Resumen verificable

  • El responsable determina fines y medios del tratamiento; el encargado trata datos por cuenta del responsable y bajo sus instrucciones documentadas. Fuente oficial

  • El artículo 30 del RGPD exige que el registro de actividades describa finalidades, categorías de personas y datos, destinatarios, transferencias, plazos de supresión y medidas de seguridad según cada papel. Fuente oficial

  • La AEPD facilita a las pymes la elaboración del registro de actividades, cláusulas informativas, contratos de encargo y medidas de seguridad. Fuente oficial

  • El delegado de protección de datos no es obligatorio para toda empresa; también puede designarse voluntariamente, con las exigencias del RGPD y la LOPDGDD. LOPDGDD, artículo 34

  • Por eso no es correcto concluir «somos pequeños, no necesitamos registro» por el número de empleados. Fuente oficial

La protección de datos de una empresa no consiste en comprar un paquete de documentos ni en colocar un aviso de privacidad en la web. Consiste en poder explicar qué datos trata la organización, para qué, bajo qué base jurídica, quién accede a ellos y qué hace si algo sale mal. El punto de partida no es el tamaño de la plantilla: es cada tratamiento concreto y el papel que la empresa ocupa en él.

El Reglamento General de Protección de Datos (RGPD) asigna obligaciones a responsables y encargados. La empresa que decide para qué se usan los datos suele ser responsable; un proveedor que los trata por cuenta de ella puede ser encargado. La misma organización puede ocupar ambos papeles en operaciones distintas. La AEPD orienta a pymes y explica obligaciones como informar, mantener registros, revisar encargados y aplicar medidas. Esta guía organiza esas decisiones. No sustituye una revisión de los tratamientos, contratos y riesgos reales de una empresa.

La primera pregunta es qué tratamiento hace la empresa

Haz un inventario de procesos, no una lista de archivos. La nómina, el proceso de selección, la facturación, una cámara de seguridad, una lista de clientes y una herramienta de soporte pueden tener finalidades, datos y destinatarios distintos. El RGPD llama tratamiento a operaciones como recoger, consultar, conservar, modificar, comunicar o suprimir datos personales. Si un dato permite identificar a una persona directa o indirectamente, puede estar dentro del régimen, aunque la empresa lo guarde en una hoja de cálculo y no en una aplicación formal. El RGPD define datos personales y tratamiento en su artículo 4.

Para cada proceso anota quién inicia la recogida, qué personas aparecen, qué campos se usan, qué sistema los guarda, quién puede consultarlos, con quién se comparten y cuándo dejan de ser necesarios. Una descripción como «gestión de clientes» suele ser demasiado amplia para tomar decisiones. Es más útil separar alta de contacto, presupuesto, prestación del servicio, facturación, incidencias y comunicaciones comerciales si sus finalidades o plazos no coinciden.

El inventario también ayuda a no atribuir a una sola persona todas las decisiones. En una asesoría, por ejemplo, el despacho puede ser responsable de los datos de sus empleados y de sus propios clientes, y encargado cuando procesa nóminas siguiendo instrucciones de una empresa cliente. La etiqueta depende de quién decide los fines y elementos esenciales de cada operación, no de quién aloja el servidor. Si dos organizaciones deciden conjuntamente fines y medios, el RGPD prevé corresponsabilidad y exige que distribuyan de forma transparente sus obligaciones.

Decide quién es responsable y quién es encargado

El responsable determina fines y medios del tratamiento. El encargado trata datos por cuenta del responsable y bajo sus instrucciones documentadas. Un proveedor de correo, nóminas, almacenamiento o atención al cliente puede ser encargado para unos datos, pero no necesariamente para todo lo que hace con ellos. Revisa el servicio real, no solo el nombre del contrato. Los artículos 4, 24, 28 y 29 del RGPD describen esas funciones y obligaciones.

Antes de incorporar un proveedor, pregunta qué datos recibirá, para qué operaciones, desde qué lugares, qué subencargados utiliza y qué mecanismos tiene para atender solicitudes o incidentes. El contrato de encargo debe cubrir, entre otras cosas, instrucciones, confidencialidad, seguridad, asistencia al responsable, devolución o supresión al terminar y condiciones para recurrir a subencargados. Una cláusula genérica de «cumplimiento de privacidad» no sustituye el contenido exigido por el artículo 28.

No conviertas esta revisión en un formulario para firmar sin leer. Comprueba si el servicio usa los datos para fines propios, si combina datos de varios clientes, si conserva copias después de cerrar la cuenta y cómo exporta o borra la información. Si decide fines propios, podría ser responsable independiente de ese tratamiento. Si actúa solo bajo instrucciones, la empresa debe dejar claro qué instrucciones da y quién puede cambiarlas.

Base jurídica: consentimiento no es la respuesta automática

Cada finalidad necesita una base jurídica aplicable. El artículo 6 del RGPD incluye, entre otras, consentimiento, ejecución de un contrato, cumplimiento de una obligación legal, protección de intereses vitales, misión de interés público e interés legítimo sujeto a ponderación. No existe una base única para «los datos de clientes» en general. La base puede variar entre preparar un presupuesto, ejecutar el servicio, emitir una factura, conservar documentación legal y enviar publicidad.

El consentimiento exige una manifestación libre, específica, informada e inequívoca cuando esa sea la base utilizada. No se debe pedir para tratamientos que la organización necesita legítimamente para ejecutar el contrato o cumplir una obligación legal; tampoco debe invocarse el contrato para datos que no sean necesarios para la prestación. La empresa tiene que explicar la base y su efecto en la información que ofrece a las personas. La AEPD recuerda que el responsable debe identificar una base adecuada y poder acreditar su decisión en la guía de obligaciones para responsables.

El interés legítimo requiere más que una frase en la política. Identifica el interés concreto, explica por qué el tratamiento es necesario para ese fin y pondera el impacto sobre las personas, sus expectativas y sus derechos. Considera alternativas menos intrusivas, el tipo de dato, la relación con la persona y las salvaguardas. Si el resultado es desfavorable, usa otra base solo si realmente se aplica; no cambies la etiqueta para conservar el mismo tratamiento.

La empresa debe también revisar finalidades nuevas. Recibir un dato para prestar un servicio no autoriza por sí solo usarlo después para publicidad, elaborar perfiles o compartirlo con socios comerciales. Antes de cambiar el uso, verifica compatibilidad, base, información y, si corresponde, consentimiento. No reutilices una base de datos porque ya existe.

Informar sin esconder lo importante

En el momento de recoger datos, la persona debe recibir información clara sobre quién es responsable, finalidades, bases, destinatarios, transferencias internacionales si existen, conservación, derechos y forma de reclamar ante la autoridad. El artículo 13 del RGPD regula la información cuando los datos se obtienen de la persona; el artículo 14 cubre datos obtenidos por otras vías. El texto oficial del RGPD distingue esos casos y concreta el contenido.

Una política de privacidad extensa puede ampliar detalles, pero no corrige un formulario que oculta el propósito o pide datos sin explicar su uso. Redacta la información en capas: una explicación breve junto al formulario y acceso sencillo al detalle completo. Usa términos comprensibles. «Mejora de la experiencia» no identifica por sí misma una finalidad concreta. Explica qué se mide, con qué datos y qué decisiones se toman.

Si los datos no se recogen directamente de la persona, identifica qué fuente se utilizó y cuándo debe facilitarse la información conforme al artículo 14. No envíes un aviso indiscriminado a toda la base: comprueba si los datos siguen vigentes, qué personas entran en el supuesto y qué excepciones legales pueden aplicar. Una excepción no se presume; debe documentarse.

Mantén una vía real para ejercer derechos. La empresa debe poder localizar los datos pertinentes, confirmar la identidad de quien solicita cuando haya dudas razonables, reunir la información de sus sistemas y responder dentro del régimen legal. Acceso, rectificación, supresión, limitación, oposición y portabilidad no son sinónimos. Por ejemplo, oponerse a publicidad directa tiene una consecuencia distinta de pedir borrar facturas sujetas a conservación fiscal. Consulta los derechos que reconoce el RGPD antes de prometer una eliminación inmediata.

Registro de actividades: una herramienta para saber qué ocurre

El registro de actividades de tratamiento (RAT) no es un diploma ni un formulario que se rellena una vez. Es una descripción mantenida de los tratamientos que el responsable o encargado realiza. El artículo 30 del RGPD exige que contenga información como finalidad, categorías de personas y datos, destinatarios, transferencias, plazos previstos de supresión y una descripción general de las medidas de seguridad, según corresponda a cada papel.

Existe una excepción limitada para organizaciones con menos de 250 trabajadores, pero no opera si el tratamiento puede entrañar riesgo para derechos y libertades, no es ocasional o incluye categorías especiales de datos o datos relativos a condenas e infracciones. Por eso no es correcto concluir «somos pequeños, no necesitamos registro» por el número de empleados. Revisa la frecuencia, el tipo de dato, el riesgo y la actividad. La AEPD ofrece una herramienta de orientación para pymes, pero la empresa sigue siendo responsable de que el registro refleje su actividad.

Usa el RAT para comprobar coherencia. Si el inventario dice que se conservan CV seis meses pero la carpeta de selección conserva archivos indefinidamente, la diferencia necesita decisión. Si aparecen datos de salud, información de menores, perfiles sistemáticos o vigilancia a gran escala, revisa el riesgo y las obligaciones reforzadas. El registro no reemplaza bases jurídicas, contratos ni análisis de impacto; ayuda a detectar qué hay que revisar.

Encargados, subencargados y transferencias

El proveedor necesita instrucciones claras y una relación contractual adecuada. Antes de aprobarlo, evalúa si ofrece garantías suficientes de medidas técnicas y organizativas. Revisa quiénes son sus subencargados, dónde se alojan los datos, qué acceso remoto existe y cómo comunica cambios. Si se procesan datos fuera del Espacio Económico Europeo o quedan accesibles desde otro país, comprueba si hay una transferencia internacional y qué mecanismo jurídico corresponde; la palabra «nube» no responde esa pregunta.

No pidas al proveedor garantías imposibles ni aceptes promesas sin evidencia. Pide documentación proporcionada: descripción de controles, procedimiento de incidentes, reglas de acceso, subencargados relevantes, copias de seguridad y borrado. Para una pyme con bajo riesgo puede bastar una evaluación sencilla; para datos delicados o servicios críticos hará falta más profundidad. La AEPD orienta a pymes con herramientas como FACILITA_RGPD y materiales para el sector privado, pero no certifica automáticamente que cada configuración concreta cumpla.

Al terminar un servicio, concreta si el proveedor devuelve, exporta o suprime datos y cómo confirma el cierre. Comprueba copias de respaldo y períodos técnicos de eliminación sin pedir una afirmación que el contrato no respalde. La empresa debe conservar la evidencia de instrucciones y decisiones, no solo el documento firmado.

Seguridad y brechas: preparar la respuesta antes del incidente

El RGPD exige medidas de seguridad apropiadas al riesgo, no una lista idéntica para todas las empresas. El artículo 32 menciona, entre otras, seudonimización y cifrado cuando procedan, capacidad para mantener confidencialidad, integridad, disponibilidad y resiliencia, restaurar el acceso tras un incidente y probar regularmente la eficacia de las medidas. La selección debe considerar naturaleza, alcance, contexto, fines y riesgos del tratamiento. Artículo 32 del RGPD.

Empieza por accesos y copias: elimina cuentas que ya no se usan, asigna permisos por función, activa autenticación adecuada, limita exportaciones y prueba restauraciones. Protege dispositivos y correo, forma al personal en incidentes frecuentes y documenta cómo se autorizan cambios. Cifrar una copia no arregla permisos excesivos en el sistema activo; una contraseña fuerte tampoco compensa que toda la plantilla comparta la misma cuenta.

Una brecha de datos personales puede implicar pérdida, destrucción, alteración, divulgación o acceso no autorizado. No es solo un ataque informático. Un correo enviado a destinatario equivocado, un portátil perdido o un expediente que queda abierto pueden requerir evaluación. El responsable documenta las brechas y notifica a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de 72 horas desde que tenga constancia, salvo que sea improbable que exista riesgo para los derechos y libertades. Si el riesgo es alto, puede ser necesario informar también a las personas afectadas. Consulta los artículos 33 y 34 del RGPD; no uses las 72 horas como permiso para esperar.

Prepara un canal para avisos internos, responsable de triage, datos mínimos que se registran, decisión sobre riesgo, acciones técnicas y comunicación. Si el proveedor conoce la brecha, el contrato debe facilitar que avise al responsable sin demora. Una revisión posterior debe registrar causa, alcance, decisiones, notificaciones y cambios adoptados.

¿Hace falta un delegado o una evaluación de impacto?

El delegado de protección de datos (DPD) no es obligatorio para toda empresa. El artículo 37 del RGPD establece supuestos, entre ellos ciertos organismos públicos, actividades principales que requieren observación habitual y sistemática a gran escala o tratamiento a gran escala de categorías especiales o datos de condenas. El artículo 34 de la LOPDGDD añade una lista de entidades obligadas. Comprueba ambos marcos y la actividad real; el nombre comercial del sector no basta para decidir.

Aunque no sea obligatorio, el responsable o encargado puede designar voluntariamente un DPD. En ambos casos debe garantizar su independencia, recursos, acceso a la dirección y canal de contacto. La designación o el cese se comunica a la autoridad de control en un plazo de diez días, según el artículo 34.3 de la LOPDGDD. El DPD informa y asesora, supervisa el cumplimiento y coopera con la autoridad; no reemplaza al responsable ni recibe automáticamente toda responsabilidad. Externalizar el puesto tampoco externaliza las decisiones de la empresa. Artículos 34 y 36 de la LOPDGDD.

La evaluación de impacto relativa a protección de datos (EIPD) se plantea antes de un tratamiento que probablemente entrañe alto riesgo, especialmente ante nuevas tecnologías y atendiendo a naturaleza, alcance, contexto y fines. No toda herramienta nueva la exige, y el hecho de que exista un DPD no decide el resultado. Examina los supuestos del artículo 35, consulta listas de la autoridad cuando correspondan y deja constancia de por qué se realiza o no se realiza una evaluación completa. Si tras las medidas previstas queda alto riesgo, consulta el artículo 36 sobre consulta previa.

Cookies, publicidad y datos de plantilla

Los tratamientos de una web deben tener finalidades, base y plazos claros. Para el almacenamiento o acceso a información en dispositivos pueden aplicar además reglas específicas de servicios de comunicaciones electrónicas. No mezcles la gestión técnica de una solicitud con publicidad, analítica o perfilado. La aceptación de cookies tampoco sustituye la información y base que requiere el tratamiento posterior de datos personales. Verifica los criterios actuales de la AEPD antes de configurar el banner.

Los datos laborales requieren la misma estructura de análisis. Una empresa puede tratar datos para contratar, pagar salarios, gestionar permisos, cumplir prevención o atender obligaciones de Seguridad Social. La relación laboral no legitima cualquier uso. En particular, limita quién accede a nóminas y expedientes; la guía sobre acceso a datos de nómina desarrolla ese supuesto.

En selección, pide información pertinente para el puesto y define cuándo se borra; consulta la guía de protección de datos en selección de personal para ese proceso. En vigilancia y prevención pueden entrar otras reglas y datos especialmente sensibles. Mantén aquí el inventario, la base jurídica y el control de accesos, y analiza cada tratamiento específico por separado.

Un plan de trabajo que se puede comprobar

Como lista de trabajo, una pyme puede empezar con seis piezas: inventario/RAT, información de privacidad por canal, tabla de bases y finalidades, contratos de encargo, calendario de conservación y protocolo de incidentes/derechos. No son seis documentos obligatorios por el RGPD ni tienen que ser seis PDFs distintos. La AEPD facilita la elaboración del RAT, las cláusulas informativas, los contratos de encargo y las medidas de seguridad. Las otras piezas ayudan a mantener coherencia entre bases, plazos y respuesta a incidencias.

Ordena el trabajo por riesgo. Primero, datos sensibles, acceso amplio, uso de perfiles, vigilancia, menores, tratamientos de salud y servicios esenciales. Después, proveedores y transferencias; luego procesos de bajo impacto. No uses el tamaño de la empresa como sustituto de esa priorización. Una empresa pequeña puede tratar información de salud a gran escala dentro de su actividad y una organización mayor puede tener tratamientos simples en un proceso concreto.

En una reunión de revisión, pregunta: ¿qué finalidad cubre cada campo? ¿qué alternativa menos intrusiva existe? ¿quién puede consultar y exportar? ¿cuándo se elimina? ¿qué proveedor participa? ¿cómo se atiende una solicitud o incidencia? ¿quién aprueba una nueva finalidad? Si una respuesta no tiene dueño, asigna uno antes de crear más texto de política.

Al cambiar un sistema, revisa de nuevo el flujo. Migrar a una plataforma no crea una base jurídica nueva ni elimina los contratos necesarios. Incorporar IA, videovigilancia o seguimiento de productividad puede modificar alcance, transparencia y riesgos, así que evalúa antes de cargar datos. La empresa debería poder mostrar qué cambió, quién lo valoró y qué salvaguardas adoptó.

Errores que suelen dar falsa tranquilidad

El primer error es confundir documentos con cumplimiento. Un registro de actividades descargado no sirve si no refleja tratamientos reales. Designar voluntariamente un DPD es válido; el error sería darle ese título sin garantizar su independencia, recursos y comunicación a la autoridad. También es un error asumir que el proveedor «se ocupa» de todo porque tiene una certificación. Las garantías ayudan a valorar seguridad, pero el responsable mantiene obligaciones propias.

También es fácil conservar datos por si acaso. Fija criterios ligados a cada finalidad y a obligaciones legales. Bloquear, archivar o separar información puede ser preferible a mantenerla disponible en una carpeta compartida. No establezcas un plazo único para todos los datos de un cliente si facturas, comunicaciones comerciales y soporte tienen funciones distintas.

Otro error es tramitar cualquier ejercicio de derechos con la misma plantilla. Una oposición a marketing, una rectificación, una solicitud de acceso y una supresión requieren analizar alcance, identidad, datos y posibles límites. Deja un canal visible para solicitudes y evita pedir más documentos identificativos de los necesarios. La respuesta debe ser comprensible y quedar registrada.

Por último, no esperes a confirmar si una brecha es «grave» para empezar a preservar hechos. Registra cuándo se detectó, sistemas afectados, categorías de datos, personas potencialmente afectadas, medidas de contención y decisión de notificación. La valoración puede cambiar conforme se conoce más; anota también esa evolución.

Antes de cerrar la revisión

El resultado práctico es un mapa que permite contestar cuatro preguntas: qué datos se usan, qué fin justifica cada uso, qué personas o proveedores intervienen y qué límites protegen a quienes aparecen en la información. Si el mapa señala tratamientos de alto riesgo, datos especiales, transferencias o dudas sobre roles, separa esos puntos y pide una revisión focalizada.

La empresa no necesita afirmar que su sistema es perfecto. Necesita poder explicar decisiones razonables, demostrar que las aplica y corregir las que dejan de encajar. Conserva la versión vigente de inventario, contratos, avisos y procedimientos; marca quién aprobó cada cambio y programa revisiones cuando se incorpora un producto, proveedor o finalidad.

Como siguiente paso, elige un proceso que afecte a clientes o empleados y recórrelo de principio a fin con la persona responsable. Compara formulario, sistema, proveedor, conservación y texto de privacidad. Ese contraste revela más que empezar por una política genérica. Si la revisión identifica información sensible o un riesgo alto, no improvises una solución a partir de una plantilla: concreta el tratamiento y verifica los artículos aplicables del RGPD y la normativa española.

Consulta el centro de recursos jurídicos para otras cuestiones de empresa; esta guía se limita a protección de datos y no ofrece una evaluación individual del cumplimiento.

Cuando la política de privacidad debe explicar el tratamiento de comunicaciones internas, revisa también el canal de denuncias y protección de la confidencialidad, que desarrolla el régimen específico de la Ley 2/2023.

Si necesitas adaptar esta documentación a la organización y los tratamientos concretos, consulta el servicio jurídico con el inventario de datos y finalidades.

Preguntas frecuentes

¿Qué obligaciones RGPD tiene una pequeña empresa?

Debe identificar finalidades, base jurídica, información, derechos, medidas y proveedores según sus tratamientos. El tamaño no elimina las obligaciones; solo afecta a algunas reglas concretas, como la excepción limitada del registro de actividades. Fuente: AEPD, obligaciones de responsables.

¿Cuándo hay que llevar registro de actividades de tratamiento?

El artículo 30 del RGPD exige el registro a responsables y encargados. La excepción para organizaciones con menos de 250 trabajadores tiene condiciones y no se aplica, entre otros supuestos, a tratamientos no ocasionales, de riesgo o con ciertas categorías de datos. Fuente: artículo 30 del RGPD.

¿Cuándo es obligatorio designar delegado de protección de datos?

En los supuestos del artículo 37 del RGPD y los casos adicionales del artículo 34 de la LOPDGDD. También puede designarse voluntariamente; en ambos casos deben respetarse su independencia y la comunicación a la autoridad de control en diez días. RGPD, artículo 37 y LOPDGDD, artículo 34.

¿Qué debe regularse en un contrato con encargado del tratamiento?

Debe fijar instrucciones y materias como confidencialidad, seguridad, subencargados, asistencia, derechos, brechas y devolución o supresión al terminar. La cláusula debe reflejar el servicio real y el artículo 28 del RGPD. Fuente: artículo 28 del RGPD.