El comerç electrònic

El creixement del comerç electrònic i el canvi de comportament del consumidor està provocant que internet es consolidi com a canal de venda. Inicialment, els canals de comercialització de productes en línia i els canals fora de línia presentaven diferències molt rellevants. Actualment, les diferències són més difuses i, fins i tot, complementàries. El model integrat, en què la botiga física es complementa amb una de virtual, és l’opció més habitual.

Però també pot passar el contrari: que una iniciativa empresarial nascuda a internet obri una botiga física o es converteixi en competència directa de distribuïdors. Fixem-nos en els següents dos casos, que també afecten el gegant del comerç electrònic Amazon.

El ràpid desenvolupament que està experimentant actualment el comerç electrònic s’explica per diverses causes.

Per una banda, hi ha l’aposta que estan realitzant les grans distribuïdores de diferents sectors, com ara de l’alimentació, el material electrònic…, pel comerç electrònic. Això empeny les distribuïdores més petites a seguir el model per continuar competint.

Per altra banda, hi tenim el desenvolupament tecnològic, que provoca que empreses especialitzades en programari i solucions gràfiques puguin oferir unes solucions per a petites i mitjanes empreses que poden ser assumides amb una inversió econòmica raonable. Alhora, la millora de les condicions de seguretat en la transacció econòmica afavoreix que les empreses també apostin per aquest canal de venda.

Finalment, cal considerar també la confiança creixent dels consumidors en internet com a canal de venda, en copsar que és un sistema segur i fiable.

Actualment, la botiga virtual té una identitat pròpia i no queda relegada a un lloc per vendre productes amb menys despeses generals o bé productes amb preus més baixos esperant aconseguir més beneficis. A més, el fet que els consumidors continuïn comprant alguns productes molt temps després que deixin de ser populars i estiguin presents a tots els punts de venda, afavoreix encara més les vendes en el canal virtual, que, ateses les seves característiques, pot mantenir un catàleg més ampli de productes.

La taula mostra les branques d’activitat més beneficiades pel creixement del comerç electrònic.

Del mateix estudi, el gràfic de la figura mostra les 10 branques amb més transaccions en comerç electrònic.

Les 10 branques d'activitat amb més transaccions en comerç electrònic a l'Estat espanyol (quart trimetre de 2015). Font: CNMC

L’evolució tecnològica és el factor més important dels canvis en el comportament del consumidor.

Fixeu-vos què explica el publicista Brian Sheehan sobre l’evolució dels clients d’un concessionari de cotxes:

La notícia que Walmart (www.walmart.com), un dels símbols dels grans magatzems als Estats Units, va comprar Jet.com (jet.com), una plataforma de comerç electrònic desenvolupada a Silicon Valley, és un exemple de la consolidació d’internet com a canal de venda.

Walmart és una empresa multinacional nascuda el 1962 a Arkansas que va obrir el canal en línia el 2001. Amb aquesta compra, el president de Walmart, Doug McMillon, va col·locar el fundador de Jet.com, Marc Lore, al capdavant de la divisió en línia del grup. L’acció respon a un triple objectiu: que millori la tecnologia, que es renovi la imatge i que capti el consumidor millenial. L’operació és interpretable des de diferents punts de vista, però en destaquen tres:

• És una estratègia de creixement per competir directament amb Amazon, el gegant del comerç electrònic, que té un creixement anual superior al 20%.
• És, fins ara, la compra més gran de la història d’una companyia de comerç electrònic.
• És l’aposta que realitza Walmart per tenir un paper destacat en el sector del comerç electrònic mundial.

L’exemple més clar que el comerç electrònic provocarà canvis significatius en el comportament del consumidor és l’èxit de les webs xineses Alibaba (spanish.alibaba.com) i AliExpress, un intermediari que ven productes de fabricants a baix preu a diferents països del món (es.aliexpress.com). Ambdós portals pertanyen a Alibaba Group, que té la seu a Hangzhou (Xina).

La irrupció d’internet en el comerç electrònic aboca, des del punt de vista de l’empresa que comercialitza, a cinc escenaris diferents:

• Internet és l’únic canal de vendes (pure players).
• Internet és una opció de canal de vendes que, alhora, té un impacte en les vendes fora de línia.
• Internet impacta de manera marginal en les vendes, però l’empresa està amatent al desenvolupament del citat canal.
• Internet té un impacte nul en les vendes. De moment, hi ha una presència testimonial i s’utilitzen els canals de venda tradicionals.
• No es té en compte internet com a canal de vendes.

Els avantatges de conjugar ambdós canals de venda són:

• La disponibilitat per vendre producte. La principal diferència entre les botigues virtuals i les físiques és l’horari d’obertura: les 24 hores del dia i els 365 dies de l’any. Amb relació als horaris d’obertura, els punts de venda físics estan condicionats per la legislació i la disponibilitat de recursos humans i econòmics.
• L’ampliació del radi de cobertura. Les botigues virtuals trenquen les limitacions territorials que imposa la localització d’un punt de venda físic en un lloc determinat. Tot i que l’abast real l’acaba determinant la capacitat de distribució, tecnològicament, una botiga virtual pot rebre comandes d’arreu del món.
• La rapidesa de compra en clients habituals. Una botiga virtual facilita la compra de producte a les persones que tenen una experiència de compra anterior i, per tant, no necessiten anar a la botiga física per veure’l o provar-lo.
• Influència recíproca entre ambdós canals. Una botiga física que decideix vendre a través d’una botiga virtual està transmetent un missatge d’estar al dia i voler facilitar la venda de producte en un moment en què el comerç electrònic és una realitat comuna. L’existència de la botiga física aporta coneixement de la marca i del producte que ofereix la botiga virtual, i confiança entre els consumidors. I la botiga virtual és, també, una eina comunicativa que pot estimular les vendes en la botiga física, perquè aporta visibilitat de l’assortiment que ofereix.
• L’assortiment es pot incrementar. La botiga física presenta unes limitacions en l’espai per l’exposició i venda de productes, i el seu emmagatzematge. Aquesta limitació no existeix en la botiga virtual, tot i que sí que cal preveure la logística.
• Major coneixement del consumidor. El coneixement del consumidor augmenta en la botiga virtual perquè hi ha eines de registre del seu comportament. L’estudi del consumidor a la botiga física presenta més limitacions.
• Possibilitat d’incrementar el volum de vendes. La botiga virtual és un punt de venda més i, per tant, pot augmentar el volum de vendes d’una empresa. A més, les despeses de manteniment i funcionament són més baixes en la venda en línia, cosa que pot compensar els costos de la botiga física.

La priorització d’un model de negoci que conjuga la venda física i la virtual planteja unes reflexions:

1. L’empresari ha d’interrogar-se sobre les preferències dels clients que són nadius digitals en el moment de compra.
2. També s’ha de plantejar quins dels segments amb els quals treballa es poden beneficiar més del canal internet i quin és el canal més eficient per vendre els productes.
3. A més, és necessari que sàpiga com es pot millorar la relació amb els clients i la resta de consumidors a partir de la dicotomia entre la venda física i la virtual i, per tant, com desenvolupar en línia accions de relacions amb els clients que ja es realitzen fora de línia (com l’atenció de queixes o la venda de productes complementaris).
4. Finalment, l’empresari ha d’aconseguir una utilització eficient de les dades dels clients que l’empresa té al seu abast i ha de comprovar si la fidelització dels clients a través de la xarxa aporta més beneficis (deguts, per exemple, a un increment en les vendes o a una menor sensibilitat al preu).

En el comerç electrònic hi participen com a actors principals les empreses, que anomenem B (de business); els consumidors, que anomenem C (de customer), i les administracions públiques, que anomenem A (d’administration). Per tant, en funció del tipus d’agent econòmic que hi participa, es pot parlar de diferents tipus de comerç electrònic. Vegem-los detingudament:

• Empresa - empresa (B2B: business to business). Aquest model engloba les transaccions comercials entre empreses, on una empresa es dedica a la distribució massiva d’articles i l’altra es dedica a la venda minorista cap al consumidor final. Simula el comerç majorista, però la diferència és que les transaccions es realitzen a través d’internet. Vegeu-ne un exemple a la figura.

www.alibaba.com

• Empresa - consumidor (B2C: business to customer). Aquest model s’apropa a la venda minorista, però molts dels procediments que inclou només són possibles en l’àmbit d’inernet. Avui en dia encara es relaciona el concepte de comerç electrònic amb aquest model de negoci, que està representat per la botiga virtual. Vegeu-ne un exemple a la figura.

www.ebay.com

• Empresa - empresa + empresa - consumidor (B2B2C: business to business + business to customer). Aquest model agrupa el B2B i el B2C, és a dir, una empresa ven als dos segments de mercat des de la mateixa plataforma digital.
• Consumidor - consumidor (C2C: customer to customer). Aquest tipus de comerç electrònic posa en contacte diferents usuaris per a la compravenda d’articles i, a través d’una plataforma intermediària, permet als consumidors oferir productes i serveis per obtenir uns ingressos extra. Vegeu-ne un exemple a la figura.

https://www.chicfy.com

Les administracions públiques, que també utilitzen internet i que, per tant, s’han convertit en un actor més del negoci electrònic, poden adoptar els següents models:

• Administració - administració (A2A: administration to administration). Es tracta d’una relació entre administracions. Un exemple seria el model de l’Estat Espanyol, amb diferents administracions públiques (estatal, autonòmica, municipal).
• Empresa - administració (B2A: business to administration). En aquest model les administracions públiques no solament actuen com a agents reguladors i promotors del comerç electrònic, sinó també com a usuàries. Per exemple, en els procediments de contractació pública o de compres per a l’Administració. Aquesta categoria cobreix totes les transaccións entre les empreses i les organitzacions governamentals.
• Administració - empresa (A2B: administration to business). És un model en el qual les administracions públiques posen el seus serveis a disposició de les empreses, i que també inclou el cobrament d’impostos.
• Administració - consumidor (A2C: administration to customer). En aquest model les administracions públiques posen el seus serveis a disposició dels consumidors. El lliurament de declaracions de renda per internet o el pagament d’impostos en són un exemple.

Avui en dia s’inclou, encara, un nou actor: el treballador, que anomenem E (d’employee). El seu paper motiva nous tipus de relacions:

• Empresa - treballador (B2E: business to employee). L’empresa ofereix una sèrie de serveis als seus empleats, com ara un economat, i el converteix en un client privilegiat.
• Treballador - empresa (E2B: employee to business). Els treballadors ofereixen a l’empresa serveis que van més enllà del contracte que els uneix.
• Treballador - treballador (E2E: employee to employee). Els treballadors poden utilitzar les infraestructures de la xarxa de l’empresa per establir un mercat d’individus restringit als membres de l’organització, com ara una subhasta.

Tot i que s’han presentat una gran varietat de relacions, encara s’hi pot afegir la fàbrica, representada amb una M (de manufacturer), i generar nous tipus de comerç, com l’M2B, l’M2C i l’M2M.

Actualment hi ha un gran nombre de models que les empreses poden adoptar a l’hora d’establir el seu comerç virtual, però tots impliquen la creació d’una aplicació a internet. Els principals models propis del comerç electrònic són: la botiga electrònica, els mercats web, les subhastes en línia, el proveïment electrònic, la publicitat, l’afiliació, la subscripció i els models de semipagament o freemium. Vegem-los detingudament:

La botiga electrònica és la forma més habitual d’establiment comercial a la xarxa. Es basa en una empresa que presenta un catàleg de productes als seus clients potencials a través d’internet (vegeu-ne un exemple a la figura). Aquests establiments han d’incloure mecanismes per facilitar que els consumidors puguin adquirir els seus productes, com ara els que permeten la realització de la comanda o el pagament dels productes. Els sistemes de pagament habitualment són diversos, des de pagaments de tipus tradicional, com el pagament contra reemborsament, pagaments amb targeta de crèdit o bé sistemes de pagament específics de les compres electròniques.

La creació d’una botiga electrònica exigeix una estructura de serveis informàtics considerable, que garanteixi el manteniment tècnic de la botiga i la seguretat digital, tant pel que fa a la confidencialitat de les dades dels clients com a la seguretat dels pagaments electrònics.

La sofisticació d’aquests establiments varia des d’una presentació simple d’un catàleg estàtic a catàlegs interactius amb continguts multimèdia i manteniment d’espai per incloure els comentaris dels clients. El model de botiga electrònica proporciona una presència global, una manera econòmica de presentar els productes a l’audiència i de disminuir els costos de promoció i màrqueting.

https://online.abacus.coop/ca

Els mercats web (marketplaces) són llocs web on es venen productes de diferents venedors. El seu funcionament és similar, en l’entorn físic, al dels centres comercials (vegeu-ne un exemple a la figura).

https://www.amazon.es

Els mercats web proporcionen un disseny ben estructurat de botiga, un manteniment eficaç i passarel·les de pagament comunes i fiables per al cobrament de les vendes. D’una banda,són una opció per a petites i mitjanes empreses que no disposen dels recursos necessaris per posar en marxa una iniciativa de comerç digital i, de l’altra, proporcionen una major visibilitat a aquelles empreses que ja disposen del seu propi comerç electrònic.

Els mercats web són especialment rellevants en les estratègies d’internacionalització perquè permeten accedir a nous mercats amb uns costos relativament baixos. A part, cal tenir en compte també que sovint, a l’hora de cercar informació sobre productes i serveis, els usuaris, a més dels cercadors, utilitzen també aquests portals, per exemple Amazon, eBay o Aliexpress, fet que els converteix en una eina excel·lent per aconseguir visibilitat.

Així, a part dels avantatges propis del canal internet, els marketplaces presenten els següents avantatges per als venedors:

• Accés a un gran nombre de compradors potencials
• Visibilitat de l’empresa i dels seus productes a internet a baix cost
• Reducció dels costos de transacció
• Anàlisi d’oferta respecte a la competència

Hi ha dues tipologies de mercats web:

• Els mercats web verticals, que estan especialitzats en una tipologia de producte o mercat concret. Aquest mercats permeten arribar a un nínxol de consumidors amb unes necessitats específiques que poden ser satisfetes pels nostres productes.
• Els mercats web horitzontals, que atrauen més públic perquè ofereixen una major varietat de productes.

Les subhastes en línia (e-auction) són llocs on se subhasten objectes acceptant les licitacions dels usuaris dins d’un període. Depenent del sistema utilitzat es pot permetre la participació anònima dels usuaris. Només s’identifica l’usuari que ha aconseguit l’objecte subhastat. L’empresa en línia obté beneficis perquè cobra comissió a totes les parts participants o a algun subconjunt d’aquests participants.

Hi ha models de subhasta en línia associats a cadascun dels diferents tipus de comerç electrònic, ja sigui entre empreses (B2B), entre particulars (C2C) o d’empreses a particulars (B2C). La clau del seu èxit està en la possibilitat de consensuar un preu que sigui avantatjós per a les dues parts.

El proveïment electrònic (e-procurement) és l’automatització de processos interns i externs relacionats amb el requeriment, compra, subministrament, pagament i control de productes amb internet com a mitjà principal de comunicació entre client i proveïdor. La informació està actualitzada en temps real i, per tant, es té accés a les necessitats del client i a l’estat de les comandes per part del proveïdor, fet que simplifica força tots els processos de gestió d’inventaris i d’estocs.

