La gestión de los datos cambiará radicalmente para las empresas y los usuarios en este 2018. Pero ¿cómo afectará concretamente a aquellas pymes que apuesten por la tienda online como vértice de su negocio?

En mayo de 2018 entrará en vigor el nuevo Reglamento Europeo de Protección de Datos (abreviado como GDPR). Este documento, que fue aprobado en mayo de 2016, prevalecerá sobre cualquier legislación nacional, por lo que los efectos de la actual Ley Oficial de Protección de Datos quedarán sometidos a la jerarquía europea.

¿Hay muchas diferencias entre sus postulados y los que marcaba la ley anterior (por la que todavía se rige España, a falta de la llegada del mes de mayo)?

Y, más importante todavía, ¿cómo pueden adaptarse a esos cambios las empresas que tengan en Internet el centro neurálgico de sus operaciones, caso de las tiendas digitales?

Entre las novedades más importantes que incorporará el Reglamento está la ampliación del ámbito territorial.

Con el GDPR, las limitaciones y obligaciones se extenderán a todas aquellas empresas y entidades que se hallen fuera de la Unión Europea cuando lleven a cabo gestiones de datos cuya naturaleza sea ofrecer un servicio económico a ciudadanos de la Unión.

Es decir, que aunque la empresa se ubique en América (o en África o en Asia u Oceanía), si está vendiendo productos por Internet a clientes europeos, deberá regirse por las normas europeas.

Por consiguiente, los negocios online deberán tener muy presente este cambio. Por una parte, lo que se logra es garantizar la seguridad de los ciudadanos europeos, pero por otra los emprendedores han de ser muy cuidadosos en todas sus operaciones.

En cuanto al llamado “derecho al olvido”, la nueva ley da potestad al ciudadano para obligar a la entidad que posee sus datos a borrarlos de sus archivos y cesar su difusión. Para ello se podrán alegar motivos como que los datos ya no sean relevantes para los propósitos originales que motivaron su procesamiento, o que los dueños de los datos, simplemente, retiren el consentimiento.

Hasta ahora, el tráfico de datos era una parte naturalizada más del proceso económico de cualquier empresa de Internet. La gestión pormenorizada de éstos ayudaba a conocer mejor al cliente que ya figuraba en la lista o a conocer mejor al cliente potencial, es decir, a aquél que la empresa debería captar en el futuro inmediato. Sin embargo, las facilidades que el GDPR pone a los usuarios para garantizar el borrado de sus datos hace más difícil este rastreo.

Bajo el GDPR, si se recopila o almacena cualquier información que pueda vincularse con un individuo, el proceso contará como información personal. Es decir, si se permite que los clientes creen cuentas en la tienda o que se tomen sus direcciones de correo electrónico, ambas se considerarían como “datos personales”. E incluso la información más rudimentaria, como una dirección IP que no identifica a una persona específica, contará como dato personal. ¿Cómo pueden, por tanto, adaptarse las tiendas de Internet?

Bajo la prevalencia del Reglamento Europeo de Protección de Datos, las tiendas online deberán extremar la precaución en todas sus gestiones y procesamientos. En primer lugar, siempre que un cliente nuevo acceda a su servicio mediante registro, deben notificar a la Agencia Española de Protección de Datos (AGDP) los ficheros que recogen la información detallada en los formularios de inscripción, así como cualquier alteración de los mismos.

Asimismo, para recabar y guardar los datos de terceros, las tiendas online habrán de contar son su consentimiento, estando terminantemente prohibido el uso fraudulento de ellos. Para ello se ha de señalar en la web que recoja la actividad del negocio la posibilidad de dar dicho consentimiento siempre que se vaya a recabar algún dato personal, al igual que todas aquellas ocasiones en las que los datos pasen a ser almacenados.

Las partes más habituales en las que se va a necesitar este paso con las de alta de usuario y realización un pedido. Los datos han de poder ser manipulados por el cliente desde su panel de acceso una vez registrado. Aparte, para cumplir con el GDPR, a partir de mayo de 2018 el cliente tiene que contar con la posibilidad de revocar los permisos.

En lo respectivo a seguridad, los ficheros que contengan los datos han de estar perfectamente protegidos de cara a posibles intentos de hackeo. A estos efectos, la información sólo podrá ser accesible por personas autorizadas.

Con el fin de asegurar la inviolabilidad de los datos, el hosting de la tienda online debe de reunir todas las exigencias legales en materia de seguridad. Los proveedores europeos son los más actualizados, si bien no lo más baratos, pero las pymes deben anteponer en este caso precaución a rentabilidad. En caso de que se opte, sin embargo, por un hosting americano, es obligatorio que éste se halle dentro de la lista de “Safe Harbour”.

Para garantizar la viabilidad de todas las operaciones económicas que sustentan su negocio, las tiendas online necesitan tomar en consideración algunas cuestiones antes de la entrada en vigor de la nueva normativa. Éstas son las preguntas que todo empresario debería poder responderse para saber si su compañía está preparada para la llegada del GDPR.

• Política de privacidad. ¿Necesita la tienda actualizar su política de privacidad o cambiar las comunicaciones que hace a sus clientes?
• Aplicaciones externas. Si están utilizando aplicaciones de terceros para respaldar la tienda, ¿esas aplicaciones cumplen con GDPR?
• Delegado de Protección de Datos. ¿Necesita la tienda designar a un Delegado de Protección de Datos? Es imperativo que las empresas nombren un Delegado de Protección de Datos si en su actividad se dan las circunstancias para ello.
• Evaluaciones de impacto. ¿Necesita la tienda comenzar a realizar evaluaciones de impacto de protección de datos documentadas? Con el nuevo reglamento, será obligatoria la puesta en marcha de evaluaciones de impacto antes de ejecutar gestiones que puedan conllevar un alto riesgo para los derechos y libertades de las personas físicas
• Consentimiento. ¿Necesita la tienda abordar el consentimiento de sus clientes para procesar los datos y cambiar la forma en que se obtiene para cumplir con los requisitos más altos de GDPR? Con la anterior ley, ya era obligatorio pedir el consentimiento, pero las exigencias son ahora más exhaustivas.
• Derechos de los clientes. ¿Podrá la tienda online cumplir con los derechos otorgados a sus clientes y usuarios en GDPR, incluidos los derechos de acceso, corrección, borrado y exportación de sus datos? Los derechos de los clientes son muy vigilados por la nueva norma, y las sanciones por no salvaguardarlos pueden ser muy elevadas.

En definitiva, resulta evidente que cada vez queda menos tiempo para mayo de 2018. Las tiendas online deben respaldar las necesidades de protección de datos, por lo que deben permanecer atentas y actualizar sus prestaciones y políticas en este sentido. Y es que es fundamental estar al día con las exigencias del GDPR, ya que en apenas pocos meses será la norma que regirá sobre todos los negocios europeos.