Nombre, correo electrónico, teléfono, dirección de entrega, historial de pedidos… Una tienda online puede llegar a gestionar una cantidad importante de información personal de sus clientes.
Por eso, la protección de datos debería formar parte del ecommerce desde su diseño, independientemente de que detrás de la tienda haya una gran empresa, una pyme o una persona autónoma.
No se trata solo de tener una política de privacidad publicada en la web. Se trata de saber qué datos recogemos, para qué los utilizamos, quién puede acceder a ellos y durante cuánto tiempo los necesitamos.
¿Qué datos recoge realmente tu tienda online?
Esta es una buena primera pregunta.
Un ecommerce puede solicitar información cuando una persona:
- crea una cuenta;
- realiza una compra;
- se suscribe a un boletín;
- rellena un formulario;
- contacta con el servicio de atención al cliente;
- o interactúa con determinadas herramientas incorporadas a la web.
Además, algunas cookies y tecnologías similares pueden implicar el tratamiento de datos personales, por ejemplo, cuando permiten analizar hábitos de navegación o comportamiento. La Agencia Española de Protección de Datos (AEPD) recuerda que, cuando estas cookies requieren consentimiento, este debe ser libre e informado, y las opciones de aceptar y rechazar deben ofrecerse con el mismo nivel de visibilidad.
El primer paso, por tanto, es identificar todos los puntos en los que se recogen o tratan datos.
¿Pido más información de la que necesito?
A veces acumulamos datos simplemente porque la herramienta permite hacerlo.
Pero una de las claves de la protección de datos es precisamente la minimización: tratar únicamente aquellos datos personales necesarios para la finalidad definida.
La AEPD señala que la protección de datos por defecto debe procurar la mínima cantidad de datos, la mínima extensión del tratamiento, el menor plazo de conservación necesario y una accesibilidad limitada.
Si para enviar un pedido necesitamos un nombre y una dirección, debemos preguntarnos qué sentido tiene solicitar otros datos que no son necesarios para completar esa operación.
Menos datos innecesarios también significa menos información que proteger.
¿La política de privacidad explica lo que realmente hacemos?
Tener una política de privacidad no es suficiente si su contenido no se corresponde con la realidad del negocio.
Debería explicar de manera clara, entre otras cuestiones, quién trata los datos, con qué finalidad, durante cuánto tiempo, con qué legitimación, si existen destinatarios de la información y cómo pueden las personas ejercer sus derechos.
Y hay un detalle importante: la opción de copiar la política de otra tienda online no resuelve el problema.
Cada ecommerce puede utilizar plataformas, proveedores, herramientas de analítica, sistemas de envío, soluciones de marketing o procedimientos diferentes.
¿Qué pasa con los proveedores que acceden a los datos?
En una tienda online no todo ocurre dentro de la propia web. Puede haber empresas de hosting, plataformas tecnológicas, herramientas de email marketing, servicios en la nube u otros proveedores que participen en el tratamiento de la información.
Por eso, no basta con mirar hacia el cliente: también es importante conocer qué terceros intervienen, a qué información pueden acceder y qué relación tenemos establecida con ellos.
Un cambio de plataforma o la incorporación de una nueva herramienta puede modificar el tratamiento de los datos y hacer necesaria una revisión.
¿Y las cookies?
El conocido banner de cookies es solo la parte más visible. Antes de configurarlo, deberíamos saber qué cookies utiliza realmente la web, para qué sirven y cuáles necesitan consentimiento.
Es especialmente importante evitar que el diseño empuje a la persona usuaria hacia una única opción. Cuando es necesario solicitar consentimiento, aceptar no debería ser más fácil ni más visible que rechazar.
Por eso, instalar automáticamente un banner estándar sin comprobar qué ocurre detrás no debería ser la solución.
¿Puedo utilizar los correos electrónicos de los clientes para enviar publicidad?
Tener el correo electrónico de una persona porque ha realizado una compra no significa que podamos utilizarlo libremente para cualquier finalidad.
Las comunicaciones comerciales electrónicas están sometidas a las reglas de la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE), además de a la normativa aplicable en materia de protección de datos. La LSSI-CE regula específicamente este tipo de comunicaciones y establece las condiciones en las que pueden realizarse.
Por eso, es importante diferenciar los datos que necesitamos para gestionar una compra de aquellos que queremos utilizar para otras finalidades, como acciones comerciales.
¿La protección de datos termina cuando publicamos la web?
No. Un ecommerce cambia a medida que incorporamos una nueva pasarela de pago, cambiamos la herramienta de email marketing, instalamos un sistema de analítica, modificamos los formularios o comenzamos una nueva campaña.
La protección de datos debe acompañar esa evolución.
De hecho, el principio de protección de datos desde el diseño implica tener en cuenta la privacidad antes de iniciar el tratamiento y a lo largo de todo su ciclo de vida.
Un pequeño ejercicio para revisar tu ecommerce
La mejor forma de comprobar cuánta información se solicita es realizar una compra de prueba en la propia tienda y completar todo el proceso como si fuéramos un cliente.
Observa qué información se solicita, qué opciones aparecen marcadas, qué avisos recibe la persona usuaria, cómo funcionan las cookies y qué ocurre después de completar el pedido. Si alguna respuesta no está clara, probablemente haya algo que revisar.
Porque la protección de datos en un ecommerce no debería ser simplemente un texto situado al final de la página. Es parte del propio funcionamiento de la tienda online y también de la confianza que construimos con quienes compran en ella.
Si necesitas ayuda experta para mejorar la experiencia de tus clientes e integrarla en tu cultura organizativa, en la Oficina Económica puedes solicitar asesoramiento de forma gratuita.
