Casi cualquier pyme trata datos personales: nóminas, clientes, proveedores, currículums, cámaras de seguridad o simplemente una agenda de contactos. El RGPD no prohíbe tratarlos, exige hacerlo con criterio y poder demostrarlo. La mayoría de las multas pequeñas no vienen de un hackeo, sino de no tener nada documentado.
Qué te exige el RGPD en la práctica
El principio es sencillo: recoger solo los datos necesarios, para una finalidad concreta, conservarlos el tiempo justo y protegerlos. En la práctica se traduce en cinco tareas: inventariar los tratamientos, elegir una base jurídica, informar a las personas, controlar a los proveedores y tener un plan si hay una brecha. Si además tratas datos sensibles a gran escala, necesitarás evaluar el impacto.
Registro de actividades de tratamiento
Es un inventario, no un trámite ante la Agencia Española de Protección de Datos. Para cada actividad anota: finalidad, categorías de datos, categorías de personas, base jurídica, plazo de conservación, destinatarios y medidas de seguridad. Una pyme con empleados suele tener entre seis y diez actividades: gestión laboral, facturación, clientes, proveedores, videovigilancia, selección de personal y marketing.
No confundas el registro con la política de privacidad. El registro es interno y puede ser una hoja de cálculo ordenada; la política es el texto público que explica a las personas qué haces con sus datos. Son documentos distintos, con destinatarios distintos.
Ejemplo: guardar los currículums de candidatos durante dos años «por si acaso» sin base jurídica ni información previa es un tratamiento sin fundamento. Un plazo de seis o doce meses con consentimiento es más defendible.
Elegir bien la base jurídica
Cada tratamiento necesita una base: contrato, obligación legal, interés legítimo, consentimiento, interés vital o misión pública. Facturar y pagar nóminas se apoyan en contrato y obligación legal. El marketing por correo a clientes existentes puede apoyarse en interés legítimo, pero la newsletter a desconocidos requiere consentimiento previo. El consentimiento es la base más frágil: se retira con facilidad y hay que poder demostrar que se dio.
Sea cual sea la base, manda la minimización: no pidas el teléfono si solo necesitas el correo, ni la fecha de nacimiento si no te sirve para nada. Cada dato extra es una obligación extra de custodia y un riesgo extra si algún día hay una brecha. Tampoco conserves datos «por si acaso»: el plazo debe estar justificado.
Encargados del tratamiento y proveedores
Tu gestoría, el proveedor de nóminas, el hosting o la herramienta de correo acceden a datos tuyos: son encargados. Necesitas un contrato que diga qué pueden hacer, que no los usen para fines propios, qué medidas aplican y qué pasa al terminar el servicio. Antes de contratar, comprueba dónde alojan los datos y si hay transferencias fuera del Espacio Económico Europeo.
Los proveedores grandes suelen tener sus propios contratos de encargo. No los firmes sin leer qué dicen sobre el uso de datos y las subcontrataciones. Y si cambias de gestoría o de software, recupera tus datos y exige el borrado de los que queden en el proveedor anterior.
Derechos de las personas
Cualquier persona puede pedir acceso, rectificación, supresión, oposición, limitación y portabilidad. Debes responder en un mes, sin cobrar y por un canal identificable. Ten un procedimiento escrito y un correo dedicado; no improvises cuando llegue la primera solicitud. En la web necesitas una política de privacidad clara y, si usas cookies no esenciales, un banner con rechazo real.
Guarda prueba de cada solicitud y de la respuesta dada. Si alguien de tu equipo atiende estas peticiones, fórmalo: no puede pedir más datos de los necesarios ni negarse sin motivo por escrito.
Brechas de seguridad: ten el plan antes
Una brecha es cualquier incidente que comprometa la confidencialidad, integridad o disponibilidad de los datos: un portátil perdido, un correo enviado con las direcciones a la vista, un ransomware. Si hay riesgo para las personas, notifícalo a la Agencia en 72 horas. Documenta siempre el incidente, aunque no haya que notificar.
Un incidente no siempre es un ataque: enviar una nómina a la dirección equivocada también es una brecha. Lo importante es detectarla, contenerla y corregir la causa para que no se repita.
Preguntas frecuentes
¿Estoy obligado a tener un delegado de protección de datos?
Solo en supuestos concretos: tratamiento a gran escala de datos sensibles, observación sistemática de personas o administraciones. La mayoría de las pymes no lo necesita.
¿Cuánto tiempo puedo guardar las facturas?
La normativa fiscal obliga a conservarlas varios años. Ese plazo es la base jurídica para mantenerlas, aunque el cliente ya no sea cliente.