Facilita RGPD: que é a ferramenta da AEPD e ata onde chega

Facilita RGPD é unha das ferramentas máis coñecidas da Axencia Española de Protección de Datos, e tamén unha das peor interpretadas. É gratuíta, é útil e está pensada con boa intención, pero só funciona para un perfil moi concreto de negocio. Esta guía explica que é Facilita, que documentación xera, para quen serve de verdade e —o máis importante— onde están os seus límites, para que saibas se a túa empresa entra dentro do seu alcance ou quedou fóra sen darse conta.

Que é Facilita RGPD?

Facilita RGPD é unha ferramenta gratuíta en liña desenvolvida pola Axencia Española de Protección de Datos (AEPD). O seu obxectivo é axudar ás empresas máis pequenas e aos autónomos que realizan tratamentos de datos de moi baixo risco a xerar unha documentación básica de protección de datos sen necesidade de coñecementos xurídicos previos. Funciona a modo de cuestionario guiado: respóndese a unha serie de preguntas sobre a actividade e a ferramenta devolve varios documentos orientativos listos para descargar.

A lóxica detrás de Facilita é razoable. A AEPD quere que o micronegocio que só manexa o nome, o teléfono e o correo dos seus clientes teña á man un primeiro conxunto de documentos, en lugar de quedarse sen nada por descoñecemento ou polo custo de partida. É unha ferramenta de divulgación e primeiro apoio, concibida para baixar a barreira de entrada ao cumprimento nos casos máis sinxelos.

Convén ter clara desde o principio unha idea que a propia ferramenta advirte: Facilita non está pensada para todo o mundo. Está acoutada, por deseño, a un perfil de risco mínimo. No momento en que a actividade dunha empresa se afasta dese perfil, a ferramenta deixa de encaixar, e os documentos que produce deixan de ser adecuados. Entender esa fronteira é a parte máis importante deste artigo.

Que documentación xera

A partir das respostas do cuestionario, Facilita xera un paquete de documentación básica de partida. Sen entrar no detalle exacto de cada modelo —que a propia ferramenta adapta segundo o que se responde—, os documentos que produce cobren, en termos xerais, catro pezas:

• Cláusulas informativas para cumprir o deber de información do art. 13 RGPD: os textos que hai que entregar ou amosar ás persoas cuxos datos se recollen (clientes, provedores, empregados) explicando quen trata os seus datos, para que e que dereitos teñen.
• Un rexistro de actividades de tratamento básico, a versión mínima do documento do art. 30 RGPD que inventaría os tratamentos da organización.
• Un anexo con medidas de seguridade orientativas, un listado de boas prácticas técnicas e organizativas de referencia para un tratamento sinxelo.
• Unha cláusula tipo para contratos con encargados do tratamento, pensada para regular a relación con provedores que acceden a datos por conta da empresa (art. 28 RGPD).

É un bo punto de partida para quen non ten absolutamente nada. Pero hai que lelo polo que é: modelos xenéricos xerados a partir dun cuestionario, non unha análise da organización. A ferramenta non coñece o teu negocio; coñece as casas que marcaches. E só funciona se esas casas describen un tratamento realmente de baixo risco.

Para quen serve: o negocio de baixo risco

Facilita está deseñada para o negocio que realiza tratamentos de escaso risco. Na práctica, isto describe a unha empresa ou autónomo que manexa pouco máis que datos identificativos e de contacto —nome, DNI, teléfono, correo, enderezo— dos seus clientes, provedores e empregados, coa única finalidade de xestionar a relación comercial ou laboral ordinaria.

Un tratamento encaixa nese perfil de baixo risco cando reúne, a grandes rasgos, estas características:

• Limítase a datos identificativos e de contacto, os estritamente necesarios para prestar o servizo ou xestionar a relación.
• Non inclúe categorías especiais de datos do art. 9 RGPD: saúde, orixe étnica, opinións políticas, afiliación sindical, orientación sexual, datos biométricos ou xenéticos.
• Non hai elaboración de perfís nin decisións automatizadas que avalíen ou clasifiquen ás persoas.
• Non se manexan grandes volumes de datos nin se fai un seguimento sistemático de persoas.
• Non hai transferencias internacionais complexas nin cesións masivas a terceiros máis alá das obrigadas por lei.

O exemplo típico sería un pequeno taller, unha tenda de barrio, un profesional autónomo que factura a unha carteira reducida de clientes ou un despacho unipersoal que só garda datos de contacto. Para ese perfil, Facilita cumpre a súa función: pon en marcha unha documentación de partida que antes non existía. O problema empeza cando un negocio que cre ser de baixo risco en realidade non o é.

