RGPD 2018tik dago indarrean eta LOPDGDDak Espainian osatzen du, baina 2026an datuen babesa autonomo eta ETE askoren zor dagoen ikasgai handia izaten jarraitzen du. Oinarrizko betebeharrak ez dira aldatu; aldatu dena negozioaren eguneroko jarduna da: tresna digital gehiago, hodeiko hornitzaile gehiago eta bezeroen datu gehiago mugikorretik eta postatik zirkulatzen.
Arazoa oso gutxitan da borondate txarra. Zer ari den ihes egiten ez jakitea da: deskargatutako txantiloi batean, duela urte batzuk sinatutako PDF batean edo negozioaren benetako jarduera aztertu gabe dokumentazioa kopiatu eta itsatsi zuen kostu baxuko hornitzaile batean fidatzea. Emaitza lasaitasun-sentsazio faltsu bat da, lehen gorabehera azaldu arte baino irauten ez duena.
"Gugana iristen diren enpresa gehienek uste dute jada betetzen dutela. Arazoa ez da borondatea: ez jakitea zer ari den ihes egiten."
Mario P. Talamillo · Zuzendari bazkidea, Certix®
Datuen babesa betetzeak benetan zer esan nahi duen
Ez da webean pribatutasun-politika bat argitaratu eta ahaztea. Araututa egoteak esan nahi du jakitea zure negozioak zer datu tratatzen dituen, zer oinarri legalekin, zenbat denboraz gordetzen dituzun, zer segurtasun-neurri aplikatzen dituzun eta nola erantzuten duzun bezero batek bere eskubideak baliatzen dituenean edo gorabehera bat gertatzen denean.
Jarduera bakoitza desberdina da. Lineako denda batek, gestoria batek, tailer batek edo klinika batek ez dituzte datu berak tratatzen, ez dituzte arrisku berak hartzen. Horregatik ez dute funtzionatzen dokumentu generikoek: zurea ez den negozio bat deskribatzen dute, segurtasun-sentsazio faltsu bat sortzen dute —batzuetan ezer ez izatea baino okerragoa— eta ez dizute uzten arreta frogatzen arazo bat sortzen bada. Datuen babesa eraginkorra da soilik dokumentazioak zure benetako operatiba islatzen duenean.
Zer eskatzen dien RGPDak autonomo eta ETEei 2026an
Tamaina alde batera utzita, bezeroen, langileen edo hornitzaileen datuak tratatzen badituzu, betebehar-oinarri komun bat dago. Ez dira izapide solteak, sistema beraren piezak baizik:
- Tratamendu Jardueren Erregistroa (TJE): zer datu eta zertarako tratatzen dituzun inbentarioa (RGPDren 30. art.). Guztiaren abiapuntua da, ez sinatzen den azken papera.
- Legitimazio-oinarri bat tratamendu bakoitzeko (RGPDren 6. art.): kontratu baten betearazpena, lege-betebeharra, baimena, interes legitimoa… Ez da dena baimenarekin eusten, eta oinarria gaizki aukeratzea da akats ohikoenetako bat.
- Informatzeko betebeharra (RGPDren 13. art.): webeko inprimakietako, kontratuetako eta bezeroarekiko lehen kontaktuko klausula informatiboak. Argi informatzea derrigorrezkoa da tratamenduak baimenik behar ez badu ere.
- Tratamenduaren enkargatzaileekin kontratuak (RGPDren 28. art.): zure ordez datuak tratatzen dituzten kudeaketa-softwareak, hodeiak, gestoriak edo erreserba-plataformak beren kontratua behar dute. Eta kontuz EBtik kanpoko hornitzaileekin: transferentzia horien legezkotasuna Data Privacy Framework bezalako bermeen mende dago, ez soilik klausula generiko baten mende.
- Segurtasun-neurriak eta urraketen protokolo bat (RGPDren 32. eta 33. art.): rolaren araberako sarbideak, banakako pasahitzak, segurtasun-kopiak eta zer egin —eta nori jakinarazi— jakitea zerbait filtratzen bada.
Datuen babeseko ordezkaria (DBO) RGPDren 37. art.aren eta LOPDGDDren 34. art.aren kasuetan soilik da derrigorrezkoa. Negozio guztiek ez dute behar: kasu bakoitzak azterketa indibidualizatua eskatzen du.
Autonomo eta ETEek egiten jarraitzen dituzten akats ohikoenak
Gehien ikusten ditugun akatsak ez dira teknikoak, eguneroko errutinakoak baizik. Ohiturekin zuzentzen dira, ez tiradera bateko dokumentu batekin gehiago:
- Mugikor pertsonaleko agenda CRM gisa: ehunka bezero-datu datu pertsonalekin nahastuta, sarbide-kontrolik eta segurtasun-kopiarik gabe, eta erraz galtzen edo aldatzen den gailu batean.
- WhatsApp guztirako: dokumentazioa, bezeroen datuak edo informazio sentikorra WhatsApp pertsonaletik bidaltzea, profesionala pribatutik bereizi gabe.
- Klausularik gabeko web-inprimakiak: webean izena, posta edo telefonoa jasotzea helburuaz informatu gabe eta pribatutasun-politika lotu gabe.
- Txantiloi generikoak: zure tratamenduak ez zure benetako hornitzaileak deskribatzen ez dituen beste web bateko pribatutasun-politika kopiatzea.
- Kontraturik gabeko hornitzaileak: hodeiko softwarea, gestoria bat edo agentzia bat erabiltzea 28. art.aren tratamenduaren enkargatzaile-kontraturik gabe.
Akats horietako bat ere ez da PDF solte batekin konpontzen. Jarduera antolatuz, eguneroko jardunean datuak nola tratatzen diren zehaztuz eta froga daitekeen moduan dokumentatuz konpontzen dira.
Nola bete amaigabeko proiektu bihurtu gabe
Egokitzeak ez du zertan zure negozioa geldiarazi. Certix-en metodo argi batekin lan egiten dugu: zure jarduera espezialista batekin aztertzen dugu, zure benetako tratamenduetara egokitutako dokumentazioa lantzen dugu eta plataforma pribatu baterako sarbidea ematen dizugu, non dena zentralizatuta eta eguneratuta duzun.
Ez dago komertzialik tartean: zure datuen babesa daramanarekin zuzenean hitz egiten duzu. Eta ez da behin bakarreko izapide bat. Jarduera aldatzen da —hornitzaile berriak, zerbitzu berriak, langile gehiago— eta dokumentazioa egunean mantentzen da zure negozioa eboluzionatu ahala. Jarraitutasun hori da benetan araututa egotearen eta bakarrik zahartzen diren paper batzuk edukitzearen arteko aldea.
Zure datuen babesa une honetan zer egoeratan dagoen ez badakizu, edo zure egungo hornitzaileaz zalantza baduzu, kontatu iezaguzu zure kasua eta zure egoera aztertuko dugu: zer duzun ondo, zer falta den eta zer lehenetsi behar den esango dizugu. Konpromisorik gabe.
Lege-oharra: eduki hau orientagarria eta dibulgatiboa da soilik; ez du aholkularitza juridiko espezializatua osatzen. Araudia kasu konkretu bakoitzari aplikatzeak azterketa indibidualizatua eskatzen du.