Protección de datos personales en el comercio electrónico en Argentina: información y consentimiento del usuario

En el comercio electrónico argentino, la protección de datos personales no es un detalle accesorio: forma parte de la relación de consumo y condiciona la forma en que una empresa puede pedir, guardar, usar, ceder y resguardar la información de quienes compran por internet. Cuando una persona se registra en una tienda online, crea una cuenta, paga, recibe publicidad segmentada o deja sus datos para una entrega, entra en juego un marco legal específico que exige información previa, consentimiento válido y medidas de seguridad adecuadas.

Qué significa la protección de datos personales en el comercio electrónico

En Argentina, los datos personales están regulados principalmente por la Ley 25.326 de Protección de los Datos Personales y por normas complementarias aplicables en todo el país. En el ámbito del comercio electrónico, esta protección cobra especial importancia porque la recolección de datos suele ser masiva, automatizada y vinculada con perfiles de consumo, medios de pago, geolocalización, historial de compras y preferencias.

La idea central es simple: una empresa no puede tratar datos personales como quiera. Debe hacerlo con una base legal adecuada, informando de manera clara para qué los pide, qué hará con ellos y con qué límites. En muchos casos, además, debe contar con el consentimiento libre, expreso e informado del usuario, salvo supuestos en los que la propia ley permite el tratamiento sin consentimiento por una razón específica.

En comercio electrónico, el tratamiento de datos no se limita al momento de la compra. Puede abarcar el alta de usuario, la verificación de identidad, la facturación, la logística, la atención posventa, el marketing, las cookies y otras tecnologías de rastreo, la prevención de fraude y la eventual cesión a proveedores que intervienen en la operatoria.

Qué datos quedan alcanzados

La ley protege los datos vinculados con personas humanas o de existencia ideal, según el caso, cuando permiten identificar o hacer identificable a un titular. En la práctica del e-commerce, los más habituales son:

• nombre y apellido;
• documento de identidad o CUIT/CUIL, cuando se solicita;
• domicilio de entrega y facturación;
• correo electrónico y número telefónico;
• datos de usuario y credenciales de acceso;
• información de compra, devoluciones y reclamos;
• datos de pago, en la medida en que permitan identificar a la persona o se vinculen con su cuenta;
• dirección IP, geolocalización y datos de navegación, cuando sean tratables como datos personales por su conexión con un titular identificable.

Algunos datos reciben una tutela reforzada. Los datos sensibles son aquellos que revelan origen racial o étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información relativa a la salud o a la vida sexual. En principio, su tratamiento está prohibido salvo excepciones muy puntuales. Para una tienda online común, pedir o conservar este tipo de información sin una base jurídica clara puede generar riesgos importantes.

Qué debe informar el comerciante online

El deber de información es uno de los ejes principales del régimen argentino. Antes de recolectar datos, la persona usuaria debería poder conocer, de forma clara y accesible, quién trata la información y con qué finalidades. En comercio electrónico, esa información suele incorporarse en políticas de privacidad, textos de registro, formularios de compra y avisos dentro del sitio o la aplicación.

Lo relevante no es solo que exista un texto de privacidad, sino que el contenido sea comprensible y completo. Debe explicarse, como mínimo:

• qué datos se solicitan;
• si la entrega de datos es obligatoria o facultativa;
• para qué se usarán;
• si habrá cesión a terceros, y con qué finalidad;
• si se usarán para envíos publicitarios o perfiles de consumo;
• cómo puede ejercer la persona usuaria sus derechos de acceso, rectificación, actualización o supresión;
• qué medidas generales de seguridad se aplican, en la medida en que resulte adecuado comunicarlo;
• si existirá transferencia internacional de datos, cuando corresponda.

En las relaciones de consumo, la exigencia de transparencia también se conecta con el deber de información previsto por la legislación de defensa del consumidor. Por eso, una política de privacidad confusa, incompleta o escondida no suele ser suficiente para considerar cumplido el deber legal.

