Tienes una empresa —o eres autónomo— y manejas datos de clientes, empleados o proveedores. En cuanto tratas datos personales, la normativa de protección de datos te obliga a cumplir una serie de cosas, y la Agencia Española de Protección de Datos (AEPD) puede sancionar con multas muy altas si no lo haces. La buena noticia es que cumplir no es tan complejo como lo pintan algunas consultoras que viven de asustar. Aquí tienes, sin humo, qué obligaciones tienes de verdad, cuándo necesitas ayuda externa y por dónde empezar.
¿A quién le aplica? (spoiler: a casi todos)
A toda persona o entidad que trate datos personales, sin que exista un mínimo de tamaño ni de facturación. Da igual que seas una gran empresa o un autónomo con una simple agenda de clientes: si guardas nombres, correos, teléfonos, DNI o nóminas, estás dentro. La normativa que aplica es el RGPD europeo y la LOPDGDD española, que lo desarrolla y concreta para España.
Las obligaciones básicas que sí o sí debes cumplir
Estas forman el núcleo del cumplimiento, y ninguna es especialmente cara de implantar si tu actividad es sencilla:
- Registro de actividades de tratamiento: un documento interno donde describes qué datos tratas, con qué finalidad, cuánto tiempo los conservas y con qué medidas los proteges. Es la columna vertebral del cumplimiento.
- Informar y recabar el consentimiento cuando corresponde: política de privacidad en la web, cláusulas informativas en los formularios, casillas que el usuario marca de forma activa.
- Medidas de seguridad adecuadas al riesgo: control de accesos, contraseñas robustas, cifrado de los equipos y copias de seguridad.
- Contratos con los encargados del tratamiento: con cada proveedor que maneje datos por ti (la gestoría, el hosting, el software de facturación o de correo).
- Atender los derechos de las personas: acceso, rectificación, supresión, oposición, portabilidad y limitación. Debes tener previsto cómo responder cuando alguien te los pida.
- Notificar las brechas de seguridad a la AEPD, por regla general en 72 horas, y a los afectados si hay un riesgo alto para ellos.
¿Necesito un Delegado de Protección de Datos (DPO)?
No siempre, y aquí muchas pymes gastan de más por desconocimiento. El DPO solo es obligatorio en determinados casos que fija el RGPD: autoridades y organismos públicos, empresas cuya actividad principal implique un seguimiento a gran escala de personas, o el tratamiento a gran escala de categorías especiales de datos (salud, ideología, religión, biometría, orientación sexual). La mayoría de pymes y autónomos no están obligados a designarlo.
¿Es obligatorio contratar una empresa externa?
Esta es la duda estrella, y la respuesta es no. La ley te obliga a cumplir, no a contratar a una consultora concreta. Puedes adaptarte por tu cuenta si tu actividad es sencilla y tienes tiempo de documentarte. Contratar a un especialista es recomendable cuando el tratamiento es complejo, manejas datos sensibles o simplemente prefieres delegarlo con garantías; pero es una decisión de conveniencia, no un requisito legal. Desconfía de quien te llame diciendo que «es obligatorio contratarles o te multan»: es una técnica de venta, no la ley.
Qué multas hay por incumplir
Las sanciones del RGPD son de las más duras del ordenamiento: hasta 20 millones de euros o el 4% de la facturación anual global, la cifra que resulte mayor. En la práctica, la AEPD gradúa la multa según la gravedad, la intencionalidad, el número de afectados y el tamaño de la empresa, de modo que a una pyme no se le aplica el tope máximo; pero incluso una sanción «pequeña» puede suponer varios miles de euros por un descuido evitable.
Por dónde empezar
Un orden sensato para no agobiarte: haz primero un inventario de qué datos tratas y de dónde salen; redacta el registro de actividades; revisa los formularios y la política de privacidad de tu web; firma los contratos con tus proveedores; define unas medidas de seguridad básicas; y ten preparado un protocolo por si se produce una brecha. Con eso cubres lo esencial, y a partir de ahí es cuestión de mantenerlo al día.
Los descuidos más frecuentes en las pymes
Más allá de las grandes multas, el día a día tropieza casi siempre con los mismos fallos. El más común es no tener el registro de actividades ni una política de privacidad real en la web, más allá de un texto copiado sin más. Le sigue no firmar contrato con los proveedores que tratan datos (la gestoría, el programa de facturación en la nube), algo que la AEPD revisa. También es habitual guardar datos «por si acaso» mucho más tiempo del necesario, cuando la norma pide conservarlos solo mientras hagan falta. Y, sobre todo, no tener previsto qué hacer ante una brecha: cuando ocurre, el reloj de las 72 horas ya está corriendo. Revisar estos cuatro puntos cubre buena parte del riesgo real de una pyme.
Cumplir con la protección de datos es una de las obligaciones de tu empresa ante la Administración. Repasa el resto de gestiones en nuestra guía de trámites con la Administración.
Este contenido es informativo y no sustituye el asesoramiento profesional. Para adaptar tu empresa, consulta la web de la AEPD o a un especialista en protección de datos.
Preguntas frecuentes
No. La ley obliga a cumplir, no a contratar una consultora. Puedes adaptarte por tu cuenta si tu actividad es sencilla; contratar a un especialista es recomendable en casos complejos, pero no es un requisito legal.
A todas las que traten datos personales, sin mínimo de tamaño: desde un autónomo con una lista de clientes hasta una gran empresa.
Llevar el registro de actividades de tratamiento, informar y recabar consentimiento, aplicar medidas de seguridad, firmar contratos con los proveedores que tratan datos, atender los derechos de las personas y notificar las brechas de seguridad.
Cuando lo exige el RGPD: autoridades públicas, tratamiento a gran escala de datos, o tratamiento a gran escala de categorías especiales (salud, ideología, biometría). Muchas pymes y autónomos no lo necesitan.
Un documento interno donde la empresa describe qué datos trata, con qué finalidad, cuánto tiempo los conserva y con qué medidas de seguridad. Es una de las obligaciones centrales del RGPD.
La AEPD puede imponer sanciones de hasta 20 millones de euros o el 4% de la facturación anual global, la cifra que sea mayor, graduadas según la gravedad del caso.
Por regla general, 72 horas desde que la empresa tiene conocimiento de la brecha, notificándola a la AEPD y, si hay alto riesgo, también a las personas afectadas.
Sí. Si un autónomo trata datos personales de clientes o proveedores, está sujeto a las mismas obligaciones que una empresa, adaptadas a su tamaño y a su nivel de riesgo.