En el model basat en la publicitat, els ingressos s’obtenen a través de la publicitat. Així, si un lloc web genera molt trànsit és interessant deixar espais en blanc per poder vendre a alguna marca, producte o servei. La publicitat es pot presentar de diferents formes:

• Bàners creatius per captar l’atenció de l’usuari.
• Publicitat per a l’usuari, relacionada amb gustos i preferències dels visitants.
• Publicitat orientada al contingut, relacionada amb el contingut del lloc web.
• Remàrqueting, publicitat basada en les dades de navegació del visitant del web.

En els models basats en l’afiliació la venda es fa a partir d’un programa d’afiliació. L’empresa ofereix al propietari del lloc web que referenciï els seus productes, un percentatge de les compres que es facin. Els avantatges d’aquest sistema és que no requereix inversió ni inventaris, ni tampoc ha d’oferir garanties al comprador, ja que les proporciona el mateix proveïdor.

El model basat en la subscripció, seguit, per exemple, per Netflix (vegeu la figura), consisteix a oferir a les persones que paguen la subscripció un producte o servei de forma continuada i periòdica.

https://www.netflix.com/es

La subscripció pot ser de diferents tipus:

• Fixa: quan es paga per un determinat nombre de serveis o productes coneguts per endavant.
• Il·limitada: quan es paga per un acccés, i per tant, per un ús il·limitat del servei.
• Acotada: quan es compra un determinat nombre de productes o serveis per al seu ús posterior.

Els models de semipagament o freemium són molt similars als de subscripció. La diferència és que en un primer moment s’ofereixen els serveis i/o productes de forma gratuïta i a posteriori, mitjançant una versió de pagament, es dona la possibilitat d’ampliar les prestacions o, fins i tot, de gaudir de totes les funcionalitats.

El comerç electrònic és un àmbit amb moltes implicacions jurídiques que convé conèixer i aplicar. Afecta aspectes tan diversos com la seguretat a la xarxa i la seguretat en les transaccions, la protecció dels drets de propietat intel·lectual en l’entorn digital, la gestió dels sistemes de pagament o la legalitat dels contractes electrònics. A part, una de les seves característiques és la internacionalització i sovint cal tenir present tant la regulació jurídica estatal com la internacional.

La Comissió Europea va aprovar, a finals de 2015, mesures per impulsar un mercat digital únic en els països de la Unió Europea (UE). La directiva afecta dos àmbits: els continguts digitals (com ara la baixada de música d’internet) i les vendes en línia. En aquest darrer cas, els problemes més grans que existeixen són l’harmonització de les lleis ja existents (diferents entre els països que formen la UE) i, a més, la diferència legal entre el comerç en línia i el comerç fora de línia.

Ara mateix, tot i existir unes característiques comunes, cada país té la seva llei de consumidors. Aquesta situació és bona per al consumidor, però complica la gestió de les empreses que venen productes a diferents països, perquè han de conèixer cadascuna de les normatives locals. Aprovada la directiva, cadascun dels països de la UE tenia un termini de dos anys per aplicar-la a les legislacions de cada país. El catedràtic de Dret Hugh Beale, un dels experts sobre dret contractual a Europa, fa la següent reflexió:

En aquest context, tot apunta que l’harmonització de les lleis en el comerç electrònic passa per garantir que les empreses facilitin a l’usuari la informació necessària sobre:

• La identificació del venedor
• La forma de pagament
• Les condicions d’entrega
• La forma de realitzar els canvis i les devolucions
• La garantia

Aquesta informació ha de servir per donar confiança al consumidor en el moment que realitza una adquisició de productes a través d’un canal de venda digital.

Quant a la legislació estatal i autonòmica, la norma de referència és la Llei 34/2002, d’11 de juliol, de serveis de la societat de la informació i del comerç electrònic (LSSICE), que regula el comerç electrònic, la contractació en línia, la informació i la publicitat i els serveis d’intermediació i la legislació que regula els drets dels consumidors i usuaris, concretament:

• El Reial decret legislatiu 1/2007, de 16 de novembre, pel qual s’aprova un text refós de la Llei general per a la defensa dels consumidors i usuaris.
• La Llei 22/2010, de 20 de juliol, del Codi de consum de Catalunya.

Si els contractes per via electrònica estan signats electrònicament caldrà ajustar-se al que estableix el Reial decret llei 14/1999, de 17 de setembre, que regula la signatura electrònica en el dret estatal. Aquesta llei atorga a la signatura electrònica el mateix valor jurídic que a la signatura manuscrita. El concepte ampli de signatura que es recull en l’article 2 d’aquesta llei fa que sota aquest concepte tinguin cabuda tècniques molt simples i de poca seguretat, de manera que no aporta res a la integritat del missatge (necessari per provar la signatura d’una persona) i, per tant, el valor probatori en un judici és nul.

Com que el comerç electrònic fa servir grans bases de dades amb informació personal proporcionada directament pels clients, també és d’aplicació la legislació referida a la protecció de dades, concretament:

• Reglament general de protecció de dades, RGPD (UE2016/679), en vigor des del maig de 2016 i que és d’aplicació efectiva des del maig del 2018.
• Llei orgànica 3/2018, de 5 de desembre, de Protecció de dades personals i garantia dels drets digitals (LOPDGDD), que va derogar la Llei orgànica 15/1999, de 13 de desembre (LOPD), i que té per objectiu adaptar l’ordenament jurídic espanyol al Reglament general de protecció de dades (RGPD), i complementar-ne les disposicions, i garantir els drets digitals de la ciutadania.
• Reial decret llei 994/1999, d’11 de juny, que regula les mesures de seguretat dels fitxers que contenen dades de caràcter personal.

Per últim, un altre vessant que cal regular és la protecció de la propietat intel·lectual. El fet que, actualment, la tecnologia permet en molts casos la còpia i reproducció de les creacions intel·lectuals sense gaire dificultat fa indispensable la regulació d’aquest àmbit. En l’àmbit estatal, la legislació aplicable és la Llei de propietat intel·lectual (Reial decret llei 1/1996, de 12 d’abril) i Llei 5/1998, de 6 de març, que incorpora al dret espanyol la Directiva europea 96/9/CE, sobre la protecció jurídica de les bases de dades, que estableixen el marc per protegir els drets d’autor. La Llei de propietat intel·lectual afecta en gran mesura el comerç electrònic, ja que l’article 10 estableix que són objecte de propietat intel·lectual totes les creacions originals literàries, artístiques o científiques.

El Reglament general de protecció de dades (RGPD) és d’aplicació efectiva des del maig del 2018 i la Llei orgànica 3/2018, de Protecció de dades personals i garantia dels drets digitals (LOPDGDD), va entrar en vigor el 7 de desembre de 2018.

Cal tenir en compte que, d’acord amb el Tractat de Funcionament de la Unió Europea, els Reglaments europeus tenen abast general i són obligatoris i directament aplicables a tots els Estats membres. A diferència de les Directives, els Reglaments no han de ser transposats a l’ordenament intern dels estats membres.

Així, tot i que un dels objectius de la LOPDGDD és adaptar l’ordenament jurídic espanyol a l’RGPD, la protecció de dades queda regulada en part pel Reglament i en part per la Llei, atès que la Llei no ha de reiterar, necessàriament, allò que ja està regulat a la norma europea. L’RGPD es pot aplicar en aquelles empreses que no estan establertes físicament a la UE, sempre que tractin dades de persones d’aquest àmbit europeu en el marc d’una relació comercial com ara després d’oferir-los productes o seguint la seva activitat.

En tractaments en què hi pugui haver elements d’internacionalitat, l’RGPD preveu un mecanisme de finestreta única (one stop shop) que permet que els ciutadans no s’hagin de relacionar amb autoritats de control diferents de la de l’estat en què resideixen, per plantejar reclamacions o denúncies.

En cas d’incompliment, s’estableixen una sèrie de sancions, classificades en lleus, greus i molt greus, que, en funció d’aquesta gravetat, poden arribar fins al 4% de la facturació de l’empresa.

L’RGPD exigeix que totes les empreses, autònoms i organismes públics o privats, que tracten amb dades de caràcter personal, siguin proactius a l’hora de protegir aquestes dades.

La creació i manteniment d’un fitxer de dades personals exigeix l’aplicació d’unes determinades mesures de seguretat, tant tècniques com organitzatives, que poden variar en funció de la major o menor sensibilitat de les dades que l’integren.

L’RGPD no fa una relació dels punts que cal complir, sinó que exigeix que cada empresa porti a terme una anàlisi de riscos als quals poden estar sotmeses les dades personals que tracta, els avaluï i, en funció d’això, decideixi i determini quins mitjans i mesures ha d’aplicar. .

Aquestes mesures són les que han de figurar al registre d’activitats de tractament que exigeix l’RGPD, on cal explicar quines dades es tracten, per a què i a qui se cedeixen, entre d’altres.

A més, l’RGPD també estableix que les bretxes de seguretat del sistema que puguin tenir un impacte en la privacitat s’han de comunicar a l’AEPD i, si és el cas, als afectats, de manera individual.

L’RGPD no estableix cap llistat de mesures de seguretat basat en els nivells de seguretat bàsic, mitjà i alt, com preveia l’LOPD, però sí que estableix unes categories especials de dades equivalents a aquelles a les quals corresponia un nivell alt de protecció i estableix, també, dues noves categories de dades de caràcter personal: les dades biomètriques, relatives a les característiques físiques, fisiològiques o conductuals d’una persona, i les dades genètiques, sobre característiques heretades o adquirides que s’hagin extret d’una mostra biològica.

Així, l’RGPD distingeix, entre d’altres, dades identificatives, característiques personals, dades laborals, acadèmiques o economicofinanceres o dades relatives a infraccions o sancions administratives. Quant a les categories especials, distingeix dades sobre l’origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, dades genètiques, biomètriques, relatives a la salut o a la vida o l’orientació sexual, o dades relatives a condemnes i infraccions penals.

L’RGPD deixa a criteri del responsable i de l’encarregat del tractament, prèvia avaluació dels riscos, determinar quines mesures de seguretat cal implementar en cada supòsit però, en qualsevol cas, s’han d’establir les mesures de seguretat tècniques i organitzatives apropiades per garantir un nivell de protecció adequat al risc que suposin les diferents categories de dades.

Les empreses, autònoms i organismes públics o privats, que tracten amb dades de caràcter personal, com a responsables del tractament d’aquestes dades, són els que determinen el propòsit i els mitjans del tractament.

L’administració i les empreses que gestionen dades sensibles o de risc, o que realitzen estudis de mercat, han de tenir la figura del delegat de protecció de dades. El delegat de protecció de dades (DPD) ha de ser una figura independent dins de l’empresa, per evitar qualsevol conflicte d’interessos, i ha d’acreditar coneixements especialitzats en dret i en la pràctica de protecció de dades, a través d’una titulació universitària.

La designació d’un delegat de protecció de dades és necessària en els sectors següents:

• Col·legis professionals (Col·legi d’Advocats, Col·legi de Metges, Col·legi d’Arquitectes, etc.).
• Universitats públiques i privades.
• Entitats que explotin xarxes socials i prestin serveis de comunicacions electròniques.
• Entitats que desenvolupin activitats de publicitat i prospecció comercial .
• Centres sanitaris.
• Empreses de seguretat privada.
• Establiments financers de crèdit.
• Entitats asseguradores i reasseguradores.
• Empreses de serveis d’inversió regulades per la legislació vigent i aplicable en Mercat de Valors.

El responsable del tractament, o el delegat si és el cas, ha de garantir el compliment de la normativa legal que fa referència a la protecció de dades i a la formació del personal i té l’obligació de notificar, a l’Agència Espanyola de Protecció de Dades i en un termini de 72 hores, les bretxes de seguretat que es produeixin en la seva organització.

Si el responsable del tractament encarrega el tractament de les dades a una empresa aliena que, per tant, té accés a les dades cal signar un contracte de tractament de dades que reguli la relació que els vincula.

El contracte de tractament de dades ha d’establir, com a mínim, l’objecte, la durada, la naturalesa i la finalitat del tractament, el tipus de dades personals i les categories d’interessats, així com les obligacions i els drets del responsable. Concretament, ha d’incloure:

• Les instruccions del responsable del tractament.
• El deure de confidencialitat.
• Les mesures de seguretat.
• El règim de la subcontractació.
• Els drets dels interessats.
• La col·laboració en el compliment de les obligacions del responsable.
• El destí de les dades en finalitzar la prestació.
• La col·laboració amb el responsable per demostrar el compliment.

El responsable del tractament ha de triar un encarregat del tractament que ofereixi garanties suficients respecte de la implantació i el manteniment de les mesures tècniques i organitzatives apropiades, d’acord amb el que estableix l’RGPD, i que garanteixi la protecció dels drets de les persones afectades.

A les bases de dades s’han de guardar únicament les dades que exigeix el marc legislatiu, i sempre amb l’autorització de cada titular. La protecció d’aquestes dades és fonamental i és per aquest motiu que el personal de l’empresa amb accés a aquestes dades ha d’estar registrat, declarat i ha de signar el compromís de confidencialitat amb l’empresa.

Cal assegurar que les empreses on s’allotgen les bases de dades proporcionen el nivell de protecció exigit per l’RGPD. L’RGPD s’aplica als responsables i encarregats de tractament de dades establerts a la Unió Europea i també als responsables i encarregats no establerts en la UE sempre que realitzin tractaments derivats d’ofertes de béns o serveis de ciutadans de la Unió Europea o com a conseqüència d’un monitoratge i seguiment del seu comportament.

D’acord amb l’RGPD, la transferència de dades a un tercer país no pot suposar en cap cas una reducció del nivell de protecció que estableix el Reglament. Aquest principi també s’aplica en les transferències posteriors de dades personals, des del tercer país a un altre tercer país o a una organització internacional.

Amb relació a l’LOPD, es tracta d’una garantia addicional per als ciutadans de la Unió Europea, ja que abans de l’aplicació de l’RGPD, aquestes empreses podien estar tractant dades de persones de la UE, i no obstant això, es regien per normatives d’altres països que no sempre ofereixen el mateix nivell de protecció. Per això, fins a l’entrada en vigor de l’RGPD, es recomanava que els servidors de les empreses d’allotjament estiguessin ubicats en un dels estats membres de la Unió Europea.

L’RGPD amplia les qüestions sobre les quals cal informar les persones a les quals se’ls sol·liciten dades personals i modifica alguns aspectes de la manera com s’ha de proporcionar aquesta informació.

L’obligació d’informar s’ha de complir sense necessitat de cap requeriment i el responsable ha de poder acreditar amb posterioritat que l’ha complert.

