Definición
El Derecho a la Portabilidad de Datos es la facultad que tiene un usuario para recibir, en un formato estructurado, de uso común y lectura mecánica, los datos personales que ha proporcionado a una empresa, y transmitirlos directamente a otro prestador de servicios sin que el responsable original pueda impedirlo.
En el contexto DTC (Direct-to-Consumer) y e-commerce, este derecho transforma la relación cliente-marca: los datos dejan de ser un activo cautivo y pasan a ser un recurso que el cliente controla y puede mover libremente.
Base legal en España/EU: Artículo 20 del RGPD (Reglamento General de Protección de Datos), desarrollado por la LOPDGDD 3/2018 y las directrices del CEPD (Comité Europeo de Protección de Datos).
Analogía: el "número móvil" de tus datos
Piensa en cuando cambias de operadora móvil y conservas tu número. La operadora antigua no puede retenerlo ni cobrarte por liberarlo. El Derecho a la Portabilidad funciona igual, pero con tus datos de cliente: historial de pedidos, direcciones, preferencias, reseñas, puntos de fidelización.
Si una tienda online te obliga a "empezar de cero" cuando te vas a la competencia, está incumpliendo el RGPD. La portabilidad es el número móvil de tu identidad digital como consumidor.
Fórmula operativa
Plazo máximo de respuesta = 1 mes (prorrogable +2 meses por complejidad) Formato obligatorio = estructurado + uso común + lectura mecánica Coste para el usuario = 0 € Datos portables = los "aportados" por el interesado (no los inferidos)
Datos clave verificables:
- 30 días naturales: plazo estándar para entregar los datos desde la solicitud.
- 0 €: coste máximo que puede repercutirse al usuario por la primera copia.
- Formato JSON, CSV o XML: los tres formatos aceptados como "lectura mecánica" por la AEPD en la mayoría de casos DTC.
Comparativa: Portabilidad vs. Acceso vs. Supresión
| Derecho | Qué permite | Plazo | Formato | ¿Transferible a terceros? |
|---|---|---|---|---|
| **Acceso** (Art. 15) | Ver qué datos tienes | 1 mes | Copia simple | No |
| **Portabilidad** (Art. 20) | Recibir y transmitir datos | 1 mes | JSON/CSV/XML | Sí, directo |
| **Supresión** (Art. 17) | Borrar datos | 1 mes | No aplica | No |
| **Rectificación** (Art. 16) | Corregir datos erróneos | 1 mes | No aplica | No |
Diferencia clave DTC: la portabilidad solo cubre datos aportados activamente por el cliente (email, dirección, método de pago, reseñas). Los datos inferidos (segmentación algorítmica, scoring de riesgo, LTV calculado) quedan fuera del ámbito portable, aunque sí entran en el derecho de acceso.
Aplicación en escenarios DTC / E-commerce
1. Migración de cliente entre tiendas Shopify → WooCommerce
Un cliente solicita su historial de pedidos en CSV. La tienda debe entregarlo en un plazo de 30 días, sin coste, con campos legibles: order_id, date, sku, amount, shipping_address.
2. Cambio de programa de fidelización
Un usuario con 12.000 puntos en una app de cosmética DTC pide trasladar su perfil a otra marca. La portabilidad obliga a entregar los datos aportados (email, compras, preferencias declaradas), pero no el saldo de puntos, que es un valor interno de la empresa.
3. Suscripción box mensual
Al darse de baja de una suscripción de café, el cliente solicita sus datos de consumo para que otra marca personalice su próxima caja. La empresa debe enviar un JSON con preferences, frequency, roast_level.
4. Transferencia directa entre responsables
El RGPD contempla la transmisión directa de responsable a responsable cuando sea técnicamente posible. En la práctica, menos del 15% de las tiendas DTC españolas ofrecen esta opción automatizada; la mayoría entrega un archivo descargable.
Errores frecuentes
1. Confundir portabilidad con acceso. El acceso da una copia; la portabilidad exige formato reutilizable e interoperable.
2. Cobrar por el envío. La primera copia es gratuita; solo se puede cobrar por copias adicionales si son manifiestamente infundadas.
3. Incluir datos inferidos como portables. El scoring, las predicciones y los segmentos algorítmicos no son portables bajo el Art. 20.
4. Ignorar la portabilidad en el checkout. Muchas tiendas DTC no informan de este derecho en su política de privacidad, lo que constituye una infracción sancionable por la AEPD (multas desde 10.000 €).
5. Retrasar la respuesta más de 3 meses. El plazo máximo absoluto es de 3 meses con prórroga justificada.
6. Entregar PDF escaneado. No es "lectura mecánica"; se exige JSON, CSV, XML u otro formato parseable.
Términos relacionados
- RGPD (Reglamento General de Protección de Datos) — marco legal europeo.
- LOPDGDD 3/2018 — transposición española.
- Derecho de Acceso — derecho previo y complementario.
- Interoperabilidad — capacidad técnica de los sistemas para intercambiar datos.
- Consentimiento — base legal que activa la portabilidad en la mayoría de casos DTC.
- AEPD — autoridad de control española.
- Data Transfer — transferencia internacional de datos, distinta de la portabilidad.
- Privacy by Design — principio que exige diseñar sistemas portables desde el origen.
Checklist operativo para tiendas DTC
- [ ] Formulario específico de portabilidad en el área de cliente.
- [ ] Exportación automática en JSON/CSV desde el CRM.
- [ ] Registro de solicitudes con timestamp (prueba de cumplimiento).
- [ ] Verificación de identidad sin fricción excesiva.
- [ ] Respuesta en ≤ 30 días naturales.
- [ ] Mención explícita en la política de privacidad.
- [ ] Coste 0 € en la primera entrega.
Cumplir la portabilidad no es solo evitar sanciones: en el DTC moderno, es una señal de confianza que reduce el churn y mejora el NPS del cliente que sabe que sus datos le pertenecen.