Sí: el RGPD y la LOPDGDD obligan a cualquier pyme o autónomo que trate datos personales. La protección de datos para pymes exige base legal, información a las personas, registro de tratamientos, contratos con proveedores, medidas de seguridad y atención de derechos. Las multas pueden llegar hasta 10 o 20 millones de euros, o al 2 % o 4 % del volumen de negocio anual global.
La protección de datos para pymes suele quedarse en el último cajón: se piensa que el RGPD es cosa de grandes empresas y que una tienda, un taller o una asesoría pequeña no tienen nada que cumplir. No es así. Si guardas datos de clientes, nóminas de tu plantilla o imágenes de una cámara, estás tratando datos personales y la normativa te alcanza.
En esta guía te explicamos, sin jerga, qué te exige el Reglamento europeo y la ley española, qué sanciones prevé y por dónde empezar. Lo preparamos desde DAVE Formación, en Jerez de la Frontera, donde ayudamos a empresas de la zona a poner orden en este asunto.
¿Se aplica el RGPD a una pyme o a un autónomo?
Sí, se aplica a cualquier empresa o autónomo que trate datos personales, también si es pequeño. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) no dependen del tamaño del negocio, sino de que manejes información de personas.
Estos son los datos que suelen aparecer en una pyme:
- Datos de clientes, como nombre, teléfono, correo o historial de servicios.
- Datos de empleados, como nóminas y contratos.
- Datos de proveedores y de sus personas de contacto.
- Imágenes captadas por cámaras de videovigilancia.
¿Qué obligaciones tiene una pyme en protección de datos?
Las obligaciones habituales son seis, y en todas conviene dejar constancia por escrito de lo que haces. Esta es la lista básica de protección de datos para pymes que solemos revisar primero:
- Base legal. Cada tratamiento de datos necesita una base legal que lo justifique.
- Información. Tienes que informar a las personas con cláusulas informativas y una política de privacidad, como la que publicamos en nuestra política de privacidad.
- Registro de actividades de tratamiento. Está previsto en el artículo 30 del RGPD.
- Contratos de encargado de tratamiento. Los necesitas con los proveedores que acceden a datos, como la gestoría o el servicio de hosting.
- Medidas de seguridad. Deben ser adecuadas al riesgo de cada tratamiento.
- Derechos de las personas. Debes atender los de acceso, rectificación, supresión, oposición, limitación y portabilidad.
A estas seis se suma la notificación de brechas de seguridad, que vemos más abajo.
¿Cuándo necesita tu pyme el registro de actividades de tratamiento?
En la práctica, casi toda pyme lo necesita. El artículo 30 del RGPD prevé una excepción para empresas de menos de 250 trabajadores, pero no se aplica si el tratamiento no es ocasional, entraña riesgo o incluye categorías especiales de datos.
Si tratas datos de clientes y nóminas de forma habitual, tu tratamiento no es ocasional y la excepción deja de servirte. El registro es el documento donde describes qué tratamientos realizas con los datos personales. Llevarlo al día te obliga a saber qué datos tienes, y eso facilita el resto de la protección de datos en tu pyme.
¿Qué multas prevé el RGPD y cuánto pagaría una pyme?
El RGPD prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global en el nivel inferior, y de hasta 20 millones o el 4 % en el superior, aplicándose la cifra mayor. Lo recoge el artículo 83 del RGPD.
| Nivel | Importe máximo | Ejemplos |
|---|---|---|
| Inferior | 10 millones de euros o 2 % del volumen de negocio anual global (la cifra mayor) | Incumplir obligaciones del responsable o del encargado, no llevar el registro, no tratar bien una brecha |
| Superior | 20 millones de euros o 4 % (la cifra mayor) | Tratar datos sin base legal o vulnerar los derechos de las personas |
Son techos, no tarifas. La sanción se gradúa según la gravedad, la intencionalidad, el tamaño de la empresa y las medidas que hubiera adoptado. Las sanciones a pymes suelen ser mucho menores que los máximos.
Además, la Agencia Española de Protección de Datos (AEPD) también puede apercibir u ordenar medidas, sin necesidad de multar.
¿Qué debe hacer tu empresa si sufre una brecha de seguridad?
Debe notificarla a la AEPD en 72 horas cuando suponga un riesgo para las personas. Así lo establece el artículo 33 del RGPD. Una brecha puede ser desde un correo con datos enviado a la persona equivocada hasta un ordenador robado o un ataque informático.
Como el plazo es corto, conviene tener el procedimiento preparado antes de que ocurra:
- Define quién decide si hay riesgo para las personas y quién avisa a la AEPD.
- Deja por escrito cómo se comunica el incidente dentro de la empresa.
- Forma a tu plantilla para que sepa reconocer un incidente y avisar sin demora.
¿Necesita mi pyme un Delegado de Protección de Datos?
La mayoría de las pymes no lo necesita. Según el artículo 37 del RGPD, el Delegado de Protección de Datos (DPD) solo es obligatorio en supuestos concretos: autoridades públicas, tratamiento a gran escala de observación habitual de personas o tratamiento a gran escala de categorías especiales de datos.
Hay una novedad que conviene seguir. La Comisión Europea ha propuesto ampliar las exenciones de las pymes en el registro de actividades, pero a fecha de esta guía no está aprobado. Hoy se aplica el RGPD tal como está, así que comprueba en la fuente oficial si ha cambiado algo antes de dejar de documentar tus tratamientos.
¿Por dónde empezar a adaptar tu pyme al RGPD?
Empieza por un inventario de los datos que manejas y de quién accede a ellos, y después documenta y forma. Un orden razonable es este:
- Haz una auditoría inicial: qué datos tratas, dónde se guardan y con qué base legal.
- Prepara la documentación: cláusulas informativas, política de privacidad, registro de actividades y contratos con encargados.
- Revisa las medidas de seguridad según el riesgo de cada tratamiento.
- Forma al personal que maneja datos en sus obligaciones del día a día.
- Mantén todo al día cuando cambien tus servicios, tus proveedores o tu plantilla.
En DAVE Formación (Jerez, Cádiz) te ayudamos con un servicio de adaptación que incluye auditoría inicial, documentación, formación al personal y mantenimiento; también puedes ver nuestro catálogo de cursos online y te orientamos sobre qué formación necesita tu caso.
Revisa la protección de datos de tu empresa con DAVE Formación
Te ofrecemos un servicio de adaptación a la protección de datos: auditoría inicial, documentación, formación al personal y mantenimiento. Escríbenos y te orientamos sin compromiso.
Preguntas frecuentes
¿Una pyme pequeña o un autónomo tienen que cumplir el RGPD?
Sí. El RGPD se aplica a cualquier empresa o autónomo que trate datos personales, ya sean de clientes, empleados, proveedores o imágenes de videovigilancia. El tamaño del negocio no te libera de la obligación de tener una base legal, informar a las personas y proteger los datos, aunque las medidas se adaptan al riesgo de cada tratamiento.
¿Cuál es la multa máxima por incumplir la protección de datos?
El RGPD fija dos niveles. El inferior llega hasta 10 millones de euros o el 2 % del volumen de negocio anual global, y el superior hasta 20 millones o el 4 %, aplicándose la cifra mayor. Son límites máximos: en la práctica la sanción se gradúa según la gravedad, la intencionalidad, el tamaño de la empresa y las medidas adoptadas.
¿En cuánto tiempo hay que avisar de una brecha de seguridad?
Cuando la brecha suponga un riesgo para las personas, hay que notificarla a la Agencia Española de Protección de Datos en 72 horas, según el artículo 33 del RGPD. Por eso conviene tener definido de antemano quién valora el incidente, quién lo comunica y cómo se documenta dentro de la empresa.
¿Tengo que nombrar un Delegado de Protección de Datos en mi pyme?
Normalmente no. El artículo 37 del RGPD solo lo exige en casos concretos: autoridades públicas, tratamiento a gran escala de observación habitual de personas o tratamiento a gran escala de categorías especiales de datos. Si dudas de si tu actividad entra en alguno de estos supuestos, conviene revisarlo con alguien que conozca tu caso.
¿Ha cambiado ya el registro de actividades para las pymes?
No. La Comisión Europea ha propuesto ampliar las exenciones de las pymes en el registro de actividades de tratamiento, pero a fecha de esta guía la propuesta no está aprobada. Mientras tanto sigue vigente el artículo 30 del RGPD, y quien trata datos de forma habitual suele tener que llevar el registro.
¿Qué derechos pueden ejercer los clientes sobre sus datos?
Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Tu empresa debe saber atender estas solicitudes, por eso conviene decidir quién las recibe y cómo se responden. La política de privacidad debe indicar a las personas cómo ejercerlos.
Fuentes oficiales
Esta guía es informativa y no sustituye al asesoramiento jurídico. La normativa puede cambiar: comprueba siempre el texto vigente en las fuentes enlazadas.