Així, en tot formulari on es recullin dades personals d’usuaris o clients, ja sigui per subscriure’s a un butlletí electrònic o per ingressar en una comunitat, és obligatori incloure un avís legal amb relació a la protecció de dades. D’acord amb l’RGPD, el contingut de l’avís legal ha d’incloure la informació següent:

• La identitat i les dades de contacte del responsable i, si escau, del seu representant.
• Les dades de contacte del delegat de protecció de dades, si escau.
• Les finalitats i la base jurídica del tractament al qual es destinen les dades personals.
• L’interès legítim perseguit pel responsable o per un tercer, quan el tractament es basa en aquest interès legítim.
• Els destinataris o les categories de destinataris de les dades personals, si escau.
• La previsió, si escau, de transferències a tercers països i l’existència d’una decisió d’adequació o de garanties adequades, i els mitjans per obtenir-ne una còpia.
• El termini o els criteris de conservació les dades personals.
• El dret a sol·licitar al responsable del tractament l’accés a les dades personals relatives a l’interessat, a rectificar-les o suprimir-les, a limitar-ne el tractament i a oposar-s’hi, així com el dret a la portabilitat de les dades.
• Quan el tractament està basat en el consentiment, el dret a retirar-lo en qualsevol moment, sense que això afecti la licitud del tractament basat en el consentiment previ a la retirada.
• El dret a presentar una reclamació davant una autoritat de control.
• Si la comunicació de dades personals és un requisit legal o contractual, o un requisit necessari per subscriure un contracte, i si l’interessat està obligat a facilitar les dades personals i està informat de les possibles conseqüències de no fer-ho.
• L’existència de decisions automatitzades, inclosa l’elaboració de perfils. Si produeix efectes jurídics en l’interessat o l’afecta significativament, o afecten categories especials de dades, ha de contenir informació significativa sobre la lògica aplicada i sobre les conseqüències previstes d’aquest tractament per a l’interessat.

Quan la informació no s’obté de l’interessat, cal informar, a més, sobre els aspectes següents:

• Les categories de dades personals de què es tracta.
• La font d’on procedeixen les dades personals i, si escau, si procedeixen de fonts d’accés públic.

La informació s’ha de proporcionar en un llenguatge clar i senzill, adequat al nivell de comprensió de l’usuari. La informació ha de ser concisa i intel·ligible i s’han d’evitar les ambigüitats, les explicacions excessives o l’abús de cites legals, cercant un equilibri entre concisió i precisió.

Per trobar aquest equilibri, especialment quan la informació es recull per mitjans electrònics, les autoritats de protecció de dades recomanen que s’adopti un model d’informació per capes o nivells que consisteix a presentar una informació bàsica en un primer nivell, de manera que se’n pugui tenir un coneixement general, i oferir la informació addicional en un segon nivell.

Convé situar la informació bàsica en el mateix camp de visió que el lloc on s’ha de manifestar la conformitat amb el que se sol·licita i completar-la amb un o diversos enllaços cap a la informació més detallada.

L’avís legal ha de ser visible i s’acostuma a ubicar just a sota del formulari o se sol inserir al web un enllaç permanent visible a la política de privacitat.

Amb caràcter general, qui recull dades personals ha de poder acreditar que ha obtingut les dades amb el consentiment de les persones afectades. Cadascuna de les pàgines web des d’on s’obtenen les dades de caràcter personal ha d’incloure la informació mencionada anteriorment, de forma que l’usuari pugui obtenir-la amb facilitat i de forma directa i permanent.

El consentiment de l’usuari per al tractament de les seves dades no pot ser tàcit, ha de ser explícit. Perquè el consentiment es pugui considerar un consentiment inequívoc, hi ha d’haver una declaració de l’interessat manifestant la seva conformitat. Així, es prohibeixen pràctiques com ara el consentiment per inacció (“Si en un termini de 30 dies no manifesta …, entendrem …”) o, als webs, les caselles marcades prèviament. El consentiment s’ha d’obtenir per a cadascuna de les finalitats de tractament i el responsable del tractament de les dades ha de poder provar que el titular va portar a terme l’autorització.

També cal tenir constància de la data en què l’usuari facilita les dades a través del web, perquè la informació s’ha de conservar durant tot el temps que es tractin les dades i s’ha de poder demostrar que s’ha rebut el consentiment necessari per poder-ho fer.

En els casos en què les dades siguin recollides per a una finalitat diferent de la principal de la recollida, s’ha de donar l’opció a la persona que emplena les dades de manifestar que no desitja que les seves dades siguin tractades per a aquestes altres finalitats accessòries.

Les persones que faciliten les dades tenen dret a conèixer quines dades emmagatzema l’empresa i per què, a rectificar-les o suprimir-les, a limitar-ne el tractament i a oposar-s’hi, i també tenen el dret a la portabilitat de les dades:

• Dret d’accés. És el dret d’un mateix a sol·licitar i obtenir informació gratuïtament sobre si les seves dades personals es tracten, amb quina finalitat i quins usos concrets, d’on s’han tret, si s’han comunicat o es pretenen comunicar i a qui.
• Dret de rectificació. És el dret d’un mateix a rectificar gratuïtament les seves dades personals quan siguin errònies o incompletes.
• Dret de supressió. És el dret d’un mateix a suprimir gratuïtament les seves dades personals i a impedir-ne la difusió a internet (dret a l’oblit) quan:
  • Ja no són necessàries per a la finalitat per a la qual es van recollir.
  • Es revoca el consentiment en el qual es basava el tractament.
  • Hi ha oposició al tractament.
  • Les dades s’han tractat il·lícitament.
  • Les dades s’han tractat per complir una obligació legal o s’han obtingut en relació amb l’oferta de serveis de la societat de la informació adreçada a menors.
• Dret d’oposició. És el dret d’un mateix a sol·licitar gratuïtament que no es tractin les seves dades personals.
• Dret a la limitació del tractament. És el dret d’un mateix a restringir les operacions de tractament de les seves dades personals.
• Dret a la portabilitat. És el dret d’un mateix a rebre, en un format estructurat, d’ús comú i de lectura mecànica, les dades personals que ha facilitat a un responsable del tractament.

El responsable ha d’atendre la sol·licitud d’exercici d’un dret en el termini d’un mes des que la rep, prorrogable dos mesos més si és necessari, segons la complexitat i el nombre de sol·licituds. S’ha d’informar l’interessat de la pròrroga dins el termini del primer mes (des que es rep la sol·licitud) i indicar els motius de la dilació.

Les galetes (cookies) són petits fitxers de text que es desen a l’ordinador quan es visita una pàgina web. Les dades que es desen fan referència a preferències de configuració o de continguts o són de caràcter tècnic, i s’associen al navegador. Permeten saber, per exemple, l’adreça IP o el navegador que s’utilitza, l’idioma triat o les seccions consultades. Es distingeixen tres tipus de galetes:

• Les galetes tècniques que permeten, entre altres coses, detectar els usuaris registrats o facilitar el funcionament d’aplicacions web.
• Les galetes analítiques que recullen informació sobre la navegació (productes consultats, franges horàries, temps de connexió, idioma, etc).
• Les galetes publicitàries que permeten que es mostrin determinats anuncis en funció dels llocs web que s’han visitat, la ubicació o l’idioma, entre altres factors.

Les galetes permeten conèixer les preferències de l’usuari i personalitzar els serveis en funció dels seus gustos. Així, d’una banda, les galetes milloren la navegació però, de l’altra, permeten també crear perfils de consumidors, amb unes característiques de navegació determinades però també amb uns determinats interessos i potencialment compradors d’uns determinats productes.

Així, les galetes han arribat a ser un instrument d’obtenció d’informació molt important per a l’administrador del servidor i per als departaments de màrqueting de les empreses que fan publicitat a internet. Cal tenir en compte que, gràcies a les galetes, per exemple, els webs poden mostrar publicitat personalitzada als usuaris o, fins i tot, recomanar-los la compra d’articles que han consultat però que finalment no han comprat.

Tot i que la informació és anònima, perquè els webs comercials no coneixen les dades personals de l’usuari, la utilització de les galetes pot ser considerada una vulneració de la privacitat i els webs han d’informar els usuaris del seu ús i han de sol·licitar el seu consentiment per poder utilitzar-les.

La informació que cal facilitar a l’usuari ha de ser clara i completa. Cal indicar quines galetes s’instal·len, amb quina finalitat s’instal·len i també qui les instal·la, si és el mateix propietari del web o un tercer. A més, s’ha de facilitar un procediment gratuït i senzill per rebutjar les galetes que doni a l’usuari l’opció de refusar el tractament de les seves dades.

