Buscar
Cerrar este cuadro de búsqueda.

Claves para la recogida de datos personales en los proyectos de ecommerce

La recogida de información de clientes y potenciales clientes, puede ser un factor determinante para el éxito en los proyectos de ecommerce, si se realiza de forma adecuada.

No solamente tenemos que tener clara que información nos interesa recopilar de los usuarios que visitan nuestra web, sino que este análisis tienen que incluir si la recogida de la información se realiza de forma legal o no.

El Reglamento General de Protección de Datos de la UE (RGPD, en adelante), aprobado en abril del pasado año, hace especial hincapié en nuevos criterios para el tratamiento de los datos personales de los usuarios. Además de los criterios hasta ahora previstos por la Ley Orgánica de Protección de Datos (LOPD 15/1999 de 13 de diciembre), entre los cuales se  obligaba a informar durante la recogida de la información de aspectos tales como: la identidad del responsable del tratamiento de los datos, la dirección donde se podían ejercer los derechos, lo derechos que se podían ejercer y las cesiones previstas.

Con la entrada en vigor del RGPD en mayo de 2018, se suman otros items de los que serán obligatorio informar en la recogida de información y se modifican o amplían los ya existentes. Vamos a ver cuales son:

  • Responsable del Tratamiento: se hace obligatorio informar de forma exhaustiva sobre quién es el responsable del tratamiento de los datos personales, o en el caso de que esté ubicado fuera de la UE, quién es su representante dentro de la misma. Igualmente, si la entidad tiene nombrado un Delegado de Protección de Datos (DPO, por sus siglas en ingles), deberá indicarse también su identidad.
  • Finalidad del tratamiento: deberá indicarse de forma entendible, cual va a ser el uso que se va a dar a esta información y solamente deberán usarse para la finalidad que se haya indicado. Igualmente deberá indicarse cual es el plazo de conservación de esta información y si no se pudiera determinar un plazo de tiempo concreto, habría que indicar que criterios se siguen para determinar esta imposibilidad. Además, y esto es muy importante, si se van a desarrollar perfiles (artículo 22 del RGPD) con la información que recopilemos: tipos de compra, productos más vendidos, ubicación física de los visitantes, etc, deberemos informar de esto de forma expresa.
  • Base legal para el tratamiento: deberá indicarse que justificación jurídica existe para el tratamiento de los datos personales que se recogen. La Agencia Española de Protección de Datos, en una reciente publicación, indicaba algunos ejemplos de este tipo de legitimación: por la ejecución de un contrato, recogida para el cumplimiento de una obligación legal, cuando sea de interés público, cuando exista un interés legítimo del responsable del tratamiento o por el consentimiento del interesado. Si la recogida de la información es necesaria para la ejecución de un contrato o una venta, habrá que indicar que datos son obligatorios y las consecuencias de no aportarlos.
  • Cesiones y destinatarios previstos. Cuando la información recopilada tenga ser cedida a otras entidades, se deberá informar de la identidad de estas. Igualmente tendrá que informarse en el caso de la existencia de responsables del tratamiento, indicando el servicio que van a prestar y por supuesto tendrá que informarse si el tratamiento de estos datos va a llevarse a cabo fuera de la UE. Si esto es así, por ejemplo con entidades de EEUU, deberé indicarse que este tratamiento se lleva a cabo al amparo del acuerdo de Privacy Shield y referenciar a la justificación del mismo.
  • Derechos que asisten a los usuarios. Deberá informarse de todos los derechos que asisten a los usuarios a la hora del tratamiento de sus datos así como donde puede llevarlos a cabo. A los conocidos derechos ARCO, (acceso, rectificación, cancelación y oposición), se unen ahora los derechos al olvido y a la portabilidad de los mismos. Habrá que indicar también, en el caso que sea necesario, como puede el usuario presentar una reclamación ante las autoridades de control.
  • Procedencia de los datos personales. En el caso de que los datos que gestione el Responsable de Tratamiento no se hayan obtenido directamente del usuario, habrá que indicar el origen de los mismos. Así mismo, en el supuesto antedicho, habrá que informar de que categorías o tipos de datos se tratan.

Como se puede ver, las exigencias del RGPD son mayores en cuando a la obligatoriedad de informar a los usuarios de como recogemos su información y que se hace con sus datos.

Por tanto, a partir de ahora, será conveniente hacer una revisión exhaustiva de los formularios de recogida de información de los proyectos de ecommerce, para comprobar si se adecuan a los nuevos criterios previstos por la norma.

Ya no valdrá un simple “he leído y acepto la política de privacidad”, si no que será necesario revisar y tener muy claro cuáles son los procedimientos incluidos en la gestión de los datos personales y como los estamos llevando a cabo.

Un poco más de trabajo para los ecommerce, pero sin duda, un paso adelante en cuanto a garantías para los consumidores.

Por José Manuel Sanz
Consultor LOPD / Auditor Interno ISO 9001:2015
www.josemanuelsanz.es

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

ÚLTIMOS POSTS

ÚLTIMOS POSTS

PUEDE INTERESARTE

¿CONECTAMOS?

POSTS MÁS COMENTADOS

Scroll al inicio
Email:*
Nombre:*
Apellidos:*
Empresa:*
Cargo:
Sector:
Teléfono:
Dirección postal:

Rellenar si se quiere recibir la revista física.
Acepto recibir la newsletter y comunicaciones de Ecommerce News conforme a la Política de Privacidad:
Acepto recibir comunicaciones comerciales de terceros: