Facilita RGPD: què és l'eina de l'AEPD i fins on arriba

Facilita RGPD és una de les eines més conegudes de l'Agència Espanyola de Protecció de Dades, i també una de les pitjor interpretades. És gratuïta, és útil i està pensada amb bona intenció, però només funciona per a un perfil molt concret de negoci. Aquesta guia explica què és Facilita, quina documentació genera, per a qui serveix de veritat i —el més important— on són els seus límits, perquè sàpigues si la teva empresa entra dins del seu abast o se n'ha quedat fora sense adonar-se'n.

Què és Facilita RGPD?

Facilita RGPD és una eina gratuïta en línia desenvolupada per l'Agència Espanyola de Protecció de Dades (AEPD). El seu objectiu és ajudar les empreses més petites i els autònoms que fan tractaments de dades de molt baix risc a generar una documentació bàsica de protecció de dades sense necessitat de coneixements jurídics previs. Funciona a manera de qüestionari guiat: es respon a una sèrie de preguntes sobre l'activitat i l'eina retorna diversos documents orientatius llestos per descarregar.

La lògica darrere de Facilita és raonable. L'AEPD vol que el micronegoci que només maneja el nom, el telèfon i el correu dels seus clients tingui a mà un primer conjunt de documents, en lloc de quedar-se sense res per desconeixement o pel cost de partida. És una eina de divulgació i primer suport, concebuda per abaixar la barrera d'entrada al compliment en els casos més senzills.

Convé tenir clara des del principi una idea que la mateixa eina adverteix: Facilita no està pensada per a tothom. Està acotada, per disseny, a un perfil de risc mínim. En el moment en què l'activitat d'una empresa s'allunya d'aquest perfil, l'eina deixa d'encaixar, i els documents que produeix deixen de ser adequats. Entendre aquesta frontera és la part més important d'aquest article.

Quina documentació genera

A partir de les respostes del qüestionari, Facilita genera un paquet de documentació bàsica de partida. Sense entrar en el detall exacte de cada plantilla —que la mateixa eina adapta segons el que es respon—, els documents que produeix cobreixen, en termes generals, quatre peces:

• Clàusules informatives per complir el deure d'informació de l'art. 13 RGPD: els textos que cal lliurar o mostrar a les persones les dades de les quals es recullen (clients, proveïdors, empleats) explicant qui tracta les seves dades, per a què i quins drets tenen.
• Un registre d'activitats de tractament bàsic, la versió mínima del document de l'art. 30 RGPD que inventaria els tractaments de l'organització.
• Un annex amb mesures de seguretat orientatives, un llistat de bones pràctiques tècniques i organitzatives de referència per a un tractament senzill.
• Una clàusula tipus per a contractes amb encarregats del tractament, pensada per regular la relació amb proveïdors que accedeixen a dades per compte de l'empresa (art. 28 RGPD).

És un bon punt de partida per a qui no té absolutament res. Però cal llegir-lo pel que és: plantilles genèriques generades a partir d'un qüestionari, no una anàlisi de l'organització. L'eina no coneix el teu negoci; coneix les caselles que has marcat. I només funciona si aquestes caselles descriuen un tractament realment de baix risc.

Per a qui serveix: el negoci de baix risc

Facilita està dissenyada per al negoci que fa tractaments d'escàs risc. A la pràctica, això descriu una empresa o autònom que maneja poc més que dades identificatives i de contacte —nom, DNI, telèfon, correu, adreça— dels seus clients, proveïdors i empleats, amb l'única finalitat de gestionar la relació comercial o laboral ordinària.

Un tractament encaixa en aquest perfil de baix risc quan reuneix, a grans trets, aquestes característiques:

• Es limita a dades identificatives i de contacte, les estrictament necessàries per prestar el servei o gestionar la relació.
• No inclou categories especials de dades de l'art. 9 RGPD: salut, origen ètnic, opinions polítiques, afiliació sindical, orientació sexual, dades biomètriques o genètiques.
• No hi ha elaboració de perfils ni decisions automatitzades que avaluïn o classifiquin les persones.
• No es manegen grans volums de dades ni es fa un seguiment sistemàtic de persones.
• No hi ha transferències internacionals complexes ni cessions massives a tercers més enllà de les obligades per llei.

L'exemple típic seria un petit taller, una botiga de barri, un professional autònom que factura a una cartera reduïda de clients o un despatx unipersonal que només guarda dades de contacte. Per a aquest perfil, Facilita compleix la seva funció: posa en marxa una documentació de partida que abans no existia. El problema comença quan un negoci que creu ser de baix risc en realitat no ho és.

