Cookies, pagos y clientes de tu tienda online: qué te exige cada norma.
Las cookies sin un consentimiento válido le han costado multas de la AEPD a Iberia (30.000 €), a SEAT (20.000 €, de los que pagó 12.000 €) y a Techpump (90.000 €). A eso se suman el perfilado y el retargeting, las transferencias internacionales de tu pasarela y tu hosting, y las brechas de datos de clientes que el volumen multiplica. ÆGIS razona sobre el banner conforme (rechazar tan fácil como aceptar), qué proveedor saca datos del EEE y con qué garantía, y cómo responder una brecha en 72 horas — y te prepara la documentación, con la cita de cada cosa, para que la revises.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
Google Analytics y el píxel de Meta se activan al entrar
Qué puede costar si se incumpleCookies sin consentimiento: de 20.000 € (SEAT, PS/00284/2024) a 90.000 € (Techpump, PS/00524/2023, con reincidencia)
- El problema
- Mi tienda carga Google Analytics y el píxel de Meta nada más entra el usuario, antes de que toque el banner de cookies. ¿Es un problema?
- Qué exige la normativa
- Art. 22.2 LSSI-CE · Guía de cookies de la AEPD (act. mayo 2024)
- Cómo lo resuelve AIM ÆGIS
- ÆGIS te explica que la analítica comercial y los píxeles de terceros no son cookies técnicas y exigen consentimiento PREVIO: hay que bloquear esos scripts hasta la aceptación y poner 'Rechazar' al mismo nivel que 'Aceptar'. Es justo lo que la AEPD sancionó a Techpump (90.000 €) y SEAT (multa propuesta de 20.000 €; pagó 12.000 €). Te genera el banner conforme y la política de cookies.
-
Situación 02
Mi pasarela de pago y mi hosting están en EE.UU.
Qué puede costar si se incumpleTransferencias sin garantía: infracción del Cap. V RGPD
- El problema
- Uso una pasarela de pago, hosting y email marketing con proveedores americanos. ¿Tengo que hacer algo con eso?
- Qué exige la normativa
- Cap. V RGPD (Art. 44-49) · transferencias internacionales
- Cómo lo resuelve AIM ÆGIS
- ÆGIS mapea qué proveedores sacan datos del EEE y razona la garantía de cada uno: si están adheridos al Data Privacy Framework UE-EE.UU. hay cobertura de adecuación; si no, Cláusulas Contractuales Tipo + análisis de impacto de la transferencia. Te documenta las transferencias en el RAT y en la política de privacidad.
-
Situación 03
Hackean la base de datos de 15.000 clientes
Qué puede costar si se incumpleBrecha: Bizum pagó 80.000 € y la AEPD tuvo en cuenta que los afectados superaban los 20.000 (PS/00283/2025) · a una tienda online de ropa le propuso 31.000 € (PS/00464/2024)
- El problema
- Han entrado en mi tienda y han accedido a los datos y pedidos de 15.000 clientes. ¿Qué tengo que hacer y en cuánto tiempo?
- Qué exige la normativa
- Art. 33-34 RGPD (notificación de brechas)
- Cómo lo resuelve AIM ÆGIS
- ÆGIS evalúa el riesgo: con ese volumen, hay que notificar a la AEPD en 72 horas y, si el riesgo es alto, comunicar a los 15.000 clientes en lenguaje claro. Te recuerda que el cifrado y no almacenar tarjetas (pasarela PCI-DSS) reducen el riesgo y el alcance, y registra la brecha (Art. 33.5). Te genera la documentación de notificación.
-
Situación 04
Casilla única que acepta todo en el registro
Qué puede costar si se incumpleConsentimiento inválido en el registro: infracción de los arts. 6 y 7 RGPD
- El problema
- En el alta de mi tienda tengo una sola casilla, marcada por defecto, que acepta a la vez las condiciones, la privacidad y la newsletter. Me ahorra pasos. ¿Es válido?
- Qué exige la normativa
- Art. 6-7 RGPD (consentimiento) + Art. 21 LSSI
- Cómo lo resuelve AIM ÆGIS
- ÆGIS te explica que no: la aceptación de la privacidad debe ser un acto afirmativo claro (casilla NO premarcada) y la newsletter debe ser separada y opcional, sin condicionar la compra. Te separa las bases jurídicas y genera los textos con doble opt-in.
-
Situación 05
Retargeting: perseguir al usuario con el producto que miró
Qué puede costar si se incumplePerfilado sin base ni información: infracción de los Arts. 6, 13 y 21 RGPD
- El problema
- Hago retargeting (anuncios del producto que el usuario vio) y recomiendo según su navegación. ¿Necesito algo para eso?