Cuándo se necesita consentimiento del usuario

La regla general en Argentina es que el tratamiento de datos personales requiere el consentimiento libre, expreso e informado del titular. En comercio electrónico, ese consentimiento suele pedirse al registrarse, al finalizar una compra, al suscribirse a comunicaciones comerciales o al aceptar una política de privacidad.

Para que el consentimiento sea válido, debe reunir ciertas características:

• libre: sin coerción ni condicionamientos indebidos;
• previo: antes del tratamiento;
• informado: con conocimiento real de la finalidad y del alcance;
• expreso: no presumido por silencio o inactividad, salvo supuestos legales muy concretos;
• inequívoco: la conducta debe mostrar de forma clara la voluntad de aceptar el tratamiento.

En el entorno digital, una casilla de verificación desmarcada por defecto, acompañada de información clara, suele ser una práctica más segura que los consentimientos genéricos o premarcados. También es importante distinguir entre consentir el tratamiento necesario para ejecutar la compra y consentir usos adicionales, como publicidad personalizada o cesión a socios comerciales.

Qué tratamientos pueden no requerir consentimiento

No todo tratamiento necesita autorización expresa. La ley contempla situaciones en las que el uso de datos puede estar permitido por otras bases, por ejemplo cuando resulte necesario para cumplir una obligación legal, ejecutar una relación contractual o responder a una exigencia derivada de una operación solicitada por el usuario. También existen supuestos específicos previstos por el régimen argentino.

En el comercio electrónico, esto significa que una plataforma puede tratar ciertos datos para:

• procesar el pedido realizado por la persona usuaria;
• emitir comprobantes;
• organizar el envío del producto;
• gestionar devoluciones o garantía;
• prevenir fraudes o verificar operaciones sospechosas, dentro de límites razonables;
• cumplir deberes fiscales, contables o regulatorios.

Ahora bien, que un tratamiento sea necesario para la compra no habilita automáticamente cualquier uso posterior. La empresa no debería aprovechar esos datos para finalidades diferentes sin una base legítima adicional, ni reutilizarlos para campañas masivas si no se informó ese destino o no existe un consentimiento específico.

Diferencia entre datos para la compra y datos para marketing

Una diferencia práctica muy relevante en e-commerce es la que existe entre los datos necesarios para ejecutar una operación y los datos destinados a acciones de marketing o perfilado comercial. No se trata del mismo nivel de exigencia.

En la práctica, muchas controversias surgen porque el usuario acepta comprar, pero no necesariamente acepta recibir comunicaciones promocionales o ser sometido a perfiles de consumo. La separación entre ambos tratamientos ayuda a evitar conflictos y a cumplir mejor con el principio de finalidad.

Cookies, rastreo y tecnologías similares

En el comercio electrónico, el tratamiento de datos no se limita a formularios visibles. También entran en juego cookies, píxeles, SDK, herramientas de analítica y mecanismos de publicidad comportamental. Estas tecnologías pueden recopilar información sobre navegación, hábitos de clic, permanencia en el sitio, carrito abandonado, ubicación aproximada o interacción con anuncios.

En Argentina, la utilización de estas herramientas debe analizarse con prudencia. Cuando la información recolectada identifica o hace identificable al usuario, puede quedar alcanzada por la normativa de datos personales. Eso implica que el sitio debería informar con claridad qué tecnologías usa, con qué finalidad y si se comparten datos con terceros.

En los casos en que las cookies no sean estrictamente necesarias para el funcionamiento básico del sitio, suele ser recomendable contar con un mecanismo de aceptación o rechazo que permita al usuario decidir. No todas las cookies tienen el mismo tratamiento jurídico, por lo que conviene distinguir entre:

• cookies técnicas o necesarias;
• cookies de preferencias;
• cookies analíticas;
• cookies publicitarias o de seguimiento.

La ausencia de una configuración clara en este punto suele generar reclamos por publicidad no consentida, perfiles comerciales opacos o tratamiento excesivo de información de navegación.

Qué derechos tiene la persona usuaria

La persona titular de los datos conserva derechos que pueden ejercerse frente al responsable del tratamiento. En Argentina, los más importantes son los de acceso, rectificación, actualización y supresión.

