Protección de datos
para el comercio físico

Sí. El RGPD y la LOPDGDD exigen que las zonas videovigiladas estén señalizadas con un cartel informativo visible en el que figure el responsable del tratamiento y cómo ejercer los derechos. La AEPD ha sancionado a comercios por instalar cámaras sin cartelería adecuada. Además, las cámaras deben estar orientadas exclusivamente al espacio privado del establecimiento: los particulares y empresas no pueden grabar la vía pública ni el espacio público, competencia exclusiva de las Fuerzas y Cuerpos de Seguridad del Estado (art. 22 LOPDGDD).

La participación en el programa de fidelización puede ampararse en la ejecución del contrato con el cliente. Sin embargo, el envío de comunicaciones comerciales y ofertas asociadas al programa requiere el consentimiento por separado del titular, quien debe poder participar en el programa sin estar obligado a recibir publicidad.

Los datos asociados a una devolución (nombre, DNI si se exige, cuenta bancaria para el reembolso) deben conservarse el tiempo necesario para la gestión del proceso y para atender posibles reclamaciones del consumidor. Los datos de facturación asociados a la operación deben conservarse 4 años por obligación fiscal.

Sí, con la base jurídica adecuada. A clientes que ya han comprado, puede enviarse publicidad de productos similares sin consentimiento previo (excepción cliente previo, art. 21.2 LSSI), siempre que se ofrezca la posibilidad de darse de baja. Para prospectos o para cualquier otro tipo de publicidad, se requiere consentimiento previo y explícito.

Los datos de los trabajadores (nóminas, contratos, horarios, bajas laborales) deben tratarse con base jurídica adecuada (ejecución del contrato laboral y obligaciones legales) e informando al empleado. El acceso a los datos de otros empleados debe estar restringido. Las imágenes de los empleados captadas por las cámaras de seguridad también son datos personales.

Sí, cuando los proveedores son personas físicas o autónomos. Los datos de contacto, bancarios y fiscales de los proveedores personas físicas son datos personales sujetos al RGPD. Para empresas (personas jurídicas), el RGPD no aplica directamente, aunque los datos de las personas de contacto sí están protegidos.