Unha pyme española trata datos persoais desde o primeiro día: empregados, clientes, provedores, candidatos a emprego, visitantes web, contactos comerciais e, en moitos casos, tamén imaxes de videovixilancia. Cumprir o RGPD (Regulamento UE 2016/679) non é unha opción para empresas dun certo tamaño: é unha obriga que se aplica igual a quen ten cinco empregados que a quen ten cincocentos. O que cambia é o alcance documental proporcional: o que nunha multinacional son cartafoles de protocolos, nunha pyme ben estruturada cabe nunha decena de documentos curtos e útiles.
Esta guía explica como aterrar o RGPD, a LOPDGDD (Lei Orgánica española 3/2018) e a LSSICE (Lei española 34/2002) ao tamaño real dunha pyme española, sen sobredimensionar o cumprimento nin quedar curto. Está orientada a empresas con cadro de persoal, oficina e operativa estable: comercio, distribución, fabricación, servizos profesionais, axencia, taller, restauración con varios empregados.
O principio de proporcionalidade: o que cambia e o que non
O RGPD non fixa un único modelo de cumprimento. O seu art. 24 obriga ao responsable a aplicar medidas técnicas e organizativas apropiadas tendo en conta a natureza, o ámbito, o contexto e os fins do tratamento, así como os riscos para os dereitos e liberdades das persoas físicas. Esa flexibilidade permite a unha pyme construír un cumprimento axustado á súa realidade sen ter que copiar o modelo dunha corporación.
O que non cambia co tamaño:
- Os principios do art. 5 RGPD (licitude, lealdade, transparencia, limitación da finalidade, minimización, exactitude, limitación do prazo de conservación, integridade e confidencialidade, responsabilidade proactiva).
- O deber de información ao interesado (art. 13 RGPD): cada vez que a empresa recolle datos dun cliente, empregado ou candidato, debe informalo.
- Os dereitos do interesado (acceso, rectificación, supresión, oposición, limitación, portabilidade) e o prazo dun mes para respondelos (art. 12.3 RGPD).
- A obriga de notificar fendas á AEPD (Axencia Española de Protección de Datos) en menos de 72 horas cando poidan afectar a dereitos e liberdades (art. 33 RGPD).
O que si cambia co tamaño:
- A extensión documental: o RAT dunha pyme de quince empregados pode caber nunha páxina e media; o dunha empresa de cincocentos é un documento extenso.
- O nivel de especialización requirido en seguridade: unha pyme aplica medidas razoables baseadas en software comercial estándar e boas prácticas; unha gran empresa pode precisar SOC, CISO e políticas formais.
- A obriga de DPD: aplica só en casos específicos do art. 37 RGPD e do art. 34 LOPDGDD; a maioría de pemes non a teñen como obriga.
- A posible exención do RAT do art. 30.5 RGPD para empresas con menos de 250 empregados, aínda que na práctica case todas teñen tratamentos non ocasionais que a inutilizan.
Os cinco tratamentos típicos dunha pyme
Case calquera pyme española resúmese en cinco bloques de tratamento. Identificalos primeiro axuda a dimensionar o resto da documentación:
| Tratamento | Datos típicos | Base xurídica habitual |
|---|---|---|
| Empregados | Identificativos, nómina, IBAN, datos fiscais, baixas, vacacións, formación. | Contrato laboral (6.1.b) + obriga legal (6.1.c) |
| Clientes | Razón social/nome, NIF, contacto, enderezo, IBAN, pedidos, historial. | Execución de contrato (6.1.b) |
| Provedores | Datos do provedor e dos seus contactos comerciais. | Execución de contrato (6.1.b) |
| Candidatos a emprego | CV, datos de contacto, formación, experiencia laboral, ocasionalmente carta de motivación. | Medidas precontractuais (6.1.b) ou consentimento (6.1.a) |
| Marketing e comunicación | Subscritores de newsletter, contactos comerciais, visitantes web identificados. | Consentimento (6.1.a) ou interese lexítimo (6.1.f) + art. 21 LSSICE |
A isto engádese, se a pyme ten videovixilancia, un sexto tratamento con base no interese lexítimo (art. 6.1.f RGPD) e cumprindo o réxime específico do art. 22 LOPDGDD; se a actividade inclúe exportación ou tratamento de datos en países fóra do EEE, hai que considerar as garantías do Cap. V RGPD.
Documentación mínima proporcional
Unha pyme cumpre razoablemente con cinco bloques documentais ben feitos. A extensión de cada un depende da complexidade real da empresa, pero ningún require ser un tratado:
- Rexistro de Actividades do Tratamento (RAT): unha entrada por cada tratamento identificado (cinco ou seis para unha pyme estándar), coa información do art. 30.1 RGPD: responsable, finalidade, categorías de interesados, categorías de datos, destinatarios, prazos, medidas de seguridade, transferencias internacionais se aplican. Documento Excel ou táboa nun Word; non precisa máis.
- Cláusulas informativas: unha para empregados (entrega ao asinar o contrato laboral), outra para clientes (entrega no primeiro orzamento ou contrato), outra para candidatos a emprego (entrega ao recibir CV ou ao publicar oferta), e a política de privacidade web se hai web. Son catro textos curtos.
- Contratos do art. 28 RGPD cos provedores tecnolóxicos que tratan datos: software de RRHH e nóminas, xestoría externa, provedor IT ou de mantemento informático, hosting, ferramenta de email marketing, CRM, ERP, plataforma de almacenamento na nube. A maioría ofrecen o contrato como anexo de adhesión.
- Política de seguridade operativa: dúas ou tres páxinas coas medidas reais aplicadas: contrasinais individuais e fortes, dobre factor en accesos críticos, copia de seguridade cifrada, cifrado de dispositivos, bloqueo automático de pantallas, antivirus, xestión de altas e baixas de persoal con acceso a sistemas, separación de redes wifi de visita e de traballo.
- Protocolo de fendas: unha páxina con que facer se se detecta unha incidencia (perda de portátil, phishing exitoso, ataque ransomware, fuga interna), quen é responsable de avaliar, en que casos hai que notificar á AEPD en menos de 72 horas e como. Inclúe modelo de notificación.
Se a pyme ten videovixilancia, engádese o cartel informativo conforme ao art. 22.4 LOPDGDD e a regulación interna do sistema (zonas gravadas, prazos de conservación, accesos ao visor, cesión ás forzas de seguridade).
Empregados: o tratamento máis sensible da pyme
O tratamento de datos do cadro de persoal concentra os riscos xurídicos máis serios dunha pyme. Tres puntos críticos:
- Información ao empregado no momento da contratación: cláusula informativa específica que cobre finalidades laborais (nómina, cotización, prevención de riscos, vixilancia da saúde se procede), comunicación a terceiros (TGSS —Tesouraría Xeral da Seguridade Social—, AEAT —Axencia Estatal de Administración Tributaria—, xestoría, mutua), prazos vinculados a obrigas laborais e prescrición.
- Control horario (obrigatorio desde o RD-Lei español 8/2019 de rexistro horario): debe rexistrar a xornada de cada traballador. A pyme dispón de varias opcións lexítimas e proporcionadas para implantalo: código PIN individual, tarxeta de proximidade RFID, app móbil corporativa, rexistro asinado en papel ou software de RRHH con login personalizado.
- Acceso ao correo e aos sistemas tras a baixa do empregado: o correo profesional contén datos de clientes e da empresa que a organización ten dereito a recuperar. O protocolo debe estar definido e comunicado ao empregado ao asinar o contrato: derivación do correo a outro responsable durante un prazo razoable, non apertura sistemática da correspondencia persoal eventualmente recibida, supresión segura tras o prazo.
"A pyme non precisa un manual de cumprimento de cen páxinas. Precisa dez páxinas reais, aliñadas co que de verdade fai cada día. A diferenza entre un cumprimento que aguanta e un que non aguanta non está no volume do documento, está en se reflicte a realidade da empresa."
Mario P. Talamillo · Socio director, Certix®
Provedores tecnolóxicos: a cadea que poucas pemes documentan
Unha pyme media traballa cunha decena de provedores tecnolóxicos que tratan datos persoais pola súa conta: xestoría externa, software de RRHH e nóminas, provedor IT que mantén servidores e equipos, ERP na nube, ferramenta de email marketing, plataforma de almacenamento, CRM. Cada un é encargado do tratamento e debe asinar o contrato do art. 28 RGPD co contido do art. 28.3.
Os puntos críticos que a pyme debe revisar ao contratar:
- O provedor ofrece o contrato como anexo das súas condicións. Se non o ofrece, hai que pedilo expresamente.
- O contrato lista os subencargados e obriga ao provedor a notificar cambios.
- Identifica transferencias internacionais e a súa base de lexitimación (Data Privacy Framework para EE.UU., cláusulas contractuais tipo).
- Obriga ao provedor a asistir ao responsable nos dereitos do interesado e nas fendas.
- Garante a devolución dos datos ao finalizar a relación (art. 28.3.g RGPD), non só a súa destrución.
Marketing e newsletter: o que a pyme adoita facer mal
A pyme media ten unha lista de contactos comerciais que foi acumulando: tarxetas de visita de feiras, contactos LinkedIn, correos que chegaron en resposta a orzamentos, subscritores da newsletter. A tentación de usar esa lista para enviar campañas é alta e os erros concéntranse aquí:
- Non se mesturan listas de fontes distintas: as persoas que deron o seu correo para recibir un orzamento non consentiron en recibir newsletter. Fai falta consentimento expreso para incluílas na lista comercial.
- As caixas de consentimento en formularios web deben estar desmarcadas por defecto e separadas da aceptación da política. Non vale agrupar todo nunha única caixa.
- O art. 21 LSSICE permite enviar comunicacións comerciais por correo electrónico a clientes existentes sobre produtos ou servizos similares aos xa contratados, sempre con mecanismo de baixa en cada envío. Fóra dese suposto, fai falta consentimento.
- O mecanismo de baixa debe ser fácil, gratuíto e efectivo: un clic, sen pedir motivos, sen obrigar a iniciar sesión.
Checklist mínimo da pyme
- RAT actualizado cos cinco ou seis tratamentos reais.
- Catro cláusulas informativas operativas: empregados, clientes, candidatos, web.
- Contratos do art. 28 RGPD asinados con xestoría, software de RRHH, provedor IT, hosting e outros provedores relevantes.
- Política de seguridade operativa de dúas ou tres páxinas adaptada ao tamaño real.
- Protocolo de fendas con modelo de notificación á AEPD.
- Cartel informativo de videovixilancia e regulación interna se hai cámaras.
- Revisión anual da documentación e dos provedores.
- Punto de contacto designado para dereitos do interesado e consultas (pode ser o xerente, o departamento de RRHH ou un DPD externo se se opta por designalo voluntariamente).
Preguntas frecuentes
Unha pyme de menos de 10 empregados está exenta do RGPD?
Non. O RGPD aplícase con independencia do tamaño. O art. 30.5 RGPD prevé unha exención moi limitada do RAT para responsables con menos de 250 empregados, e só cando o tratamento é ocasional, non inclúe categorías especiais e non presenta riscos. Na práctica, case calquera pyme ten tratamentos non ocasionais (cadro de persoal, clientes habituais) e benefíciase sempre do RAT, aínda que breve.
Cantos documentos mínimos debería ter unha pyme para cumprir o RGPD?
Cinco bloques: o RAT, as cláusulas informativas (clientes, empregados, candidatos, web), os contratos do art. 28 RGPD con provedores tecnolóxicos relevantes, unha política de seguridade operativa adaptada e un protocolo de xestión de fendas. Máis a política de privacidade e cookies na web. O importante é que eses documentos estean vivos e reflictan o que a empresa fai de verdade.
Precisa unha pyme nomear Delegado de Protección de Datos (DPD)?
Por regra xeral non. Unha pyme estándar non encaixa nos supostos taxativos do art. 37 RGPD nin do art. 34 LOPDGDD. A excepción son actividades de observación habitual e sistemática a gran escala ou tratamento a gran escala de categorías especiais. Aínda que esta é a regra xeral do sector, a esixencia final dependerá do tamaño, volume e tipoloxía exacta dos tratamentos. Cada caso require unha análise individualizada. Designar un DPD voluntario achega orde interna.
Pode a pyme usar os modelos gratuítos de internet ou precisa asesoramento profesional?
Os modelos poden servir como referencia estrutural pero raramente funcionan como documento final. Política, RAT e contratos do art. 28 RGPD deben reflectir o responsable concreto, as finalidades reais, os provedores efectivos e as transferencias vixentes. Os modelos fallan onde a AEPD sanciona: prazos reais, destinatarios efectivos e bases xurídicas coherentes con cada finalidade.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.
Queres ordenar o cumprimento RGPD da túa pyme de forma proporcional e útil?
En Certix asignámosche un experto en cumprimento para pemes. Sen intermediarios comerciais, sen modelos xenéricos.
Falar cun experto