Ley 21.719 para e-commerce y tiendas online

Tu base de clientes: con qué derecho la tratas

Procesar el pedido de un cliente se ampara en la ejecución del contrato (art. 13 c). Pero usar esos mismos datos para otra cosa —marketing, perfiles, recomendaciones— necesita su propia base de licitud: consentimiento (art. 12) o interés legítimo (art. 13 d), y en este último caso el titular puede exigir que le informes cuál es ese interés.

El consentimiento del art. 12 debe ser previo e inequívoco, y es revocable en cualquier momento por medios similares a los usados para otorgarlo. La carga de probar que existió es tuya. Y atención con los formularios: la ley presume que el consentimiento NO es libre cuando se pide dentro de un contrato para el cual no es necesario (salvo que ese consentimiento sea la única contraprestación, por ejemplo en un servicio 'gratis' a cambio de datos).

Marketing directo: el cliente siempre puede decir basta

El art. 8 da al titular el derecho a oponerse al uso de sus datos para marketing directo, incluida la elaboración de perfiles con ese fin. Recibida la oposición, no puedes seguir usando sus datos para eso.

Además, tu web debe publicar de forma permanente la información del art. 14 ter — incluida la revocabilidad del consentimiento y la existencia de decisiones automatizadas con su lógica y consecuencias.

Recomendadores, scoring y decisiones automatizadas

Si tomas decisiones basadas únicamente en tratamiento automatizado con efectos significativos para la persona, el art. 8 bis le da derecho a pedir explicación, intervención humana y revisión de la decisión.

Si además haces evaluación sistemática o exhaustiva con decisiones automatizadas o perfiles con efectos jurídicos significativos, o tratamiento masivo o a gran escala, necesitas una evaluación de impacto (DPIA) ANTES de iniciar el tratamiento (art. 15 ter). No hacerla cuando corresponde es infracción gravísima (art. 34 quáter k).

Tus herramientas extranjeras son transferencias internacionales

Usar SaaS extranjero que trata datos de tus clientes (hosting, email marketing, analítica, CRM) constituye transferencia internacional de datos, regulada en los arts. 27 a 29: es lícita hacia países que la Agencia declare adecuados, o amparada en cláusulas contractuales u otros instrumentos con garantías. La carga de acreditar la licitud es tuya, y debes declarar estas transferencias en tu política (art. 14 ter, incluida la letra sobre transferencias y nivel de protección).

Además, cada proveedor que trate datos por tu cuenta es un encargado: necesitas contrato con el contenido mínimo del art. 15 bis.

Cookies y rastreo: lo que la ley sí dice

La ley no menciona la palabra 'cookies', pero sí regula lo que hacen: si con identificadores rastreas o perfilas a una persona identificable, eso es tratamiento de datos personales (art. 2 f) y necesita base de licitud — típicamente consentimiento (art. 12), que debe ser tan fácil de revocar como de otorgar. El derecho de oposición al perfilamiento con fines de marketing (art. 8) aplica igual.

Checklist de ejecución para tu tienda

• Publica la información del art. 14 ter en tu web (letras a-l), con fecha y versión.
• Separa las bases de licitud: pedido = contrato (13 c); marketing = consentimiento (12) o interés legítimo documentado (13 d).
• Habilita un mecanismo simple de baja del marketing y respeta la oposición (art. 8).
• Inventaría tus SaaS extranjeros y ampáralos (arts. 27-29 + contrato del art. 15 bis).
• Si usas decisiones automatizadas con efectos significativos: prepara la explicación y la vía de revisión humana (art. 8 bis), y evalúa la DPIA (15 ter).
• Responde las solicitudes de derechos en 30 días corridos (art. 11).