RGPD para E-commerce: Cookies, Perfiles y Decisiones Automatizadas

La LSSI distingue entre cookies técnicas (no requieren consentimiento) y no técnicas (requieren consentimiento). Las cookies técnicas incluyen: técnicas necesarias para el funcionamiento, de preferencias del usuario, y de sesión. Las no técnicas incluyen: analíticas, publicitarias, de personalización, de redes sociales. Las cookies no técnicas requieren consentimiento previo, libre, específico e informado, y el consentimiento debe poder retirarse en cualquier momento.

Las bases habituales son: consentimiento (Art. 6(1)(a)) si el usuario acepta explícitamente el profiling; interés legítimo (Art. 6(1)(f)) si el profiling es necesario para personalizar la experiencia y no invade la privacidad de forma desproporcionada; contrato (Art. 6(1)(b)) si el profiling es necesario para ejecutar un contrato (ej. recomendaciones de producto). La elección depende del tipo de perfil y del impacto en el interesado. El interesado puede oponerse al interés legítimo (Art. 21(1)).

El Art. 21(1) RGPD permite al interesado oponerse al tratamiento basado en el interés legítimo (Art. 6(1)(f)), incluyendo el profiling. Si el interesado se opone, el responsable debe dejar de tratar los datos salvo que demuestre un interés legítimo prevalente o que el tratamiento sea necesario para el ejercicio de un derecho. El Art. 21(2) permite oponerse al tratamiento para marketing directo, sin necesidad de justificación.

El Art. 22 RGPD se aplica cuando el e-commerce toma decisiones basadas únicamente en el tratamiento automatizado (incluido el profiling) que producen efectos jurídicos o afectan significativamente al interesado. Ejemplos: denegación automática de servicio, decisiones de pricing con efecto excluyente, selección automática para ofertas. En ese caso, se requiere una excepción (contrato, autorización legal, consentimiento explícito) y garantías adicionales (intervención humana, información, derecho a expresar el punto de vista).

La AEPD ha sancionado a SEAT con €20.000 (reducido a €12.000) en 2024 por desplegar cookies no técnicas sin consentimiento y sin posibilidad de retirada del consentimiento (PS/00284/2024). La AEPD también ha publicado guías sobre cookies, compra segura en internet y políticas de privacidad. El EDPB ha publicado el informe del Cookie Banner Taskforce (2023) con recomendaciones para mejorar la implementación de banners de cookies.

No por sí mismos. Los datos de compra y comportamiento (productos vistos, comprados, tiempo en página) no son categorías especiales del Art. 9 RGPD. Sin embargo, pueden convertirse en categorías especiales si revelan información sobre salud, religión, etnia, orientación sexual u otros datos sensibles. Por ejemplo, si un e-commerce de productos de salud recopila datos que revelan condiciones médicas, se aplica el Art. 9 y se requiere base jurídica específica.

El uso de técnicas manipuladoras (dark patterns) para obtener consentimiento o influir en decisiones puede violar el principio de equidad del Art. 5(1)(a) RGPD (licitud, lealtad y transparencia). Si los dark patterns utilizan IA, pueden ser una práctica prohibida del Art. 5(1)(a) AI Act (manipulación subliminal). La AEPD y el EDPB han publicado orientaciones sobre consentimiento válido y cookies, exigiendo que el consentimiento sea libre y no inducido.

La AEPD supervisa el RGPD y la LSSI en España. A nivel europeo, el CEPD coordina la aplicación entre Estados miembros. La AEPD ha publicado guías sobre cookies, compra segura en internet, y un decálogo para políticas de privacidad. El EDPB ha publicado directrices sobre segmentación en redes sociales y el informe del Cookie Banner Taskforce.