Un cop facilitada la informació, si l’usuari continua navegant, s’entén que hi ha un consentiment, atorgat de forma implícita, i que l’usuari accepta l’utilització de les galetes.

A la figura i a la figura podeu veure com dues empreses de diferents sectors demanen explícitament a l’usuari el consentiment per a la utilització de les galetes. També ofereixen més informació sobre la seva política de galetes. L’avís es realitza a la pàgina d’inici dels webs respectius.

www.massimodutti.com

www.bwin.es

D’acord amb la Llei de serveis de la societat de la informació i del comerç electrònic (LSSICE), està totalment prohibit enviar comunicacions publicitàries o promocionals per SMS o altres mitjans sense el consentiment previ del destinatari, és a dir, sense que prèviament les hagi sol·licitat o autoritzat. Tanmateix, si el destinatari ja és client, o sigui, si hi ha una relació contractual anterior, es poden enviar comunicacions comercials referides a productes o serveis de l’empresa a condició que siguin similars als contractats inicialment.

Això sí, en el moment de la recollida de les dades del destinatari de les comunicacions comercials, i també dins de cada comunicació comercial, sempre s’ha de donar informació referida a les qüestions de protecció de dades. S’ha d’oferir la possibilitat de deixar de rebre les comunicacions proporcionant una adreça de correu a tal efecte i s’ha d’identificar aquest tipus de comunicacions amb la paraula “publicitat” o “publi”.

Un altre factor a tenir en compte quan s’envia una comunicació electrònica de caràcter comercial o publicitari és el fet que l’empresa que realitza la promoció ha de quedar perfectament identificada, indicant, fins i tot, el marc jurídic de l’activitat. Aquesta empresa és la responsable d’incloure al principi del missatge la paraula “publicitat” o “publi”. I si el contingut del missatge són ofertes o concursos promocionals, com descomptes, premis i regals, també hi ha d’afegir les condicions d’accés o participació, o bé indicar-ne la localització perquè es puguin consultar.

Quan en un lloc web es poden comprar productes o contractar serveis, la Llei 34/2002 de serveis de la societat de la informació i del comerç electrònic estableix obligacions relacionades amb la informació a l’usuari durant tot el procés i obligacions relacionades amb la data i el lloc de formalització del contracte.

Si un lloc web ofereix la possibilitat de contractar un servei o d’adquirir un producte, abans d’iniciar el procés l’interessat ha de poder accedir fàcilment a la informació següent:

• Diferents tràmits que s’han de seguir per formalitzar el contracte.
• Si el prestador arxivarà o no el document electrònic en què es formalitza el contracte, i si aquest serà accessible.
• Mitjans tècnics que es posen a disposició per identificar i corregir errors en la introducció de les dades.
• Llengua o llengües en les quals es pot formalitzar el contracte.
• Condicions generals en les quals s’ha de basar el contracte, garantint que puguin ser emmagatzemades i reproduïdes pel destinatari.

Tota aquesta informació configura les anomenades condicions generals de contractació, que apareixen accessibles a tots els llocs web.

Un cop finalitzat el procés de contractació, hi ha l’obligació de confirmar a l’usuari la recepció de la seva acceptació. Es pot fer de dues formes diferents:

• Enviant un acusament de recepció, per correu electrònic o un altre mitjà de comunicació electrònica equivalent, a l’adreça que l’usuari ha facilitat, en el termini de les 24 hores següents a la recepció de l’acceptació.
• Generant una confirmació de l’acceptació rebuda tan aviat com es completi el procediment.

En cas que l’acceptació es confirmi mitjançant acusament de recepció, se suposa que el destinatari en té constància des que l’acusament ha estat emmagatzemat al servidor on està donat d’alta el compte de correu electrònic d’aquest destinatari.

Aquesta obligació de confirmar la recepció de l’acceptació no és necessària si les dues parts així ho acorden i cap d’elles té la consideració de consumidor. Tampoc és necessària si el contracte s’ha formalitzat exclusivament mitjançant un intercanvi de correus electrònics o un altre tipus de comunicació electrònica equivalent, sempre que no s’hagin utilitzat aquests mitjans exclusivament per eludir el compliment d’aquesta obligació.

A la contractació en línia, la part que realitza l’oferta i la que l’accepta són a llocs diferents i, per tant, hi ha consentiment quan l’oferent té coneixement de l’acceptació o quan no pot ignorar-la sense faltar a la bona fe. Per tant, perquè el contracte tingui efectes entre les parts és necessari que el comprador respongui expressament acceptant l’oferta i que aquesta acceptació arribi a ser coneguda pel venedor. En aquest sentit, no es poden articular mecanismes en els quals el fet de no respondre a l’oferta es pugui entendre com una acceptació.

Quant al lloc dels contractes formalitzats per via electrònica, cal tenir en compte que si són contractes entre empresa i consumidor el lloc de formalització és el lloc on el consumidor té la seva residència habitual.

Si el contracte es formalitza entre empresaris o professionals i aquests no han pactat res, es considera que es formalitza en el lloc on està establert el prestador de serveis. Les parts, però, poden pactar qualsevol altre lloc.

Les obligacions de l’empresa amb relació a l’IVA depenen del lloc on estigui establert el client, de si el client és un consumidor o una empresa i de si es tracta de lliuraments de béns o prestacions de serveis, en general, o de serveis electrònics, en particular.

Per a totes les operacions interiors dins de l’àmbit territorial d’aplicació de l’IVA, tant amb empreses com amb consumidors finals, l’empresa és l’encarregada de repercutir l’IVA als seus clients i d’ingressar-lo a la Hisenda Pública. Aquest àmbit territorial inclou el territori peninsular i les illes Balears però no inclou ni Canàries ni Ceuta i Melilla. Així, les vendes de productes i serveis a les Canàries o a Ceuta i Melilla estan exemptes d’IVA i és el destinatari qui ha de pagar a la destinació l’IGIC (Impost General Indirecte Canari) o l’IPSI (Impost sobre la Producció, Serveis i Importacions), segons el cas.

Quant a les operacions intracomunitàries, en les vendes de productes i serveis a consumidors finals el tipus d’IVA aplicable és el tipus vigent on estigui establerta l’empresa, independentment de l’estat de la Unió Europea on resideixi el consumidor. Per exemple, si l’empresa és a Catalunya i el consumidor és a França, el tipus d’IVA aplicable és el tipus d’IVA general vigent a Catalunya, el 21%. No obstant, si el volum de vendes que té l’empresa en aquell país excedeix un determinat volum, que depèn de cada estat membre, s’ha de registrar a efectes d’IVA en aquell estat i aplicar el tipus d’IVA corresponent. Per exemple, en el cas d’Espanya aquest límit és de 35.000 €/any.

Quant a les operacions intracomunitàries amb altres empreses, s’aplica la inversió del subjecte passiu i l’obligat a repercutir les quotes de l’IVA i a ingressar el seu import a la Hisenda Pública és l’empresari o professional que adquireix els béns o és el destinatari dels serveis. Així, doncs, aquestes operacions estaran exemptes d’IVA a Espanya i caldrà facturar sense IVA, sempre que l’empresa client estigui identificada a efectes d’IVA en un altre estat membre i el producte es transporti a un altre païs de la UE.

Pel que fa a les exportacions, les vendes de productes i serveis tant a empresaris i professionals com a consumidors finals estan exemptes i s’han de facturar sense IVA.

