Adaptar unha empresa ao RGPD non é mercar un pack de documentos e arquivalos. É un proceso que percorre toda a actividade do negocio: saber que datos tratas, por que podes tratalos, como os protexes, que lle contas á persoa á que pertencen e que fas cando algo sae mal. Esta guía ordena ese proceso en nove pasos, cada un coa súa base legal, para que vexas o camiño completo da adaptación ao RGPD dunha pyme ou dun autónomo, sen atallos e sen ruído.
En 15 segundos
- A adaptación apóiase na responsabilidade proactiva (art. 5.2 e 24 RGPD): non se notifica nada por adiantado, pero debes poder demostrar que cumpres.
- Empeza polo inventario de datos e segue polas bases de lexitimación (art. 6), non ao revés.
- A documentación (RAT do art. 30, cláusulas informativas, contratos do art. 28) é consecuencia da análise, non o seu substituto.
- Adaptarse ben é analizar a túa actividade concreta, non repartir modelos iguais para todos.
Antes de entrar nos pasos, unha idea que ordena todo o demais: o RGPD non funciona como unha lista de trámites que se marcan e se esquecen. Funciona como un sistema. Cada paso apóiase no anterior —non podes definir as túas bases de lexitimación se antes non sabes que datos tratas, nin redactar unha cláusula informativa correcta se non fixaches esas bases— e todos xuntos sosteñen unha mesma obriga: que a empresa saiba o que fai cos datos e poida demostralo. Léeos en orde.
Paso 1. Punto de partida: a responsabilidade proactiva
Todo arranca nun cambio de lóxica. O RGPD substituíu o vello modelo de notificar ficheiros por adiantado polo de responsabilidade proactiva (art. 5.2 e art. 24 RGPD): xa non pides permiso nin inscribes nada previamente, pero tes que ser capaz de demostrar en calquera momento que tratas os datos conforme á norma. A carga da proba trasládase á empresa. Adaptarse é, no fondo, construír esa capacidade de demostrar.
E o que hai que demostrar é o respecto aos principios do art. 5 RGPD, que son a columna vertebral de todo o que vén despois:
- Licitude, lealdade e transparencia: tratar os datos cunha base legal e de forma clara para a persoa afectada.
- Limitación da finalidade: recoller os datos para fins determinados e non usalos logo para outra cousa incompatible.
- Minimización: pedir só os datos que de verdade necesitas para esa finalidade, nin un máis.
- Exactitude: manter os datos actualizados e corrixir os que sexan inexactos.
- Limitación do prazo de conservación: non gardar os datos máis tempo do necesario.
- Integridade e confidencialidade: protexelos con medidas de seguridade adecuadas.
Estes principios non son decoración: son o criterio co que se xulga cada decisión posterior. Cando dubides en calquera dos pasos seguintes —se podes gardar un dato, canto tempo, para que— a resposta case sempre está en volver ao art. 5. Se queres o marco conceptual completo, empeza por que é a protección de datos.
Paso 2. Inventario de datos: que tratas e como se categoriza
Antes de documentar nada, hai que mirar cara a dentro. O inventario de datos é o traballo de campo que case ninguén fai e do que depende todo: percorrer a organización e anotar que datos persoais entran, onde se gardan, quen os manexa e a onde saen. Sen este mapa, calquera documento posterior será unha suposición.
Unha parte clave do inventario é categorizar o que atopas, porque non todos os datos pesan igual ante a lei:
- Datos básicos ou comúns: nome, DNI, enderezo, teléfono, email, datos de facturación, datos profesionais. Son a maioría dos que trata calquera negocio.
- Categorías especiais (art. 9 RGPD): datos que revelan orixe étnica, opinións políticas, conviccións relixiosas, afiliación sindical, datos de saúde, datos sobre a vida sexual, ademais dos datos xenéticos e biométricos usados para identificar unha persoa. Están suxeitos a unha protección reforzada e a restricións severas.
