Protección de datos
para pequenas empresas

Si. O RGPD non ten excepcións por tamaño de empresa. Calquera entidade que trate datos persoais de clientes, empregados, proveedores ou calquera outra persoa identificable está suxeita á norma. A única diferenza está na obriga do RAT: as empresas con menos de 250 empregados teñen exención parcial, salvo que o tratamento sexa habitual, implique risco ou inclúa categorías especiais de datos.

A documentación básica inclúe: Rexistro de Actividades de Tratamento (ou documentación equivalente), información aos traballadores sobre o tratamento dos seus datos laborais, cláusulas informativas para clientes, contratos de encargado cos provedores que accedan a datos (software de xestión, asesoría, TI), política de privacidade e cookies para a web, e protocolo de resposta a brechas.

Os traballadores deben ser informados do tratamento dos seus datos persoais, incluídos: identidade do responsable, finalidades (nóminas, seguridade social, prevención de riscos, control de horarios), base xurídica, prazos de conservación e dereitos. Esta información debe facilitarse no momento da contratación, xeralmente como documento anexo ao contrato de traballo.

Si. Calquera provedor de software que almacene ou procese datos de clientes, empregados ou proveedores da empresa actúa como encargado de tratamento. É obrigatorio formalizar o contrato de encargado conforme ao art. 28 do RGPD antes de que o provedor acceda a eses datos.

A videovigilancia en instalacións empresariais con finalidade de seguridade está permitida. Require información aos empregados e visitantes mediante carteis visibles con identificación do responsable. As imaxes non poden usarse para fins distintos da seguridade, deben conservarse polo prazo máximo legalmente establecido e non pode instalarse cámaras en zonas onde non existe expectativa razoable de seguridade (vestiarios, aseos).

Non. A asesoría laboral, fiscal e xurídica que accede a datos de empregados ou clientes da empresa actúa como encargada de tratamento. É obrigatorio formalizar o contrato de encargado. Moitas asesorías ofrecen este contrato de forma estándar, pero debe verificarse que cumpre as esixencias do RGPD.

As infraccións máis habituais en pequenas empresas son: falta de información aos afectados, ausencia de contratos de encargado con provedores, web sen política de privacidade ou con xestión de cookies inadecuada, e falta de documentación do tratamento. As sancións poden ser de advertencia en primeiro incumprimento, pero as infraccións graves poden derivar en multas significativas. O máis importante é demostrar diligencia activa no cumprimento.