En una frase. Un ecommerce español opera bajo cinco marcos simultáneos (RGPD, LOPDGDD, LSSI, normativa de consumo y normativa fiscal) y la AEPD sanciona principalmente fallos en consentimiento de marketing, banner de cookies, política de privacidad y contratos con encargados.
Puntos clave
- Marco aplicable: RGPD + LOPDGDD + LSSI-CE + RDL 1/2007 + Reglamento ePrivacy futuro.
- Bases jurídicas habituales: ejecución contractual (compra), obligación legal (facturación), consentimiento (marketing), interés legítimo (fraude).
- Plazos de conservación clave: 6 años fiscales, 15 años civiles, 5 años mercantiles.
- Comunicaciones comerciales: requieren consentimiento previo salvo excepción art. 21.2 LSSI.
- Sanciones más comunes: cookies (5-100 K EUR), marketing sin consentimiento (5-50 K EUR), información insuficiente (3-30 K EUR).
1. Marcos normativos aplicables
Un ecommerce español está sujeto simultáneamente a:
- RGPD: principios, bases jurídicas, derechos, seguridad.
- LOPDGDD: especificidades nacionales y régimen sancionador.
- LSSI-CE (Ley 34/2002): comunicaciones comerciales, cookies, información obligatoria.
- RDL 1/2007 (consumidores y usuarios): contratación a distancia, desistimiento.
- Normativa fiscal (LGT, IVA): conservación de facturas y registros.
Ninguno se sustituye: se acumulan. A estos marcos generales se añaden obligaciones sectoriales; por ejemplo, un alojamiento que vende reservas online debe cumplir además la normativa de RGPD para hoteles y turismo en España, incluido el registro de viajeros del RD 933/2021.
2. Información del editor obligatoria (LSSI art. 10)
Visible y accesible en el sitio:
- Denominación social, NIF, domicilio.
- Inscripción registral.
- Datos de colegiación si actividad regulada.
- Correo electrónico y otros datos de contacto.
- Códigos de conducta a los que esté adherido.
La omisión es infracción LSSI sancionable hasta 30.000 EUR.
3. Bases jurídicas habituales
| Tratamiento | Base jurídica RGPD |
|---|---|
| Procesar pedido | Art. 6.1.b ejecución contractual |
| Emitir factura | Art. 6.1.c obligación legal |
| Atender postventa | Art. 6.1.b ejecución contractual |
| Newsletter clientes | Art. 6.1.f interés legítimo (productos similares, art. 21.2 LSSI) |
| Newsletter no clientes | Art. 6.1.a consentimiento |
| Prevención de fraude | Art. 6.1.f interés legítimo |
| Personalización avanzada | Art. 6.1.a consentimiento |
| Remarketing | Art. 6.1.a consentimiento |
4. Política de privacidad para ecommerce
- Datos del responsable y DPO si existe.
- Finalidades específicas: registro, pedido, facturación, marketing, atención al cliente, prevención de fraude, perfilado.
- Bases jurídicas por finalidad.
- Destinatarios: pasarela de pago, transportista, plataforma email marketing, hosting, analytics.
- Transferencias internacionales (Stripe, Mailchimp, Google).
- Plazos por categoría (cliente activo, cliente inactivo, prospect, candidato).
- Derechos y canal.
- Decisiones automatizadas en scoring antifraude.
5. Banner de cookies en ecommerce
- Cookies técnicas (carrito, sesión, idioma): sin consentimiento.
- Analítica propia agregada: sin consentimiento.
- Google Analytics, Meta Pixel, TikTok Pixel: consentimiento.
- Hotjar, Clarity, Mouseflow: consentimiento.
- Remarketing y conversión publicitaria: consentimiento.
6. Email marketing y artículo 21 LSSI
El artículo 21 LSSI prohíbe el envío de comunicaciones comerciales por correo electrónico u otro medio equivalente sin consentimiento previo, con una excepción: clientes existentes pueden recibir comunicaciones sobre productos o servicios similares a los previamente contratados, con opción de oposición fácil en cada envío.
Errores frecuentes sancionados:
- Casillas pre-marcadas en el checkout: 5.000-25.000 EUR.
