Checklist RGPD y LSSI para tiendas online: 15 puntos que revisar

Por qué una checklist

Una tienda online trata datos personales desde el primer clic: identificativos, direcciones de entrega, historial de compras, preferencias y, a menudo, perfiles para recomendar productos. Le aplican a la vez el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley 34/2002 de servicios de la sociedad de la información (LSSI-CE), además de la normativa de consumidores.

Esta es la lista de comprobación que usamos en la primera semana de un proyecto. No sustituye a un análisis jurídico, pero detecta el 80 % de los problemas habituales.

Bloque 1: información y transparencia

• 1. Aviso legal completo (art. 10 LSSI). Denominación social, NIF, domicilio, correo electrónico, datos de inscripción en el Registro Mercantil y, si procede, autorizaciones o colegio profesional.
• 2. Política de privacidad por capas (art. 13 RGPD y art. 11 LOPDGDD). Una primera capa junto a cada formulario (responsable, finalidad, derechos y dónde ampliar) y una segunda capa con toda la información.
• 3. Condiciones de contratación. Información previa al pedido, pasos para contratar y confirmación posterior (arts. 27 y 28 LSSI), y derecho de desistimiento de 14 días naturales para consumidores (texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios).

Bloque 2: consentimiento, marketing y cookies

• 4. Nada de casillas premarcadas. El consentimiento debe ser una acción afirmativa clara (art. 4.11 y considerando 32 RGPD).
• 5. Newsletter con base jurídica. Consentimiento expreso o, para clientes, la excepción del art. 21.2 LSSI: productos similares a los ya comprados y posibilidad de oponerse en cada envío.
• 6. Banner de cookies conforme. «Aceptar» y «Rechazar» en la misma capa y con el mismo protagonismo; ninguna cookie no necesaria antes de decidir (art. 22.2 LSSI y Guía sobre el uso de las cookies de la AEPD, actualizada en 2023).
• 7. Menores. En España el consentimiento propio solo es válido a partir de los 14 años (art. 7 LOPDGDD).

Bloque 3: gobierno y documentación

• 8. Registro de actividades de tratamiento (art. 30 RGPD). La exención para empresas de menos de 250 empleados no aplica si el tratamiento no es ocasional, así que en la práctica toda tienda online lo necesita.
• 9. Contratos de encargado (art. 28 RGPD) con alojamiento, logística, email marketing, atención al cliente, analítica…
• 10. Transferencias internacionales (arts. 44–49 RGPD). Si un proveedor está fuera del Espacio Económico Europeo, verifica la garantía: decisión de adecuación (por ejemplo, el EU-U.S. Data Privacy Framework para empresas adheridas) o cláusulas contractuales tipo.
• 11. ¿Necesitas DPO o EIPD? Si elaboras perfiles de usuarios a gran escala, el art. 34.1 LOPDGDD te obliga a designar DPO, y probablemente necesitarás una evaluación de impacto (art. 35 RGPD).

Bloque 4: seguridad y derechos

• 12. Medidas de seguridad (art. 32 RGPD). HTTPS en todo el sitio, MFA en el panel de administración, CMS y plugins actualizados, contraseñas de clientes almacenadas con algoritmos robustos (Argon2, bcrypt) y copias de seguridad probadas.
• 13. Privacidad desde el diseño (art. 25 RGPD). Pide solo los datos imprescindibles y ofrece la compra como invitado.
• 14. Procedimiento de derechos. Respuesta en un mes, ampliable dos meses más en casos complejos (art. 12.3 RGPD), con un canal sencillo.
• 15. Procedimiento de brechas. Detectar, evaluar y, si hay riesgo, notificar a la AEPD en 72 horas (art. 33 RGPD). Lo explicamos en esta guía.

¿Qué te juegas?

Las multas del RGPD llegan hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial (art. 83.5). La LSSI tiene su propio régimen sancionador. Pero el mayor coste suele ser otro: la pérdida de confianza de los clientes y el bloqueo de ventas mientras se resuelve el problema.