Per acabar, cal considerar si es tracta de serveis que es puguin acollir al Règim especial d’IVA per als serveis prestats per via electrònica. Es consideren serveis prestats per via electrònica aquells serveis que consisteixen en la transmissió enviada incialment i rebuda en destí per mitjà d’equips de processament, inclosa la compressió numèrica i l’emmagatzematge de dades, i totalment transmesa, transportada i rebuda per cable, ràdio, sistema òptic o altres mitjans electrònics. Alguns dels serveis prestats per via electrònica són:

• Allotjament de llocs i pàgines web
• Manteniment a distància de programes i equips
• Accés o descàrrega de programes i actualitzacions
• Subministrament d’imatges, text, informació i posada a disposició de bases de dades
• Accés o descàrrega de música, pel·lícules, jocs, revistes i diaris en línia, contingut digitalitzat de llibres i altres publicacions electròniques
• Educació a distància

Els serveis intracomunitaris prestats per via electrònica es consideren prestats on estigui establert el destinatari del servei. Així, els serveis prestats a empreses tenen el mateix tractament que la resta de productes i serveis i tributen també en destinació. Quant als prestats a consumidors finals, però, les botigues en línia han d’aplicar el tipus d’IVA del país d’origen del consumidor (no el del país del prestador com en la resta de productes i serveis) i, per tant, han de conèixer el lloc de domicili o residència del consumidor i s’han de registrar a efectes d’IVA en aquell país.

Per evitar que les empreses s’hagin de donar d’alta a cada país, es poden registrar una sola vegada a través d’una finestreta única anomenada One Stop Shop i realitzar una declaració única d’IVA per a les vendes realitzades en qualsevol dels països de la Unió Europea.

Pel que fa al lliurament de la comanda, el venedor ha d’executar la comanda en un termini màxim de trenta dies a partir de l’endemà del dia que ha rebut la comunicació de comanda del comprador, a menys que les parts hagin acordat una altra cosa.

En principi s’entrega el que s’ha comprat, però si no es poden complir els terminis d’entrega perquè el producte sol·licitat no està disponible, el venedor ha d’informar ràpidament el consumidor i oferir-li la possibilitat de recuperar, al més aviat possible, en un termini màxim de 30 dies, el valor que hagi abonat fins al moment. Si no es respecta el termini d’abonament, el consumidor pot exigir que se li retorni el doble de la quantitat endeutada i pot sol·licitar, a més a més, una indemnització per danys i perjudicis, si aquests es produeixen.

Si el venedor no té disponible el producte sol·licitat, també pot informar el consumidor de la possibilitat d’enviar-n’hi un altre exemplar de característiques similars i d’igual o superior qualitat.

En les vendes per internet, és d’aplicació el dret de desistiment, que és la facultat de consumidor i usuari de deixar sense efecte un contracte, notificant-ho a l’empresari en el termini establert per a l’exercici d’aquest dret, sense haver de justificar la decisió i sense penalitzacions. En les vendes a distància, aquest termini és de 14 dies naturals.

No es pot penalitzar el comprador si decideix exercir aquest dret i, a més a més, no està obligat a indicar-ne el motiu. Això sí, ha de retornar el producte en perfecte estat, inclòs l’embalatge. El venedor ha de retornar les quantitats íntegres, incloses les despeses d’enviament inicials, en un termini màxim de 14 dies naturals. Si no es respecta aquest termini, el consumidor pot exigir que se li torni el doble de la quantitat endeutada, i pot sol·licitar una indemnització per danys i perjudicis.

Cal tenir en compte també que, si no hi ha informació expressa, l’usuari no ha de fer front a les despeses associades a la devolució de la seva compra i és el venedor el responsable. Per tant, si es volen cobrar les despeses de devolució, cal indicar-ho a les condicions de compra.

L’exercici del dret de desistiment normalment és gratuït, però hi pot haver excepcions. Concretament:

• Si el consumidor tria una modalitat de lliurament més costosa que l’ordinària, el venedor no està obligat a assumir els costos addicionals.
• Si el venedor ha informat explícitament en la informació precontractual que les despeses de devolució les assumeix el consumidor.

En alguns casos especials, atesa la naturalesa dels béns o serveis, no és possible exercir el dret de desistiment. Concretament:

• Contractes de subministrament de béns que tenen el preu subjecte a fluctuacions de coeficients del mercat financer que el venedor no pot controlar.
• Contractes de subministrament de béns confeccionats d’acord amb les especificacions del consumidor o clarament personalitzats, o que per la seva naturalesa no es poden tornar o es poden deteriorar o caducar amb rapidesa.
• Contractes de subministrament de gravacions sonores o en vídeo, de discs i programes informàtics desprecintats pel consumidor, així com de fitxers informàtics subministrats per via electrònica susceptibles de ser descarregats o reproduïts amb caràcter immediat per al seu ús permanent.
• Contractes de subministrament de premsa diària, publicacions periòdiques i revistes.
• Contractes de prestació de serveis que la seva execució hagi començat, amb el consentiment de consumidor i usuari.
• Contractes de serveis d’apostes i loteries.

En tots aquests casos el consumidor perd la possibilitat de desistir.

El comerç electrònic està exposat a riscos molts diversos, alguns són similars als que cal enfrontar en el comerç fora de línia i d’altres són característics del mitjà internet. En qualsevol cas, la botiga electrònica ha d’oferir un nivell de seguretat que garanteixi la seguretat i la privacitat de les dades i, al mateix temps, serveixi per reforçar la confiança dels usuaris de la botiga virtual.

Les amenaces més comunes són el robatori d’informació personal o la protecció inadequada de la informació privada, l’ús fraudulent de targetes de crèdit, els virus informàtics, l’spam o el robatori d’informació amb tècniques com ara el phishing.

Hi ha quatre propietats clau que determinen la seguretat de la informació:

• La confidencialitat o privadesa és la propietat que assegura que només aquells que estan autoritzats tenen accés a la informació. Un exemple és el fet que ningú, a part de la botiga, pugui veure les dades del client.
• L’autenticació és la propietat que fa referència a la identificació. És el nexe d’unió entre la informació i el seu emissor. Un exemple és que ningú no pugui suplantar la identitat de la botiga.
• La integritat és la propietat que assegura la no-alteració de la informació. Aquesta alteració pot ser inserció, esborrament o substitució de la informació. Un exemple és la propietat que assegura que les dades de la targeta o de la comanda del client no les pot modificar ningú que no sigui l’empresa sense que aquesta ho detecti.
• El no-repudi és la propietat que preserva que alguna de les parts negui algun compromís o acció presos amb anterioritat. Un exemple és el fet que una persona no es pugui desdir d’haver fet una comanda.

L’eina bàsica que garanteix les quatre propietats clau que determinen la seguretat de la informació (confidencialitat, autentificació, integritat i no-repudi) és la criptografia.

Així, la criptografia és el conjunt de tècniques destinades al xifrat d’un missatge perquè sigui impossible d’entendre per als receptors no autoritzats. Es pot distingir entre:

• Criptografia de clau simètrica (o criptografia de clau compartida o secreta). Es caracteritza perquè l’emissor i el receptor comparteixen una mateixa clau per xifrar i desxifrar els missatges. Vegeu la figura.

• Criptografia de clau asimètrica (o criptografia de clau pública). Cada usuari té un parell de claus: una de pública i una de privada (o secreta) per xifrar i desxifrar els missatges. Vegeu la figura.

Un tret fonamental a destacar és el fet que a partir de la clau pública no es pot calcular la privada, però per poder comparar els dos mètodes cal considerar també altres aspectes com ara la gestió de claus, la velocitat de càlcul i les propietats de seguretat.

Pel que fa a la gestió de claus, la criptografia de clau simètrica necessita un elevat nombre de claus que augmenta amb el nombre d’usuaris, ja que cada parell d’usuaris ha de compartir una clau. La criptografia de clau pública resol el problema del nombre de claus, ja que independentment del nombre d’usuaris del sistema, cada usuari només té un únic parell de claus. Aquest fet és molt important en sistemes oberts i de continu creixement, com el cas d’internet, però, per contra, la criptografia de clau pública utilitza claus més llargues que els esquemes de clau simètrica. La problemàtica més important de la criptografia de clau pública és la validació de les claus i la necessitat d’una infraestructura general.