• Acceso: permite conocer qué datos se almacenan, con qué finalidad y, en términos generales, cómo se usan.
• Rectificación: sirve para corregir información inexacta.
• Actualización: permite poner al día datos obsoletos o incompletos.
• Supresión: permite solicitar la eliminación de datos cuando corresponda, con las limitaciones legales aplicables.

Estos derechos no siempre operan de manera absoluta. Puede haber obligaciones de conservación vinculadas con la facturación, la contabilidad, la prevención de fraude o la atención de reclamos. Sin embargo, la empresa no debería retener información por más tiempo del necesario para la finalidad informada y la obligación legal que la justifique.

También suele ser importante que la plataforma indique un canal apto para ejercer estos derechos y que la respuesta sea razonable. La forma exacta de acreditar identidad, el modo de respuesta y los plazos pueden depender del tipo de solicitud y de la aplicación concreta de la normativa, por lo que conviene actuar con cautela y verificar cada caso.

Cesión de datos a terceros en el comercio electrónico

Una tienda online no siempre opera sola. Puede apoyarse en empresas de logística, pasarelas de pago, servicios de alojamiento, atención al cliente, marketing, analítica o prevención de fraude. En esos casos, hay que distinguir entre quien actúa como responsable del tratamiento y quien actúa como encargado o proveedor que procesa datos por cuenta ajena.

La cesión o transferencia de datos a terceros exige una base legal adecuada y una finalidad compatible con la información brindada al usuario. Si un tercero recibe datos para ejecutar el envío o procesar el cobro, esa intervención puede estar justificada por la propia operación. En cambio, si los datos se comparten para que otro los use con fines propios, la exigencia de información y consentimiento puede ser mayor.

También conviene advertir que la simple mención genérica de “socios comerciales” o “empresas vinculadas” suele resultar insuficiente. Lo razonable es identificar categorías de destinatarios y explicar para qué reciben la información.

Transferencias internacionales de datos

En el comercio electrónico es habitual que parte de la infraestructura tecnológica o de los proveedores esté fuera de Argentina. Eso puede implicar transferencia internacional de datos. En tales casos, el análisis debe ser cuidadoso, porque el régimen argentino prevé condiciones específicas y la evaluación puede depender del destino, del tipo de datos y de las garantías ofrecidas.

Si la plataforma usa servidores, sistemas de soporte o herramientas de analítica ubicadas en otros países, lo prudente es informar esa circunstancia de manera transparente y verificar si se cumplen las exigencias legales aplicables. No basta con que la operación sea técnicamente común; debe ser jurídicamente compatible con la normativa de protección de datos.

Obligaciones de seguridad y confidencialidad

Quien trata datos personales debe adoptar medidas técnicas y organizativas razonables para protegerlos frente a accesos no autorizados, pérdida, alteración, divulgación indebida o uso indebido. En e-commerce, esto es particularmente importante porque los sistemas suelen manejar grandes volúmenes de registros y múltiples puntos de acceso.

Entre las medidas esperables, según el tipo de actividad y el nivel de riesgo, pueden incluirse:

• control de acceso a bases de datos;
• contraseñas robustas y autenticación reforzada;
• cifrado o seudonimización cuando sea pertinente;
• registro de accesos y cambios;
• copias de seguridad;
• gestión de incidentes de seguridad;
• cláusulas de confidencialidad con proveedores y personal.

La falta de resguardo adecuado puede derivar en incidentes de seguridad, filtraciones, suplantación de identidad o uso fraudulento de cuentas. En esos escenarios, la responsabilidad puede analizarse no solo desde la ley de datos personales, sino también desde el derecho del consumo, la responsabilidad contractual o extracontractual y otras normas aplicables según el caso concreto.

Problemas frecuentes en compras online

En la práctica argentina, los conflictos más comunes suelen aparecer cuando la empresa:

• pide más datos de los necesarios para vender;
• no explica con precisión para qué se usan los datos;
• envía publicidad sin consentimiento claro;
• comparte datos con terceros sin suficiente información;
• impide o dificulta el ejercicio de derechos del usuario;
• conserva datos indefinidamente sin justificación;
• usa perfiles de consumo de manera opaca;
• no protege adecuadamente la base de datos o la cuenta del usuario.

