El RGPD obliga a cualquier empresa que trate datos personales de clientes, de su plantilla o de proveedores, sea cual sea su tamaño, y se aplica desde el 25 de mayo de 2018, completado en España por la Ley Orgánica 3/2018.
Cada vez que una empresa recoge los datos de un cliente, gestiona una nómina o recibe un currículum, está manejando información personal. Son actividades habituales en cualquier negocio, pero también implican una responsabilidad: garantizar que esos datos se utilizan correctamente y se mantienen protegidos.
Precisamente para eso existe el Reglamento General de Protección de Datos (RGPD).
Pero cumplirlo puede generar muchas dudas, sobre todo en las pequeñas y medianas empresas que no tienen un departamento especializado.
¿Qué obligaciones debes cumplir? ¿Por dónde empezar si todavía no has adaptado tu negocio? En esta guía te explicamos qué exige el RGPD a las empresas y cuáles son los primeros pasos para cumplir con la normativa de protección de datos.
¿Qué es el RGPD y qué significa?
RGPD son las siglas del Reglamento General de Protección de Datos, el Reglamento (UE) 2016/679. Es una norma europea que se aplica igual en todos los países de la Unión desde el 25 de mayo de 2018, sin que haga falta trasponerla.
En España se completa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que se conoce como LOPDGDD. El Reglamento fija las reglas comunes y la ley española concreta algunos puntos, como qué entidades tienen que nombrar delegado o cómo se informa por capas.
Para cumplir, lo que importa es que se aplican juntas y que la autoridad que vigila en España es la Agencia Española de Protección de Datos (AEPD).
¿Quién está obligado a cumplir el RGPD?
Está obligada cualquier empresa o profesional que trate datos personales, con independencia de su tamaño. No hay umbral de plantilla ni de facturación para quedar fuera.
Dato personal es toda información sobre una persona física identificada o identificable. Un nombre, un DNI, un correo, un número de teléfono, una dirección o una nómina son datos personales.
Por eso casi ninguna empresa se libra. Basta con tener una lista de clientes, una plantilla a la que pagar o un formulario de contacto en la web.
Solo queda fuera lo que hace una persona en su vida exclusivamente personal o doméstica, como recuerda la AEPD en su página de obligaciones.
Los datos de una empresa como tal, por ejemplo su CIF o su razón social, no son datos personales. Los de las personas que trabajan en ella, sí.
¿No tienes claro qué otras obligaciones le tocan a tu empresa? Con el diagnóstico gratis lo ves en unas preguntas, según tu actividad y tu plantilla.
¿Qué datos trata tu empresa y para qué?
El primer paso es hacer inventario. Antes de redactar ningún documento, tienes que saber qué datos recoges, de quién, para qué los usas, dónde los guardas y con quién los compartes.
En una pyme suelen salir siempre los mismos grupos, aunque cada empresa tiene los suyos:
- Plantilla: nóminas, contratos, bajas o registro de jornada.
- Clientes: facturación, pedidos o atención posventa.
- Proveedores: las personas de contacto y sus datos de pago.
- Web y redes: formularios, boletines o candidaturas de empleo.
Ese inventario es la base del registro de actividades de tratamiento, que pide el artículo 30, un documento con cada uso que haces de los datos, para qué sirve, de quién son, a quién se pasan y cuánto tiempo se guardan.
¿Y si mi empresa tiene menos de 250 personas? La norma exime a las empresas de menos de 250 personas, salvo que el tratamiento pueda suponer un riesgo, no sea ocasional o incluya datos especiales o datos sobre condenas e infracciones penales. Son datos especiales los de salud, origen étnico o racial, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, vida u orientación sexual, y los genéticos o biométricos.
Si gestionas de forma habitual las nóminas de tu plantilla, ese tratamiento no es ocasional, y la exención no te sirve para él.
¿Con qué base legal puedes tratar los datos?
Cada tratamiento necesita una base legal, lo que también se llama base de legitimación. Hay seis, y basta con que se cumpla una.
- Consentimiento: la persona acepta para un fin concreto.
- Contrato: los datos hacen falta para cumplir un contrato con ella o para prepararlo.
- Obligación legal: una ley te obliga a tratarlos, como el registro de jornada.
- Intereses vitales: proteger la vida de una persona.
- Interés público o poderes públicos: sobre todo, administraciones.
- Interés legítimo: un interés de la empresa o de un tercero, siempre que no prevalezcan los derechos de la persona.
Es un error pensar que todo se arregla pidiendo consentimiento. Para tratar los datos de un cliente al que le vendes algo te basta el contrato, y para los datos de tu plantilla, el contrato de trabajo.
El consentimiento queda para lo que no es necesario, como enviar un boletín comercial a alguien que no es cliente. Si lo usas, tienes que poder demostrar que se dio y la persona puede retirarlo cuando quiera.
¿Cuánto tiempo puede conservar una empresa los datos personales?
El RGPD no fija un plazo único para conservar los datos personales. Cada empresa debe guardarlos solo el tiempo necesario para cumplir la finalidad con la que los recogió, teniendo en cuenta las obligaciones legales que puedan exigir conservarlos más.
Por ejemplo, los datos de facturación, la documentación laboral o los currículums recibidos no tienen por qué conservarse durante el mismo tiempo. Cada uno responde a una finalidad diferente y puede estar sujeto a distintos plazos.
Por eso conviene que la empresa:
- Fije plazos de conservación para cada tipo de tratamiento, según su finalidad y las obligaciones legales aplicables.
- Revise cada cierto tiempo la información almacenada para detectar datos que ya no necesita.
- Suprima los datos cuando corresponda y los bloquee, como exige el artículo 32 de la LOPDGDD, cuando puedan derivarse responsabilidades legales.
Guardar información por si algún día hiciera falta no justifica conservarla indefinidamente. La empresa tiene que poder explicar por qué mantiene cada dato y durante cuánto tiempo.
¿Qué tienes que contar a las personas y cómo atiendes sus derechos?
Tienes que informar a cada persona en el momento en que recoges sus datos de lo siguiente:
- Quién eres: la empresa responsable.
- Para qué: el uso que das a sus datos y con qué base legal.
- Destinatarios y plazo: a quién se los pasas y cuánto tiempo los guardas.
- Sus derechos: cuáles tiene y cómo ejercerlos.
La ley española permite hacerlo por capas, en su artículo 11. En una primera capa basta con dar la información básica (quién es el responsable, para qué se usan los datos y que se pueden ejercer los derechos) y un enlace o un medio sencillo para consultar el resto.
Esa información tiene que estar en tus formularios web, en los contratos, en las ofertas de empleo y en lo que firma tu plantilla al entrar.
Las personas tienen derecho a acceder a sus datos, rectificarlos, suprimirlos, oponerse al tratamiento, limitarlo y llevárselos a otra empresa. Tienes un mes para responder, y puedes alargarlo otros dos meses si la petición es compleja o hay muchas, avisando dentro del primer mes.
¿Y si me pide sus datos un excliente con el que discutí una factura? Hay que contestarle igual, en plazo y por escrito. Conviene tener preparado un procedimiento sencillo para que nadie improvise.
¿Qué contrato necesitas con los proveedores que tratan tus datos?
Cuando un proveedor trata datos por cuenta de tu empresa, es tu encargado del tratamiento, y la ley exige un contrato con él. Pasa con la asesoría laboral que hace tus nóminas, con la empresa que te mantiene el programa de facturación o con la nube donde guardas los archivos.
Ese contrato dice qué datos trata el proveedor, para qué, durante cuánto tiempo y qué obligaciones tiene cada parte. Entre otras cosas, el proveedor solo puede usar los datos para lo que tú le encargas y tiene que ayudarte a cumplir.
Es fácil tenerlo firmado con la asesoría y olvidarse del resto. Revisa la lista de proveedores con acceso a datos y comprueba que cada uno tiene su contrato o sus cláusulas.
¿Qué medidas de seguridad pide el RGPD y qué haces ante una brecha?
El RGPD no da una lista cerrada de medidas. Pide medidas técnicas y organizativas adecuadas al riesgo, según el tipo de datos, el coste y la tecnología disponible.
Pone ejemplos como cifrar los datos, poder recuperarlos tras un incidente y revisar cada cierto tiempo que las medidas funcionan. En una pyme, eso suele traducirse en contraseñas y accesos por persona, copias de seguridad, equipos actualizados y un compromiso de confidencialidad firmado por la plantilla.
Si pese a todo hay una brecha, como un ordenador robado, un correo enviado a quien no debía o un ataque informático, el artículo 33 marca el plazo. Hay que notificarla a la AEPD sin dilación y, si es posible, en un máximo de 72 horas desde que la conoces, salvo que sea improbable que suponga un riesgo para las personas.
Según la guía de la AEPD sobre brechas, ese plazo cuenta también los fines de semana y los festivos.
Cuando el riesgo para las personas afectadas es alto, además hay que comunicárselo a ellas, en un lenguaje claro. Por eso conviene tener escrito quién decide y cómo se actúa, antes de que pase. Si nos llamas con una brecha encima, lo primero que hacemos es contenerla, evaluar el riesgo y preparar la notificación a la AEPD dentro del plazo.
¿Necesita tu empresa un delegado de protección de datos?
Una pyme solo tiene que nombrar delegado de protección de datos en los casos que fijan el Reglamento y la ley española. El artículo 37 del Reglamento lo exige a las administraciones y a las empresas cuya actividad principal consista en observar de forma habitual y sistemática a personas a gran escala, o en tratar a gran escala datos especiales, como los de salud.
La ley española añade, en su artículo 34, una lista de entidades que siempre lo necesitan. Entre ellas están estas:
- Colegios profesionales y centros educativos.
- Entidades financieras y aseguradoras.
- Empresas de publicidad que hacen perfiles.
- Centros sanitarios obligados a guardar historias clínicas, salvo los profesionales que ejercen a título individual.
La lista completa tiene más supuestos, como las distribuidoras de energía, las empresas de seguridad privada o los operadores de juego en línea.
Si tu empresa no está en ninguno de esos casos, puedes nombrarlo de forma voluntaria, pero no es obligatorio. La propia AEPD avisa contra quien difunde que hay que contratar un delegado en todos los casos. Lo que sí tienes siempre es un responsable del tratamiento, que es la propia empresa.
¿Qué pasa si tu empresa no cumple el RGPD?
La AEPD puede investigar a raíz de una reclamación o por iniciativa propia, y puede sancionar según la gravedad. El artículo 83 del Reglamento fija dos escalas de multa máxima.
- Hasta 10 millones de euros o el 2 % de la facturación anual mundial, la cifra mayor, para obligaciones como el registro de actividades, la seguridad, la notificación de brechas o el delegado.
- Hasta 20 millones de euros o el 4 %, también la mayor, para los principios básicos, la base legal, los derechos de las personas o las transferencias internacionales.
Son máximos, no importes habituales, y la sanción se gradúa según el caso. Además de la multa, un incumplimiento puede obligarte a parar un tratamiento o a borrar datos.
El problema puede empezar por algo pequeño, como una cláusula que falta en un formulario o un proveedor sin contrato. La hoja de ruta de arriba sirve para encontrar esos fallos antes de que alguien reclame.
¿Quieres saber por dónde empezar con el RGPD en tu empresa?
Si tu empresa trata pocos datos y de escaso riesgo, la AEPD tiene una herramienta gratuita, Facilita RGPD, que genera unos documentos iniciales. La propia Agencia avisa de que obtenerlos no supone cumplir de forma automática.
Si prefieres que lo hagamos contigo, en AFINE nos encargamos de la protección de datos de tu empresa. Empezamos con una auditoría inicial, preparamos el registro de actividades, los contratos con encargados y los compromisos de confidencialidad, y te acompañamos después para mantenerlo al día.
Es una pieza más de tu cumplimiento normativo, junto a otras obligaciones que también manejan datos personales, como el canal de denuncias.
Si quieres saber primero en qué punto está tu empresa, haz el diagnóstico gratis y te llamamos en menos de 24 horas, o llámanos al 958 999 200.
Preguntas frecuentes sobre el RGPD para empresas
¿Tengo que dar de alta mi empresa en la Agencia Española de Protección de Datos?
No. Desde la aplicación del RGPD en 2018, las empresas ya no tienen que inscribir sus ficheros de datos personales en la AEPD. Lo que deben hacer, cuando corresponda, es mantener un registro interno de actividades de tratamiento y ponerlo a disposición de la autoridad de control si lo pide.
¿Es obligatorio contratar una consultoría de protección de datos?
No. El RGPD no obliga a contratar una consultoría externa para adaptar la empresa a la normativa. Eso sí, contar con asesoramiento especializado puede ayudar a identificar riesgos, preparar la documentación necesaria y mantener los procedimientos al día. La responsabilidad de cumplir sigue siendo de la empresa.
¿Cada cuánto tiempo hay que actualizar la documentación del RGPD?
No hay una obligación general de renovar toda la documentación cada año. La empresa debe revisarla y actualizarla cuando haya cambios relevantes, como nuevas herramientas, la recogida de nuevos datos personales, cambios de proveedores o nuevas finalidades de tratamiento.
También conviene hacer revisiones periódicas para comprobar que las medidas de protección siguen siendo adecuadas.
¿Puedo guardar los datos de mis clientes en la nube?
Sí. El RGPD permite usar servicios de almacenamiento en la nube, siempre que se adopten las medidas de seguridad necesarias y se cumplan las obligaciones de protección de datos.
Antes de contratar el servicio, conviene comprobar dónde se almacenan los datos, qué garantías ofrece el proveedor y si hace falta un contrato de encargo del tratamiento. Si hay transferencias internacionales de datos, también habrá que verificar que cumplen los requisitos del RGPD.
¿Qué ocurre si un cliente pide que elimine sus datos, pero la empresa debe conservar sus facturas?
El derecho de supresión no es absoluto. Si existe una obligación legal de conservar determinada documentación, la empresa puede mantener los datos necesarios durante el plazo exigido.
Eso no significa que pueda seguir utilizándolos para cualquier finalidad. Debe limitar su tratamiento a lo permitido por la normativa y, cuando corresponda, bloquearlos como exige la ley.
¿Cuándo es obligatorio realizar una evaluación de impacto en protección de datos?
La evaluación de impacto en protección de datos (EIPD) es obligatoria, según el artículo 35 del RGPD, cuando un tratamiento puede suponer un alto riesgo para los derechos y libertades de las personas.
Puede ser necesaria, por ejemplo, en tratamientos que impliquen una vigilancia sistemática a gran escala o el uso de datos especialmente sensibles. No todas las empresas tienen que hacerla para todas sus actividades: depende de las características y los riesgos de cada tratamiento.
Nota de transparencia: Para preparar este artículo nos hemos ayudado de herramientas de inteligencia artificial durante la investigación y la redacción inicial. Después, el equipo de AFINE Consultoría ha revisado y corregido el contenido. La responsabilidad del texto final y de su publicación es nuestra.