Protección de datos de clientes de comercio electrónico: cumprimento do GDPR

Introdución

A protección dos datos dos clientes constitúe unha cuestión estratéxica importante para calquera operador de comercio electrónico. Desde a entrada en vigor do Regulamento Xeral de Protección de Datos (GDPR) o 25 de maio de 2018, os sitios comerciais, as aplicacións de venda móbil e os marketplaces deberán respectar un marco legal estrito baixo pena de sancións de ata 20 millóns de euros ou o 4% da facturación global anual. Máis aló da limitación regulamentaria, o cumprimento do GDPR representa unha auténtica panca de confianza dos clientes: o 87% dos consumidores europeos afirman que non comprarán nun sitio onde dubidan da seguridade dos datos. Este artigo de piar detalla as obrigas concretas dos minoristas electrónicos en termos de consentimento, cookies, boletíns e seguridade dos datos de pago.

Consentimento: pedra angular do cumprimento do GDPR

O consentimento constitúe unha das seis bases legais para o tratamento previstas no artigo 6 do GDPR. Para ser válido, debe cumprir catro criterios acumulativos definidos no artigo 7: ser libre, específico, informado e inequívoco. No contexto do comercio electrónico, isto significa que un internauta non pode ter condicionado o seu consentimento á compra dun produto (principio de liberdade), e que debe poder consentir por separado cada finalidade (perfil de marketing, compartición con socios, boletín informativo, etc.).

A CNIL reforzou considerablemente os seus requisitos dende 2020 coas súas directrices sobre cookies e rastreadores. O botón "Aceptar todo" agora debe ir acompañado dun botón "Rexeitar todo" de accesibilidade e visibilidade equivalentes. As caixas marcadas previamente están estrictamente prohibidas (sentenza do TJUE Planet49, 1 de outubro de 2019). Os comerciantes electrónicos tamén deben conservar unha proba de consentimento con selo de tempo durante a duración do procesamento e permitir a retirada tan simple como a subvención inicial.

Xestión de cookies e rastreadores en sitios de comerciantes

Os sitios de comercio electrónico usan de media entre 40 e 60 cookies de terceiros: analíticas, retargeting publicitario, redes sociais, chatbots, probas A/B. O artigo 82 da Lei de Protección de Datos modificada require o consentimento previo para calquera rastreador non estritamente necesario para o funcionamento do servizo. Só están exentas as cookies de cesta da compra, sesión de autenticación e equilibrio de carga.

Configurar unha plataforma de xestión de consentimento (CMP) que cumpre volveuse esencial. Debe permitir que o visitante sexa detallado nas súas eleccións: aceptación por propósito (medición da audiencia, personalización, publicidade dirixida) e por destinatario. Choven as sancións: Google (150 millóns de euros), Amazon (35 millóns de euros), Facebook (60 millóns de euros) en 2022 pola falta dun botón de rexeitamento tan accesible como o de aceptar.

Newsletter e prospección comercial: opt-in rigoroso

O envío de newsletters e correos electrónicos promocionais encádrase no artigo L.34-5 do Código Postal e das Comunicacións Electrónicas, de transposición da directiva ePrivacy. O principio é o da aceptación previa explícita para clientes potenciales individuais (B2C). Existe unha excepción notable para os clientes que xa realizaron unha compra: está autorizada a prospección de produtos ou servizos similares, sempre que fosen informados durante a recollida e poidan opoñerse a cada envío.

Concretamente, a caixa "Gustaríame recibir ofertas comerciais de [marca]" debe estar desmarcada de forma predeterminada e debe estar distinta da aceptación dos T&C. Cada correo electrónico debe incluír unha ligazón para cancelar a subscrición cun só clic, a identidade do remitente e un enderezo de contacto válido.

Asegurar os datos de pago

O tratamento dos datos bancarios encádrase tanto no GDPR (artigo 32 sobre seguridade) como no estándar PCI-DSS (Payment Card Industry Data Security Standard). Os comerciantes electrónicos deberían favorecer a tokenización a través dun provedor de servizos de pago certificado (PSP) PCI-DSS de nivel 1, evitando así o almacenamento directo dos números de tarxeta. A autenticación forte (3D Secure v2) é obrigatoria desde o 15 de maio de 2021 en aplicación da directiva DSP2.

Manter o criptograma visual (CVV) está estrictamente prohibido despois da transacción. Os números de tarxeta só se poderán conservar con consentimento expreso para facilitar as posteriores compras (deliberación CNIL núm. 2018-303).

Conclusión

O cumprimento do GDPR no comercio electrónico non é só unha lista de verificación legal: estrutura toda a relación dixital co cliente. Entre o consentimento granular, a xestión de cookies, o rigor na prospección e os pagos seguros, os comerciantes electrónicos deben adoptar un enfoque de "privacidade por deseño" á hora de deseñar as súas viaxes. Este enfoque, lonxe de ser un obstáculo comercial, convértese nun argumento diferenciador nun mercado onde a confianza dixital condiciona a taxa de conversión e a fidelidade.