- Newsletter post-compra de productos no similares: 10.000-50.000 EUR.
- Falta de mecanismo de baja en cada email: 3.000-15.000 EUR.
- WhatsApp comercial sin consentimiento: 5.000-30.000 EUR.
7. Pasarelas de pago y PCI DSS
Los datos de tarjeta están sujetos a PCI DSS (estándar contractual de las marcas) además del RGPD. Recomendaciones:
8. Conservación de datos
| Categoría | Plazo |
|---|---|
| Datos fiscales (facturas) | 6 años (LGT) |
| Datos contractuales | 5 años (Cm) hasta 15 años (Cc) |
| Datos de candidatos no contratados | 2 años máximo |
| Datos de marketing | Hasta retirada de consentimiento |
| Logs de seguridad | 12 meses (referencia AEPD) |
| Carrito abandonado | 30-90 días |
| Cookies de seguimiento | 13 meses máximo (AEPD) |
9. Dropshipping y proveedores fuera de UE
Si el proveedor recibe datos del comprador (nombre, dirección) para envío, es encargado del tratamiento. Para proveedores fuera del EEE:
- Verificar si país cuenta con decisión de adecuación.
- En caso contrario, suscribir Cláusulas Contractuales Tipo (CCT) actualizadas.
- Realizar Transfer Impact Assessment.
- Informar al comprador en la política de privacidad.
Dropshipping desde China sin garantías es uno de los puntos rojos de la AEPD en sus inspecciones a marketplaces.
10. Derechos de los interesados en ecommerce
Procedimiento operativo:
- Canal único: correo electrónico designado.
- Plazo: 1 mes ampliable a 3.
- Verificación de identidad proporcionada (no exigir DNI por defecto).
- Respuesta gratuita salvo solicitudes manifiestamente infundadas.
- Coordinación con encargados para extender la solicitud (transportista, email marketing).
El derecho de supresión tras una compra debe respetar el plazo fiscal/mercantil de conservación: se elimina lo no necesario pero se conserva lo legalmente exigido.
11. Brechas de seguridad en ecommerce
Las brechas más frecuentes en ecommerce: inyección SQL en formularios, Magecart en checkout, exposición de bases de datos por configuración insegura, phishing a empleados con acceso al backoffice, robo de cookies de sesión.
12. Checklist ecommerce conforme
- Información LSSI completa.
- Política de privacidad detallada y accesible.
- Banner de cookies con rechazo en primera capa.
- Aviso legal y condiciones de venta.
- Política de devoluciones (RDL 1/2007).
- Casillas de consentimiento no pre-marcadas.
- Mecanismo de baja en cada email.
- Contratos firmados con pasarela de pago, hosting, email, transportista.
- Registro de actividades del responsable.
- Procedimiento de derechos.
- Protocolo de brecha de seguridad.
- DPO designado si aplica (perfilado a gran escala).
Para una visión más amplia consulte el checklist RGPD genérico.
Véase también: sanciones AEPD a ecommerce y retail.
FAQ
¿Puedo enviar newsletter a quien me compró sin pedirle consentimiento previo?
Sí, sobre productos o servicios similares a los comprados y con opción de baja en cada envío (art. 21.2 LSSI). Para productos no similares se requiere consentimiento.
¿Necesita un ecommerce un DPO obligatoriamente?
No de forma automática. Solo cuando hay observación habitual y sistemática a gran escala (perfilado profundo, recomendación avanzada) o cuando se traten categorías especiales.
¿Cuánto tiempo debo conservar los datos del cliente?
Datos fiscales 6 años. Datos contractuales hasta 15 años según el plazo de prescripción aplicable. Datos de marketing hasta retirada de consentimiento.
¿El proveedor de hosting es encargado del tratamiento?
Sí. Cualquier proveedor que almacene o procese datos personales por cuenta del ecommerce es encargado y debe firmar el contrato del artículo 28 RGPD.
¿Una tienda online en Shopify cumple automáticamente el RGPD?
No. Shopify ofrece herramientas pero la configuración, política de privacidad, banner de cookies y consentimientos son responsabilidad del comerciante. Las sanciones AEPD a tiendas Shopify son frecuentes.