L'autorité estonienne de protection des données (AKI) a publié une série de recommandations destinées aux sites de commerce en ligne pour renforcer la sécurité des données personnelles.

L'autorité souligne que les failles de sécurité proviennent souvent d'erreurs simples, telles que des logiciels non mis à jour, des droits d'accès trop étendus ou une collecte de données excédant les besoins réels. Elle rappelle que la taille de l'entreprise n'offre aucune protection contre les cyberattaques, les petites structures utilisant fréquemment des plateformes standards dont les vulnérabilités sont connues. Le principe de minimisation des données est mis en avant, invitant les commerçants à ne collecter que les informations strictement nécessaires, comme éviter de demander une adresse résidentielle pour une livraison en point relais. Cette vigilance doit également s'appliquer aux données collectées via les outils de suivi du comportement des visiteurs sur le site.

Parmi les risques les plus courants figure le retard dans l'installation des mises à jour de sécurité ; l'autorité cite un cas où une organisation a été compromise en moins d'une journée suite à un tel délai. L'utilisation de l'authentification à plusieurs facteurs est également préconisée. La sécurité des sous-traitants (solutions de paiement, logistique, etc.) doit être auditée, en négociant les aspects de protection des données au-delà des conditions générales. En cas d'incident, il est impératif d'agir rapidement pour limiter les dommages, quitte à fermer temporairement le site, puis d'évaluer l'étendue de la violation et d'informer les personnes concernées si un risque pour leurs droits et libertés est identifié.