La respuesta breve
Sí, el RGPD se aplica a su nuevo sitio web o tienda en línea tan pronto como datos personales fluyan a través del mismo. Esto ocurre más rápido de lo que muchos empresarios piensan: un formulario de contacto, un pedido con nombre y dirección, un banner de cookies para análisis, o una ventana de chat que solicita una dirección de correo electrónico —son todos procesamientos de datos personales. El tamaño de su empresa o el número de visitantes no juegan ningún papel al respecto.
Lo que sí varía es el alcance de lo que se le pide. Un sitio web informativo con solo una dirección y número de teléfono requiere poco. Una tienda en línea con cuentas de cliente, datos de pago, direcciones de entrega y un boletín requiere más: allí participan múltiples partes que procesan datos en su nombre, y eso requiere acuerdos.
Cuándo le afecta esto concretamente
El RGPD entra en juego en el momento en que su sitio web o tienda en línea hace algo con datos que se pueden atribuir a una persona. Piense en un formulario de contacto que guarda nombre y dirección de correo electrónico, una herramienta de análisis que rastrea el comportamiento de los visitantes, un píxel publicitario de un tercero, una cuenta de inicio de sesión para clientes, o un proceso de pedido donde se registran y se envían datos de dirección y pago a un servicio de paquetería o proveedor de pagos.
Cada uno de esos componentes significa que hay una parte que procesa los datos en su nombre: su proveedor de alojamiento, su plataforma de tienda en línea, su proveedor de análisis, su herramienta de marketing por correo electrónico. Para esas partes, en la mayoría de los casos, debe haber un acuerdo de encargo de tratamiento. Cómo evalúa ese acuerdo y en qué debe fijarse está detallado en la base de conocimientos con explicaciones por situación.
Cuándo le afecta esto menos
Un sitio web puramente informativo sin formularios, sin cookies de seguimiento y sin terceros que supervisen, procesa pocos o ningún dato personal. En ese caso, el impacto del RGPD es limitado. Pero en la práctica, esto es raro: la mayoría de los sitios tienen al menos un formulario de contacto o un script de análisis, y ambos ya cuentan como procesamiento.
Por lo tanto, no se trata de 'me afecta esto o no', sino de 'en qué medida'. Un sitio web de folleto simple requiere una declaración de privacidad breve y una revisión de las herramientas utilizadas. Una tienda en línea con cuentas de cliente y múltiples proveedores requiere una visión más completa: qué herramienta procesa qué, quién es el encargado del tratamiento, y dónde se conservan qué datos.
Qué significa esto en la práctica
Si construye un nuevo sitio web o tienda en línea, generalmente surgen tres preguntas simultáneamente. En primer lugar: qué herramientas y proveedores procesarán datos en su nombre, y tiene con cada uno de ellos un acuerdo de encargo de tratamiento? En segundo lugar: ¿hay una declaración de privacidad en el sitio que explique qué hace y por qué? En tercer lugar: ¿está este nuevo procesamiento registrado en su registro de actividades de tratamiento, para que pueda demostrar en cualquier momento qué ocurre?
Estas tres preguntas no deben responderse independientemente la una de la otra. Una plataforma de tienda en línea, un proveedor de pagos y un servicio de envío suelen ser los tres encargados del tratamiento, y cada uno debe tener un lugar en el registro. Si algo sale mal en el camino —por ejemplo, porque un proveedor transmite datos sin proteger— entonces es el momento para evaluar rápidamente qué ha sucedido y si es obligatorio notificarlo. Una indicación inicial al respecto la obtiene con un par de preguntas que inmediatamente le dan una dirección.
Cómo se relaciona esto con las obligaciones existentes
Un sitio web o una tienda en línea nueva no suele ser una obligación separada conforme a la RGPD, sino una ampliación de lo que ya era aplicable. Si su empresa ya procesa datos de personal o ya registra datos de clientes, el sitio web se suma a eso: nuevos encargados del tratamiento, nuevos flujos de datos y, por lo tanto, una adición al registro y a los contratos de encargo de tratamiento existentes. La RGPD en sí y las directrices del SEPD y la Autoridad de Protección de Datos forman la base; cómo se ha estructurado esa información en esta plataforma y dónde se encuentra la referencia de cada parte se puede leer en la explicación de cómo se ha estructurado la información.
Si su sitio web o tienda en línea específica cumple plenamente con la RGPD es algo que es mejor revisar con un abogado o, en caso de duda sobre un tratamiento concreto, con la Autoridad de Protección de Datos. Este artículo ofrece orientación, no asesoramiento jurídico.
Compruebe usted mismo dónde se encuentra
¿Desea ver rápidamente qué componentes corresponden a su nuevo sitio web o tienda en línea — qué herramientas, qué encargados del tratamiento, qué documentos? Haga el escaneo rápido gratuito u hojee los temas en la base de conocimientos. Si desea hacer un seguimiento de esto de manera estructurada una vez que el registro y la supervisión estén incluidos, puede crear una cuenta comercial y continuar desde donde se encuentra ahora.