A distinción importa porque cambia todo o que vén despois: a base legal necesaria, as medidas de seguridade esixibles e o nivel de risco do tratamento. Detectar que tratas un dato do art. 9 —moitas empresas fano sen darse conta, por exemplo ao xestionar baixas médicas do seu persoal— condiciona o resto da adaptación. Para entender que entra nesta categoría e como se manexa, consulta datos especialmente protexidos: categorías especiais.
Paso 3. Bases de lexitimación: por que podes tratar cada dato
Tratar datos sen unha base que o lexitime é tratalos ilicitamente. Por iso, para cada tratamento do inventario do paso anterior, hai que identificar en cal das bases do art. 6 RGPD se apoia. Non é un formalismo: é o que separa un tratamento legal dun que non o é. As bases do art. 6 son:
- Consentimento do interesado.
- Execución dun contrato no que o interesado é parte.
- Cumprimento dunha obriga legal do responsable.
- Protección de intereses vitais do interesado ou doutra persoa.
- Misión de interese público ou exercicio de poderes públicos.
- Interese lexítimo do responsable ou dun terceiro, sempre que non prevalezan os dereitos do interesado.
Un erro frecuente é pensar que todo se lexitima co consentimento. Non é así: xestionar a relación cun cliente apóiase normalmente na execución do contrato, e emitir facturas, nunha obriga legal. O consentimento resérvase para tratamentos onde non cabe outra base, como o envío de comunicacións comerciais. Elixir mal a base ten consecuencias en cadea, porque dela dependen a información que dás e os dereitos que pode exercer a persoa.
E hai un matiz que non pode fallar: se no paso 2 detectaches datos de categoría especial (art. 9), o consentimento do art. 6 non abonda por si só. Estes datos esixen unha dobre base: unha base lexitimadora do art. 6 e, ademais, unha das excepcións do art. 9.2 que levantan a prohibición xeral de tratalos. As dúas, á vez. Para afondar en como se define a base de cada tratamento e que ocorre ao ceder ou comunicar datos, mira tratamento, cesión e transferencias de datos.
Paso 4. Documentación: RAT, cláusulas e contratos con encargados
Co inventario feito e as bases definidas, toca deixalo por escrito. Esta é a parte que moitos confunden con "adaptarse ao RGPD", cando en realidade é só o reflexo documental dos tres pasos anteriores. Tres pezas concentran o groso da documentación:
O Rexistro de Actividades de Tratamento (art. 30 RGPD)
O RAT é o documento do art. 30 RGPD que inventaría, tratamento por tratamento, que datos manexas, con que finalidade, sobre que persoas, durante canto tempo e con que medidas de seguridade. É o corazón documental da adaptación e a tradución formal do inventario do paso 2. A crenza de que as empresas pequenas están exentas é, na maioría dos casos, falsa. Aquí tes a guía completa para construílo: Rexistro de Actividades de Tratamento (RAT): que é e como se fai.
As cláusulas informativas
Son os textos cos que informas ao interesado no momento de recoller os seus datos: en formularios web, contratos, fichas de cliente ou o pé dos teus correos. Non son xenéricas: deben dicir a verdade sobre as túas finalidades e as túas bases de lexitimación, as que fixaches no paso 3. O seu contido concreto detállase no paso 6.
Os contratos con encargados do tratamento (art. 28 RGPD)
Cada vez que un terceiro trata datos por conta da túa empresa —a xestoría, o provedor de correo, o CRM na nube, a empresa de mantemento informático— actúa como encargado do tratamento e o art. 28 RGPD esixe regular esa relación por contrato. Un detalle importante: ao rematar a relación, o encargado non debe simplemente "destruír" os datos, senón devolvelos ou permitir que os exportes para que poidas cumprir os teus propios prazos de conservación; a destrución vén despois. Entende ben esta figura en que é o encargado do tratamento.
Paso 5. Seguridade e riscos: medidas proporcionais
Documentar os datos non os protexe; hai que defendelos. O art. 32 RGPD obriga a aplicar medidas técnicas e organizativas proporcionais ao risco de cada tratamento. Non existe un catálogo pechado e obrigatorio para todos: unha asesoría que trata datos de saúde de baixas laborais necesita máis garantías que un negocio que só garda datos de contacto. A proporcionalidade é a regra.
Na práctica, estas medidas tradúcense en rutinas do día a día: control de accesos por rol, contrasinais individuais, cifrado de dispositivos, copias de seguridade, bloqueo de pantallas, deberes de confidencialidade do persoal e control das copias en papel. Ordenar todo isto nun documento vivo é a función dunha política de seguridade da información.
Cando a análise do paso 2 revela un tratamento que probablemente entrañe un alto risco para os dereitos e liberdades das persoas, o art. 32 quédase curto e entra en xogo o art. 35 RGPD: a Avaliación de Impacto (AIPD), unha análise previa e máis profunda do risco e de como mitigalo. Non todos os tratamentos a necesitan, pero identificala a tempo é parte de adaptarse ben. Aquí se explica cando procede: Avaliación de Impacto en Protección de Datos (AIPD).
Paso 6. Deber de informar: transparencia co interesado
A transparencia é un principio do art. 5 que se concreta nunha obriga moi tanxible: informar á persoa de que fas cos seus datos, antes ou no momento de recollelos. O RGPD distingue dúas situacións:
- Art. 13 RGPD: cando os datos se obteñen directamente do interesado (enche o teu formulario, asina o teu contrato, dáche a súa tarxeta).
- Art. 14 RGPD: cando os datos non se obteñen do interesado, senón dun terceiro ou dunha fonte accesible ao público.
En ambos os casos hai que comunicar quen es, con que finalidade e base tratas os datos, a quen llos comunicas, canto os conservas e como pode exercer os seus dereitos. Un equívoco habitual: que un tratamento non necesite consentimento —porque se apoia no contrato ou nunha obriga legal— non exime do deber de informar. A cláusula de privacidade hai que entregala igual, no primeiro contacto. A expresión máis visible deste deber é a política de privacidade do sitio web; como redactala detállase en a política de privacidade da web da túa empresa.
Paso 7. Dereitos dos interesados: un procedemento para atendelos
Adaptarse non é só poder demostrar o que fas: é estar preparado para responder cando unha persoa exerce os seus dereitos. O RGPD recoñece a cada interesado un conxunto de dereitos (arts. 15 a 22 RGPD) e a empresa debe ter un procedemento para atendelos en prazo:
- Acceso (art. 15): saber que datos seus tratas e obter unha copia.
- Rectificación (art. 16): corrixir datos inexactos ou incompletos.
- Supresión (art. 17): o "dereito ao esquecemento", cos seus límites.
- Limitación do tratamento (art. 18): "conxelar" o uso dos datos en certos supostos.
- Portabilidade (art. 20): recibir os datos en formato estruturado para levalos a outro responsable.
- Oposición (art. 21): oporse a un tratamento baseado en interese lexítimo ou á publicidade.
Aquí péchase o círculo cos pasos anteriores: para responder a un dereito de acceso ou de supresión necesitas o RAT do paso 4, porque é o mapa que che di onde están os datos desa persoa e quen os ten. Un procedemento de dereitos sen inventario detrás é papel mollado. Como articular a resposta a cada un explícase en os dereitos de acceso, rectificación, supresión e oposición.
Paso 8. Delegado de Protección de Datos: cando hai que designalo
Non todas as organizacións necesitan un Delegado de Protección de Datos (DPD), pero todas deben comprobar se lles toca. A designación é obrigatoria nos supostos do art. 37 RGPD —esencialmente, cando o tratamento a gran escala de datos, a observación habitual e sistemática de persoas, ou o tratamento de categorías especiais forman parte do núcleo da actividade— e nos casos adicionais que enumera o art. 34 LOPDGDD para determinadas entidades en España.
Esta é información orientativa: a obriga de designar DPD depende da escala, o volume e a tipoloxía exacta dos tratamentos de cada organización, e cada caso require unha análise individualizada. Se queres ver os supostos con detalle e valorar se a túa actividade encaixa, aquí está a referencia: Delegado de Protección de Datos.