- Qué exige la normativa
- Elaboración de perfiles (Art. 4.4 RGPD) · consentimiento para píxeles y cookies de terceros (Art. 22.2 LSSI) · información y derecho de oposición (Arts. 13 y 21 RGPD) · Art. 22 RGPD solo si hay decisiones automatizadas con efectos jurídicos o similares
- Cómo lo resuelve AIM ÆGIS
- ÆGIS razona que es elaboración de perfiles: el retargeting con píxeles o cookies de terceros requiere consentimiento previo (si no acepta, no se hace); las recomendaciones propias pueden ampararse en interés legítimo con oposición clara. En la política de privacidad debes informar de que elaboras perfiles, con qué finalidad y cómo oponerse. Las garantías reforzadas del art. 22 RGPD (incluida la explicación de la lógica) solo se aplican si el perfil sirve para decisiones automatizadas con efectos jurídicos o similares, como denegar una compra o fijar precios individualizados. Te documenta la base jurídica.
-
Situación 06
Un cliente pide que borres todos sus datos
Qué puede costar si se incumpleNo atender derechos correctamente: infracción del Art. 12-17 RGPD
- El problema
- Un comprador me pide que borre todos sus datos. Pero le he emitido facturas. ¿Tengo que borrarlo todo?
- Qué exige la normativa
- Art. 17 RGPD (supresión) + obligaciones fiscales/mercantiles
- Cómo lo resuelve AIM ÆGIS
- ÆGIS te explica que el derecho de supresión no es absoluto: debes conservar lo que la ley obliga (facturas, contabilidad: 4-6 años) y suprimir el resto, bloqueando lo conservado e informando al cliente del motivo. Respondes en un mes. Te guía la respuesta y separa lo suprimible de lo que hay que conservar.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Cookies sin consentimiento válido (art. 22.2 LSSI): tres de los seis casos de esta ficha, con multas de 20.000 € a 90.000 € · los otros tres, seguridad de los datos de clientes (arts. 5.1.f y 32 RGPD)
Iberia 30.000 € · SEAT 20.000 € (pagó 12.000 €) · Techpump 90.000 € · Bizum 80.000 € (brecha de seguridad con más de 20.000 afectados, art. 32 RGPD) · Comercial Girona de Llibres 20.000 € (pagó 16.000 €) · Diseños Hermanas Ortiz Cañón 31.000 € (pagó 18.600 €)
-
PS/00032/2020 · Iberia
30.000 €Importe que cita el caso
La AEPD impuso a Iberia 30.000 € (resolución de 16/10/2020) por infringir el art. 22.2 LSSI: su web no ofrecía la opción de rechazar las cookies, había que aceptarlas para seguir navegando y varios puntos de su política de cookies no se ajustaban a la Guía de la Agencia. La AEPD desestimó después el recurso de reposición de la compañía (RR/582/2020, 03/02/2021).
CausaCookies sin opción de rechazarlas: aceptarlas era la condición para seguir navegando (art. 22.2 LSSI)
-
PS/00284/2024 · SEAT
20.000 €Importe que cita el caso
La AEPD abrió expediente sancionador a SEAT el 18/09/2024 (PS/00284/2024) por una infracción del art. 22.2 LSSI: instalar cookies no técnicas antes de obtener el consentimiento y no permitir modificar el consentimiento durante la navegación. Propuso una multa de 20.000 €; SEAT pagó 12.000 € el 08/10/2024 tras aplicar las reducciones por reconocimiento de responsabilidad y pago voluntario. Retirar el consentimiento debe ser tan fácil como darlo.
CausaCookies no técnicas antes del consentimiento y sin poder modificarlo durante la navegación (art. 22.2 LSSI)
-
PS/00524/2023 · Techpump
90.000 €Importe que cita el caso
La AEPD impuso 90.000 € a Techpump Solutions S.L. mediante la Resolución PS/00524/2023: 30.000 € por cada una de tres de sus webs, que instalaban cookies de terceros no técnicas sin consentimiento, no permitían rechazarlas ni gestionarlas por finalidad ni retirar el consentimiento dado (art. 22.2 LSSI). Como agravante, la reincidencia: ya la había sancionado por lo mismo (PS/00555/2021).
CausaCookies de terceros sin consentimiento en tres webs, con reincidencia (art. 22.2 LSSI)
-
PS/00283/2025 · Bizum
80.000 €Importe que cita el caso
La AEPD sancionó a Bizum, S.L. (PS/00283/2025) por no tener medidas de seguridad adecuadas al riesgo (art. 32 RGPD): 2.634 registros con el número de móvil y el alias de usuarios del servicio aparecieron publicados en una web. La multa, de 100.000 €, quedó en 80.000 € por pago voluntario; para fijarla, la Agencia tuvo en cuenta que los afectados superaban los 20.000. En una tienda online, el tamaño de la base de clientes multiplica el alcance de cualquier fallo de seguridad.
