RGPD en el comercio: lo que tu tienda o tu bar debe hacer con los datos
Tarjetas de fidelización, cámaras, listas de correo, fichajes y TPV en la nube: el RGPD aplicado a una tienda o un bar, sin jerga, con lo que tienes que tener hecho y lo que conviene evitar.
El RGPD en el comercio no es solo cosa de grandes cadenas. Una tienda que guarda el teléfono de sus clientes, un bar con cámaras o un restaurante con reservas online tratan datos personales y tienen obligaciones. La buena noticia es que, para un negocio pequeño, cumplir es sobre todo cuestión de orden. Repasamos los casos del día a día y qué hacer en cada uno.
Qué normas se aplican
El marco es el Reglamento General de Protección de Datos (Reglamento UE 2016/679) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD). Para el envío de publicidad por correo o SMS se suma la Ley 34/2002 de servicios de la sociedad de la información (LSSI).
La idea central del RGPD en el comercio es simple: pide solo los datos que necesitas, explica para qué y protégelos. Todo lo demás se deriva de ahí.
Datos de clientes: tickets, facturas y fidelización
| Caso | Qué puedes hacer | Qué evitar |
|---|---|---|
| Factura a un cliente | Pedir nombre, NIF y dirección: lo exige la normativa de facturación | Pedir el DNI en fotocopia sin necesidad |
| Tarjeta de fidelización | Pedir lo mínimo (nombre, móvil o correo) e informar de para qué se usa | Usar los datos para publicidad sin consentimiento |
| Envío a domicilio o reparación | Guardar dirección y teléfono mientras dure el servicio | Conservarlos indefinidamente |
| Ticket por correo electrónico | Usar el correo solo para enviar el ticket | Añadirlo a la lista de ofertas sin preguntar |
Para enviar ofertas por correo o SMS necesitas el consentimiento expreso del cliente. La excepción de la LSSI permite escribir a clientes que ya te han comprado sobre productos similares, siempre que se lo hayas dicho al recoger el dato y puedan darse de baja fácilmente en cada envío.
Cámaras de videovigilancia en el local
- Pon el cartel informativo en un lugar visible a la entrada, con quién es el responsable y dónde ejercer los derechos.
- Las imágenes se borran en un mes como máximo, salvo que haya que conservarlas para acreditar un delito o un incidente.
- Las cámaras no deben grabar la vía pública más allá de lo imprescindible para vigilar el acceso.
- Nunca en vestuarios, aseos ni zonas de descanso del personal.
- Si graban al personal, hay que informarle expresamente de que las imágenes pueden usarse para el control laboral.
Datos de empleados y fichajes
El RGPD en el comercio también afecta a tu equipo: nóminas, contratos, bajas y el registro de jornada. Dos puntos que generan problemas:
- Biometría para fichar: la AEPD considera que, en general, usar la huella o la cara solo para el registro de jornada no está justificado. Usa móvil, código o tarjeta.
- Grupos de mensajería: no compartas datos de clientes o de compañeros en grupos personales. Usa las herramientas de la empresa.
TPV en la nube, gestoría y otros proveedores
Otro punto del RGPD en el comercio que se olvida a menudo: si tus datos están en un TPV en la nube, en el programa de la gestoría o en una plataforma de reservas, esos proveedores son encargados del tratamiento. Necesitas un contrato de encargo (muchas veces son las condiciones del servicio) que diga qué hacen con los datos, dónde los guardan y qué medidas de seguridad aplican.
Pregunta dónde están los servidores: si salen del Espacio Económico Europeo, el proveedor tiene que ofrecer garantías adecuadas. Y asegúrate de que puedes exportar tus datos si cambias de proveedor.
Seguridad: lo mínimo del RGPD en el comercio
- Un usuario y una contraseña por persona en el TPV y en el ordenador, nada de claves compartidas.
- Actualizaciones automáticas del sistema y del antivirus.
- Copias de seguridad que se puedan restaurar, con una copia fuera del local.
- Wifi de clientes separada de la red del TPV y de la oficina.
- Un plan para avisar a la AEPD en 72 horas si hay una brecha de seguridad que afecte a datos personales.
Checklist del RGPD en el comercio
- Registro de actividades de tratamiento (qué datos tratas, para qué y cuánto tiempo).
- Textos informativos en formularios, web y cartel de cámaras.
- Consentimientos guardados para publicidad.
- Contratos de encargo con proveedores (TPV, gestoría, web, reservas).
- Usuarios personales, copias de seguridad y red separada.
- Procedimiento para atender derechos (acceso, rectificación, supresión) en un mes.
En ibero TI nos ocupamos de la parte técnica: usuarios, redes separadas, copias y proveedores con contrato. Si quieres revisarlo, mira nuestros servicios de infraestructura y soporte o escríbenos.
Preguntas frecuentes sobre el RGPD en el comercio
¿Tengo que cumplir el RGPD si soy un comercio pequeño?
Sí. El RGPD se aplica a cualquier negocio que trate datos personales, sea cual sea su tamaño. Para un comercio pequeño, cumplir es sobre todo informar, pedir solo lo necesario y proteger los datos.
¿Puedo enviar ofertas por WhatsApp o correo a mis clientes?
Solo con su consentimiento expreso, o si ya son clientes y les escribes sobre productos similares, habiéndoles informado al recoger el dato y ofreciendo la baja en cada mensaje.
¿Cuánto tiempo puedo guardar las grabaciones de las cámaras?
Un mes como máximo, salvo que haya que conservarlas para acreditar un delito o un incidente concreto.
¿Un TPV en la nube cumple el RGPD?
Puede cumplirlo si el proveedor firma un contrato de encargo del tratamiento, explica dónde guarda los datos y aplica medidas de seguridad adecuadas.
Fuentes oficiales: Reglamento (UE) 2016/679 (EUR-Lex) · Agencia Española de Protección de Datos.
Lo revisamos contigo antes de que compres nada
Una llamada de quince minutos basta para saber si tu caja, tu programa y tus equipos cumplen, y qué cambiar si no. Si no hace falta cambiar nada, también te lo decimos.
Más del blog
Fin de soporte de Windows 10: qué hacer con los TPV y ordenadores del negocio
El 13 de octubre de 2026 terminó el año de actualizaciones extendidas de Windows 10 para particulares. Qué equipos de tu negocio se han quedado sin parches, por qué muchos TPV siguen cubiertos hasta 2032 y qué opciones tienes.
15 de octubre de 2026 · 5 min de lectura
Regla 3-2-1 de copias de seguridad: cómo proteger los datos de tu negocio
Tres copias, en dos soportes distintos y una fuera del local. Cómo aplicar la regla 3-2-1 en una pyme o un comercio, qué añade la versión 3-2-1-1-0 contra el ransomware y por qué una copia sin probar no es una copia.
7 de octubre de 2026 · 4 min de lectura