Tenint en compte la velocitat de càlcul, la criptografia simètrica és molt més adequada que la de clau pública perquè és molt més ràpida. Amb els esquemes de clau simètrica es poden aconseguir les propietats de confidencialitat i integritat, mentre que amb els esquemes de clau pública es pot obtenir la confidencialitat, la integritat, l’autenticació i el no-repudi.

La gran revolució que representa la clau pública és el fet que es puguin realitzar signatures digitals, és a dir, l’equivalent electrònic de les signatures convencionals. La signatura digital o signatura electrònica equival a la signatura convencional i és en realitat un conjunt de dades que s’associen a un document, de manera que es pot comprovar la identat de la persona que signa.

Els criptosistemes de clau pública utilitzats per crear signatures digitals ofereixen les propietats d’autenticitat, no-repudi i integritat. Pemeten comprovar tècnicament que la clau que s’utilitza per desxifrar (verificar la signatura) és la complementària de la que s’ha utilitzat per xifrar (signar). Però per si mateixos no ofereixen cap informació sobre la identitat del propietari de les claus. Per tant, es necessita un mecanisme que permeti associar una clau pública a la identitat del seu propietari: el certificat digital.

Per poder signar digitalment qualsevol document és necessari estar en possessió d’un certificat digital que identifiqui qui realment signa.

La informació bàsica que conté un certificat digital és la següent:

• Número de sèrie del certificat
• Identificació de l’algorisme criptogràfic de signatura
• Nom de l’entitat emissora del certificat
• Període de validesa del certificat
• Clau pública
• Identitat i dades més rellevants de la persona o entitat propietària de la clau pública
• Signatura digital del certificat per l’entitat emissora del certificat

Els certificats incorporen la signatura digital de l’entitat emissora del certificat, és a dir, de l’entitat certificadora (CA).

La validesa d’un certificat digital depèn de qui expedeixi el certificat, és a dir, de qui l’ha signat digitalment i de quins mecanismes es tenen per validar-lo.

En les transaccions comercials a internet es produeix un intercanvi de dades entre el comerç i el client. Aquests intercanvis de dades s’han de produir de la forma més segura possible. A part dels riscos evidents i tot i que no en resultés cap pràctica fraudulenta o delictiva, si per qualsevol circumstància, la informació d’un client pogués ser captada per un tercer, s’estaria incomplint, com a mínim, la normativa de protecció de dades.

El protocol TLS ha evolucionat a partir del protocol SSL, però sovint s’utilitzen les sigles SSL de forma genèrica, per referir-se als certificats de seguretat, perquè són més conegudes.

Els protocols de xifrat utilitzen algoritmes de xifrat que codifiquen les dades que es transmeten entre usuaris i llocs web, com ara noms, adreces o dades bancàries, per tal que siguin impossibles de llegir i no puguin ser captades per tercers.

Per establir una connexió segura SSL, el web ha de tenir una clau de xifrat que li assigna una autoritat de certificació o entitat certificadora en forma de certificat digital.

Quan un lloc web està protegit per un certificat SSL o TSL, a la URL hi apareix https, que són les sigles corresponents a hypertext transfer protocol secure o protocol segur de transferència d’hipertext.

La figura mostra els indicadors de connexió segura que utilitza el navegador Mozilla Firefox. Si en accedir al web, no apareix cap missatge d’advertiment, normalment en tons vermells, vol dir que tot ha anat bé.

Les passarel·les de pagament és el sistema que tenen les botigues virtuals per acceptar els pagaments per mitjà de targetes de crèdit o dèbit. Les solen proporcionar les entitats bancàries i reben el nom de TPV virtual.

La passarel·la de pagament ha de tenir un certificat SSL de validació estesa, d’aquesta manera el client pot identificar l’entitat bancària a la qual pertany de manera inequívoca i les dades bancàries es transmeten xifrades.

Pel que fa a l’operativa, el venedor instal·la un programari al servidor que permet que l’usuari pugui introduir les dades de la targeta i pugui dur a terme el pagament en línia. El mètode estàndard del processament en línia de les targetes a través dels TPV virtuals es realitza en mode SSL. En aquest mode de pagament només s’exigeix que el comprador introdueixi les dades d’identificació de la targeta, la data de caducitat i el codi de validació, fet que comporta que el procés sigui àgil i senzill.

En cap moment les dades de la targeta bancària són conegudes pel venedor, sinó que tot el procés es realitza als servidors segurs del banc. El principal inconvenient d’aquesta operativa és que el venedor ha d’acceptar que algunes transaccions puguin ser anul·lades per part del comprador, per exemple, en casos de frau per robatori de les dades del titular de la targeta.

El mode SSL ha evolucionat i ha donat lloc al sistema 3D Secure, CES o de pagament segur de Verified by Visa i Mastercard Secure Code, dues de les marques més conegudes.

3D Secure és un sistema de pagament segur amb targeta en què el titular s’autentica, és a dir, garanteix que el client que utilitza un número de targeta realment n’és el titular. Es tracta de posar en contacte el client amb el banc emissor de la targeta en el moment del pagament. En connectar el client amb el seu banc, aquest pot identificar-lo mitjançant un dels següents mecanismes:

• PIN addicional de validació de transacció, preferiblement coincident amb al PIN associat a la targeta per al seu ús en caixers automàtics, per tal de facilitar a l’usuari que no hagi de recordar PIN addicionals.
• Ús d’autenticació via SMS de codi únic per a la validació d’una transacció determinada.
• Ús de targeta de coordenades per a la validació d’una transacció determinada.

Per al venedor, el principal avantatge del mode 3DSecure, a banda de no suposar cap cost afegit, és que en cas de frau és el banc emissor de la targeta del comprador qui l’assumeix.

L’enginyeria social consisteix a obtenir informació confidencial directament dels usuaris, és a dir, mitjançant un telèfon o correu electrònic es pretén que l’usuari reveli contrasenyes, comptes bancaris, números de targeta de crèdit, etc. Un cop s’obtenen, aquestes dades es poden utilitzar per cometre un robatori, fer enviaments massius des del compte de correu de l’usuari o escampar un virus a la xarxa.

Les pràctiques fraudulentes més habituals són:

• Pesca electrònica (phishing) o suplantació d’identitat: el ciberdelinqüent es fa passar per una persona, empresa o institució de confiança; es posa en contacte amb l’usuari mitjançant correu electrònic, i sol·licita la verificació de certes dades. És molt habitual en el món de la banca i dels organismes oficials amb moviment de diners. A causa de la seva popularitat, actualment s’està fent servir el terme wi-phishing per designar el robatori de dades o claus personals mitjançant les xarxes de wifi gratuïtes que trobem en llocs públics.
• Smishing: és una variant del phishing, però en aquest cas arriba un missatge per SMS que pretén que l’usuari realitzi alguna acció que li suposi un cost addicional, com trucar a un número de tarifació addicional o visitar un web fraudulent.
• Descaminament (pharming): consisteix a redirigir trànsit d’una pàgina legítima a una altra de falsa que ha construït l’estafador. És a dir, es creen pàgines idèntiques a pàgines originals, però amb un domini diferent, habitualment sense un acccés segur (“http:” en comptes d’“https:”). Quan l’usuari cerca aquella pàgina se’l redirigeix cap a la pàgina falsa sense que se n’adoni. Un cop hi accedeix, el ciberdelinqüent obté accés també a la informació per fer-ne el que vulgui.
• Correu brossa (spam): consisteix en l’enviament massiu de correus electrònics no desitjats ni sol·licitats, habitualment amb finalitats publicitàries. Les bústies de l’usuari s’omplen de missatges de remitents que no coneix.
• Spim: variant del correu brossa en la qual els missatges no desitjats ni sol·licitats arriben per missatgeria instantània en comptes de per correu electrònic.