Os límites de Facilita: onde se queda curta

Aquí está o punto crítico deste artigo. Facilita só cobre tratamentos de baixo risco, e a maioría das empresas reais teñen, sen ser conscientes diso, polo menos un tratamento que se sae dese marco. En canto aparece un só dos seguintes elementos, a ferramenta deixa de ser suficiente:

• Categorías especiais de datos (art. 9 RGPD): datos de saúde, biométricos, de afiliación, ideoloxía, etc. Abonda con recabar informes médicos, partes de baixa detallados ou calquera dato sensible para saír do alcance de Facilita.
• Videovixilancia. Instalar cámaras que gravan a clientes ou empregados é un tratamento con implicacións propias que a ferramenta non resolve.
• Elaboración de perfís ou decisións automatizadas: segmentación de clientes, scoring, marketing baseado en comportamento, publicidade personalizada avanzada.
• Grandes volumes de datos ou seguimento sistemático de persoas, típico do comercio electrónico con miles de clientes, plataformas ou negocios con bases de datos extensas.
• Tratamentos complexos: cesións habituais a terceiros, transferencias internacionais, uso intensivo de provedores tecnolóxicos, xestión de datos de menores, ou calquera actividade que combine varias finalidades sensibles.

O risco non é que Facilita "falle": a ferramenta fai exactamente o que promete. O risco é que un empresario a use fóra do seu ámbito, descargue os seus documentos e dea por feito que está cumprindo cando non o está. Esa é a trampa: a documentación existe, ten boa aparencia e leva o nome da AEPD detrás, pero describe un negocio de baixo risco que non se corresponde coa realidade da empresa que a xerou. O resultado é unha falsa sensación de cumprimento, que a miúdo é peor que non ter nada, porque desactiva a alarma.

Táboa: cando serve e cando non

A forma máis rápida de situar o teu negocio é contrastar a túa actividade coas dúas columnas seguintes. Se te recoñeces en calquera fila da dereita, Facilita quedou curta para o teu caso.

A fronteira entre ambas columnas non sempre é tan nítida como parece sobre o papel. Moitos negocios cruzan á dereita sen percatarse: unha tenda que instala unha cámara, unha xestoría que recibe partes de baixa, un e-commerce que medra e empeza a segmentar. O tratamento que onte era de baixo risco hoxe xa non o é, e a documentación de Facilita queda ancorada nunha fotografía que deixou de ser certa.

Como usala ben

Se tras ler o anterior tes claro que o teu negocio encaixa no perfil de baixo risco, Facilita é un recurso perfectamente válido para empezar. O uso correcto é sinxelo:

• Accede á ferramenta desde a web oficial da AEPD. É gratuíta e non require rexistrar os teus datos en plataformas de terceiros. Desconfía de sitios que a ofrezan "de pago" ou que pidan información innecesaria.
• Responde o cuestionario con honestidade. A calidade dos documentos depende por completo da exactitude das túas respostas. Marcar casas para "simplificar" só produce documentos que non describen a túa realidade.
• Se no cuestionario aparece calquera sinal de risco —a ferramenta avisarate se detecta que o teu caso excede o baixo risco—, non forces a máquina: é o sinal de que necesitas ir máis alá de Facilita.
• Revisa os documentos xerados e compáraos co que de verdade fas. As cláusulas informativas deben reflectir as túas finalidades reais, e o rexistro de actividades debe incluír todos os teus tratamentos, non só os que o modelo presupón.
• Entrega e implanta a documentación. Descargar os arquivos non é cumprir: as cláusulas informativas hai que amosalas no primeiro contacto (art. 13 RGPD) e as medidas de seguridade hai que aplicalas de verdade.

E unha precaución que vale para calquera ferramenta automática: un documento xerado non substitúe a saber o que estás facendo. Facilita dáche un punto de partida; mantelo vivo e coherente coa túa actividade segue sendo a túa responsabilidade.

Checklist antes de confiar nela

Antes de dar por boa a documentación de Facilita, contrasta a túa situación con esta lista. Se respondes "si" a calquera dos puntos, a ferramenta non cobre o teu caso e necesitas unha auditoría ou diagnóstico de protección de datos que analice a túa actividade de verdade:

• ☐ Recabas datos de saúde, biométricos ou calquera outra categoría especial do art. 9 RGPD?
• ☐ Tes cámaras de videovixilancia no teu local ou instalacións?
• ☐ Segmentas, perfilas ou clasificas aos teus clientes de forma automatizada?
• ☐ Manexas un volume elevado de datos ou fas seguimento sistemático de persoas?
• ☐ Cedes datos a terceiros de forma habitual ou realizas transferencias internacionais?
• ☐ Tratas datos de menores de idade?
• ☐ Usas varias ferramentas ou provedores tecnolóxicos que acceden aos datos dos teus clientes?
• ☐ A túa actividade cambiou desde que xeraches os documentos e xa non coinciden co que fas?

