El RGPD obliga a cualquier pyme o autónomo que trate datos de clientes, empleados o proveedores, aunque no tenga departamento legal ni informático propio: la ley no distingue por tamaño, sino por si tratas datos personales.
Es habitual pensar que el RGPD es cosa de grandes empresas. No lo es. Si tienes un formulario de contacto en tu web, una base de datos de clientes en un Excel o contratas a un proveedor de backup en la nube, ya estás tratando datos personales y la norma te aplica.
La Agencia Española de Protección de Datos (AEPD) publica guías y modelos gratuitos específicos para pymes y autónomos, y aplica el principio de proporcionalidad al sancionar: no es lo mismo un despiste subsanable que una brecha grave por negligencia.
¿Qué documentos tiene que tener en regla una pyme?
No hace falta un departamento legal para estar en regla. Lo mínimo exigible suele ser:
Registro de Actividades de Tratamiento (RAT). Un documento (puede ser tan simple como una hoja de cálculo) que describe qué datos tratas, para qué, con qué base legal y cuánto tiempo los conservas.
Información en formularios y contratos. Cláusulas de privacidad claras allí donde recoges datos: web, contratos, nóminas, presupuestos.
Contratos de encargado del tratamiento. Con cualquier proveedor que trate datos por tu cuenta (gestoría, hosting, backup en la nube, CRM, soporte informático).
Medidas de seguridad técnicas y organizativas. Copias de seguridad, control de accesos, cifrado cuando corresponda, y un mínimo de formación al equipo.
¿Qué pasa si tengo una brecha de seguridad?
Si sufres un incidente que compromete datos personales (un ransomware, un correo de empleado comprometido, un envío de datos por error), el RGPD te da 72 horas para notificarlo a la AEPD si existe riesgo para los afectados, y también debes avisar a las personas implicadas si el riesgo es alto. No notificar a tiempo suele pesar más en una sanción que el incidente en sí.
Preguntas frecuentes
¿El RGPD aplica a autónomos?
Sí. Si tratas datos de clientes o proveedores, te aplica igual que a una sociedad.
¿Necesito un Delegado de Protección de Datos (DPO)?
La mayoría de pymes no están obligadas a tener uno, salvo actividades específicas (por ejemplo, tratamiento a gran escala de datos sensibles). Aun así, puedes designar a alguien de referencia interna.
¿Cuánto puede ser la sanción?
Hasta 20 millones de euros o el 4% de la facturación anual global en los casos más graves, aunque la AEPD gradúa las sanciones según el tamaño de la empresa y la gravedad real del incumplimiento.
¿Por dónde empiezo?
Por hacer el Registro de Actividades de Tratamiento y revisar qué proveedores tratan datos por tu cuenta sin contrato firmado.
Artículo relacionado: Contrato de encargado del tratamiento: qué es y cuándo lo necesitas.
¿Está tu empresa en regla con el RGPD?
Revisamos qué tienes cubierto, qué te falta y te lo explicamos sin tecnicismos. Consulta nuestro servicio de cumplimiento continuo o llámanos al 624 053 410.