El RGPD genera una ansiedad desproporcionada entre autónomos y pequeños negocios, muchas veces por desconocer qué obligaciones aplican realmente a su tamaño y cuáles están pensadas para grandes corporaciones. Esta guía separa lo esencial de lo opcional, para que dediques tu tiempo a lo que de verdad importa.
El marco legal: RGPD y LOPDGDD
El RGPD es la norma europea que se aplica de forma directa en España, complementada por la LOPDGDD, que desarrolla aspectos concretos como el régimen sancionador. Consulta cuándo aplicar cada norma si tienes dudas sobre cuál citar en tu documentación, y revisa las guías oficiales de la AEPD para consultas adicionales.
Lo esencial: cinco obligaciones que sí aplican a cualquier negocio
| Obligación | Por qué aplica siempre |
|---|---|
| Política de privacidad publicada | Cualquier sitio que trate datos personales debe informar de ello |
| Base jurídica para cada tratamiento | No puedes tratar datos sin un fundamento legal concreto |
| Atender derechos de los interesados | Acceso, rectificación y supresión, en el plazo de un mes |
| Plazos de conservación definidos | No puedes guardar datos indefinidamente sin justificación |
| Banner de cookies conforme | Obligatorio si usas cualquier cookie no esencial |
Lo que NO siempre aplica a un negocio pequeño
No todo lo que se lee sobre RGPD aplica a cualquier tamaño de empresa. Un delegado de protección de datos solo es obligatorio en supuestos concretos (autoridades públicas, tratamientos a gran escala, categorías especiales de datos a gran escala), no para un blog, una tienda pequeña o una consultora sin tratamientos de riesgo elevado. Igualmente, el registro de actividades de tratamiento tiene una exención parcial para organizaciones de menos de 250 empleados con tratamientos ocasionales y de bajo riesgo, aunque en la práctica casi cualquier sitio con formularios acaba necesitándolo igualmente.
Elige la base jurídica correcta desde el principio
La mayoría de dudas de cumplimiento nacen de elegir mal la base jurídica. Como regla práctica: si el dato es imprescindible para prestar el servicio que el usuario solicitó, apóyate en la ejecución del contrato. Si quieres usarlo para un fin adicional, como marketing, necesitas consentimiento expreso. Para responder a una consulta puntual sin más implicaciones, el interés legítimo suele bastar.
Los derechos de los interesados, sin dramatismo
Atender el derecho de acceso, el derecho de rectificación o el derecho de supresión no requiere infraestructura compleja para un negocio pequeño: basta con tener un canal claro de contacto y responder dentro del plazo de un mes. La mayoría de solicitudes se resuelven con una simple búsqueda en tu base de datos de clientes.
Cookies: cumplir sin sobrecomplicar
Si tu sitio solo usa cookies técnicas, no necesitas banner. Si añades analítica o publicidad, necesitas un banner conforme, con aceptar, rechazar y configurar igual de accesibles. Consulta la guía completa en banner de cookies: cómo cumplir con la LSSI-CE.
Qué hacer si sufres una brecha de seguridad
Ningún negocio, por pequeño que sea, está exento de sufrir una brecha de seguridad. Ten preparado de antemano un procedimiento sencillo: quién decide si se notifica, en qué plazo (72 horas ante la AEPD si hay riesgo) y cómo se avisa a los afectados si el riesgo es alto. Detállalo en brecha de seguridad: cuándo notificarla a la AEPD.
Errores que sí pueden costarte una sanción
Los errores más sancionados por la AEPD no suelen ser tratamientos de alto riesgo, sino descuidos básicos: no identificar al responsable, no indicar plazos de conservación, banners de cookies que dificultan el rechazo, o casillas de consentimiento premarcadas. Corregir estos cuatro puntos elimina la mayoría del riesgo real para un negocio pequeño.
Presupuesto de tiempo realista
Para un negocio pequeño sin tratamientos de alto riesgo, cumplir razonablemente con el RGPD suele requerir: una tarde para generar la política de privacidad inicial (sigue nuestra guía completa para generar tu política de privacidad), una hora al trimestre para revisar novedades, y una revisión anual completa con la auditoría exprés en 10 minutos. No es un proyecto permanente a tiempo completo, sino una rutina de mantenimiento ligera.
Caso práctico: una asesoría con cinco empleados
Una asesoría fiscal con cinco empleados trata datos de sus clientes (facturación, correo, teléfono) y de candidatos que envían su currículum. No está obligada a tener delegado de protección de datos, pero sí mantiene un registro básico de actividades de tratamiento con sus principales tratamientos: gestión de clientes, nóminas y selección de personal. Generó su política de privacidad en una tarde, definió plazos de conservación diferenciados para clientes activos, clientes dados de baja y candidaturas no seleccionadas, y revisa el documento cada enero junto con el cierre fiscal del año anterior.
Preguntas frecuentes
¿Un autónomo sin empleados también debe cumplir el RGPD? Sí. La obligación no depende de tener empleados, sino de tratar datos personales, algo que ocurre con solo tener un sitio web con formulario de contacto.
¿Cuánto puede costar una sanción real para un negocio pequeño? Varía mucho según la gravedad, pero muchas sanciones a pequeños negocios se sitúan en rangos moderados, precisamente por tratarse de infracciones leves o corregidas rápidamente tras un primer requerimiento.
¿Necesito un seguro de responsabilidad para temas de protección de datos? No es obligatorio, pero algunos negocios lo valoran como protección adicional; no sustituye en ningún caso al cumplimiento normativo real.
¿Por dónde empiezo si no he hecho nada todavía? Por el inventario de datos y la generación de tu política de privacidad. Es la base sobre la que se apoya todo lo demás.