Otro problema habitual es la confusión entre las condiciones de venta y la política de privacidad. Son documentos distintos, aunque estén relacionados. Las condiciones de compra regulan precio, entrega, cambios y devoluciones; la política de privacidad regula tratamiento de datos. Mezclarlos sin orden o esconder la información personal en letras pequeñas puede afectar la validez práctica del consentimiento y la transparencia exigible en una relación de consumo.

Diferencias con otros problemas de consumo digital

La protección de datos personales no debe confundirse con otros reclamos del comercio electrónico, aunque muchas veces coexistan. Un retraso en la entrega, un producto defectuoso o una mala atención posventa son problemas de consumo clásicos. En cambio, la utilización indebida de datos, la publicidad no autorizada o la cesión irregular a terceros son cuestiones específicas de privacidad.

También es distinto el reclamo por seguridad de la transacción del reclamo por tratamiento ilícito de datos. Puede haber coincidencia de hechos, pero el encuadre jurídico cambia. Si una cuenta fue vulnerada y además se difundieron datos personales, el caso puede involucrar varios frentes a la vez.

Qué conviene verificar antes de aceptar el tratamiento de datos

En una compra online, resulta útil revisar si el sitio informa con claridad:

• quién es el responsable del tratamiento;
• qué datos son obligatorios y cuáles opcionales;
• si existe una base legal distinta del consentimiento para procesar la compra;
• si los datos se usarán para publicidad o perfilado;
• si intervienen terceros y cuáles son sus funciones;
• si hay transferencia de datos al exterior;
• cómo se pueden ejercer los derechos del titular;
• qué medidas de seguridad básicas se comunican.

La ausencia de estas referencias no siempre invalida por sí sola toda la operatoria, pero sí puede ser un indicio de incumplimiento del deber de información y de debilidad en la obtención del consentimiento.

Qué puede hacer la persona usuaria ante un uso indebido de sus datos

Frente a un tratamiento que parezca excesivo, no informado o directamente indebido, lo habitual es empezar por ejercer los derechos de acceso, rectificación, actualización o supresión ante el responsable del tratamiento. Si la empresa no responde, responde de forma insuficiente o persiste en el uso cuestionado, pueden evaluarse vías administrativas, de consumo o judiciales según el caso.

También conviene conservar evidencia del problema: capturas de pantalla, correos, mensajes, condiciones aceptadas, comprobantes de compra y cualquier comunicación con la empresa. En asuntos de datos personales, la prueba documental suele ser especialmente útil para reconstruir qué información fue dada, qué consentimiento se prestó y qué uso concreto se realizó.

Cuando el problema se relaciona con publicidad no deseada, cesión irregular, perfiles de consumo o filtraciones, puede ser relevante identificar si la conducta fue aislada o sistemática, si afectó solo una cuenta o una base más amplia, y si el tratamiento estaba o no explícitamente informado en las condiciones de uso.

Puntos clave para negocios de comercio electrónico

Para operar con menor riesgo jurídico en Argentina, una tienda online debería trabajar, como mínimo, sobre estos ejes:

• recoger solo los datos necesarios para cada finalidad;
• separar con claridad el tratamiento necesario para la compra del tratamiento promocional;
• informar de modo accesible y comprensible;
• obtener consentimientos específicos cuando correspondan;
• documentar cesiones y relaciones con proveedores;
• revisar transferencias internacionales y herramientas de rastreo;
• mantener medidas de seguridad acordes al volumen y sensibilidad de la información;
• facilitar el ejercicio de derechos por parte de los usuarios;
• evitar conservar datos por tiempo indefinido sin causa válida;
• actualizar políticas y prácticas cuando cambian los sistemas o los proveedores.

La correcta protección de datos en el comercio electrónico no solo reduce contingencias legales: también fortalece la confianza de la clientela, mejora la transparencia de la operatoria y disminuye conflictos en una actividad donde la información personal es parte central del servicio.