válido de los clientes antes de procesar sus datos personales. Como se mencionó anteriormente, las opciones de suscripción previamente seleccionadas ya no serán aceptables. En España, el consentimiento para el tratamiento de datos personales puede prestarse a partir de los 14 años.

Uso de cookies

El GDPR también afecta el uso de cookies en los sitios web de ecommerce. Cualquier uso de cookies no técnicas requiere consentimiento expreso del usuario. Las cookies técnicamente necesarias se utilizan, por ejemplo, para mostrar el idioma apropiado del sitio web para el usuario o para almacenar el contenido del carrito de la compra. Las cookies son esenciales para el correcto funcionamiento de los sitios web, y se utilizan para crear perfiles de usuario para publicidad personalizada. Por esta razón, los usuarios deben tener la oportunidad de dar su consentimiento para el almacenamiento y procesamiento de cookies. Un simple «banner de cookies» es suficiente solamente si ofrece la opción de rechazar o ajustar la configuración de las cookies.

Seguridad de los datos

La seguridad de los datos es una preocupación central del GDPR. La regulación establece estándares estrictos para garantizar la protección de los datos personales contra el acceso no autorizado, la divulgación y la pérdida. Las compañías deben evitar cualquier brecha en la protección de datos aplicando las medidas técnicas y organizativas adecuadas. Las empresas deberán invertir en capacitar a sus empleados para asegurar la protección de los mismos. Información en la nube: dado que gran parte de los datos personales se procesan con este tipo de servicios, son vulnerables a sufrir ataques, robos o filtraciones desde cualquier parte del mundo.

Responsabilidad del Controlador de Datos

El GDPR establece que las empresas son responsables del manejo adecuado de los datos personales de los usuarios. El GDPR hace que sea responsabilidad del sitio proteger los datos de los clientes. La organización debe asegurarse de que los visitantes de la tienda, así como los clientes, puedan ejercer todos los derechos que tienen.

Transferencias Internacionales de Datos

El GDPR regula la transferencia de datos personales fuera de la Unión Europea. Las regulaciones internacionales, de México, de Europa o de donde sean, son aspectos que debes considerar pues podrían afectar a tu marca, sobre todo si realizas negocios fuera del país.

Notificación de Violaciones de Datos

En caso de una violación de datos que pueda afectar los derechos y libertades de los usuarios, las empresas tienen la obligación de notificar a las autoridades de supervisión y a los usuarios afectados dentro de un plazo específico. En caso de violación de datos, la compañía debe informarlo dentro de las 72 horas.

Evaluaciones de Impacto de Protección de Datos (DPIA)

El GDPR requiere que las empresas realicen evaluaciones de impacto de protección de datos en ciertas circunstancias, especialmente cuando se llevan a cabo actividades de procesamiento de datos que podrían representar un riesgo para los derechos y libertades de los usuarios. Es obligatoria cuando el tratamiento de datos se realiza a gran escala o incluye categorías especiales de datos.

Impacto en el comercio electrónico

Desde que el Reglamento General de Protección de Datos de la Unión Europea, o GDPR, entró en vigor hace 14 meses, las empresas de comercio electrónico en Europa se han visto afectadas en términos de visitas e ingresos. Los ingresos disminuyeron un 8.3% debido a GDPR. Desde que entró en vigor la regulación las visitas a las páginas han caído un 9,7%, mientras que las visitas al sitio web han disminuido un 9,9%, según muestra el estudio «Regulación de la privacidad online: el impacto temprano de GDPR en el tráfico web europeo y el comercio electrónico». Según dicho estudio, el GDPR, cuya escala y alcance ha costado a muchas empresas millones de euros en costes de cumplimiento. «Los costes más altos del uso de información personal pueden afectar a los canales de marketing personalizados que impulsan el tráfico online», afirman los investigadores del estudio. “Tanto el correo electrónico como la publicidad digital dependen de datos personales en forma de cookies o listas de correo electrónico. Como tal, la calidad y cantidad de publicidad a través de estos canales ha disminuido», añaden. El GDPR también ha impactado en las estrategias de segmentación y personalización de anuncios.

El cumplimiento del GDPR es crucial para las empresas de ecommerce que desean mantener la confianza del cliente y cumplir con las regulaciones de privacidad de datos. Adaptar las estrategias de publicidad digital al GDPR es fundamental para garantizar el éxito a largo plazo en el mundo del marketing y el ecommerce. Comprar por internet ya no es una novedad, sino una práctica habitual. Millones de usuarios introducen cada día sus datos personales en plataformas de eCommerce para adquirir productos o servicios. El Reglamento general de protección de datos permite a los clientes de los sitios de compras en línea tener un mejor control de sus datos personales.

Tabla: Impacto del GDPR en el comercio electrónico (Datos de estudio)

Requisitos para el cumplimiento del GDPR en empresas de comercio electrónico

Para cumplir con las regulaciones GDPR, las empresas de E-commerce deben cumplir con una variedad de requisitos. Estos se derivan en gran medida de los derechos de los interesados antes mencionados (capítulo 3 del RGPD) y de las obligaciones de los responsables del tratamiento (capítulo 4 del RGPD). Como propietario de un negocio de comercio electrónico, asegurarse de que tu sitio web cumple con el GDPR puede parecer desalentador. Aquí hay algunos pasos esenciales que las empresas deben tomar para convertirse en negocios de comercio electrónico compatibles con GDPR.

1. Realizar una auditoría de datos

Llevar a cabo una auditoría de datos exhaustiva es el primer paso hacia el cumplimiento del GDPR para el comercio electrónico. Implica identificar todos los datos personales que tu sitio web recopila, procesa y almacena. Debes saber de dónde proceden los datos, cómo se procesan, quién tiene acceso a ellos y dónde se almacenan. Una vez identificados los datos personales de tu sitio web, debes evaluar si tienes una base legal para procesarlos. Esto significa determinar si has obtenido el consentimiento válido de los usuarios o si existe otra razón legal para procesar los datos.

2. Política de privacidad clara y accesible

Las empresas de e-commerce deben proporcionar una política de privacidad integral. Esta debe explicar de forma transparente y exhaustiva qué datos personales se recopilan, con qué fin, cómo se procesan los datos y qué derechos tienen los interesados. La política de privacidad debe ser fácil de encontrar (por ejemplo, en el pie de página del sitio web o como enlace directo al acceder a la página). Tu política de privacidad también debe informar a los usuarios de sus derechos en virtud del GDPR y proporcionar información sobre cómo ejercer estos derechos. Cualquier uso de cookies no técnicas requiere consentimiento expreso del usuario. Debe incluir la identificación del responsable del tratamiento (normalmente, la empresa vendedora), NIF, dirección, datos de contacto y registro mercantil si corresponde.

El artículo 13 del RGPD enumera toda la información requerida en una declaración de protección de datos compatible con el RGPD. Algunos de estos datos son:

• El nombre y los datos de contacto del responsable del tratamiento.
• En su caso, el nombre y los datos de contacto de la persona delegada de la protección de datos.
• La base jurídica y los fines del tratamiento de los datos personales.
• Una indicación de los intereses legítimos del responsable del tratamiento, si el tratamiento de datos se basa en ellos (véase el artículo 1, apartado 1, letra f del RGPD).
• Los destinatarios de los datos personales en caso de divulgación.
• La duración del almacenamiento de los datos personales.
• Los derechos de los interesados, incluidos los derechos de acceso, rectificación, supresión, oposición, revocación y limitación del tratamiento.
• La descripción de las consecuencias de no proporcionar datos personales.

