# RGPD y nube: lo que debe hacer una pyme española

> Qué obligaciones del RGPD y la LOPDGDD se aplican cuando una pyme española guarda datos de clientes en la nube: contrato, registro, seguridad y brechas.

El **RGPD en la nube** se aplica a cualquier pyme española que guarde datos personales de clientes, empleados o proveedores en un servicio online. El Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018 (LOPDGDD) obligan a elegir un proveedor con garantías suficientes, firmar con él un contrato de encargado del tratamiento, informar a los interesados, aplicar medidas de seguridad, llevar el registro de actividades cuando corresponda y notificar a la AEPD, en un máximo de 72 horas, las brechas que supongan un riesgo.

**En resumen**

1. En España, el proveedor que guarda datos personales por cuenta de una empresa es un encargado del tratamiento y el RGPD exige un contrato por escrito con él (art. 28).
2. La empresa debe aplicar medidas de seguridad adecuadas al riesgo y notificar a la AEPD las brechas con riesgo en un máximo de 72 horas desde que tenga constancia de ellas.
3. La exención del registro de actividades para organizaciones de menos de 250 personas no se aplica si el tratamiento no es ocasional, entraña un riesgo o incluye datos sensibles.


## RGPD en la nube: las obligaciones que no se delegan

Una gestoría de Valencia que sube nóminas a la nube, una clínica de fisioterapia de Bilbao con los historiales en un servicio online o una tienda en línea de Zaragoza con su lista de clientes en una carpeta compartida tienen algo en común: tratan datos personales y siguen siendo responsables de ellos aunque estén en los servidores de otro. El [Reglamento General de Protección de Datos](https://www.boe.es/buscar/doc.php?id=DOUE-L-2016-80807), aplicable en toda la Unión Europea, y la LOPDGDD, que lo completa en España, fijan lo que eso implica. Esta página desarrolla para España lo que resume la guía sobre [la protección de datos en la nube país por país](/guias/almacenamiento-en-la-nube/proteccion-de-datos/).

La respuesta corta: contratar la nube no traslada la responsabilidad al proveedor. Tu empresa decide qué datos sube, para qué y quién accede; el proveedor los guarda siguiendo tus instrucciones. Lo que sigue es información general: si tratas datos sensibles o a gran escala, conviene que lo revise un profesional de la protección de datos.

### Quién es quién cuando los datos están en la nube

El RGPD define dos papeles que conviene tener claros antes de leer cualquier contrato:

- **Responsable del tratamiento (art. 4.7).** Quien decide los fines y los medios: tu empresa.
- **Encargado del tratamiento (art. 4.8).** Quien trata datos personales «por cuenta del responsable»: el servicio de almacenamiento, el correo o el programa de facturación en la nube.

El proveedor, a su vez, suele apoyarse en otras empresas (centros de datos, soporte técnico). Son subencargados, y solo pueden intervenir con tu autorización previa por escrito, específica o general (art. 28.2). En la práctica, los grandes proveedores publican una lista de subencargados y avisan de los cambios.

### Siete tareas para una pyme con datos en la nube

Esta tabla resume dónde está cada obligación y cómo se traduce cuando los archivos viven en un servicio online. Puedes copiarla y añadir una columna con el estado de cada punto en tu empresa.

| Tarea | Dónde está | Qué significa con tu nube |
|---|---|---|
| Elegir un proveedor con garantías | RGPD, art. 28.1 | Revisar certificaciones, ubicación de los datos y documentación de seguridad antes de contratar |
| Firmar el contrato de encargado | RGPD, art. 28.3 y 28.9; LOPDGDD, art. 33 | Aceptar el anexo de tratamiento de datos del proveedor y guardar una copia fechada |
| Informar a los interesados | RGPD, art. 13 | Tu política de privacidad menciona los destinatarios de los datos y, si los hay, las transferencias fuera de la UE |
| Llevar el registro de actividades | RGPD, art. 30 | Anotar cada tratamiento, sus destinatarios, las transferencias y las medidas de seguridad |
| Aplicar medidas de seguridad | RGPD, art. 32 | Verificación en dos pasos, permisos mínimos, cifrado, copias que se puedan restaurar y revisiones periódicas |
| Gestionar las brechas | RGPD, arts. 33 y 34 | Saber quién decide y quién notifica si se filtra una carpeta o se pierde un portátil (laptop) |
| Revisar las transferencias | RGPD, capítulo V | Comprobar si los datos salen del Espacio Económico Europeo y con qué garantías |

*Fuentes: RGPD (texto del DOUE en el BOE) y LOPDGDD consolidada a 27 de diciembre de 2025, consultados el 13 de octubre de 2026.*

### El registro y la excepción de las 250 personas

El artículo 30.5 exime del registro de actividades a las organizaciones de menos de 250 personas, pero con tres condiciones: que el tratamiento no entrañe un riesgo para los derechos de los interesados, que sea ocasional y que no incluya datos sensibles. La base de clientes que consultas cada semana difícilmente es ocasional, así que la mayoría de pymes acaba llevando el registro.

La Comisión Europea propuso en mayo de 2025 ampliar esta excepción dentro del paquete de simplificación conocido como «Ómnibus IV». En junio de 2026, el Consejo y el Parlamento Europeo cerraron un acuerdo provisional que la extiende a las empresas y organizaciones de menos de 1000 personas, salvo cuando el tratamiento probablemente entrañe un alto riesgo para los interesados o su actividad principal obligue a nombrar un delegado de protección de datos. A 14 de octubre de 2026, faltan la votación en el pleno del Parlamento y la adopción formal por el Consejo. Mientras el cambio no se publique en el Diario Oficial de la UE y entre en vigor, se aplica el texto actual.

Para tratamientos de escaso riesgo, la AEPD ofrece [Facilita RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/facilita-rgpd), una herramienta gratuita que genera las cláusulas informativas, las cláusulas del contrato de encargado, el registro de actividades y un anexo de medidas de seguridad mínimas. No sirve para datos de salud ni para tratamientos a gran escala.

### Brechas: el reloj de las 72 horas

Si una carpeta con datos de clientes queda expuesta por un enlace público, o un portátil con la nube sincronizada desaparece en un tren, el artículo 33 obliga a notificarlo a la AEPD «sin dilación indebida y, de ser posible, a más tardar 72 horas después» de tener constancia, salvo que sea improbable que suponga un riesgo. El proveedor, como encargado, debe avisarte a ti sin dilación indebida cuando la brecha ocurre en su lado. Si el riesgo es alto, también hay que informar a las personas afectadas (art. 34).

La AEPD ofrece [Asesora Brecha](https://www.aepd.es/guias-y-herramientas/herramientas/asesora-brecha), un formulario que ayuda a decidir si una brecha debe notificarse. La decisión final sigue siendo tuya.

### Lo que añade la ley española

La LOPDGDD completa el reglamento en varios puntos. Su artículo 34 obliga a designar un delegado de protección de datos a ciertas entidades, entre ellas los colegios profesionales, los centros docentes y los centros sanitarios obligados a llevar historias clínicas, salvo los profesionales sanitarios que ejercen a título individual. Las multas, en cambio, vienen del RGPD: hasta 10 o 20 millones de euros, o el 2 % o el 4 % de la facturación anual mundial si es mayor, según la infracción (art. 83).

### El contrato que firmas sin darte cuenta

Al crear la cuenta de empresa en un servicio de nube aceptas casi siempre un anexo de tratamiento de datos. Leer [qué debe incluir el contrato con tu proveedor](/guias/almacenamiento-en-la-nube/proteccion-de-datos/encargado-del-tratamiento/) ayuda a comprobar que cubre lo que pide el artículo 28.

### Servidores en Estados Unidos y otros destinos

Muchos proveedores tienen centros de datos fuera de Europa. Cuándo eso es legal, y con qué garantías, lo explica la página sobre [los datos que salen del Espacio Económico Europeo](/guias/almacenamiento-en-la-nube/proteccion-de-datos/transferencias-internacionales/).

### Un caso práctico con Google Drive

Para ver todo esto aplicado a un servicio concreto, el repaso de [Drive con datos de clientes y el reglamento europeo](/guias/almacenamiento-en-la-nube/proteccion-de-datos/google-drive-y-rgpd/) recorre la configuración paso a paso.