El Reglamento General de Protección de Datos, RGPD, obliga a cualquier empresa o autónomo que trate datos personales de clientes, trabajadores o proveedores a cumplir una serie de principios y obligaciones: tener una base legal para cada tratamiento, informar a las personas, recoger solo los datos necesarios, protegerlos con medidas de seguridad adecuadas, firmar contratos con quienes traten datos por su cuenta, atender los derechos de los interesados y, en su caso, notificar las brechas de seguridad. En España se complementa con la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales. Esta información es general y no sustituye el asesoramiento de un profesional.
A quién se aplica el RGPD
A casi todos los negocios. Basta con tratar datos de personas físicas identificadas o identificables: nombres, teléfonos, correos electrónicos, direcciones, datos bancarios, imágenes de cámaras o historiales de clientes. No importa el tamaño de la empresa. Un autónomo con una agenda de clientes o una tienda con cámaras de vigilancia también está obligado. Si necesitas ayuda para adaptarte, puedes buscar consultores de protección de datos cerca de ti.
Los principios básicos
- Licitud, lealtad y transparencia: tratar los datos con una base legal y explicándolo con claridad.
- Limitación de la finalidad: usarlos solo para lo que se informó.
- Minimización: recoger únicamente los datos necesarios.
- Exactitud: mantenerlos actualizados.
- Limitación del plazo de conservación: no guardarlos más tiempo del necesario.
- Integridad y confidencialidad: protegerlos frente a accesos indebidos, pérdidas o daños.
- Responsabilidad proactiva: poder demostrar que se cumple.
Obligaciones principales para una pyme o un autónomo
1. Identificar la base legal de cada tratamiento
Cada uso de datos necesita una base legal. Las más habituales en pequeños negocios son la ejecución de un contrato, el cumplimiento de una obligación legal, el interés legítimo y el consentimiento. Por ejemplo, para facturar a un cliente no hace falta su consentimiento; para enviarle publicidad por correo electrónico, normalmente sí, salvo excepciones.
2. Informar a las personas
Hay que explicar quién trata los datos, para qué, con qué base legal, a quién se comunican, cuánto tiempo se conservan y cómo ejercer los derechos. Se hace mediante cláusulas informativas en formularios, contratos, web, carteles de videovigilancia o en el momento de recoger los datos.
3. Registro de actividades de tratamiento
Es un documento interno que describe los tratamientos que realiza la empresa. El RGPD prevé excepciones para organizaciones pequeñas, pero no se aplican cuando el tratamiento no es ocasional, como ocurre en la mayoría de negocios con clientes habituales o empleados. En la práctica, casi todas las empresas deberían tenerlo.
4. Contratos con encargados del tratamiento
Si un tercero trata datos por cuenta del negocio, como la gestoría que hace las nóminas, el proveedor de alojamiento web o la empresa de software de gestión, debe existir un contrato que regule ese tratamiento.
5. Medidas de seguridad
Deben ser adecuadas al riesgo: contraseñas robustas, control de accesos, copias de seguridad, actualización de equipos, cifrado cuando proceda, destrucción segura de documentos y formación del personal. Para el papel con datos, los servicios de destrucción certificada evitan tirarlo sin más a la basura.
6. Atender los derechos de los interesados
Las personas pueden ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. El negocio debe responder en los plazos legales y tener un procedimiento para hacerlo.
7. Gestionar las brechas de seguridad
Si se produce una brecha, como el robo de un portátil con datos de clientes o un acceso no autorizado, hay que valorarla y, cuando suponga un riesgo para las personas, notificarla a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que se tiene constancia. Si el riesgo es alto, también hay que comunicarlo a los afectados.
8. Delegado de protección de datos, cuando corresponda
No todas las empresas lo necesitan. Es obligatorio en determinados casos, como organismos públicos, tratamientos a gran escala de datos sensibles u observación sistemática de personas, y en ciertas actividades que enumera la normativa española, como centros sanitarios o centros educativos, entre otras.
Situaciones habituales en pequeños negocios
| Situación | Qué tener en cuenta |
|---|---|
| Cámaras de videovigilancia | Cartel informativo, captación limitada al espacio necesario y plazos de conservación de imágenes |
| Formularios web | Cláusula informativa y casilla de aceptación de la política de privacidad cuando proceda |
| Envío de publicidad | Consentimiento o relación comercial previa, y opción sencilla para darse de baja |
| Grupos de mensajería con clientes | Evitar mostrar teléfonos de unos clientes a otros |
| Datos de empleados | Informar en el contrato y limitar el acceso a nóminas y expedientes |
| Datos de salud | Categoría especial con mayor protección; requiere medidas reforzadas |
Errores frecuentes
- Usar textos legales genéricos copiados de otras webs que no describen los tratamientos reales.
- Pedir consentimiento para todo, incluso cuando la base legal es otra.
- Enviar correos masivos con todos los destinatarios visibles.
- No tener contrato con la gestoría o el proveedor informático.
- Guardar datos indefinidamente.
- No formar al personal en lo básico.
Por dónde empezar si nunca te has adaptado
Si tu negocio no ha hecho nada todavía, un orden razonable es este: primero, haz una lista de qué datos recoges, de quién, para qué y dónde los guardas. Segundo, revisa con quién los compartes y firma los contratos que falten. Tercero, actualiza las cláusulas informativas de tu web, formularios y contratos. Cuarto, elabora el registro de actividades. Quinto, revisa la seguridad básica de equipos y archivos. Y, por último, establece cómo responderás si alguien ejerce sus derechos o si ocurre una brecha.
Cookies y web
La normativa sobre cookies se rige principalmente por la ley de servicios de la sociedad de la información, en relación con el RGPD. En general, las cookies que no son técnicas requieren consentimiento previo, y el banner debe permitir rechazarlas con la misma facilidad que aceptarlas. La AEPD publica guías actualizadas sobre este tema.
Preguntas frecuentes sobre el RGPD para pymes
¿Un autónomo sin empleados tiene que cumplir el RGPD?
Sí, si trata datos personales de clientes, proveedores o contactos, aunque no tenga trabajadores.
¿Hay que registrar los ficheros en la Agencia de Protección de Datos?
No. La antigua inscripción de ficheros desapareció; ahora se exige el registro interno de actividades y la responsabilidad proactiva.
¿Qué pasa si no cumplo?
La autoridad de control puede imponer apercibimientos o sanciones según la gravedad, y las personas afectadas pueden reclamar.
¿Puede ayudarme mi gestoría?
Algunas gestorías ofrecen este servicio. Si buscas especialistas, encuentra consultores de protección de datos en tu zona.
