Sector

Protección de datos en tiendas online y comercio electrónico

Actualizado el 30 de octubre de 2026 · Pietro Cravero, delegado de protección de datos con certificación italiana IDcert

Las cookies que no son técnicas necesitan consentimiento previo (art. 22.2 LSSI). Según la guía de la AEPD actualizada en julio de 2023, el botón de rechazar debe estar en la primera capa, al mismo nivel que el de aceptar. Las newsletters requieren consentimiento, salvo ofertas similares a clientes con baja fácil (art. 21 LSSI).

Qué se revisa

Los puntos que más fallan en este sector

Banner de cookies

Aceptar y rechazar en la primera capa, mismo formato; ninguna cookie no técnica se instala antes de la elección.

LSSI art. 22.2; Guía AEPD

Casilla no premarcada; para clientes, ofertas de productos similares y baja en cada envío.

LSSI art. 21

Pagos y envíos

Pasarela de pago, transportista, plataforma de la tienda: cada uno con su papel (responsable independiente, corresponsable o encargado).

RGPD arts. 4.7, 26 y 28

Cuentas de cliente

Compra como invitado disponible, contraseñas protegidas, borrado de cuentas inactivas.

RGPD arts. 5 y 25

Herramientas de marketing

Píxeles, audiencias personalizadas y analítica de terceros: consentimiento y, a menudo, transferencias fuera de la UE.

RGPD arts. 6 y 44

Caso típico

Un pedido online

1
Entrada en la web: banner con aceptar y rechazar al mismo nivel; sin cookies de terceros antes de elegir.
2
Compra: solo los datos necesarios para el envío y la factura.
3
Confirmación: el correo transaccional no necesita consentimiento; la oferta comercial lo necesita, salvo la excepción para clientes.
4
Devolución: datos bancarios tratados por la pasarela, no guardados en la hoja de cálculo del equipo.

Preguntas frecuentes

¿Puedo poner un muro de cookies?

La guía de 2023 admite, en casos limitados, que la alternativa a aceptar no sea gratuita, siempre que exista una alternativa real. Bloquear el acceso sin alternativa no es válido.

¿La analítica necesita consentimiento?

Las cookies de analítica no son técnicas y, en general, requieren consentimiento.

¿Cuánto tiempo guardo los datos de clientes?

Los de facturación, el plazo fiscal y mercantil; los de marketing, mientras no se dé de baja; las cuentas inactivas, conviene borrarlas.

Guías relacionadas: Registro de actividades de tratamiento Brechas de datos y plazo de 72 horas

Por comunidad: Comunitat Valenciana La Rioja

Otros sectores: Clínicas y centros sanitarios Colegios y centros educativos Ayuntamientos y entidades locales Hoteles y alojamientos turísticos Empresas de software y SaaS

Información general, no asesoramiento sobre un caso concreto. Actualizado el 30 de octubre de 2026.