CausaMedidas de seguridad inadecuadas al riesgo, con más de 20.000 afectados (Art. 32 RGPD)
-
PS/00173/2024 · Comercial Girona de Llibres
20.000 €Importe que cita el caso
Al darse de alta como cliente en la tienda online de Comercial Girona de Llibres, S.L., el correo de confirmación enviaba el usuario y la contraseña elegida, en claro. La AEPD lo consideró una falta de medidas de seguridad adecuadas (art. 32 RGPD) y propuso 20.000 €; la empresa pagó 16.000 € el 13/11/2024 con la reducción por pago voluntario.
CausaContraseña del cliente enviada en claro por correo al registrarse en la tienda (art. 32 RGPD)
-
PS/00464/2024 · tienda online de ropa
31.000 €Importe que cita el caso
Los datos de miles de clientes de la tienda online de ropa de Diseños Hermanas Ortiz Cañón, S.L. (nombre, direcciones, teléfono y datos de facturación) aparecieron publicados en un foro tras una brecha. La AEPD sumó cuatro infracciones: 20.000 € por la pérdida de confidencialidad (art. 5.1.f RGPD), 5.000 € por medidas de seguridad insuficientes (art. 32), 1.000 € por avisar tarde a los clientes (art. 34) y 5.000 € porque la empresa que migró la web recibió el fichero de clientes sin contrato de encargo (art. 28). De 31.000 € propuestos, pagó 18.600 € el 28/11/2024 con las dos reducciones.
CausaBrecha con los datos de los clientes publicados, aviso tardío y proveedor de la web sin contrato de encargo (arts. 5.1.f, 32, 34 y 28 RGPD)
8 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
Banner y política de cookies conforme a la guía de la AEPD (mayo 2024)
Banner con aceptar/rechazar/configurar al mismo nivel, sin patrones engañosos, que bloquea las cookies no técnicas hasta el consentimiento, más la política de cookies detallada.
Base legal: Art. 22.2 LSSI-CE + Guía de cookies de la AEPD (act. mayo 2024)PDF + Word editable -
Política de privacidad de tienda online
Política de privacidad completa con las transferencias internacionales informadas, los perfiles que se elaboran y con qué fin, y los derechos del comprador.
Base legal: Art. 13-14 RGPDPDF + Word editable -
Mapa de transferencias internacionales
Inventario de proveedores fuera del EEE (pasarela, hosting, analítica, marketing) con la garantía aplicada a cada uno (DPF, SCC + TIA).
Base legal: Cap. V RGPD (Art. 44-49)PDF + Word editable -
Formulario de registro con consentimiento válido
Casillas separadas y no premarcadas para política de privacidad y newsletter, con doble opt-in para marketing, sin condicionar la compra.
Base legal: Art. 6-7 RGPDPDF + Word editable -
Protocolo de brecha de datos de clientes
Procedimiento de respuesta a brechas de la base de datos de compradores: evaluación de riesgo, notificación a la AEPD en 72h y comunicación a afectados.
Base legal: Art. 33-34 RGPDPDF + Word editable -
RAT de la tienda online
Registro de actividades de tratamiento del e-commerce: pedidos, cookies, marketing, perfilado, transferencias internacionales, atención al cliente y empleados.
Base legal: Art. 30 RGPDPDF + Word editable -
Cláusula informativa de perfilado y retargeting
Información sobre la elaboración de perfiles y la publicidad personalizada (qué se hace y con qué fin), con el derecho de oposición claro, conforme a los Arts. 13 y 21 RGPD.
Base legal: Art. 13 + Art. 21 RGPDPDF + Word editable -
Modelo de respuesta a derechos del comprador
Plantilla para atender acceso y supresión del comprador, separando lo suprimible de lo que debe conservarse por obligación legal (facturación).
Base legal: Art. 15-17 RGPDPDF + Word editable
Registro retributivo: qué es y por qué tu empresa probablemente ya lo necesita
El registro retributivo es una de esas obligaciones que muchas empresas desconocen hasta que llega una inspección....
Leer la guía →RGPD para pymes: lo mínimo que tienes que tener en regla
El RGPD no es solo para grandes empresas. Si tratas datos personales de clientes, empleados o proveedores, esto te...
Leer la guía →Cookies y consentimiento en tu web: cómo hacerlo bien (y sin muros)
El banner de cookies es lo primero que ve quien entra en tu web —y una de las cosas que peor se hacen. Así se...
Leer la guía →¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
Cientos de miles de tiendas online en España · tratamiento intensivo y de alto volumen: cookies, perfilado, pasarelas de pago, marketing y grandes bases de datos de compradores.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta