Una pyme o un autónomo que trate datos personales debe, como mínimo, identificar una base de licitud, informar a los afectados, firmar contratos con sus encargados, aplicar medidas de seguridad y notificar las brechas en 72 horas. El registro de actividades de tratamiento, el delegado de protección de datos (DPD) y la evaluación de impacto solo son obligatorios en ciertos casos. Las multas de la AEPD pueden llegar a 20 millones de euros o el 4% de la facturación.
En resumen
- Base de licitud obligatoria siempre: ningún tratamiento es legal sin encajar en uno de los seis supuestos del art. 6 RGPD (consentimiento, contrato, obligación legal, interés vital, interés público o interés legítimo).
- Registro de actividades (RAT): exento para empresas de menos de 250 trabajadores, salvo tres excepciones (art. 30.5 RGPD); en la práctica casi todas las pymes deben llevarlo.
- Contrato de encargado: exigible por escrito siempre que un tercero (gestoría, hosting, software en la nube) trate datos por cuenta de la empresa (art. 28 RGPD).
- DPD y evaluación de impacto: solo obligatorios en supuestos tasados (arts. 37 RGPD y 34 LOPDGDD; art. 35 RGPD).
- Sanciones: hasta 20.000.000 € o el 4% del volumen de negocio anual mundial (art. 83.5 RGPD), aplicadas por la AEPD.
La base de licitud: el punto de partida
El primer paso de cualquier tratamiento es tener una base de licitud, es decir, una justificación legal que lo autorice. El artículo 6 del Reglamento (UE) 2016/679 (RGPD) establece que todo tratamiento de datos personales debe apoyarse en, al menos, una de estas bases:
- Consentimiento del interesado (art. 6.1.a): libre, específico, informado e inequívoco.
- Ejecución de un contrato en el que el interesado es parte (art. 6.1.b): la base habitual con clientes.
- Obligación legal del responsable (art. 6.1.c): por ejemplo, conservar facturas o cumplir con la Seguridad Social.
- Interés vital del interesado (art. 6.1.d).
- Interés público o ejercicio de poderes públicos (art. 6.1.e).
- Interés legítimo del responsable (art. 6.1.f), tras una ponderación documentada.
Los datos de categorías especiales son los más sensibles: salud, ideología, afiliación sindical o datos biométricos. Para tratarlos se necesita además uno de los supuestos del art. 9 RGPD. Sin base de licitud, el tratamiento es ilícito desde el primer momento.
El registro de actividades de tratamiento (RAT)
El registro de actividades de tratamiento es un documento interno que describe qué datos trata la empresa, con qué fines, durante cuánto tiempo y a quién se comunican. Su contenido mínimo está en el art. 30.1 RGPD: identidad del responsable, fines, categorías de interesados y de datos, destinatarios, transferencias internacionales, plazos de supresión y medidas de seguridad.
El art. 30.5 RGPD exime de llevarlo a las organizaciones de menos de 250 trabajadores, pero la exención decae si concurre cualquiera de estas tres circunstancias:
- El tratamiento puede entrañar un riesgo para los derechos y libertades de los interesados.
- El tratamiento no es ocasional (por ejemplo, la nómina o la base de clientes recurrente).
- Incluye categorías especiales de datos o datos de condenas e infracciones penales.
Como cualquier gestión de nóminas o cartera de clientes es "no ocasional", en la práctica casi todas las pymes y muchos autónomos deben mantener el RAT. El art. 31 de la Ley Orgánica 3/2018 (LOPDGDD) lo recoge igualmente. La AEPD ofrece la herramienta gratuita Facilita RGPD para tratamientos de bajo riesgo.
Deber de información y contratos de encargado
El deber de información (arts. 13 y 14 RGPD)
Al recoger datos hay que informar de forma clara y accesible. La información debe cubrir la identidad del responsable, los fines y la base de licitud, los destinatarios, el plazo de conservación, los derechos del interesado (acceso, rectificación, supresión, oposición, limitación y portabilidad) y la posibilidad de reclamar ante la AEPD. El art. 11 LOPDGDD admite la información por capas: una primera capa breve junto al formulario y una segunda capa con la política de privacidad completa.
El contrato de encargado de tratamiento (art. 28 RGPD)
Un encargado del tratamiento es un tercero que trata datos por cuenta de la empresa: la gestoría, la asesoría laboral, el proveedor de hosting, el CRM, la plataforma de email marketing o el servicio de prevención de riesgos. El art. 28 RGPD exige un contrato por escrito con cada uno. Ese contrato debe regular el objeto, la duración, la naturaleza y finalidad del tratamiento, las instrucciones del responsable, la confidencialidad, las medidas de seguridad, la subcontratación y la devolución o supresión de los datos al finalizar. Operar con un proveedor sin este contrato es una de las incidencias más frecuentes en las inspecciones.
Medidas de seguridad, brechas, DPD y evaluación de impacto
Medidas de seguridad (art. 32 RGPD)
El RGPD no impone una lista cerrada: obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo. Para una pyme, esto suele incluir control de accesos, contraseñas robustas, copias de seguridad, cifrado de dispositivos portátiles, seudonimización cuando sea posible y un procedimiento para gestionar incidentes. La seudonimización consiste en sustituir los datos identificativos por un código, de modo que no se pueda asociar a una persona sin información adicional guardada aparte.
Notificación de brechas (art. 33 RGPD)
Una brecha de seguridad es cualquier pérdida, robo o acceso no autorizado a datos. Cuando ocurre, el responsable debe notificarla a la AEPD en un plazo máximo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo. Si el riesgo para los afectados es alto, también hay que comunicárselo a ellos (art. 34 RGPD).
¿Cuándo hace falta delegado de protección de datos?
El delegado de protección de datos (DPD) es la persona que supervisa el cumplimiento del RGPD dentro de la organización. Es obligatorio según el art. 37 RGPD en tres casos: cuando el tratamiento lo realiza una autoridad pública, cuando las actividades principales consisten en una observación habitual y sistemática a gran escala, o cuando consisten en el tratamiento a gran escala de categorías especiales de datos. El art. 34 LOPDGDD añade una lista de entidades obligadas, entre ellas colegios profesionales, centros docentes, entidades de crédito, entidades aseguradoras, empresas de seguridad privada o de publicidad y prospección comercial que traten perfiles. La mayoría de pymes y autónomos no están obligados, pero pueden designarlo voluntariamente; su nombramiento debe comunicarse a la AEPD.
¿Cuándo hace falta evaluación de impacto?
La evaluación de impacto relativa a la protección de datos (EIPD) es un análisis previo de los riesgos que un tratamiento supone para los derechos de las personas. Es obligatoria, según el art. 35 RGPD, cuando un tratamiento entrañe un alto riesgo: elaboración de perfiles con efectos jurídicos, tratamiento a gran escala de categorías especiales u observación sistemática a gran escala de una zona de acceso público. La AEPD publica una lista de tratamientos que requieren EIPD. Un autónomo o una pyme con tratamientos ordinarios de clientes y empleados rara vez necesitará una EIPD.
El régimen sancionador de la AEPD
La autoridad de control en España es la Agencia Española de Protección de Datos (AEPD). El art. 83 RGPD fija dos tramos de multas administrativas:
| Tramo | Cuantía máxima | Ejemplos de infracción |
|---|---|---|
| Art. 83.5 RGPD | 20.000.000 € o 4% del volumen de negocio anual mundial (la mayor) | Vulnerar principios básicos, bases de licitud o derechos de los interesados |
| Art. 83.4 RGPD | 10.000.000 € o 2% del volumen de negocio anual mundial (la mayor) | Incumplir obligaciones de responsable/encargado, RAT, seguridad o DPD |
La LOPDGDD desarrolla este régimen en su Título IX, clasificando las infracciones en muy graves (art. 72), graves (art. 73) y leves (art. 74). Esos mismos artículos fijan el plazo de prescripción de las infracciones: las muy graves prescriben a los 3 años (art. 72), las graves a los 2 años (art. 73) y las leves al año (art. 74). El art. 78 LOPDGDD, por su parte, regula la prescripción de las sanciones en función del importe de la multa (un año si es de hasta 40.000 €, dos años entre 40.001 y 300.000 €, y tres años si supera los 300.000 €). El art. 76 permite graduar la sanción y, para determinados sujetos del sector público o entidades sin ánimo de lucro, el régimen puede sustituir la multa por apercibimiento (art. 77).
Ejemplo práctico
Una asesoría con seis empleados gestiona las nóminas de varias empresas clientes y guarda los datos de contacto de su propia cartera. Aunque tiene menos de 250 trabajadores, no puede acogerse a la exención del art. 30.5 RGPD: tratar nóminas y una cartera recurrente no es ocasional, así que debe mantener el RAT. Como entrega esos datos a un proveedor de software en la nube, firma con él un contrato de encargado (art. 28 RGPD). Para cada empleado y cliente publica una política de privacidad por capas (art. 11 LOPDGDD), aplica control de accesos y copias de seguridad (art. 32 RGPD) y deja por escrito un procedimiento para notificar a la AEPD en menos de 72 horas si sufriera una brecha (art. 33 RGPD). Con tratamientos así de ordinarios, no necesita DPD ni evaluación de impacto.
Guías relacionadas
Fuentes oficiales
- Reglamento (UE) 2016/679 (RGPD), texto consolidado en EUR-Lex (arts. 6, 9, 28, 30, 32, 33, 35, 37, 83)
- Ley Orgánica 3/2018 (LOPDGDD), texto consolidado en el BOE (arts. 11, 31, 34, 72-78)
- LOPDGDD, PDF consolidado del BOE (arts. 72-74 y 78)
Información orientativa; no sustituye el asesoramiento de un abogado. Verifica tu caso concreto. Si lo necesitas, puedes consultar tu caso.