Protección de datos en empresas: cuándo es obligatoria

Si tu empresa trata datos de personas, la protección de datos no es un extra. El RGPD y la LOPDGDD (la ley española que lo concreta) se aplican cuando hay un tratamiento de datos personales, automatizado o guardado en un fichero. Da igual que seas una pyme, una tienda o una sociedad grande: el tamaño no te saca de la norma. Lo que cambia es lo exigente que es el cumplimiento.

Esta guía resume cuándo es obligatorio, qué suele haber que tener por escrito y qué parte se resuelve en la web. No sustituye a un despacho: el registro de actividades, el delegado de protección de datos o un protocolo de brechas, cuando tocan, los cierra quien lleva el asesoramiento jurídico. En la web, lo que dejamos montado es el aviso, las cookies y los formularios.

Cuándo es obligatoria

Hay tratamiento en cuanto recoges, guardas, usas o cedes datos que identifican a una persona: nombre, email, teléfono, IP, un pedido, una nómina. Si tienes clientes particulares, una web con formulario, una newsletter o proveedores que son autónomos, ya estás tratando datos.

No hace falta tener empleados. Una empresa unipersonal que vende a personas físicas, o que capta contactos desde la web, es responsable del tratamiento. Quien te lleva la gestoría, el hosting o el email puede ser encargado: accede a esos datos para prestarte un servicio, con un contrato de encargo, no porque los datos pasen a ser suyos.

Tampoco importa que la empresa esté fuera de España si dirige productos o servicios a personas en España, o si trata sus datos de forma habitual. El RGPD mira a quién van dirigidos los datos, no solo dónde está la sede.

La norma no distingue pymes de grandes a la hora de decir «cumple». Sí distingue el volumen y el tipo de dato. Una clínica, un centro que perfila usuarios a gran escala o quien trata datos de salud tiene obligaciones más duras que un comercio que solo guarda nombre y email de quien pide presupuesto.

Qué te obliga la norma, en la práctica

Del RGPD salen unas pocas obligaciones que luego se convierten en papeles y en decisiones de la web:

1. Informar. La persona tiene que saber quién trata sus datos, para qué, durante cuánto tiempo y con qué base legal.
2. Tener una base legal. Contrato, obligación legal, interés legítimo o consentimiento. El consentimiento, cuando es la base, tiene que ser claro y previo. En cookies no necesarias no vale un botón de «seguir navegando».
3. Limitar el dato. Solo el que hace falta, actualizado, y no guardado «por si acaso» durante años.
4. Protegerlo. Medidas técnicas y de organización para que no se pierda, no se filtre y siga disponible. Cuáles, sale de un análisis de riesgos. Si el tratamiento es de alto riesgo (salud, gran volumen, vigilancia), hace falta una evaluación de impacto antes de empezar.
5. Poder demostrarlo. Políticas, registro de actividades cuando toca, contratos con encargados, cláusulas en formularios y en emails.
6. Dejar ejercer los derechos. Acceso, rectificación, supresión, limitación, portabilidad y oposición. Una vía de contacto (un email basta) tiene que salir en los textos. El plazo de respuesta es de un mes. Si deniegas, hay que explicar por qué.
7. Avisar de una brecha. Si el incidente pone en riesgo derechos y libertades, la notificación a la AEPD va en 72 horas desde que la conoces. Para llegar a tiempo hace falta un protocolo escrito: qué se hace desde que alguien detecta el fallo hasta que se cierra.

¿Hace falta un delegado de protección de datos?

No en todas las empresas. El RGPD lo exige cuando el núcleo de la actividad es vigilar de forma sistemática y a gran escala, o tratar a gran escala categorías especiales (salud, origen, creencias, datos biométricos), y también en las administraciones públicas.

En España, el artículo 34 de la LOPDGDD añade una lista concreta. Entran, entre otras, colegios profesionales, centros docentes y universidades, centros sanitarios obligados a llevar historia clínica (no el profesional que ejerce solo), aseguradoras, operadores de juego online, empresas de seguridad privada, entidades de publicidad y prospección comercial cuando perfilan a gran escala, y federaciones deportivas si tratan datos de menores. La lista completa está en ese artículo: no la sustituye el número de empleados.

Tener 250 trabajadores no es, por sí solo, el umbral del delegado. Ese número sale en otra pieza: el registro de actividades de tratamiento. Por debajo de 250 empleados el registro no siempre es obligatorio, salvo que el tratamiento no sea ocasional, incluya categorías especiales o datos de condenas, o pueda suponer un riesgo. Conviene no mezclar las dos cosas.

Si te toca delegado, puede ser una persona de la plantilla (con independencia real, sin conflicto con otras funciones) o un servicio externo. Contratar una consultora de protección de datos no es obligatorio. Lo obligatorio es cumplir. El servicio externo es una forma de hacerlo cuando dentro no hay quien lo lleve.

Cómo se adapta una empresa, paso a paso

El orden importa, porque cada paso depende del anterior. Una clínica no hace el mismo recorrido que una tienda online, pero el esqueleto es este.

1. Saber qué datos hay

Anota qué recoges, de quién, para qué y dónde se guarda: clientes, nóminas, el formulario de la web, el programa de facturación, la herramienta de email. Sin ese mapa, el resto son papeles genéricos.

2. Ver a quién se los cedes

Hay cesión o encargo cuando otra empresa accede a esos datos para trabajar para ti: la gestoría de las nóminas, el hosting, la plataforma de email, un CRM. Si el proveedor está fuera del Espacio Económico Europeo, es una transferencia internacional. Google Analytics, por ejemplo, puede implicar una. Hay que informarlo en la política de privacidad y, con el encargado, firmar un contrato de encargo. No basta con dar de alta la herramienta.

3. Decidir si hace falta delegado

Cruza tu actividad con el artículo 37 del RGPD y con el 34 de la LOPDGDD. Si no estás en esos supuestos, no tienes que nombrar delegado. Si estás, nómbralo antes de seguir tratando como si no existiera.

4. Medidas de seguridad a la medida del riesgo

Copias, accesos por persona, cifrado donde el dato lo pida, y un análisis de riesgos antes del tratamiento. Si el riesgo para las personas es alto y no hay medida que lo baje, ese tratamiento no se hace. La evaluación de impacto no es un trámite de todas las pymes: es para los casos de alto riesgo.

5. La documentación que acredita el cumplimiento

Lo habitual en una empresa que trata datos de clientes y de la web:

• Política de protección de datos, interna, con cómo se manejan los datos en el día a día
• Registro de actividades, cuando no te aplica la excepción de menos de 250 empleados
• Contratos de encargo con gestoría, hosting, email y quien acceda a los datos
• Cláusulas en contratos, formularios y pies de email
• Textos de la web: privacidad, aviso legal, política de cookies y el aviso en el formulario
• Acuerdos de confidencialidad con quien, dentro, ve datos de otras personas

6. Una vía real para los derechos

Un email visible en la privacidad, en los formularios y, si hay cámaras, en el cartel. Alguien tiene que leerlo y contestar en el plazo de un mes.

7. Protocolo de brechas y revisión

El protocolo describe qué se hace desde el aviso interno hasta el cierre, incluida la notificación a la AEPD en 72 horas si el riesgo lo exige. La auditoría periódica no es obligatoria por ley en todos los casos, pero es la forma de ver si lo escrito se cumple. Tiene sentido repetirla cada cierto tiempo, o cuando vayas a abrir un tratamiento nuevo (una app, una pasarela, un fichaje). La formación del equipo tampoco está escrita como un artículo suelto, y aun así una negligencia de quien abre un Excel de clientes es una sanción de la empresa, no solo un despiste.

Qué se ve en la web, y qué no

Quien entra en tu sitio tiene que poder leer para qué usas sus datos y decidir las cookies que no son necesarias. Eso es política de privacidad, aviso legal, política de cookies y un sistema que bloquee lo no esencial hasta que haya un sí. El consentimiento hay que poder demostrarlo.

En Wecomm esa parte de la web la cubrimos con el sistema de cookies RGPD: banner propio, bloqueo de scripts, Consent Mode v2 y el registro del consentimiento en tu servidor. El formulario de contacto lleva la cláusula y el enlace a la privacidad. No es el delegado de protección de datos de la empresa, ni el protocolo de brechas, ni la auditoría del despacho.

Sanciones

Los artículos 71 a 74 de la LOPDGDD describen las conductas sancionables. El artículo 83 del RGPD dice cómo se gradúa la multa: qué dato era, cuánto duró, si hubo intención y qué hiciste para cortar el daño. El tope administrativo del RGPD llega a 20 millones de euros o al 4 % de la facturación anual global del ejercicio anterior, el que sea mayor. En una pyme la cifra real suele ser otra, pero la obligación no espera a que el negocio sea grande.

Por dónde empezar

1. Lista qué datos personales tienes, de quién y dónde viven.
2. Marca qué proveedores los ven y si hay contrato de encargo.
3. Comprueba si tu actividad está en la lista del delegado. Si no, no lo nombres por inercia.
4. Revisa que la web informe, que las cookies no necesarias esperen al consentimiento y que el formulario no recoja de más.
5. Deja un email para los derechos y un modo de avisar una brecha en 72 horas.

Si lo que te falta es la parte pública de la web, el banner y los textos, está en la consultoría de protección de datos. Si lo que te falta es el delegado, el registro de actividades o la evaluación de impacto, eso va con quien asesore la protección de datos de la empresa, no con el diseño de la página.

Comparte este artículo

LinkedInXWhatsAppCopiar enlace