Datos personales en los pagos: qué dice el RGPD sobre emails, direcciones e historial

Gestionar una tienda online o una plataforma digital implica tratar a diario información sensible de clientes. Al completar un checkout, el comprador introduce su nombre, correo electrónico, dirección física y detalles de facturación, generando un registro de transacciones que perdura en las bases de datos. El Reglamento General de Protección de Datos (RGPD) impone límites claros a la captura y uso de esta información, exigiendo un equilibrio estricto entre la privacidad del usuario, las obligaciones tributarias y la defensa operativa del negocio.

Comprender qué se puede almacenar, con qué fundamento legal y durante cuánto tiempo evita tanto sanciones administrativas de la Agencia Española de Protección de Datos (AEPD) como problemas en inspecciones fiscales o litigios comerciales.

Las bases jurídicas en el flujo de cobro

El principio de licitud del RGPD exige que todo tratamiento de datos personales cuente con una base legal válida. En un proceso de pago, el comercio suele apoyarse en tres supuestos complementarios:

• Ejecución del contrato (artículo 6.1.b): Permite tratar los datos indispensables para procesar el cobro, entregar el producto y enviar las confirmaciones operativas. Si un usuario compra un bien físico, recopilar la dirección de entrega y el email para remitir el justificante responde directamente a esta relación contractual.
• Obligación legal (artículo 6.1.c): Las normativas mercantiles y tributarias obligan a los comercios a emitir facturas y conservar los justificantes contables de las transacciones. Por tanto, guardar los datos fiscales no depende de la voluntad del comprador, sino de imperativos legales establecidos en las normas de facturación e impuestos.
• Interés legítimo (artículo 6.1.f): Justifica la recopilación y análisis de ciertos datos técnicos (como la dirección IP, el identificador del dispositivo o la geolocalización aproximada) para evaluar riesgos, prevenir estafas y respaldar la postura de la empresa en la gestión de contracargos por fraude amistoso.

Es fundamental recordar que el consentimiento expreso rara vez es la base adecuada para el cobro ordinario. Exigir una casilla de aceptación de privacidad para autorizar el cobro mismo es jurídicamente redundante; la casilla solo debe reservarse para finalidades adicionales, como el envío de boletines comerciales no vinculados a la compra o la cesión de datos a terceros no encargados del tratamiento.

Qué datos se pueden conservar y con qué límites

El principio de minimización (artículo 5.1.c del RGPD) dictamina que los datos tratados deben ser adecuados, pertinentes y limitados a lo estrictamente necesario para los fines perseguidos.

Correo electrónico y comunicaciones operativas

El correo electrónico introducido durante la compra sirve primariamente como identificador de cuenta y canal para notificar el estado de la transacción. El comercio tiene derecho a utilizarlo para enviar el recibo, avisos de envío y notificaciones sobre cambios contractuales. No obstante, transformar ese email en un destinatario automático de campañas publicitarias requiere respetar los requisitos del artículo 21.2 de la LSSI-CE, que solo admite envíos de productos similares a clientes existentes siempre que se ofrezca un mecanismo de baja sencillo y gratuito en cada mensaje.

Direcciones de envío y domicilios de facturación

Si se comercializan exclusivamente bienes digitales o servicios descargables, exigir una dirección postal física de entrega vulnera el principio de minimización. Para estos servicios, basta con solicitar la información indispensable para determinar la fiscalidad aplicable (como el país de residencia y el código postal para el cálculo del IVA mediante las reglas del régimen OSS europeo).

Cuando la entrega física es imprescindible, la dirección de envío debe disociarse internamente de la dirección de facturación. No todos los destinatarios son quienes pagan la factura, y registrar más datos de los necesarios para la entrega postal no está justificado.

Historial de compras y registros de pago

El historial de pedidos permite al cliente consultar sus compras previas y al vendedor gestionar garantías o devoluciones. Además, los logs técnicos asociados a la pasarela de pago (fechas exactas, identificadores de transacción, códigos de respuesta del banco emisor y referencias de autenticación reforzada) resultan indispensables para resolver incidencias.

Lo que nunca debe figurar en las bases de datos propias del comercio es la información sensible de la tarjeta bancaria, como el número completo (PAN) o el código de seguridad (CVC). Estos datos solo los procesa la pasarela bajo el estándar PCI DSS, limitándose el comercio a custodiar el token facilitado por el proveedor de pagos.

Plazos de conservación y el bloqueo de datos

El RGPD prohíbe retener datos personales indefinidamente. La regla general es mantenerlos únicamente mientras dure la finalidad para la que fueron recabados. Sin embargo, cuando un cliente solicita la cancelación de su cuenta o el borrado de sus datos (derecho de supresión), el comercio no puede simplemente destruir toda la información contable.

En España, el Código de Comercio exige conservar los libros contables, facturas y correspondencia comercial durante un plazo de 6 años. Paralelamente, la Ley General Tributaria establece un periodo de prescripción de 4 años para las deudas y obligaciones fiscales. Asimismo, los esquemas de tarjetas establecen ventanas de entre 120 y 540 días para que el emisor presente disputas.

Para conciliar estas obligaciones contradictorias, el artículo 32 de la Ley Orgánica de Protección de Datos (LOPDGDD) articula el mecanismo del bloqueo de datos:

• La información identificativa y de transacciones se retira del entorno operativo visible (el usuario ya no puede acceder ni el equipo de soporte usarla para nuevos fines).
• Los registros se mantienen bajo estrictas medidas de seguridad técnica y organizativa, cifrados y con accesos restringidos.
• Los datos únicamente se ponen a disposición de jueces, tribunales, el Ministerio Fiscal o las administraciones tributarias para la depuración de responsabilidades durante los plazos legales de prescripción.
• Una vez transcurridos los plazos de prescripción fiscal y mercantil, los datos deben destruirse o anonimizarse de forma irreversible.

Conclusión práctica

Cumplir con el RGPD en el proceso de pago no consiste en pedir consentimiento para todo, sino en identificar con claridad la base legal de cada dato y aislar los registros según su finalidad. Solicitar exclusivamente los datos requeridos para la entrega y la fiscalidad, apoyarse en tokens en lugar de almacenar tarjetas y establecer políticas automáticas de bloqueo y purga permite operar con agilidad comercial sin descuidar la protección regulatoria ante clientes y administraciones públicas.