RGPD tienda online España: guía de cumplimiento 2026

Si vendes online a clientes en España, el RGPD no es un capítulo aislado del cumplimiento. Atraviesa toda la operativa: el formulario de alta de cliente, el carrito, la pasarela de pago, el email de confirmación, las comunicaciones de marketing posteriores, la conservación contable, las herramientas de soporte. Una tienda online típica de pyme moviliza más datos personales por jornada que un sitio corporativo en un mes.

Esta guía recoge las obligaciones reales de cumplimiento, ordenadas por la fase del recorrido del cliente. El objetivo es que puedas ir punto por punto de la lista y comprobar tu tienda sin invertir en una consultoría completa antes de tener identificadas las brechas.

Dirijo TrustYourWebsite como un proyecto en solitario y este es el orden en el que yo mismo reviso una tienda online cuando me la mandan para un escaneo previo. Si prefieres una primera radiografía técnica antes de leer el resto, escanea tu tienda gratis y vuelve con la lista en la mano.

Las cuatro normas que conviven

Una tienda online española opera bajo cuatro capas normativas. Cada una aporta sus obligaciones específicas.

Esta guía se centra en la capa RGPD. Para el bloque del Aviso Legal y los datos identificativos que pide la LSSI, ya tienes la guía del Aviso Legal según la LSSI. El derecho de desistimiento del TRLGDCU lo trataré en su propia guía dedicada.

Fase 1: visita y navegación

Cookies y scripts de terceros

Antes de que el visitante haga clic en nada, tu tienda ya está cargando recursos. Google Analytics, Meta Pixel, Hotjar, herramientas de personalización, chat de atención. Cada script de terceros que se ejecuta antes del consentimiento del usuario es una infracción potencial del Art. 22 de la LSSI-CE.

La regla técnica es clara: bloquear todo script no estrictamente necesario hasta que el visitante acepte mediante una acción afirmativa. El rechazo debe ser igual de fácil que la aceptación. Aceptar todo y rechazar todo deben tener el mismo peso visual y el mismo número de clics. Si tienes dudas sobre tu banner actual, la guía sobre cuándo es obligatorio el banner de cookies en España cubre los criterios exactos que la AEPD verifica.

Herramientas de analítica con base de cookies

Google Analytics 4 con configuración por defecto requiere consentimiento previo. Las alternativas sin cookies persistentes como Plausible, Fathom o un Matomo autohospedado con anonimización de IP funcionan habitualmente sin consentimiento, pero conviene verificar la configuración concreta de cada herramienta antes de eximir.

Registro de actividades

Independientemente de la herramienta, el registro de actividades de tratamiento del Art. 30 del RGPD debe listar la analítica como un tratamiento autónomo con finalidad estadística y base jurídica de consentimiento o interés legítimo según el caso.

Fase 2: alta y carrito

Datos mínimos imprescindibles

El Art. 5.1.c del RGPD impone el principio de minimización de datos. Para una compra básica online, los datos imprescindibles son:

• Nombre y apellidos
• Dirección de envío
• Correo electrónico
• Teléfono (solo cuando el transportista lo exige para entregas urgentes)

Cualquier dato adicional (fecha de nacimiento, género, NIF salvo factura empresa) debe justificarse por una finalidad concreta o ser opcional con casilla NO premarcada.

Casillas y consentimientos en el formulario

El RGPD Art. 4.11 define el consentimiento como manifestación de voluntad libre, específica, informada e inequívoca, mediante una declaración o una clara acción afirmativa. La sentencia del TJUE en el asunto Planet49 (C-673/17) confirmó que las casillas premarcadas no son consentimiento válido. Esto se aplica al banner de cookies y a las casillas dentro del formulario de compra para marketing posterior, alta en programa de fidelización o cesión de datos a empresas del grupo.

Patrón seguro:

• Una casilla por finalidad, todas sin premarcar
• Texto claro encima de cada casilla
• Botón principal del formulario etiquetado de forma que indique la obligación de pago, en línea con la Directiva 2011/83/UE sobre derechos del consumidor y el TRLGDCU
• Enlace a la política de privacidad accesible desde el formulario

Cuenta de cliente vs compra como invitado

Si la tienda permite tanto comprar con cuenta como sin cuenta, la base jurídica difiere. La compra como invitado se ampara en el contrato. La creación de cuenta, si añade funcionalidades de historial, listas de deseos, recomendaciones personalizadas, exige una base jurídica adicional para esos tratamientos extra.

Fase 3: pasarela de pago

Encargado del tratamiento

Stripe, Mollie, Adyen, Redsys, Bizum y similares actúan como encargados del tratamiento por cuenta del comercio. El Art. 28 del RGPD exige contrato escrito con cláusulas mínimas. Las pasarelas serias publican un DPA estándar accesible desde el panel de comerciante. Acepta, descarga y archiva el justificante con fecha.

Transferencias internacionales

Aquí está una de las trampas más frecuentes. Stripe es estadounidense. Adyen es neerlandesa pero con operaciones globales. PayPal es estadounidense. Cualquier transferencia fuera del Espacio Económico Europeo requiere garantía del Capítulo V del RGPD:

• Decisión de adecuación de la Comisión Europea. Para Estados Unidos, el EU-US Data Privacy Framework vigente desde julio de 2023 cubre a las empresas estadounidenses adheridas al framework.
• Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución 2021/914 de la Comisión.
• Reglas Corporativas Vinculantes para grupos multinacionales que las hayan aprobado.

Cita en la política de privacidad la garantía concreta que usa cada proveedor. Stripe declara su adhesión al DPF, Adyen suele apoyarse en CCT más BCR. La información figura en el DPA del proveedor, no la inventes.

Datos de tarjeta y PCI DSS

El comercio no debe almacenar el PAN completo, el CVV ni la fecha de caducidad. El Art. 32 del RGPD impone medidas técnicas y organizativas adecuadas al riesgo; PCI DSS añade el marco específico de la industria de tarjetas. La práctica segura es delegar todo el flujo de cobro en la pasarela y recibir solo un token o referencia. Si tu plataforma necesita almacenar algo más, contrata auditoría PCI específica antes de plantearlo.

Fase 4: confirmación y postventa

Email transaccional vs marketing

El email de confirmación de pedido y los avisos del estado del envío son comunicaciones operativas necesarias para la ejecución del contrato. No requieren consentimiento. Las comunicaciones comerciales posteriores sí.

Soft opt-in del Art. 21.2 LSSI

La excepción del Art. 21.2 de la LSSI-CE permite enviar comunicaciones comerciales por correo electrónico sin consentimiento expreso previo cuando se cumplen tres condiciones cumulativas:

1. La dirección se obtuvo en el contexto de una venta previa de productos o servicios similares.
2. En el momento de la recogida se ofreció la posibilidad de oponerse de forma sencilla y gratuita, y el cliente no se opuso.
3. En cada envío posterior se ofrece la baja con un mecanismo igual de sencillo y gratuito.

Si la newsletter incluye productos no similares a los comprados, o si en el alta no había opción visible de oposición, el soft opt-in no cubre y necesitas consentimiento expreso del Art. 6.1.a del RGPD. Bajo el régimen general, la práctica segura es siempre el doble opt-in con prueba de obtención.

Programa de fidelización

Los puntos, el historial de compra, las recomendaciones personalizadas y los descuentos por segmento exigen consentimiento separado del consentimiento de compra. Casilla aparte, sin premarcar, con texto específico que describa la finalidad.

Encargados del tratamiento: el inventario completo

Cada tienda online se apoya en una cadena de proveedores. Lista mínima a documentar en el registro de actividades del Art. 30 RGPD:

• Hosting del frontend y del backend
• Plataforma de ecommerce si es SaaS (Shopify, Wix, Squarespace)
• CDN (Cloudflare, BunnyCDN)
• Pasarela de pago (Stripe, Mollie, Adyen, Redsys)
• Transportista (Correos Express, SEUR, MRW, DHL)
• Email transaccional (Resend, Postmark, Brevo transactional)
• Email marketing (Mailchimp, Brevo, MailerLite)
• CRM si lo hay (HubSpot, Pipedrive)
• Atención al cliente (Zendesk, Intercom, Crisp)
• Analítica (Google Analytics, Plausible, Matomo)
• Antifraude (Stripe Radar, Sift)
• Gestoría para contabilidad y obligaciones fiscales

Cada uno necesita DPA firmado o aceptado, su garantía de transferencia internacional si aplica y aparece en la lista de destinatarios de la política de privacidad.

