Protección de datos de clientes: obligaciones y buenas prácticas

Los datos de clientes son la base de toda relación comercial. Nombres, direcciones, números de teléfono, historiales de compra y preferencias de comunicación se acumulan a lo largo de los años. Pero con cada dato almacenado crecen también las obligaciones. El RGPD establece requisitos claros para el tratamiento de datos personales, y los datos de clientes están en el centro de estas normas.

Sin embargo, muchas empresas siguen con dudas. ¿Qué datos se pueden almacenar y durante cuánto tiempo? ¿Quién debe tener acceso? ¿Qué ocurre cuando un cliente solicita información o exige la supresión? Las respuestas a estas preguntas determinan no solo la seguridad jurídica, sino también la calidad de los propios ficheros.

¿Qué datos de clientes están sujetos a la protección de datos?

Los datos personales según el art. 4 del RGPD abarcan toda información relativa a una persona física identificada o identificable. En un fichero de clientes típico, esto afecta prácticamente a todos los campos:

Categoría de datos	Ejemplos	Sensibilidad
Datos de identificación	Nombre, fecha de nacimiento, número de cliente	Media
Datos de contacto	Dirección, teléfono, correo electrónico	Media
Datos contractuales	Pedidos, contratos, facturas	Media
Datos de pago	Datos bancarios, tarjeta de crédito, historial de pagos	Alta
Datos de comunicación	Correos electrónicos, reclamaciones, notas	Media a alta
Datos de comportamiento	Historial de compras, seguimiento web, preferencias	Media
Categorías especiales	Datos de salud (farmacias), afiliación religiosa	Muy alta

Punto clave: datos que parecen inofensivos por separado pueden identificar a una persona al combinarse. Un código postal solo no es un dato personal. Junto con el apellido y la fecha de nacimiento, forma parte de un registro protegido. Las obligaciones concretas que se derivan de esto se explican en nuestro artículo sobre el RGPD y los datos de direcciones.

Caso especial de los contactos B2B

Los contactos puramente empresariales sin referencia a personas físicas no están sujetos al RGPD. Pero en cuanto se registra una persona de contacto con nombre y correo electrónico, la protección de datos se aplica plenamente. En la práctica, las fichas de empresa sin ninguna referencia personal son poco frecuentes.

Los cinco errores más frecuentes con los datos de clientes

Muchas organizaciones creen tener su protección de datos bajo control. Sin embargo, los mismos problemas aparecen una y otra vez:

1. Almacenar datos sin base jurídica

Todo tratamiento requiere una base jurídica según el art. 6 del RGPD. Un error habitual: direcciones recogidas en un sorteo se utilizan para newsletters, aunque el consentimiento solo cubría el concurso. O datos de contacto de tarjetas de visita de ferias acaban en el CRM sin consentimiento documentado.

2. Sin plazos de conservación definidos

Los datos de clientes se acumulan y nunca se eliminan. Muchos sistemas CRM contienen registros de clientes sin contacto desde hace cinco o diez años. Sin una política de supresión documentada, esto viola el principio de limitación del plazo de conservación (art. 5, apdo. 1, letra e del RGPD).

3. Acceso sin control

Toda la base de clientes es visible para todos los empleados, desde ventas hasta contabilidad y becarios. Esto contradice el principio de minimización de datos. Cada empleado solo debería ver los datos que necesita para su función.

4. Datos en formatos inseguros

Archivos Excel con datos de clientes en unidades de red compartidas, archivos CSV enviados por correo electrónico, listas de direcciones en memorias USB. Todos estos son riesgos que ocurren a diario y que saltan a la vista en una inspección.

5. Falta de documentación

Sin registro de actividades de tratamiento, sin bases jurídicas documentadas, sin trazabilidad de las solicitudes de derechos. Ante una consulta de la autoridad de control, debe poder demostrar su cumplimiento. Sin documentación, es su palabra contra la de ellos.

Bases jurídicas para el tratamiento de datos de clientes

El RGPD establece seis bases jurídicas posibles en el art. 6. Cuatro son relevantes en la práctica para datos de clientes:

Resumen de bases jurídicas para datos de clientes:

Ejecución del contrato (art. 6, apdo. 1, letra b)
├── Dirección de envío para pedidos
├── Dirección de facturación
├── Datos de contacto para comunicación contractual
└── Número de cliente para gestión de contratos

Interés legítimo (art. 6, apdo. 1, letra f)
├── Correo postal directo a clientes existentes
├── Verificación de solvencia para nuevos clientes
├── Prevención del fraude
└── Análisis interno y estadísticas

Consentimiento (art. 6, apdo. 1, letra a)
├── Envío de newsletters por correo electrónico
├── Telemarketing (B2C)
├── Perfilado y publicidad personalizada
└── Cesión a terceros con fines comerciales

Obligación legal (art. 6, apdo. 1, letra c)
├── Obligaciones fiscales de conservación (10 años)
├── Obligaciones mercantiles (6 años)
└── Prevención del blanqueo de capitales (5 años)

Importante: diferentes bases jurídicas pueden aplicarse al mismo registro según la finalidad. La dirección de envío de un cliente se almacena por ejecución del contrato. Usar esa misma dirección para un envío publicitario se basa en el interés legítimo. Ambas bases deben documentarse por separado.

Plazos de conservación: cuándo deben suprimirse los datos de clientes

No existe una respuesta única sobre cuánto tiempo pueden almacenarse los datos de clientes. Depende del tipo de datos y de la finalidad del tratamiento:

Tipo de datos	Plazo	Base legal
Facturas y documentos contables	10 años	Legislación fiscal
Correspondencia comercial	6 años	Código de Comercio
Datos contractuales	Duración del contrato + 3 años (prescripción)	Código Civil
Datos de marketing (con consentimiento)	Hasta la revocación	Art. 7, apdo. 3 RGPD
Datos de marketing (interés legítimo)	Recomendación: 2–3 años tras último contacto	Art. 5 RGPD
Oposiciones publicitarias	Permanentemente en lista de supresión	Art. 21 RGPD

Un ejemplo práctico:

Cliente Max Mueller – último pedido: 15 de marzo de 2023

Dirección de facturación:
→ Conservar hasta el 31 de diciembre de 2033 (obligación fiscal, 10 años)

Dirección de envío (diferente):
→ Conservar para ejecución del contrato (garantía)
→ Suprimir 3 años después de la entrega, a más tardar el 31 de diciembre de 2026

Consentimiento newsletter:
→ Activo hasta la revocación
→ En caso de inactividad: solicitar re-opt-in tras 24 meses sin aperturas

Oposición publicitaria (2024):
→ Mantener permanentemente en lista de supresión, nunca eliminar

El mayor desafío no es la teoría, sino la implementación. En la práctica, los datos de clientes suelen estar dispersos: CRM, contabilidad, archivos Excel, correo electrónico y a veces en los equipos personales de empleados. Una política de supresión solo funciona si abarca todos estos ubicaciones.

Derechos de los interesados: qué pueden exigir sus clientes

El RGPD otorga amplios derechos a los interesados. En la práctica, debe estar preparado para cuatro tipos de solicitudes:

Derecho de acceso (art. 15 RGPD)

Un cliente pregunta: «¿Qué datos tienen sobre mí?» Debe responder de forma completa en el plazo de un mes, incluyendo todos los datos almacenados, las finalidades del tratamiento, los destinatarios y los plazos de conservación previstos.

Parece sencillo, pero se complica cuando los datos están en múltiples sistemas:

Sistemas con datos de "Max Mueller":
1. CRM (Salesforce)       → Nombre, dirección, teléfono, historial de compras
2. Contabilidad (SAP)     → Nombre, dirección, facturas, pagos
3. Newsletter (Mailchimp) → Email, tasas de apertura, comportamiento de clics
4. Archivo Excel (Ventas) → Nombre, teléfono, notas, citas
5. Correo electrónico     → Correspondencia con datos del cliente

Si olvida el sistema 4 o 5 en una solicitud de acceso, su respuesta es incompleta y, por tanto, constituye una infracción.

Derecho de supresión (art. 17 RGPD)

Un cliente exige la eliminación de sus datos. Debe verificar si existen obligaciones legales de conservación. Si es así, no puede suprimir los datos pero debe restringir su uso: solo pueden utilizarse para la finalidad legalmente exigida, no para marketing.

Derecho de rectificación (art. 16 RGPD)

Un cliente comunica un cambio de domicilio y solicita la actualización de su dirección. La modificación debe aplicarse en todos los sistemas, no solo en el principal.

Derecho de oposición al marketing directo (art. 21, apdo. 2 RGPD)

Este derecho es absoluto. Si un cliente se opone al uso de sus datos con fines publicitarios, debe implementarlo de inmediato. Sin ponderación y sin excepciones. El cliente debe incluirse en una lista de supresión que se verifique antes de cada envío.

Medidas técnicas y organizativas

El art. 32 del RGPD exige medidas técnicas y organizativas «apropiadas» para proteger los datos personales. Para datos de clientes típicos, se aplican estos estándares mínimos:

Control de accesos

Modelo de acceso por roles – ejemplo:

Ventas:
→ Lectura: Datos de contacto, historial de compras, notas
→ Escritura: Sus propios contactos, informes de visitas
→ Sin acceso: Datos de pago, expedientes de RRHH

Contabilidad:
→ Lectura: Direcciones de facturación, datos de pago
→ Escritura: Estado de pago, reclamaciones
→ Sin acceso: Notas comerciales, datos de marketing

Marketing:
→ Lectura: Direcciones, criterios de segmentación
→ Escritura: Asignación a campañas
→ Sin acceso: Datos de pago, notas comerciales

Cifrado y transferencia segura

Los datos de clientes deben estar cifrados tanto en reposo como en tránsito. Esto es especialmente importante para datos que salen de la organización, como al enviar una lista de direcciones a un proveedor de correo postal directo.

Enviar archivos Excel sin cifrar por correo electrónico es una de las infracciones más frecuentes que detectan las autoridades de control en sus inspecciones.

Tratamiento local en lugar de nube

Cuando limpia, fusiona o prepara datos de clientes para envíos postales, el lugar donde se realiza el tratamiento es determinante. Los servicios en la nube requieren contratos de encargo de tratamiento, verificación de ubicaciones de servidores y auditorías periódicas. El tratamiento local en su propio equipo elimina toda esta complejidad.

Exactamente así funciona ListenFix: el software se ejecuta completamente offline en su PC con Windows. Las direcciones de clientes se limpian localmente, se detectan duplicados y se agrupan hogares sin que ningún registro salga de su dispositivo. Sin subida a la nube, sin terceros, sin contrato de encargo de tratamiento necesario. Más información en nuestro artículo sobre la limpieza de direcciones conforme al RGPD.

Guía práctica: implementar la protección de datos de clientes en 8 pasos

En lugar de recomendaciones abstractas, aquí tiene una hoja de ruta concreta y probada en la práctica:

Paso 1 – Realizar un inventario de datos: Liste todos los sistemas donde se almacenan datos de clientes. CRM, contabilidad, email marketing, archivos Excel, archivos en papel. Cada sistema cuenta.

Paso 2 – Documentar las bases jurídicas: Para cada finalidad de tratamiento, registrar la base jurídica aplicable. «Siempre lo hemos hecho así» no es una base jurídica.

Paso 3 – Definir plazos de conservación: Establecer un plazo concreto para cada categoría de datos y documentar quién es responsable de su ejecución.

Paso 4 – Revisar los derechos de acceso: ¿Quién accede a qué datos? ¿Realmente necesita el becario el fichero completo de clientes? Aplicar el principio de mínimo privilegio.

Paso 5 – Crear el registro de actividades de tratamiento: El registro según el art. 30 del RGPD es obligatorio para la mayoría de las organizaciones. Documenta qué datos trata y con qué finalidad.

Paso 6 – Definir un proceso para las solicitudes de derechos: ¿Quién recibe las solicitudes? ¿Cómo se garantiza que se cubren todos los sistemas? ¿Cómo se cumple el plazo de un mes?

Paso 7 – Formar a los empleados: La protección de datos solo funciona cuando las personas en la organización saben lo que importa. Formaciones breves y regulares son más eficaces que un evento único.

Paso 8 – Revisar periódicamente: La protección de datos no es un proyecto con fecha de fin. Realice al menos una revisión anual: ¿Se cumplen los plazos de conservación? ¿Siguen siendo correctos los derechos de acceso?

Lo que cuestan realmente las infracciones

El RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial. En la práctica, los importes son menores pero nada despreciables:

Infracción	Multa típica	Ejemplo
Política de privacidad ausente	5.000–25.000 EUR	Tienda online sin aviso legal
Envío pese a oposición publicitaria	5.000–50.000 EUR	Carta enviada a dirección suprimida
Respuesta de acceso incompleta	10.000–100.000 EUR	Sistema olvidado, datos no comunicados
Falta de supresión	10.000–500.000 EUR	Datos antiguos nunca limpiados
Brecha de datos sin notificación	50.000–1 millón EUR	Filtración sin aviso a la autoridad
Infracciones sistemáticas	A partir de 1 millón EUR	Sin medidas, sin registro, sin DPD

Además de las multas, surgen otros costes: asesoramiento jurídico, esfuerzo interno para cooperar con la autoridad, notificación a los clientes afectados en caso de brecha y la pérdida de confianza. Un incidente de datos que se hace público puede alejar a los clientes de forma permanente.

Las pequeñas empresas y asociaciones no están exentas. Las autoridades de control inspeccionan cada vez más a las pymes, especialmente cuando reciben quejas de los interesados.

Los datos de clientes como base de confianza

La protección de datos de clientes es mucho más que un ejercicio de cumplimiento normativo. Las empresas que gestionan correctamente sus datos de clientes obtienen un triple beneficio: evitan multas y riesgos legales, trabajan con datos más fiables y transmiten a sus clientes que su confianza está justificada.

El esfuerzo necesario es manejable con un enfoque sistemático. Los ocho pasos de esta guía proporcionan una base concreta. Empiece por el inventario de datos y todo lo demás se derivará de ahí. Y si quiere ir sobre seguro con la limpieza de direcciones: el tratamiento local sin dependencia de la nube es la forma más sencilla de eliminar un obstáculo más en materia de protección de datos.