Paso 9. Protocolo de brechas: que facer cando algo falla
A última peza dunha empresa adaptada é a que se activa cando o resto non foi suficiente. Unha violación de seguridade —un portátil roubado, un ransomware, un correo con datos enviado por erro, un acceso non autorizado— pode ocorrerlle a calquera, e o que distingue unha organización preparada é ter un protocolo listo antes de que pase.
O RGPD marca dúas obrigas que se disparan ante unha brecha:
- Notificación á autoridade de control (art. 33 RGPD): salvo que sexa improbable que a brecha supoña un risco para os dereitos das persoas, hai que notificala á autoridade competente sen dilación indebida e, de ser posible, nun prazo máximo de 72 horas desde que se ten constancia.
- Comunicación aos afectados (art. 34 RGPD): cando a brecha entrañe un alto risco para os seus dereitos e liberdades, ademais hai que comunicárllelo ás persoas afectadas.
As 72 horas do art. 33 corren desde que a empresa ten constancia da brecha, non desde que decide reaccionar. Por iso o protocolo ten que estar definido de antemán: quen detecta, quen decide, quen notifica. Improvisalo en quente é a forma máis segura de incumprir o prazo. O procedemento completo, paso a paso, está en brecha de seguridade: que facer.
Táboa resumo do proceso
Os nove pasos, o seu contido esencial e o artigo onde se desenvolve cada un:
| Paso | Que implica | Base legal |
|---|---|---|
| 1. Responsabilidade proactiva | Poder demostrar o cumprimento e respectar os principios do tratamento. | Art. 5.2 e 24 RGPD |
| 2. Inventario de datos | Identificar que datos tratas e distinguir datos básicos de categorías especiais. | Art. 5 e 9 RGPD |
| 3. Bases de lexitimación | Asignar a cada tratamento a súa base; dobre base se hai datos do art. 9. | Art. 6 (e 9.2) RGPD |
| 4. Documentación | RAT, cláusulas informativas e contratos con encargados. | Art. 30 e 28 RGPD |
| 5. Seguridade e riscos | Medidas proporcionais ao risco; AIPD se o risco é alto. | Art. 32 e 35 RGPD |
| 6. Deber de informar | Entregar a información ao interesado segundo a orixe dos datos. | Art. 13 e 14 RGPD |
| 7. Dereitos dos interesados | Procedemento para atender acceso, rectificación, supresión, oposición, etc. | Art. 15 a 22 RGPD |
| 8. Delegado de Protección de Datos | Comprobar se procede designar un DPD (análise individualizada). | Art. 37 RGPD e 34 LOPDGDD |
| 9. Protocolo de brechas | Notificar á autoridade (72 h) e comunicar aos afectados se hai alto risco. | Art. 33 e 34 RGPD |
"Adaptar unha empresa ao RGPD non é repartir a mesma carpeta de modelos a todo o mundo. É sentarse a mirar que fai de verdade ese negocio cos datos e construír a documentación a partir de aí. O primeiro é un servizo; o segundo é un PDF que se parece á lei pero non describe a túa empresa."
Mario P. Talamillo · Socio director, Certix®
Checklist de adaptación
Unha lista rápida para situar en que punto está a túa organización. Non substitúe a análise individualizada, pero axuda a ver os ocos:
- ☐ Teño claro o principio de responsabilidade proactiva e os principios do art. 5.
- ☐ Fixen o inventario dos datos que trata a miña empresa.
- ☐ Distinguín os datos básicos das categorías especiais (art. 9).
- ☐ Cada tratamento ten identificada a súa base de lexitimación (art. 6).
- ☐ Se trato datos do art. 9, fixei tamén a súa base do art. 9.2 (dobre base).
- ☐ Teño o Rexistro de Actividades de Tratamento (art. 30) e reflicte a miña actividade real.
- ☐ As miñas cláusulas informativas son propias, non xenéricas.
- ☐ Teño contratos de encargado (art. 28) con todos os meus provedores que tratan datos.
- ☐ As miñas medidas de seguridade son proporcionais ao risco (art. 32).
- ☐ Valorei se algún tratamento esixe unha AIPD (art. 35).
- ☐ Informo aos interesados no primeiro contacto (art. 13 e 14).
- ☐ Teño un procedemento para atender os dereitos (arts. 15 a 22).
- ☐ Comprobei se me corresponde designar un DPD (art. 37 RGPD / 34 LOPDGDD).
- ☐ Teño un protocolo de brechas co prazo de 72 h presente (art. 33 e 34).
Preguntas frecuentes
Por onde empezo a adaptar a miña empresa ao RGPD?
Polo inventario de datos. Antes de redactar unha cláusula ou mercar un modelo, hai que saber que datos persoais trata a empresa, sobre que persoas, con que finalidade e quen os toca. Ese inventario é a base sobre a que se constrúe todo o demais: o RAT (art. 30 RGPD), as bases de lexitimación (art. 6), as medidas de seguridade (art. 32) e a información ao interesado (art. 13 e 14). Adaptar ben unha empresa non é encher documentos xenéricos, senón analizar a actividade concreta que realiza.
Canto se tarda en adaptar unha empresa ao RGPD?
Depende do tamaño da organización e da complexidade dos seus tratamentos. A adaptación non é un trámite que se pecha nunha data: o RGPD apóiase na responsabilidade proactiva (art. 5.2 e 24), que é unha obriga continua. Unha parte do traballo é inicial (inventario, documentación, cláusulas), pero manter a coherencia despois —cando cambias de software, sumas un provedor ou abres unha nova finalidade— é permanente. Por iso a pregunta non é cando se remata, senón como se sostén no tempo.
A adaptación ao RGPD é obrigatoria para autónomos?
Si. O RGPD e a LOPDGDD aplícanse a calquera que trate datos persoais no marco dunha actividade profesional ou empresarial, con independencia da súa forma xurídica. Un autónomo que xestiona unha carteira de clientes, envía facturas ou garda datos de contacto está tratando datos persoais e debe cumprir os principios do art. 5, identificar as súas bases de lexitimación (art. 6), informar aos interesados (art. 13) e atender os seus dereitos (arts. 15 a 22). O volume é menor que nunha gran empresa, pero a obriga existe igual.
Serve un modelo xenérico para adaptar a miña empresa ao RGPD?
Non, ou polo menos non por si só. Un modelo pode servir de punto de partida formal, pero o RGPD esixe que a documentación reflicta os tratamentos reais da túa organización: as túas finalidades, as túas bases de lexitimación, os teus provedores, os teus prazos de conservación. Un Rexistro de Actividades de Tratamento copiado doutra empresa describe unha organización que non é a túa, e polo tanto incumpre o art. 30 aínda que pareza completo. Adaptarse ben pasa por analizar a actividade concreta, non por repartir documentos iguais para todos.
En resumo
Adaptar unha empresa ao RGPD é percorrer, en orde, estes nove pasos: entender a responsabilidade proactiva, inventariar os datos, asignar bases de lexitimación, documentar, protexer, informar, atender dereitos, valorar o DPD e preparar o protocolo de brechas. Cada peza apóiase na anterior e ningunha se sostén soa. A diferenza entre unha empresa realmente adaptada e unha cunha carpeta de documentos bonitos está nun só punto: se eses documentos describen a actividade real do negocio ou describen a doutro. O seguinte paso lóxico é unha análise individualizada do que a túa organización trata de verdade.
Lecturas relacionadas
- Adaptación ao RGPD para empresas — como Certix acompaña todo o proceso, paso a paso, cunha análise da túa actividade concreta.
- Que é a protección de datos — o marco conceptual sobre o que se apoia toda a adaptación.
- Rexistro de Actividades de Tratamento (RAT) — o documento central do art. 30 RGPD.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.
Queres adaptar a túa empresa ao RGPD partindo do que fas de verdade?
En Certix percorremos contigo estes nove pasos a partir dunha análise real da túa actividade, non de modelos xenéricos.
Ver a adaptación ao RGPD de Certix