Els límits de Facilita: on es queda curta

Aquí està el punt crític d'aquest article. Facilita només cobreix tractaments de baix risc, i la majoria de les empreses reals tenen, sense ser-ne conscients, almenys un tractament que se surt d'aquest marc. Tan bon punt apareix un sol dels següents elements, l'eina deixa de ser suficient:

• Categories especials de dades (art. 9 RGPD): dades de salut, biomètriques, d'afiliació, ideologia, etc. Només cal recaptar informes mèdics, comunicats de baixa detallats o qualsevol dada sensible per sortir de l'abast de Facilita.
• Videovigilància. Instal·lar càmeres que graven clients o empleats és un tractament amb implicacions pròpies que l'eina no resol.
• Elaboració de perfils o decisions automatitzades: segmentació de clients, scoring, màrqueting basat en el comportament, publicitat personalitzada avançada.
• Grans volums de dades o seguiment sistemàtic de persones, típic del comerç electrònic amb milers de clients, plataformes o negocis amb bases de dades extenses.
• Tractaments complexos: cessions habituals a tercers, transferències internacionals, ús intensiu de proveïdors tecnològics, gestió de dades de menors, o qualsevol activitat que combini diverses finalitats sensibles.

El risc no és que Facilita "falli": l'eina fa exactament el que promet. El risc és que un empresari la faci servir fora del seu àmbit, descarregui els seus documents i doni per fet que està complint quan no ho està. Aquest és el parany: la documentació existeix, té bona aparença i porta el nom de l'AEPD al darrere, però descriu un negoci de baix risc que no es correspon amb la realitat de l'empresa que l'ha generat. El resultat és una falsa sensació de compliment, que sovint és pitjor que no tenir res, perquè desactiva l'alarma.

Taula: quan serveix i quan no

La manera més ràpida de situar el teu negoci és contrastar la teva activitat amb les dues columnes següents. Si et reconeixes en qualsevol fila de la dreta, Facilita s'ha quedat curta per al teu cas.

La frontera entre ambdues columnes no sempre és tan nítida com sembla sobre el paper. Molts negocis creuen cap a la dreta sense adonar-se'n: una botiga que instal·la una càmera, una gestoria que rep comunicats de baixa, un e-commerce que creix i comença a segmentar. El tractament que ahir era de baix risc avui ja no ho és, i la documentació de Facilita es queda ancorada en una fotografia que va deixar de ser certa.

Com fer-la servir bé

Si després de llegir l'anterior tens clar que el teu negoci encaixa en el perfil de baix risc, Facilita és un recurs perfectament vàlid per començar. L'ús correcte és senzill:

• Accedeix a l'eina des del web oficial de l'AEPD. És gratuïta i no requereix registrar les teves dades en plataformes de tercers. Desconfia dels llocs que la ofereixin "de pagament" o que demanin informació innecessària.
• Respon el qüestionari amb honestedat. La qualitat dels documents depèn completament de l'exactitud de les teves respostes. Marcar caselles per "simplificar" només produeix documents que no descriuen la teva realitat.
• Si en el qüestionari apareix qualsevol senyal de risc —l'eina t'avisarà si detecta que el teu cas excedeix el baix risc—, no forcis la màquina: és el senyal que necessites anar més enllà de Facilita.
• Revisa els documents generats i compara'ls amb el que de veritat fas. Les clàusules informatives han de reflectir les teves finalitats reals, i el registre d'activitats ha d'incloure tots els teus tractaments, no només els que la plantilla pressuposa.
• Lliura i implanta la documentació. Descarregar els arxius no és complir: les clàusules informatives cal mostrar-les en el primer contacte (art. 13 RGPD) i les mesures de seguretat cal aplicar-les de veritat.

I una precaució que val per a qualsevol eina automàtica: un document generat no substitueix saber el que estàs fent. Facilita et dona un punt de partida; mantenir-lo viu i coherent amb la teva activitat continua sent la teva responsabilitat.

Checklist abans de confiar-hi

Abans de donar per bona la documentació de Facilita, contrasta la teva situació amb aquesta llista. Si respons "sí" a qualsevol dels punts, l'eina no cobreix el teu cas i necessites una auditoria o diagnòstic de protecció de dades que analitzi la teva activitat de veritat:

• ☐ Recaptes dades de salut, biomètriques o qualsevol altra categoria especial de l'art. 9 RGPD?
• ☐ Tens càmeres de videovigilància al teu local o instal·lacions?
• ☐ Segmentes, elabores perfils o classifiques els teus clients de manera automatitzada?
• ☐ Manegues un volum elevat de dades o fas seguiment sistemàtic de persones?
• ☐ Cedeixes dades a tercers de manera habitual o realitzes transferències internacionals?
• ☐ Tractes dades de menors d'edat?
• ☐ Fas servir diverses eines o proveïdors tecnològics que accedeixen a les dades dels teus clients?
• ☐ La teva activitat ha canviat des que vas generar els documents i ja no coincideixen amb el que fas?

