Source: https://www.1and1.es/digitalguide/paginas-web/derecho-digital/la-proteccion-de-datos-personales-en-el-ecommerce/
Timestamp: 2018-05-22 04:11:11+00:00

Document:
La protección de datos personales en el eCommerce - 1&1
Normativa de protección de datos para crear perfiles de usuario
En el sector del eCommerce, las empresas deben actuar de acuerdo al reglamento establecido, que viene recogido en la Ley de servicios de la sociedad de la información y de comercio electrónico o en la Ley de Protección de Datos de Carácter Personal. El artículo 3 de dicha ley orgánica define los datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. Respetar la normativa de protección de datos es igual de importante tanto para instituciones públicas como no públicas. Además, tal y como indica la Ley de servicios de la sociedad de la información y de comercio electrónico en el Artículo 1, en el que se recoge el objeto de la misma:
A los datos personales pertenecen todos aquellos que encierran información sobre circunstancias personales u objetivas de las personas. Entre ellos destacan:
Datos relativos a circunstancias sociales y patrimoniales
Dirección Prestaciones
Ocupación Cuentas bancarias
Estado civil Ingresos
Nacionalidad Datos fiscales
Fecha de nacimiento Créditos e hipotecas
Los datos de carácter personal hacen referencia a toda aquella información que determina la identidad de una persona. En España, el objeto de los mismos está recogido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD).
Los datos no personales no son competencia de la normativa de protección de datos y pueden guardarse y procesarse de forma anónima.
3. En el eCommerce se recopilan datos de inventario y datos de usuario, que hacen referencia a los datos derivados de la relación contractual entre proveedor y usuario. Los datos de usuario son datos de carácter personal que facilitan la utilización de los servicios de telecomunicación.
Con respecto a la cuestión de si las direcciones IP se consideran datos de carácter personal, una sentencia dictada el 3 de octubre de 2014 por la Sección Sexta de la Sala de lo contencioso-administrativo del Tribunal Supremo y que, a su vez, se basa en una sentencia del Tribunal Superior de Justicia de la Unión Europea, considera que las direcciones IP tienen el carácter de datos personales. Por ello, la protección de las mismas recae bajo el reglamento de la LOPD.
Asimismo, dicha normativa también recoge cuál es el papel que desempeña el consentimiento al uso de los mismos por parte de los usuarios, como queda patente en el apartado 32:
Este proceso tan complejo llega a su fin con la sentencia del Tribunal de Justicia para el asunto entre Patrick Breyer y la República Federal de Alemania (Bundesrepublik Deutschland en el documento original) en materia de tratamiento de datos personales. Dicha sentencia otorga poder a los gestores de páginas web para almacenar las direcciones IP dinámicas para su propia seguridad. Sin embargo, todavía no se ha puesto de manifiesto hasta qué punto cuentan los gestores de páginas web con los medios legales necesarios para acceder a información adicional con el objetivo de identificar a los usuarios en cuestión.
Sentencia del Tribunal de Justicia (Sala Segunda) de 19 de octubre de 2016
Los gestores de tiendas online necesitan, sin lugar a dudas, los datos personales de sus clientes para procesar los pedidos, pero también en el marketing online son muy populares los análisis de datos, ya que con su ayuda se puede adaptar la publicidad y el emplazamiento de los productos de forma precisa a los usuarios. El Reglamento (UE) 2016/679 mencionado anteriormente deja patente la importancia que tiene contar con el consentimiento por parte de los usuarios para la utilización de sus datos personales. Esto significa que antes de hacer uso de ellos se debe valorar si se cuenta con la autorización de los mismos.
En la protección de datos resulta esencial respetar la limitación de los fines, es decir, que la recopilación y utilización de los datos personales o de los datos de los usuarios solo se autoriza en aquellos casos derivados de la relación contractual. En cuanto se termine el contrato o el proceso de utilización, como empresa se tiene la obligación de eliminar todos los datos de carácter personal de forma inmediata e íntegra. Solo puede autorizarse la prórroga del período de conservación en caso de que los datos sean necesarios para la facturación. Queda prohibida la transmisión de datos de carácter personal a terceros. Como excepción, las autoridades policiales pueden hacer uso de los mismos a efectos de facturación o de acciones penales.
A este respecto, se debe intentar actuar con moderación y recabar la menor cantidad de datos posible. A los clientes se les debe exigir los datos obligatorios (por ejemplo a la hora de cumplimentar un formulario de contacto) que sean estrictamente necesarios para la utilización del servicio. La información relativa a la normativa de protección de datos al utilizar dicha información debe especificarse en una política de protección de datos aparte.
Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. […]
La creación de perfiles de usuario es, hoy en día, un proceso muy popular en el marketing online y esta consiste en emplear el comportamiento de uso de los clientes extraído del análisis web para fines de marketing. En este sentido, el Reglamento (UE) 2016/679 también lo incluye en sus definiciones, de modo que se entiende por:
4) «elaboración de perfiles»: toda forma de tratamiento automatizado de datos personales consistente en utilizar datos personales para evaluar determinados aspectos personales de una persona física, en particular para analizar o predecir aspectos relativos al rendimiento profesional, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos de dicha persona física; […]
Asimismo, dicho texto legal también reconoce el término “seudonimización”:
5) «seudonimización»: el tratamiento de datos personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar información adicional, siempre que dicha información adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable; […]
En este sentido, no solo se puede hablar de perfiles seudonimizados, sino también de los llamados perfiles personales, que, tal y como su propio nombre indica, se basan en el procesamiento de datos de carácter personal y pueden crearse con el consentimiento explícito del usuario. A este respecto, entra en juego el factor de la transparencia, y es que se debe informar al usuario acerca de la recopilación de los datos que se obtienen de él y del tratamiento que se hace de los mismos. Además, el usuario debe dar su aprobación por separado, como ocurre, por ejemplo, en el caso de la casilla que suele aparecer a la hora de rellenar formularios (Double Opt in).
Como es lógico, el usuario tiene derecho a poder acceder al contenido de su consentimiento en cualquier momento o a revocarlo. Este tipo de perfiles resultan especialmente interesantes para el Email Marketing, ya que permiten llegar a los clientes mediante diferentes tipos de publicidad personalizada, como, por ejemplo, las newsletters.
De manera adicional, existe un tercer tipo de perfiles, los llamados perfiles anónimos, los cuales, mientras que no puedan asociarse con ninguna persona, no requieren ningún tipo de dato de carácter personal y, por lo tanto, no se ven afectados por la normativa de protección de datos. Si las empresas recopilan los datos de sus clientes de forma anónima, estas están autorizadas, aun sin el consentimiento previo o autorización legal por parte de estos, a crear perfiles anónimos. La mayor parte de los datos relevantes a nivel estadístico pueden almacenarse, editarse o transmitirse a terceros sin ningún tipo de problemas. La condición para ello es que debe hacerse uso del anonimato a la hora de recopilar los datos, como por ejemplo, al hacer clic.
En resumen, el Reglamento anterior deja claro en el artículo 22 sobre decisiones individuales automatizadas, incluida la elaboración de perfiles, que:
Con todo ello y a pesar de las nuevas normativas que van surgiendo, la utilización de Google Analytics plantea todavía un panorama más polémico y, debido a las diferencias legales entre los Estados Unidos y Europa, el tema todavía no puede zanjarse. Sin embargo, hay alternativas que cumplen con la normativa de protección de datos como, por ejemplo, Piwik o Chartbeat, que se pueden aplicar al análisis web.
La Ley de servicios de la sociedad de la información y de comercio electrónico recoge en el artículo 38 del título VII la información relativa a las infracciones y sanciones si se incumple la política de protección de datos. Las infracciones están clasificadas en tres niveles: en leves, graves o muy graves. Esta diferenciación viene motivada, por ejemplo, por:
[…] f) El incumplimiento de la obligación de confirmar la recepción de una petición en los términos establecidos en el artículo 28, cuando no se haya pactado su exclusión o el contrato se haya celebrado con un consumidor, salvo que constituya infracción grave al hablar de infracciones leves; […]
[…] b) El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente a destinatarios que no hayan autorizado o solicitado expresamente su remisión, o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando éste no hubiera solicitado o autorizado su remisión para las infracciones graves
[…] b) El incumplimiento de la obligación de suspender la transmisión, el alojamiento de datos, el acceso a la red o la prestación de cualquier otro servicio equivalente de intermediación, cuando un órgano administrativo competente lo ordene, en virtud de lo dispuesto en el artículo 11 en el caso de las infracciones muy graves.
Atendiendo a la naturaleza de las mismas, el artículo 39 del mismo título recoge las sanciones económicas que son de aplicación a cada una de ellas:
Sanciones.1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones:
Estas cuantías varían en función de varios factores, como pueden ser la intencionalidad de las infracciones, los perjuicios causados, o los beneficios derivados de dichas infracciones, entre otros.
nuestra guía no exime de la consulta a personas especializadas en el ámbito legal, a las que será necesario recurrir para obtener información con el objetivo de no infringir las normas jurídicas relativas tanto a la Ley de servicios de la sociedad de la información y de comercio electrónico como a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

References: artículo 3
 Artículo 1
 artículo 22
 artículo 38
 artículo 28
 artículo 11
 artículo 39