Autónomo y RGPD: obligaciones mínimas que todo profesional debe cumplir

Un autónomo en España gestiona datos personales desde el primer cliente: nombre, NIF, dirección, correo electrónico, teléfono, número de cuenta bancaria, a veces fotografías o documentos de identidad. El hecho de no tener plantilla, oficina o estructura jurídica formal no reduce ninguna obligación bajo el RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018). Lo que sí cambia es el alcance proporcional de la documentación: lo que en una empresa de cien empleados son carpetas de protocolos, en un autónomo cabe en cuatro o cinco páginas bien escritas.

Esta guía resume las obligaciones mínimas del autónomo conforme al RGPD, la LOPDGDD y la LSSICE (Ley 34/2002) cuando la actividad incluye presencia web. Está orientada al profesional sin empleados y al microautónomo: consultor, abogado mercantil, fisio en alquiler, freelance digital, fotógrafo, formador, traductor, comercial independiente.

El error inicial: pensar que el RGPD es para empresas grandes

El RGPD se aplica a toda persona física o jurídica que trate datos personales en el contexto de una actividad profesional. La única exención relevante para un autónomo —el llamado uso doméstico (art. 2.2.c RGPD)— se limita a actividades exclusivamente personales o domésticas. Una agenda telefónica privada queda fuera; la agenda comercial del autónomo no.

El segundo error frecuente es pensar que sin web ni newsletter no hay obligaciones. Pero el autónomo trata datos personales aunque solo facture: nombre, NIF y dirección del cliente están en cada factura emitida, en el libro de IVA, en la declaración trimestral del 130 o del 303, en la copia que conserva la gestoría. Todo eso entra en el RGPD.

Los cuatro tratamientos típicos de un autónomo

Para diseñar una documentación útil sin sobredimensionarla, conviene identificar primero qué tratamientos hace de verdad un autónomo medio. Casi cualquier actividad se resume en cuatro:

Identificar estos cuatro bloques sirve para dimensionar el RAT y para no inventarse "tratamientos" que en realidad no existen. Un autónomo sin marketing activo no debería documentar marketing como tratamiento; uno sin web no necesita política de privacidad web.

Documentación mínima del autónomo

Lo que sigue es la base proporcional que cualquier autónomo debería tener disponible. Bien hecha, cabe en una carpeta digital con menos de diez archivos.

• Registro de Actividades del Tratamiento (RAT): una página, tres o cuatro entradas, con la información del art. 30.1 RGPD para cada tratamiento (responsable, finalidad, categorías de interesados, categorías de datos, destinatarios, plazo, medidas de seguridad).
• Cláusula informativa para clientes: un párrafo o dos en el primer contacto (correo de bienvenida, presupuesto firmado, contrato) con la información del art. 13 RGPD.
• Política de privacidad y de cookies en la web, si la hay. La política de privacidad cumple el art. 13 RGPD para los visitantes; la política de cookies cumple el art. 22.2 LSSICE.
• Contrato con la gestoría o asesoría conforme al art. 28 RGPD, ya que la gestoría es encargada del tratamiento sobre los datos del autónomo y sus clientes. La gestoría suele ofrecer este contrato como anexo de adhesión.
• Contratos del art. 28 RGPD con los proveedores tecnológicos relevantes: software de facturación, herramienta de email, plataforma de almacenamiento en la nube, CRM si lo hay.
• Política de seguridad básica: una página con las medidas operativas (contraseñas individuales y fuertes, doble factor, copias de seguridad, cifrado del portátil, bloqueo automático de pantalla, antivirus actualizado, separación física o lógica entre dispositivo profesional y personal).
• Protocolo de brechas: dos párrafos con qué hacer si se pierde el portátil o el móvil profesional, si recibe un phishing exitoso o si detecta un incidente. Incluye cómo notificar a la AEPD en menos de 72 horas si hay riesgo para los afectados (art. 33 RGPD).

La cláusula informativa: lo más útil y lo menos hecho

De toda la documentación, la cláusula informativa es probablemente la más útil porque es la única que el cliente realmente lee. Un autónomo profesional la integra en su primer correo de presupuesto o en el contrato. Una versión razonable cabe en tres o cuatro líneas:

"Sus datos personales serán tratados por [Nombre del autónomo], con NIF [X], como responsable del tratamiento, para la gestión de la relación profesional, el cumplimiento de obligaciones contables y fiscales y la atención de su consulta. La base jurídica es la ejecución del contrato y el cumplimiento de obligaciones legales. Los datos se conservarán mientras dure la relación profesional y los plazos legales mínimos posteriores. Pueden cederse a la gestoría externa y a las autoridades cuando lo exija la ley. Puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad escribiéndome a [correo]. También puede reclamar ante la AEPD (www.aepd.es)."

Esta cláusula resuelve el 80% de las obligaciones del art. 13 RGPD con el cliente. El resto —destinatarios concretos, transferencias internacionales, decisiones automatizadas— se añade solo si aplica al caso.

La gestoría: el encargado que casi nadie documenta

La práctica totalidad de autónomos en España trabaja con una gestoría externa para presentación de modelos, contabilidad y a veces nóminas si hay personal. Cuando el autónomo le entrega a la gestoría sus facturas con datos personales de los clientes, está cediendo esos datos para que la gestoría los procese por cuenta del autónomo. La gestoría actúa como encargada del tratamiento (art. 28 RGPD) sobre esos datos.

Esta relación exige un contrato escrito con el contenido del art. 28.3 RGPD: objeto, duración, tipos de datos, obligaciones, confidencialidad, medidas de seguridad, subencargados, asistencia, notificación de brechas, devolución al finalizar. La mayoría de las gestorías ofrecen este contrato como anexo de adhesión a su carta de servicios o a su hoja de encargo. El autónomo debe revisarlo, firmarlo y archivarlo.

Cuidado con las nubes "personales" para datos de clientes

La misma lógica del art. 28 RGPD se aplica a las herramientas tecnológicas cotidianas del autónomo, y aquí aparece uno de los puntos más confundidos en la práctica: el uso de versiones gratuitas o de consumo personal de servicios cloud para almacenar información profesional. Las cuentas Google Drive personal (@gmail.com), iCloud personal, OneDrive personal o Dropbox Basic no incluyen el Anexo o Acuerdo de Encargado del Tratamiento (DPA) formalizado que exige el art. 28 RGPD. En sus términos generales el proveedor presta un servicio de consumo, no un servicio profesional con garantías contractuales de encargado.

Almacenar en esas cuentas datos personales de los clientes —presupuestos con NIF, facturas, contratos firmados, fotografías de trabajos, expedientes, escaneos de documentación— sitúa al autónomo en una posición de incumplimiento directo del art. 28 ante cualquier verificación o reclamación. No es un detalle menor: el responsable del tratamiento debe poder acreditar que cada proveedor que accede a los datos de sus clientes está vinculado por un contrato del art. 28.3 RGPD, y un servicio gratuito de consumo no ofrece ese marco.

La solución correcta es contratar las versiones Business o Profesional equivalentes: Google Workspace, Microsoft 365 Business, Dropbox Business o el equivalente profesional de cada proveedor. Estas ediciones incorporan el DPA (o Data Processing Addendum) y permiten su firma digital desde la propia consola de administración. La diferencia de coste mensual respecto a la versión gratuita es modesta y el beneficio normativo es directo: con el DPA firmado, la nube pasa a ser un encargado del tratamiento legítimo bajo el art. 28, con obligaciones claras de confidencialidad, seguridad, subencargados, asistencia al responsable, notificación de brechas y devolución o supresión al finalizar la relación.

El criterio práctico para el autónomo es simple: cualquier herramienta cloud que vaya a tocar datos de clientes —almacenamiento, correo, firma electrónica, CRM, facturación, copias de seguridad— debe estar contratada en su versión profesional y con el DPA descargado, firmado y archivado junto al resto de contratos del art. 28.

Web y cookies del autónomo

Si el autónomo tiene presencia web —página personal, formulario de contacto, blog profesional, programa de citas en línea, newsletter—, aparecen dos obligaciones adicionales:

• Política de privacidad accesible desde el pie de cada página, con la información del art. 13 RGPD adaptada al uso real de la web. Si solo hay formulario de contacto, el documento es mínimo; si hay cita en línea o tienda, se complica algo más.
• Política de cookies y banner, si la web carga cookies analíticas (Google Analytics, Matomo), de marketing (píxel de Meta, retargeting) o de redes sociales. Cualquier cookie que no sea estrictamente necesaria para el servicio que el usuario ha solicitado requiere consentimiento previo según el art. 22.2 LSSICE, con tres opciones equiparadas en el banner: aceptar, rechazar, configurar.

Móvil, WhatsApp y portátil: los dispositivos del autónomo

El autónomo gestiona su negocio típicamente desde uno o dos dispositivos: un portátil y un móvil. Las medidas de seguridad razonables del art. 32 RGPD, aplicadas a esta realidad, son cortas pero importantes:

• Contraseñas individuales y fuertes, distintas en cada servicio crítico (correo, banca, software de facturación, plataforma de la gestoría). Gestor de contraseñas es muy recomendable.
• Doble factor activado en correo, banca y plataformas que lo permitan.
• Cifrado completo del portátil (BitLocker en Windows, FileVault en macOS) y bloqueo por contraseña/PIN del móvil profesional.
• Bloqueo automático de pantalla en cinco minutos o menos.
• Antivirus actualizado y sistema operativo al día.
• Copia de seguridad regular y en un servicio cifrado, con prueba de restauración una vez al año.
• Separación operativa entre uso profesional y personal: idealmente dispositivos distintos; como mínimo, perfiles distintos y cuentas distintas dentro del mismo dispositivo.
• WhatsApp profesional: usar línea distinta de la personal, no almacenar listas largas de clientes en chats, no compartir grupos donde los clientes vean los teléfonos de otros clientes.

Conservación: hasta cuándo guardar los datos

Los plazos de conservación del autónomo se rigen por varias normas que conviven:

• Obligación contable: el art. 30 del Código de Comercio fija la conservación de libros, correspondencia, documentación y justificantes durante seis años desde el último asiento.
• Obligación tributaria: la Ley General Tributaria fija plazos generales de prescripción de cuatro años para deudas tributarias; conservar la documentación al menos durante ese plazo evita problemas en comprobaciones.
• Acciones civiles ordinarias: el art. 1964 del Código Civil fija un plazo general de prescripción de cinco años para reclamaciones civiles.
• Acciones específicas (defectos de obra, prestaciones de servicio, responsabilidad civil profesional): pueden tener plazos propios.

El criterio práctico del autónomo es conservar los datos vinculados a un cliente mientras esté abierto el riesgo legal o fiscal y suprimirlos cuando pasen todos los plazos relevantes. La excepción son los datos vinculados al marketing, que se rigen por la vigencia del consentimiento o de la relación contractual previa, y se suprimen cuando el cliente se da de baja.

Checklist mínimo del autónomo

• RAT de una página con los tres o cuatro tratamientos reales del negocio.
• Cláusula informativa lista para incluir en cada primer correo de presupuesto o contrato.
• Política de privacidad y cookies en la web si la hay, con banner LSSICE bien configurado.
• Contrato del art. 28 RGPD firmado con la gestoría externa y con los principales proveedores tecnológicos.
• Política de seguridad básica de una página con las medidas operativas del portátil y el móvil.
• Protocolo de brechas de dos párrafos con los pasos en caso de pérdida del dispositivo o incidente.
• Plazos de conservación documentados por bloque, con referencias contables, fiscales y civiles.
• Revisión anual de la documentación: nuevos clientes, nuevos proveedores, nuevas herramientas.

Preguntas frecuentes

¿Un autónomo sin empleados tiene que cumplir el RGPD?

Sí. El RGPD se aplica a toda persona física o jurídica que trate datos personales en el contexto de una actividad profesional. Lo que cambia respecto a una empresa con plantilla es el alcance proporcional de la documentación: un RAT corto, medidas de seguridad sobre uno o dos dispositivos y políticas de una página. Los principios de licitud, transparencia, minimización y conservación se aplican igual.

¿Necesita un autónomo Registro de Actividades del Tratamiento (RAT)?

El art. 30.5 RGPD prevé una exención para responsables con menos de 250 empleados salvo riesgo, tratamiento no ocasional o categorías especiales. En la práctica, un autónomo que factura y atiende clientes con continuidad realiza tratamientos no ocasionales y se beneficia del RAT incluso aunque no fuera estrictamente obligatorio. Un RAT de autónomo es una página con tres o cuatro entradas.

¿Es lícito que el autónomo guarde el número de cuenta bancaria del cliente para futuras facturas?

Sí. Conservar el IBAN del cliente para emitir futuras facturas vinculadas a una relación comercial continuada se apoya en la ejecución del contrato (art. 6.1.b RGPD). La obligación complementaria es informar al cliente. No es lícito compartir ese IBAN con terceros sin base adicional ni conservarlo años después del fin de la relación sin obligación legal.

¿Tiene que tener un autónomo política de privacidad en su web personal aunque sea de una página?

Sí. Cualquier web profesional con formulario de contacto, suscripción o presencia online del autónomo trata o puede tratar datos personales y debe cumplir el art. 13 RGPD. La política de privacidad de un autónomo no necesita ser extensa: una o dos páginas claras con responsable, datos, finalidad, base jurídica, destinatarios (típicamente la gestoría), conservación y derechos. Si la web usa cookies, también hace falta banner LSSICE.

¿Puede un autónomo guardar datos de clientes en su Google Drive o Dropbox personal gratuitos?

No es la opción adecuada. Las versiones gratuitas o de consumo personal de Google Drive (cuenta @gmail.com), iCloud personal, OneDrive personal o Dropbox Basic no incluyen el Anexo o Acuerdo de Encargado del Tratamiento (DPA) formalizado que exige el art. 28 RGPD. La solución correcta es contratar las versiones Business o Profesional equivalentes (Google Workspace, Microsoft 365 Business, Dropbox Business), que incorporan el DPA y permiten su firma digital. Con el DPA firmado, la nube pasa a ser un encargado del tratamiento legítimo bajo el art. 28.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.