3. Implementar medidas técnicas y organizativas apropiadas

Para garantizar que los datos personales estén protegidos contra el acceso o la divulgación no autorizados, los sitios web de comercio electrónico deben implementar medidas técnicas y organizativas adecuadas. Esto incluye el cifrado de la transmisión de datos, por ejemplo, a través del protocolo de transferencia de hipertexto seguro (HTTPS) (artículo 32 del RGPD). Esto requiere un certificado de capa de sockets seguros (SSL) o de seguridad de la capa de transporte (TLS). Las tiendas online también deben garantizar que los datos personales se almacenen de forma segura (por ejemplo, en bases de datos cifradas). Las copias de seguridad de los datos también son obligatorias. También debes revisar periódicamente tus medidas de seguridad para asegurarte de que siguen siendo eficaces a medida que surgen nuevas amenazas.

4. Nombramiento de delegados de protección de datos (DPO)

De conformidad con el artículo 37 del RGPD, el nombramiento de delegados de protección de datos para una tienda online es obligatorio en determinadas condiciones. Incluso si tu empresa no está obligada a nombrar uno por ley, tener a alguien responsable de la protección de datos es una buena idea. El RPD debe tener conocimientos sobre el GDPR y ser responsable de garantizar que tu empresa los cumpla. También debe ser el punto de contacto para los usuarios con preguntas o inquietudes sobre sus datos.

5. Consentimiento para publicidad y ofertas de información

Las direcciones de correo electrónico de los clientes no se pueden usar automáticamente para enviar boletines informativos, publicidad u ofertas de información. Para ello, se requiere el consentimiento activo de los clientes. Con la entrada en vigor del RGPD, se exige el procedimiento de doble «opt-in» basado en el artículo 7 y el artículo 8 del Reglamento. La elección doble requiere que los clientes se confirmen dos veces. Primero hay que preguntarles si les gustaría recibir un boletín, por ejemplo. Si esto se confirma mediante el registro (y la transmisión asociada de la dirección de correo electrónico), hay un segundo paso: las empresas deben enviar un enlace de confirmación en el que deben hacer clic para activar la oferta.

6. Acuerdos sobre procesamiento de datos

Si los proveedores de servicios externos procesan datos personales de una tienda en línea, se deben celebrar acuerdos de procesamiento de datos. Este es el requisito obligatorio para la transferencia de datos a terceros. Los acuerdos de protección de datos garantizan que los terceros también cumplan con el RGPD. Los proveedores de servicios típicos para las tiendas en línea son los proveedores de servicios de pago o los proveedores de servicios en la nube y soluciones de software como servicio (SaaS).

Consecuencias del incumplimiento del GDPR

Como propietario de un negocio de comercio electrónico, no cumplir con el GDPR puede tener graves consecuencias.

Sanciones financieras

Una de las consecuencias más importantes del incumplimiento son las sanciones económicas. Las multas por incumplimiento de GDPR están en aproximadamente 23,440 millones de dólares o el 4% de los ingresos anuales de la compañía, dependiendo de las infracciones cometidas. En caso de que una empresa no cumpla con la legislación, se le impondrá una multa del 4% de la facturación o 20 millones de euros, el monto que sea mayor. Por ejemplo, es una infracción administrativa ocultar intencionalmente, a sabiendas o por negligencia, al remitente o la naturaleza comercial de un mensaje. Lo mismo se aplica a la recopilación, el procesamiento o el almacenamiento de datos personales incumpliendo la ley.

Daños a la reputación y pérdida de confianza del cliente

El incumplimiento del GDPR también puede dañar la reputación de tu empresa. Los clientes son cada vez más conscientes de sus derechos de privacidad de datos. Es más probable que lleven sus negocios a otra parte si no confían en la capacidad de tu empresa para proteger su información personal. Si los clientes sienten que sus datos deben protegerse adecuadamente, pueden perder la fe en tu capacidad para mantener su información segura y protegida.

Posibles acciones legales

El incumplimiento del GDPR también puede dar lugar a acciones legales contra tu empresa. Los clientes tienen derecho a demandar a las empresas que no protejan adecuadamente sus datos personales, lo que podría dar lugar a costosas demandas y a un mayor daño a su reputación.

Para evitar estas consecuencias, las empresas de comercio electrónico deben priorizar el cumplimiento del GDPR y tomar las medidas necesarias para proteger la información personal de sus clientes.