Checklist RGPD y LOPDGDD para pymes: 12 puntos que revisa la AEPD

Por qué el RGPD afecta a cualquier pyme y cómo actúa la AEPD

El RGPD es el Reglamento (UE) 2016/679, de aplicación directa en toda la Unión desde el 25 de mayo de 2018. En España lo completa la Ley Orgánica 3/2018 (LOPDGDD), que concreta cuestiones como el delegado de protección de datos, la videovigilancia, el control de dispositivos de los empleados y el régimen sancionador. Ninguna de las dos normas distingue por tamaño: una gestoría de cinco empleados tiene las mismas obligaciones de fondo que una multinacional.

La AEPD actúa sobre todo a partir de reclamaciones de particulares: un cliente que no consigue que se borren sus datos, un candidato cuyo currículum acabó en manos de terceros o un empleado monitorizado sin haber sido informado. Cuando la reclamación se admite, la Agencia requiere información a la empresa y puede archivar, apercibir o abrir un procedimiento sancionador. Los doce puntos siguientes se corresponden con lo que suele solicitar en esos requerimientos.

Puntos 1 a 3: registro de actividades, base jurídica e información

El primer punto es el registro de actividades de tratamiento (artículo 30 RGPD): el inventario de qué datos trata la empresa, para qué, con qué base jurídica, a quién se comunican, cuánto tiempo se conservan y con qué medidas de seguridad. La exención para empresas de menos de 250 empleados es muy limitada, porque no aplica si el tratamiento no es ocasional, y tratar datos de clientes o empleados nunca lo es. En la práctica, toda pyme necesita el registro, y es el primer documento que la AEPD pide.

El segundo punto es la base jurídica (artículo 6). Cada tratamiento debe apoyarse en una de las seis bases: consentimiento, contrato, obligación legal, interés vital, interés público o interés legítimo. El error más común es apoyarlo todo en el consentimiento, la base más frágil porque puede retirarse. Gestionar los datos de un cliente para prestarle el servicio se basa en el contrato; conservar facturas, en la obligación legal; enviar publicidad a clientes existentes sobre productos similares, en el interés legítimo con derecho de oposición. El interés legítimo exige una ponderación documentada.

El tercer punto es el deber de información (artículos 13 y 14). Las personas deben saber quién es el responsable, para qué se usan sus datos, la base jurídica, los destinatarios, los plazos de conservación, sus derechos y si hay transferencias internacionales. La LOPDGDD permite informar por capas: un primer nivel breve en el formulario o el cartel y uno completo en la web. La AEPD comprueba que la información es completa y que estaba disponible al recoger los datos, no después.

Puntos 4 a 6: consentimiento, delegado de protección de datos y análisis de riesgos

El cuarto punto es la validez del consentimiento cuando esa es la base elegida (artículo 7). Debe ser libre, específico, informado e inequívoco, mediante una acción afirmativa clara; las casillas premarcadas o el silencio no valen. Debe ser tan fácil retirarlo como darlo, y la empresa tiene que poder demostrar que lo obtuvo: fecha, texto mostrado y forma de aceptación. Las cookies no necesarias siguen la misma lógica.

El quinto punto es el delegado de protección de datos (DPD). El RGPD lo exige cuando la actividad principal implica observación habitual y sistemática a gran escala o tratamiento a gran escala de categorías especiales. El artículo 34 de la LOPDGDD añade una lista de entidades que deben designarlo siempre, entre ellas centros sanitarios, centros docentes, entidades financieras, aseguradoras y quienes realizan publicidad basada en perfiles. El DPD debe comunicarse a la AEPD en un plazo de diez días.

El sexto punto es el análisis de riesgos y, cuando proceda, la evaluación de impacto (EIPD, artículo 35). Toda empresa debe haber analizado los riesgos de sus tratamientos para decidir las medidas de seguridad. La EIPD formal es obligatoria cuando el tratamiento supone probablemente un alto riesgo, y la AEPD publica una lista orientativa: perfilado, decisiones automatizadas, observación sistemática, datos sensibles a gran escala o geolocalización, entre otros. La Agencia ofrece herramientas gratuitas para ambas tareas.

Puntos 7 a 9: encargados de tratamiento, brechas de seguridad y derechos

El séptimo punto son los encargados de tratamiento (artículo 28). Cualquier proveedor que acceda a datos personales por cuenta de la empresa, como la gestoría laboral, el alojamiento web, el CRM o la agencia de marketing, es un encargado, y la relación debe regularse por un contrato con el contenido mínimo del artículo 28: objeto, duración, tipo de datos, confidencialidad, medidas de seguridad, subencargados, asistencia con los derechos y destino de los datos al terminar. La AEPD pide estos contratos.

El octavo punto son las brechas de seguridad (artículos 33 y 34). Ante un ransomware, un correo enviado a destinatarios equivocados o la pérdida de un portátil, la empresa debe evaluar el riesgo y, salvo que sea improbable que suponga un riesgo para las personas, notificarlo a la AEPD en un plazo de 72 horas desde que tuvo constancia. Si el riesgo es alto, debe además comunicarlo a los afectados sin dilación indebida. Todas las brechas deben documentarse en un registro interno. Lo que la Agencia sanciona con más frecuencia no es sufrir la brecha, sino no tener procedimiento o notificar tarde.

El noveno punto es la atención de derechos (artículos 15 a 22): acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas. Hay que responder en el plazo de un mes, ampliable dos meses más en casos complejos, de forma gratuita, con un procedimiento para identificar al solicitante, un canal visible y un registro de solicitudes y respuestas. Gran parte de las reclamaciones que llegan a la AEPD nacen de una solicitud de supresión o acceso que nadie contestó.

Puntos 10 a 12: transferencias internacionales, seguridad y responsabilidad proactiva

El décimo punto son las transferencias internacionales (capítulo V). Usar servicios en la nube con servidores o soporte fuera del Espacio Económico Europeo es una transferencia. Es lícita si el país tiene decisión de adecuación de la Comisión Europea, si el proveedor estadounidense está adherido al Marco de Privacidad de Datos UE-EE. UU., o si se han firmado las cláusulas contractuales tipo con una evaluación del impacto de la transferencia. La empresa debe saber dónde están sus datos y con qué instrumento se cubre cada transferencia.

El undécimo punto son las medidas de seguridad técnicas y organizativas (artículo 32). El RGPD no fija una lista cerrada, sino medidas apropiadas al riesgo: cifrado cuando proceda, control de accesos, copias de seguridad probadas, sistemas actualizados y autenticación reforzada. Ante una brecha, la AEPD pregunta qué medidas existían y si eran razonables para el tipo de datos y el tamaño de la empresa. Contraseñas compartidas, ausencia de copias o portátiles sin cifrar son hallazgos habituales.

El duodécimo punto es la responsabilidad proactiva (artículos 5.2 y 24): la empresa tiene que poder demostrar que cumple. Eso se traduce en políticas escritas, formación del personal con registro, cláusulas de confidencialidad firmadas, revisión periódica del registro de actividades y de los plazos de conservación, y evidencia de que las medidas se aplican. La LOPDGDD añade obligaciones concretas como el cartel de videovigilancia o los criterios de uso de dispositivos digitales comunicados a los empleados.

Carencias típicas que la AEPD encuentra en pymes

Las resoluciones publicadas por la Agencia muestran un patrón constante en empresas pequeñas. No suelen ser tratamientos ilícitos deliberados, sino falta de organización: documentación nunca actualizada, proveedores sin contrato de encargo, formularios web sin información o solicitudes de derechos que se quedan en una bandeja de entrada.

• Registro de actividades copiado de una plantilla que no refleja los tratamientos reales.
• Comunicaciones comerciales sin base jurídica ni posibilidad sencilla de oposición.
• Correos masivos con los destinatarios en copia visible, una de las brechas más notificadas.
• Videovigilancia sin cartel informativo o con cámaras que graban la vía pública.
• Ausencia de contrato con la gestoría, el proveedor de software o la agencia de marketing.

Cómo revisar el cumplimiento sin bloquear la empresa

Para una pyme, lo más práctico es empezar por el registro de actividades, porque obliga a inventariar todo lo demás. Con el registro sobre la mesa, el resto de puntos se convierten en tareas concretas: redactar la información por capas, firmar contratos con encargados, definir los procedimientos de derechos y de brechas, revisar dónde están los datos en la nube y formar al equipo.

La AEPD ofrece recursos gratuitos: la herramienta Facilita para tratamientos de bajo riesgo, guías sectoriales, modelos de cláusulas informativas y herramientas de análisis de riesgos y EIPD. Conviene fijar además una revisión anual, porque los tratamientos cambian cada vez que se contrata una herramienta nueva o se abre un canal de venta.

Una autoevaluación gratuita en baltum.ai le muestra en pocos minutos cuáles de estos doce puntos tiene cubiertos y cuáles necesitan atención, para priorizar el trabajo antes de que la primera reclamación decida el orden por usted.

Este artículo es informativo y no constituye asesoramiento jurídico. baltum.ai es un software independiente, no un organismo de certificación.