Protección de datos en centros comerciales

Los centros comerciales, como cualquier empresa que gestiona datos personales de usuarios, clientes, empleados o proveedores, están sujetos a las obligaciones que establece la normativa de protección de datos vigente.

¿Qué datos personales gestionan los centros comerciales?

Los centros comerciales gestionan diversos tipos de datos personales en el transcurso de sus actividades, tanto de clientes como de empleados y proveedores. Estos incluyen:

• Datos de identificación y contacto: nombres, direcciones, teléfonos, correos electrónicos, entre otros.
• Datos financieros: información sobre transacciones, pagos, o compras realizadas dentro del centro comercial.
• Datos relacionados con la seguridad: grabaciones de videovigilancia que pueden capturar imágenes o videos de personas que visitan o trabajan en el centro.
• Datos de empleados y proveedores: información personal, laboral y contractual.

El tratamiento de estos datos debe ajustarse estrictamente a la normativa de protección de datos para evitar vulneraciones de privacidad.

¿Cómo implantar la normativa de protección de datos en un centro comercial?

En los siguientes puntos profundizaremos en las principales obligaciones que debe contemplar un centro comercial para adaptarse a la normativa de protección de datos.

Y si tienes un local comercial en el centro, no dejes de leer nuestro artículo sobre protección de datos en el pequeño comercio, porque tú eres el responsable del tratamiento de los visitantes, clientes y empleados de tu negocio.

Para cumplir con el RGPD y la LOPDGDD, los centros comerciales deben aplicar una serie de medidas y protocolos que garanticen la privacidad de clientes, empleados y proveedores. A continuación, resumimos las principales obligaciones:

• Registro de actividades de tratamiento: Documentar qué datos se tratan, con qué finalidad, quién es el responsable, las medidas de seguridad aplicadas, plazos de conservación y posibles cesiones o transferencias internacionales.
• Contratos con encargados de tratamiento: Firmar acuerdos con empresas externas (como seguridad o videovigilancia) que accedan a datos, limitando y regulando su uso conforme a la normativa.
• Acuerdos de confidencialidad con empleados: Garantizar que el personal respete la confidencialidad de la información mediante cláusulas específicas en contratos o acuerdos adicionales.
• Página web: Incluir textos legales claros como aviso legal, política de privacidad y política de cookies, informando sobre el responsable del tratamiento, finalidades, cesiones y vías para ejercer derechos ARSULIPO.
• Análisis de riesgos: Evaluar las amenazas que puedan derivarse del tratamiento de datos personales y establecer medidas preventivas adecuadas.
• Evaluación de impacto (EIPD): Realizarla cuando se detecten riesgos elevados, como en casos de videovigilancia o tratamiento a gran escala, para definir medidas que reduzcan riesgos a niveles tolerables.
• Notificación de brechas de seguridad: Comunicar a la AEPD y a los afectados cualquier filtración o acceso indebido en un plazo máximo de 72 horas.
• Auditorías periódicas: Aunque no son obligatorias con carácter fijo, se recomienda realizarlas para comprobar la eficacia de las medidas de seguridad y subsanar deficiencias.
• Delegado de Protección de Datos (DPD): Aunque no se menciona expresamente a los centros comerciales en la normativa, por el volumen de datos que tratan y las actividades de marketing, es recomendable y en muchos casos necesarios contar con un DPD que supervise el cumplimiento normativo.

Pasos para implantar la normativa de protección de datos en un centro comercial

Sanciones por incumplimiento en la protección de datos en centros comerciales

El incumplimiento de las normativas de protección de datos puede conllevar sanciones económicas severas. Las sanciones se dividen en tres categorías según la gravedad de la infracción:

• Infracciones leves: Multas de hasta 40.000 €.
• Infracciones graves: Multas de 40.001 € a 300.000 €.
• Infracciones muy graves: Multas de 300.001 € a 20.000.000 € o hasta el 4% de la facturación anual.

Además de las sanciones económicas, pueden existir advertencias, suspensión de la actividad y responsabilidad civil por daños a los afectados.

Mejores prácticas para la protección de datos en centros comerciales

• Implementar medidas de seguridad adecuadas: cifrado, control de accesos y sistemas de seguridad robustos.
• Formar y sensibilizar al personal en privacidad y protección de datos.
• Realizar análisis de riesgos: identificar amenazas y aplicar medidas de mitigación.
• Realizar auditorías periódicas para verificar la eficacia de las medidas implantadas.
• Respetar los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) de los interesados.

¿Es obligatorio contar con un Delegado de Protección de Datos (DPD) en los centros comerciales?

Sí, los centros comerciales deben contar con un Delegado de Protección de Datos (DPD) si realizan un tratamiento a gran escala de datos personales, como es el caso de la recopilación de datos de clientes, empleados y visitantes. La LOPDGDD establece que los centros comerciales que gestionen una gran cantidad de datos deben contratar a un DPD para garantizar el cumplimiento del RGPD y supervisar el tratamiento adecuado de los datos personales.

El DPD es responsable de supervisar las actividades de protección de datos, asesorar sobre las mejores prácticas y ser el punto de contacto entre el centro comercial y la AEPD (Agencia Española de Protección de Datos).

¿Cómo se deben instalar las cámaras de videovigilancia?

Para instalar cámaras de videovigilancia en el centro comercial es necesario tener un fichero en el que se almacenen por separado los tratamientos registrados por este medio.

La normativa de protección de datos sostiene que el empresario puede adoptar las medidas necesarias para garantizar la seguridad dentro de su establecimiento, siempre que estas sean proporcionadas. Lo cual incluye la instalación de cámaras de vigilancia.

No es necesario que el empresario obtenga consentimiento explícito de los empleados o los clientes, pero sí tiene la obligación de informar sobre la colocación de las cámaras, mediante circulares informativas y la colocación de carteles de videovigilancia.

Ten en cuenta que las cámaras de videovigilancia no pueden grabar la calle, ni las zonas comunes para los empleados (como la zona de descanso o vestuarios o aseos).

Puedes consultar más información en nuestro artículo acerca de la normativa de cámaras de vigilancia.

¿Te ha quedado alguna duda?

Si necesitas asesoramiento personalizado, puedes solicitar un presupuesto.

Te ayudamos a cumplir la Ley de Protección de Datos

Escríbenos o contacta con nuestras oficinas

He leído y acepto la política de privacidad.