Totes les caselles en blanc signifiquen que, probablement, ets el perfil per al qual Facilita es va dissenyar. Una sola casella marcada significa que has sortit del seu abast, i que recolzar-te només en ella et deixaria amb documentació que no protegeix el que de veritat tractes.

Quan Facilita no basta i què fem a Certix

Reconeguem-ho sense embuts: per al micronegoci de risc mínim, Facilita és una eina honesta i suficient, i a Certix no pretendrem el contrari. El problema és que la majoria de les empreses tenen almenys un tractament que excedeix el seu abast —una càmera, una dada de salut, un proveïdor que gestiona la base de clients, un volum que ha crescut— i no sempre ho saben. Aquí és on una plantilla automàtica deixa de servir i comença la feina d'anàlisi.

La diferència de fons és senzilla. Facilita pressuposa que el teu negoci és de baix risc a partir d'unes caselles; una consultoria comprova si ho és a partir de la teva activitat real. La responsabilitat proactiva de l'art. 5.2 RGPD exigeix que el responsable pugui demostrar en qualsevol moment que compleix, i aquesta demostració no la sosté un PDF descarregat, sinó una anàlisi que connecta cada tractament amb la seva base jurídica, els seus terminis i les seves mesures.

A Certix partim d'un diagnòstic real de la teva activitat: identifiquem quins tractaments fas de veritat, si algun se surt del perfil de baix risc i quina documentació necessites —des del registre d'activitats de tractament complet fins a les clàusules i contractes que el teu cas concret requereix—. Sense plantilles genèriques i sense donar res per suposat. Si tens dubtes sobre si Facilita cobreix el teu negoci o se t'ha quedat petita, parlar amb un consultor és el pas que resol la incertesa.

Preguntes freqüents

Què és Facilita RGPD de l'AEPD?

És una eina gratuïta en línia de l'Agència Espanyola de Protecció de Dades que ajuda empreses i autònoms amb tractaments de molt baix risc a generar documentació bàsica de partida: clàusules informatives, un registre d'activitats senzill, un annex amb mesures de seguretat orientatives i una clàusula tipus per a contractes amb encarregats del tractament. Està pensada com a primer suport per al micronegoci amb dades mínimes, no per a tractaments complexos.

Facilita RGPD serveix per complir amb el RGPD en qualsevol empresa?

No. Només cobreix tractaments d'escàs risc: dades identificatives i de contacte, sense categories especials, sense elaboració de perfils i sense grans volums. Si la teva organització maneja dades de salut, fa videovigilància, elabora perfils, tracta grans quantitats de dades o realitza cessions i transferències internacionals, l'eina no cobreix la teva situació i la documentació que genera resulta insuficient. En aquests casos cal una anàlisi professional individualitzada.

La documentació de Facilita RGPD m'eximeix de responsabilitat?

No. La responsabilitat proactiva de l'art. 5.2 RGPD recau sempre en el responsable del tractament, no en l'eina que ha fet servir per generar els seus documents. Facilita lliura un punt de partida, però és l'empresa qui ha d'assegurar-se que aquests documents reflecteixen el que de veritat fa amb les dades i que el seu cas encaixa en el perfil de baix risc que l'eina pressuposa. Fer-la servir quan no aplica genera una falsa sensació de compliment.

Com sé si el meu negoci és de baix risc?

A grans trets, un tractament és de baix risc quan es limita a dades identificatives i de contacte necessàries per a la relació amb clients, proveïdors o empleats, sense dades sensibles, sense perfils, sense decisions automatitzades i sense volums elevats. Tan bon punt apareix qualsevol d'aquests elements, deixa de ser-ho. La frontera no sempre és evident, i confondre-la és l'error més habitual: per això convé una valoració experta abans de donar per fet que Facilita és suficient.

En resum

Facilita RGPD és una eina gratuïta i ben concebuda de l'AEPD perquè el negoci de risc mínim tingui una documentació bàsica de partida. Compleix la seva funció per a aquest perfil concret. L'error —molt estès— és fer-la servir quan l'activitat de l'empresa ja ha superat el baix risc: una càmera, una dada de salut, un volum que creix, i l'eina es queda curta sense que l'empresari se n'adoni. La documentació existeix, però deixa de protegir el que de veritat es tracta, i la responsabilitat de l'art. 5.2 RGPD continua sent del responsable. Abans de confiar-hi, la pregunta correcta no és si Facilita és bona, sinó si el teu negoci continua estant dins del seu abast.

Lectures relacionades

• Registre d'Activitats de Tractament (RAT): què és i com es fa — el document de l'art. 30 RGPD que Facilita genera en la seva versió bàsica.
• Auditoria i diagnòstic de protecció de dades — l'anàlisi que comprova si la teva activitat excedeix el baix risc.
• Consultoria de protecció de dades de Certix — com treballem quan una plantilla automàtica no basta.

---

Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada.