Hablamos de ecommerce cuando se realiza la distribución, venta, compra, marketing y suministro de información de productos o servicios a través de Internet. Las organizaciones y los autónomos que dispongan de tienda virtual y recojan datos personales tienen que cumplir los requisitos legales de las normativas vigentes en Protección de Datos: La LSSIce (Ley 34/2002, de Servicios de la Sociedad de la Información y comercio Electrónico), el RGPD (Reglamento General de Protección de Datos UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales).
8 formas en el que el ecommerce puede infringir el RGPD:
- Contar con un sistema de consentimiento tácito, para el uso de los datos personales de los usuarios. Es decir un consentimiento no expreso: Antes se podían usar los datos del usuario si este no decía lo contrario.
- No tener sistema de verificación de edad: La edad para el consentimiento de tratamiento de datos es hasta los 14.
- No tener un sistema de recogida de datos completo: No solo es importante manejar de forma segura los datos, sino manejar los datos exactos, adecuados, pertinentes y limitados a lo necesario. Para que el empresario o responsable del manejo de los datos no incurra en infracción por manejar datos inexactos, debe poner todas las medidas necesarias para que el cliente le dé información lo más fiel posible.
- No tener una política interna de uso de datos regulada: Es imprescindible que toda la plantilla o el propio autónomo tenga definida una correcta política de uso de bases de datos. Si por un despiste o desconocimiento alguien usa un dato de un cliente para otra actividad del negocio para lo que no está permitido, la sanción sería considerable. Se trata de un punto fundamental, además, en los espacios de trabajo de la empresa, donde hay que ser extremadamente cuidadoso en cómo se da uso y traslado a este tipo de información en el día a día.
- No tener Delegado de Protección de Datos (DPD) cundo las normativas lo requieran. Leer quien debe disponer de DPD aquí: https://assplus.org/es/dpd/.
- No disponer Términos y condiciones web correctamente adecuadas.
- No tener un buen sistema informático contra ciberataques: Para blindarse frente a los ataques de terceros son imprescindibles los sistemas de protección y /o protocolos de seguridad de la información, y más si se usan datos de carácter personal ajenos.
- No incluir la evaluación y prevención de los riesgos en la gestión de la empresa: De cara a gestionar eficazmente, analizar y prevenir, la empresa debe contar con un apartado o protocolo concreto de evaluación de riesgos en esta área, así como con planes de actuación ya preparados ante los posibles casos de crisis, donde desarrollar cómo actuar ante la ley, las autoridades y las personas que han cedidos los datos.