Todas as casas en branco significan que, probablemente, es o perfil para o que Facilita se deseñou. Unha soa casa marcada significa que saíches do seu alcance, e que apoiarte só nela deixaríate con documentación que non protexe o que de verdade tratas.

Cando Facilita non abonda e que facemos en Certix

Recoñezámolo sen rodeos: para o micronegocio de risco mínimo, Facilita é unha ferramenta honesta e suficiente, e en Certix non imos pretender o contrario. O problema é que a maioría das empresas teñen polo menos un tratamento que excede o seu alcance —unha cámara, un dato de saúde, un provedor que xestiona a base de clientes, un volume que medrou— e non sempre o saben. Aí é onde un modelo automático deixa de servir e empeza o traballo de análise.

A diferenza de fondo é sinxela. Facilita presupón que o teu negocio é de baixo risco a partir dunhas casas; unha consultoría comproba se o é a partir da túa actividade real. A responsabilidade proactiva do art. 5.2 RGPD esixe que o responsable poida demostrar en calquera momento que cumpre, e esa demostración non a sostén un PDF descargado, senón unha análise que conecta cada tratamento coa súa base xurídica, os seus prazos e as súas medidas.

En Certix partimos dun diagnóstico real da túa actividade: identificamos que tratamentos fas de verdade, se algún se sae do perfil de baixo risco e que documentación necesitas —desde o rexistro de actividades de tratamento completo ata as cláusulas e contratos que o teu caso concreto require—. Sen modelos xenéricos e sen dar nada por suposto. Se tes dúbidas sobre se Facilita cobre o teu negocio ou se che quedou pequena, falar cun consultor é o paso que resolve a incerteza.

Preguntas frecuentes

Que é Facilita RGPD da AEPD?

É unha ferramenta gratuíta en liña da Axencia Española de Protección de Datos que axuda a empresas e autónomos con tratamentos de moi baixo risco a xerar documentación básica de partida: cláusulas informativas, un rexistro de actividades sinxelo, un anexo con medidas de seguridade orientativas e unha cláusula tipo para contratos con encargados do tratamento. Está pensada como primeiro apoio para o micronegocio con datos mínimos, non para tratamentos complexos.

Facilita RGPD serve para cumprir co RGPD en calquera empresa?

Non. Só cobre tratamentos de escaso risco: datos identificativos e de contacto, sen categorías especiais, sen perfilado e sen grandes volumes. Se a túa organización manexa datos de saúde, fai videovixilancia, elabora perfís, trata grandes cantidades de datos ou realiza cesións e transferencias internacionais, a ferramenta non cobre a túa situación e a documentación que xera resulta insuficiente. Neses casos fai falta unha análise profesional individualizada.

A documentación de Facilita RGPD exímeme de responsabilidade?

Non. A responsabilidade proactiva do art. 5.2 RGPD recae sempre no responsable do tratamento, non na ferramenta que usou para xerar os seus documentos. Facilita entrega un punto de partida, pero é a empresa quen debe asegurarse de que eses documentos reflicten o que de verdade fai cos datos e de que o seu caso encaixa no perfil de baixo risco que a ferramenta presupón. Usala cando non aplica xera unha falsa sensación de cumprimento.

Como sei se o meu negocio é de baixo risco?

A grandes rasgos, un tratamento é de baixo risco cando se limita a datos identificativos e de contacto necesarios para a relación con clientes, provedores ou empregados, sen datos sensibles, sen perfís, sen decisións automatizadas e sen volumes elevados. En canto aparece calquera deses elementos, deixa de selo. A fronteira non sempre é evidente, e confundila é o erro máis habitual: por iso convén unha valoración experta antes de dar por feito que Facilita é suficiente.

En resumo

Facilita RGPD é unha ferramenta gratuíta e ben concibida da AEPD para que o negocio de risco mínimo teña unha documentación básica de partida. Cumpre a súa función para ese perfil concreto. O erro —moi estendido— é usala cando a actividade da empresa xa superou o baixo risco: unha cámara, un dato de saúde, un volume que medra, e a ferramenta queda curta sen que o empresario o advirta. A documentación existe, pero deixa de protexer o que de verdade se trata, e a responsabilidade do art. 5.2 RGPD segue sendo do responsable. Antes de confiar nela, a pregunta correcta non é se Facilita é boa, senón se o teu negocio segue estando dentro do seu alcance.

Lecturas relacionadas

• Rexistro de Actividades de Tratamento (RAT): que é e como se fai — o documento do art. 30 RGPD que Facilita xera na súa versión básica.
• Auditoría e diagnóstico de protección de datos — a análise que comproba se a túa actividade excede o baixo risco.
• Consultoría de protección de datos de Certix — como traballamos cando un modelo automático non abonda.

---

Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada.