RGPD
El RGPD, o Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), es la norma de la Unión Europea que fija cómo pueden recogerse, usarse, guardarse y compartirse los datos personales. Se aplica desde el 25 de mayo de 2018 en todos los Estados miembros. En España lo completa la Ley Orgánica 3/2018 y lo supervisa la Agencia Española de Protección de Datos (AEPD). Afecta a cualquier autónomo o pyme que trate datos de clientes, empleados o contactos profesionales.
Qué es el RGPD (Reglamento General de Protección de Datos)
El RGPD es el reglamento europeo que dice qué puede hacer una empresa con los datos de las personas y cómo debe protegerlos. Es igual en los 27 Estados miembros de la Unión y se aplica directamente, sin necesidad de que cada país lo copie en una ley propia.
Dos definiciones del propio Reglamento (UE) 2016/679 explican por qué afecta a casi todos los negocios. Datos personales es «toda información sobre una persona física identificada o identificable»: un nombre, un número de documento, un correo, una dirección IP. Y tratamiento es cualquier operación con esos datos: recogerlos, guardarlos, consultarlos, enviarlos o borrarlos. Una hoja de cálculo de clientes, una agenda en el móvil (celular) de la empresa o una carpeta de nóminas en la nube ya son tratamientos.
En España, el RGPD convive con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, que concreta algunos puntos, y la autoridad de control es la Agencia Española de Protección de Datos (AEPD). En noviembre de 2025, la Comisión Europea propuso modificar algunos puntos del RGPD dentro de un paquete de simplificación digital conocido como «Digital Omnibus»; a fecha de octubre de 2026 la propuesta sigue en tramitación, y el texto aplicable es el de 2016.
El código de circulación de los datos
El RGPD se parece mucho a un código de circulación. Nadie te pide permiso para sacar el coche cada mañana, pero hay normas: adónde puedes ir, a qué velocidad, en qué estado debe estar el vehículo y qué haces si tienes un accidente.
Con los datos ocurre igual. El RGPD no prohíbe usar datos personales; establece cómo. Cada uso debe tener un destino claro, que el reglamento llama finalidad. No cargas más de lo necesario: es la minimización. No dejas el coche aparcado para siempre: los datos se guardan el tiempo justo. Mantienes los frenos en buen estado, que aquí son las medidas de seguridad. Y llevas la documentación en regla para demostrar, si te paran, que cumples: es la «responsabilidad proactiva».
La comparación sirve también para dos situaciones menos evidentes. Si tienes un accidente, lo comunicas: ante una violación de la seguridad de los datos, el responsable debe avisar a la autoridad en un plazo máximo de 72 horas, salvo que sea improbable que suponga un riesgo. Y quien conduce en un país respeta su código aunque lleve matrícula extranjera: una empresa de fuera de la UE puede tener que cumplir el RGPD si se dirige a personas que están en la Unión.
Lo que pide el RGPD, en la práctica
La tabla resume las obligaciones que más afectan a un autónomo o a una pyme, con el artículo del reglamento donde se encuentran:
| Obligación | Artículo | Qué significa para un negocio pequeño |
|---|---|---|
| Base legal para cada uso | 6 | Facturar a un cliente se apoya en el contrato y en las obligaciones legales; otros usos, como un boletín comercial, necesitan su propia base |
| Informar a las personas | 12 a 14 | Una cláusula clara en formularios, contratos y presupuestos: quién trata los datos, para qué y cómo ejercer los derechos |
| Minimización y conservación | 5 | Pedir solo lo necesario y fijar cuánto tiempo se guarda cada dato |
| Seguridad | 5 y 32 | Contraseñas fuertes, verificación en dos pasos, cifrado, copias de seguridad, permisos revisados |
| Contrato con los proveedores | 28 | Un contrato de encargado del tratamiento con quien trata datos por ti: nube, gestoría, programa de nóminas |
| Registro de actividades | 30 | Obligatorio salvo para organizaciones de menos de 250 personas cuyo tratamiento sea ocasional, sin riesgo y sin datos especialmente protegidos |
| Notificar violaciones | 33 | Avisar a la autoridad de control en 72 horas si un incidente pone en riesgo a las personas |
| Atender derechos | 15 a 22 | Responder a peticiones de acceso, rectificación, supresión, oposición, limitación y portabilidad |
No todas las empresas necesitan un delegado de protección de datos: el artículo 37 lo exige a organismos públicos y a quienes, como actividad principal, observan a personas a gran escala o tratan a gran escala datos especialmente protegidos.
Cómo saber si te afecta, paso a paso
- ¿Tratas datos de personas físicas? Clientes particulares, empleados, contactos de proveedores. Solo queda fuera lo que una persona hace en actividades «exclusivamente personales o domésticas», como la agenda de tu familia.
- ¿Tu negocio está establecido en la UE? Entonces se aplica a tus tratamientos, se hagan en la Unión o fuera (artículo 3.1). También si tu equipo o tu proveedor de nube están en otro continente.
- ¿Estás fuera de la UE? Mira el apartado siguiente.
- Haz inventario: qué datos tienes, para qué los usas, dónde están, incluida la nube, y quién accede.
- Revisa base legal, información, contratos y seguridad con la tabla anterior.
¿Y en América Latina?
El RGPD es una norma europea. No se aplica, en general, a una empresa de México, Colombia o Chile que trabaja con clientes de su propio país: cada país latinoamericano tiene sus propias normas de protección de datos.
Hay una excepción que conviene conocer. Según el artículo 3.2, el RGPD se aplica a un responsable o encargado no establecido en la Unión que trata datos de personas que residen en la Unión cuando ese tratamiento está relacionado con:
- ofrecerles bienes o servicios en la Unión, aunque sean gratuitos, o
- controlar su comportamiento, en la medida en que ocurra en la Unión.
Una empresa de software de Bogotá que vende suscripciones a clientes en España puede entrar en el primer caso. Si es así, el artículo 27 le pide además designar por escrito un representante en la Unión, salvo excepciones como el tratamiento ocasional y de bajo riesgo. Una consultora de Monterrey que solo trabaja con empresas mexicanas, en cambio, se rige por la ley de México. Ante la duda, la respuesta depende de los detalles y merece una consulta especializada.
Un ejemplo: un taller de bicicletas en Valladolid
Un taller y tienda de bicicletas de tres personas en Valladolid guarda el nombre, el teléfono y el correo de sus clientes, el número de serie de cada bicicleta y el historial de reparaciones en un programa de gestión en la nube. Envía un boletín con ofertas y tiene la nómina de sus empleados en una gestoría.
En una tarde, el taller hace lo esencial. Usa Facilita RGPD, la herramienta gratuita de la AEPD para tratamientos de escaso riesgo, que genera las cláusulas informativas, el registro de actividades, un anexo de medidas de seguridad y las cláusulas para los contratos con encargados. Comprueba que el proveedor del programa de gestión y la gestoría tienen firmado ese contrato. Añade una casilla de consentimiento al formulario del boletín, que antes no la tenía. Y activa la verificación en dos pasos en las cuentas de la nube.
La propia AEPD advierte que los documentos de Facilita RGPD no garantizan por sí solos el cumplimiento: son un punto de partida, que conviene revisar cuando el negocio cambia.
Ideas erróneas sobre el RGPD
- «Soy autónomo, esto es para empresas grandes». El tamaño no te exime: un fotógrafo con fichas de clientes trata datos personales. Algunas obligaciones, como el registro, tienen excepciones para organizaciones pequeñas, pero no el resto.
- «Con una casilla de consentimiento ya cumplo». El consentimiento es solo una de las seis bases legales del artículo 6, y muchas veces no es la adecuada.
- «Si uso Google o Microsoft, el cumplimiento es cosa suya». Tú sigues siendo el responsable; el proveedor actúa como encargado y debes elegir uno que ofrezca garantías suficientes.
- «Las multas son siempre millonarias». Los 20 millones de euros o el 4 % de la facturación mundial, la cifra que sea mayor, son el máximo para las infracciones más graves. El reglamento exige que las multas sean, «en cada caso individual», «efectivas, proporcionadas y disuasorias», teniendo en cuenta las circunstancias.
Qué puedes hacer hoy
- Haz un inventario de los datos personales que tienes, para qué los usas y en qué servicios están guardados.
- Si trabajas en España con tratamientos sencillos, prueba Facilita RGPD de la AEPD y revisa el resultado.
- Localiza los contratos de encargado del tratamiento de tus proveedores de nube, software y gestoría.
- Revisa tus formularios: que informen con claridad y pidan solo lo necesario.
- Escribe qué harás ante una brecha: quién decide, cómo se notifica a la autoridad y en qué plazo.
Muchos de tus encargados del tratamiento serán servicios de software como servicio (SaaS) y de almacenamiento de archivos online. Si estás eligiendo dónde guardar los datos de tus clientes, la guía sobre dónde guardar los documentos de tu empresa incluye una parte dedicada a la protección de datos.