Conservación: plazos por categoría

Mezclar plazos lleva a infracciones por exceso de retención. Estos son los plazos típicos para una tienda online española:

Programa el borrado o la anonimización efectiva. Plazos declarados que no se aplican en la realidad son una de las cosas que la AEPD detecta más rápido cuando inspecciona.

Errores frecuentes que detecta la AEPD en tiendas online

Estos patrones aparecen recurrentemente en las resoluciones publicadas por la AEPD contra ecommerce. Conocer la lista te ahorra la mayoría del riesgo sancionador.

Carga de scripts de marketing antes del consentimiento. Meta Pixel, Google Ads, TikTok Pixel, Pinterest Tag se inicializan en el <head> antes de que el banner reciba ninguna acción del usuario. Solución técnica: tag manager con bloqueo por defecto y disparo condicionado al evento de consentimiento.

Casillas premarcadas para marketing posterior. Sentencia Planet49 ya citada, jurisprudencia consolidada. Cualquier casilla premarcada en el flujo de compra para newsletter, cesión a terceros o programa de fidelización es nula.

Pasarela de pago sin DPA aceptado. El comerciante asume que el DPA está implícito en el contrato comercial. No lo está hasta que se acepta expresamente desde el panel de comerciante. La AEPD lo pide en inspección.

Transferencias internacionales no declaradas. Stripe en US, Klaviyo en US, Mailchimp en US, Cloudflare con presencia global. La política de privacidad menciona "podemos transferir datos fuera de la UE" sin nombrar destinatarios ni garantías. Insuficiente.

Soft opt-in mal aplicado. Newsletter de ofertas variadas a clientes que compraron un producto concreto, sin opción de oposición visible en la página del checkout. Falla la condición primera o segunda del Art. 21.2 LSSI.

Plazos de conservación genéricos. "Conservamos los datos durante el tiempo necesario". Sin plazos por categoría, la política incumple el Art. 13.2.a del RGPD.

Política de privacidad copiada de otra tienda. Lista de proveedores que no se corresponde con los que la tienda usa en realidad. Detectable con un escaneo técnico de la web en segundos.

Checklist de cumplimiento RGPD para tu tienda

Antes de considerar tu tienda en cumplimiento, repasa esta lista:

• Banner de cookies con rechazo igual de fácil que aceptar
• Scripts de marketing bloqueados hasta el consentimiento
• Formulario de compra con datos mínimos y casillas no premarcadas
• Botón final con texto que indica obligación de pago
• Política de privacidad enlazada desde cada formulario
• DPA firmado o aceptado con cada encargado
• Transferencias internacionales identificadas con garantía concreta
• Plazos de conservación por categoría
• Canal operativo de ejercicio de derechos del Art. 15 a 22 RGPD
• Procedimiento de notificación de brechas en 72 horas (Arts. 33 y 34 RGPD)
• Registro de actividades del Art. 30 RGPD elaborado y conservado
• Aviso Legal con datos identificativos conforme al Art. 10 LSSI

Para una visión cruzada con el RGPD general fuera del ámbito ecommerce, complementa con la checklist RGPD para pymes españolas.

Cuándo conviene asesoramiento externo

La plantilla y la checklist cubren la situación de la mayoría de ecommerce de pymes españolas. Hay supuestos donde conviene revisión legal específica:

• Venta de categorías especiales del Art. 9 RGPD (salud, productos farmacéuticos, suplementos médicos, productos eróticos cuando se vinculan a perfiles de cliente)
• Venta a menores (productos para menores con cuenta del menor, plataformas con perfiles infantiles)
• Plataforma marketplace donde varios vendedores procesan datos de los compradores
• Perfilado automatizado o decisiones automatizadas (scoring antifraude que excluye automáticamente al cliente, precios dinámicos individuales)
• Internacional intensivo con clientes fuera del EEE como mercado principal
• Brecha de seguridad notificada o requerimiento ya recibido de la AEPD

---

Esto es análisis técnico, no asesoramiento legal. Para casos con categorías especiales, ventas a menores, plataformas marketplace o reclamaciones activas de la AEPD, consulta con un abogado especializado en derecho digital.