Respuesta rápida: El RGPD para pequeñas empresas es obligatorio con independencia del tamaño: basta con tratar datos personales de clientes, empleados o proveedores. Exige una base legal para cada tratamiento, información clara a los interesados, medidas de seguridad proporcionadas, atención de derechos y contratos con los proveedores que acceden a datos. El delegado de protección de datos solo es obligatorio en supuestos concretos.
El Reglamento General de Protección de Datos afecta a cualquier empresa que trate datos personales, con independencia de su tamaño. Muchas pequeñas empresas asumen erróneamente que solo aplica a grandes corporaciones con grandes volúmenes de datos, lo que las deja expuestas a un riesgo real de sanción.
Qué obligaciones del RGPD para pequeñas empresas aplican siempre
La norma de referencia es el Reglamento (UE) 2016/679, de 27 de abril de 2016, complementado en España por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Estas son las obligaciones básicas:
- Disponer de una base legal válida para cada tratamiento de datos personales que realices.
- Informar a los interesados (clientes, empleados) sobre cómo se tratan sus datos, mediante una política de privacidad clara y accesible.
- Implantar medidas de seguridad proporcionadas al tipo de datos tratados y al riesgo.
- Atender los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad que ejerzan los interesados.
- Formalizar contratos de encargo de tratamiento con los proveedores que traten datos por cuenta de tu empresa, como gestorías, plataformas de correo o servicios de alojamiento.
El error más frecuente: copiar políticas genéricas
Una política de privacidad descargada de internet sin adaptarla a la actividad real de la empresa no solo no protege frente a una sanción, sino que puede agravarla. Si la política declara tratamientos que la empresa no realiza, o no menciona tratamientos que sí lleva a cabo, esa discrepancia es en sí misma un problema de cumplimiento.
La información debe corresponderse con lo que ocurre en la práctica: qué datos se recogen, para qué, con qué base legal, durante cuánto tiempo se conservan, a quién se comunican y cómo se ejercen los derechos.
Cuándo es obligatorio un delegado de protección de datos
No todas las pymes están obligadas a designar un delegado de protección de datos (DPO). El artículo 37 del RGPD lo exige, entre otros supuestos, cuando el tratamiento se realiza a gran escala de categorías especiales de datos o requiere una observación habitual y sistemática de personas a gran escala. La Ley Orgánica 3/2018 añade en su artículo 34 una relación de entidades que deben designarlo, entre ellas determinados centros sanitarios, entidades financieras y empresas de ciertos sectores.
Fuera de esos supuestos, muchas pymes pueden cumplir sin esta figura, aunque pueden designarla de forma voluntaria cuando aporte valor a su organización.
Registro de actividades de tratamiento
El artículo 30 del RGPD obliga a llevar un registro de las actividades de tratamiento. Las organizaciones de menos de 250 empleados quedan exentas en principio, pero la exención no opera si el tratamiento puede entrañar un riesgo para los derechos de los interesados, no es ocasional o incluye categorías especiales de datos. En la práctica, casi cualquier empresa con clientes y empleados trata datos de forma no ocasional, por lo que mantener un registro sencillo es recomendable y facilita demostrar el cumplimiento.
Consecuencias de no cumplir con el RGPD
Las sanciones pueden ser significativas. El artículo 83 del RGPD prevé multas administrativas que, según la infracción, pueden alcanzar los 10 o los 20 millones de euros, o el 2 % o el 4 % del volumen de negocio anual global, optándose por la cuantía mayor. En la práctica, la Agencia Española de Protección de Datos gradúa las sanciones atendiendo a la gravedad, la intencionalidad y las circunstancias de cada caso.
El riesgo no se limita a la multa. Una brecha de seguridad mal gestionada o una reclamación de un cliente ante la AEPD genera un daño reputacional relevante para negocios pequeños con una base de clientes limitada. Además, las brechas que entrañen riesgo deben notificarse a la autoridad de control en un plazo máximo de 72 horas desde que se tiene constancia de ellas.
Pasos prácticos para cumplir sin sobrecoste
- Realiza un inventario real de los datos personales que trata tu empresa y con qué finalidad.
- Redacta una política de privacidad ajustada a esos tratamientos concretos.
- Revisa los contratos con proveedores que acceden a datos por cuenta de tu empresa.
- Establece un procedimiento sencillo para atender las solicitudes de derechos, que deben contestarse, con carácter general, en el plazo de un mes.
- Implanta medidas de seguridad básicas proporcionadas al riesgo: contraseñas robustas, copias de seguridad y control de accesos.
- Define qué hacer ante una brecha de seguridad y quién decide si hay que notificarla.
Casos habituales en pequeñas empresas
Un comercio que recopila datos para un programa de fidelización, una consultora que gestiona currículums de candidatos o un restaurante con cámaras de videovigilancia son ejemplos de negocios pequeños que tratan datos personales sin ser conscientes, a veces, de las obligaciones que eso supone. En el caso de las cámaras, la normativa exige, entre otras cosas, colocar un dispositivo informativo en zona visible y limitar la conservación de las imágenes.
Las empresas que subcontratan servicios también deben cuidar este aspecto. Si externalizas funciones con acceso a datos, conviene leer cómo estructurar correctamente la contratación laboral y la externalización de servicios, y cómo incluir una cláusula de datos en los contratos de prestación de servicios.
Preguntas frecuentes
No. El tamaño de la empresa no exime del cumplimiento. Las sanciones pueden graduarse según el volumen de negocio y las circunstancias, pero cualquier empresa puede ser objeto de una inspección de oficio o de una reclamación presentada por un interesado ante la Agencia Española de Protección de Datos.
No siempre. El RGPD prevé otras bases legales válidas, como la ejecución de un contrato, el cumplimiento de una obligación legal o el interés legítimo, según el tipo de tratamiento. Conviene analizar cada tratamiento por separado en lugar de asumir que el consentimiento es la única vía, ya que además puede retirarse en cualquier momento.
Siempre que cambien tus tratamientos, por ejemplo con nuevos proveedores, nuevas finalidades o nuevas herramientas, y como mínimo de forma periódica para comprobar que sigue ajustada a la realidad de tu actividad. Una revisión anual suele ser razonable en una pequeña empresa y deja constancia de que el cumplimiento se mantiene vivo.
Contenerla, documentar qué ha ocurrido y valorar si supone un riesgo para los derechos de las personas afectadas. Si existe ese riesgo, hay que notificarla a la AEPD en un máximo de 72 horas desde que se tiene conocimiento y, cuando el riesgo es alto, comunicarla también a los afectados. Conviene contar con un procedimiento previo.
Cumplir con el RGPD de forma proporcional a tu tamaño real protege tu negocio frente a sanciones y reclamaciones evitables. Si necesitas apoyo, puedes valorar el asesoramiento a empresas que revise tus tratamientos reales antes de redactar cualquier política; un diagnóstico inicial marca la diferencia frente a una plantilla genérica. Si buscas ordenar el resto de obligaciones, consulta cómo empezar con el compliance normativo en pymes.