Cómo adaptar mi empresa al RGPD: guía paso a paso

Adaptar una empresa al RGPD no es comprar un pack de documentos y archivarlos. Es un proceso que recorre toda la actividad del negocio: saber qué datos tratas, por qué puedes tratarlos, cómo los proteges, qué le cuentas a la persona a la que pertenecen y qué haces cuando algo sale mal. Esta guía ordena ese proceso en nueve pasos, cada uno con su base legal, para que veas el camino completo de la adaptación al RGPD de una pyme o de un autónomo, sin atajos y sin ruido.

Antes de entrar en los pasos, una idea que ordena todo lo demás: el RGPD no funciona como una lista de trámites que se marcan y se olvidan. Funciona como un sistema. Cada paso se apoya en el anterior —no puedes definir tus bases de legitimación si antes no sabes qué datos tratas, ni redactar una cláusula informativa correcta si no has fijado esas bases— y todos juntos sostienen una misma obligación: que la empresa sepa lo que hace con los datos y pueda demostrarlo. Léelos en orden.

Paso 1. Punto de partida: la responsabilidad proactiva

Todo arranca en un cambio de lógica. El RGPD sustituyó el viejo modelo de notificar ficheros por adelantado por el de responsabilidad proactiva (art. 5.2 y art. 24 RGPD): ya no pides permiso ni inscribes nada previamente, pero tienes que ser capaz de demostrar en cualquier momento que tratas los datos conforme a la norma. La carga de la prueba se traslada a la empresa. Adaptarse es, en el fondo, construir esa capacidad de demostrar.

Y lo que hay que demostrar es el respeto a los principios del art. 5 RGPD, que son la columna vertebral de todo lo que viene después:

• Licitud, lealtad y transparencia: tratar los datos con una base legal y de forma clara para la persona afectada.
• Limitación de la finalidad: recoger los datos para fines determinados y no usarlos luego para otra cosa incompatible.
• Minimización: pedir solo los datos que de verdad necesitas para esa finalidad, ni uno más.
• Exactitud: mantener los datos actualizados y corregir los que sean inexactos.
• Limitación del plazo de conservación: no guardar los datos más tiempo del necesario.
• Integridad y confidencialidad: protegerlos con medidas de seguridad adecuadas.

Estos principios no son decoración: son el criterio con el que se juzga cada decisión posterior. Cuando dudes en cualquiera de los pasos siguientes —si puedes guardar un dato, cuánto tiempo, para qué— la respuesta casi siempre está en volver al art. 5. Si quieres el marco conceptual completo, empieza por qué es la protección de datos.

Paso 2. Inventario de datos: qué tratas y cómo se categoriza

Antes de documentar nada, hay que mirar hacia dentro. El inventario de datos es el trabajo de campo que casi nadie hace y del que depende todo: recorrer la organización y anotar qué datos personales entran, dónde se guardan, quién los maneja y a dónde salen. Sin este mapa, cualquier documento posterior será una suposición.

Una parte clave del inventario es categorizar lo que encuentras, porque no todos los datos pesan igual ante la ley:

• Datos básicos o comunes: nombre, DNI, dirección, teléfono, email, datos de facturación, datos profesionales. Son la mayoría de los que trata cualquier negocio.
• Categorías especiales (art. 9 RGPD): datos que revelan origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos de salud, datos sobre la vida sexual, además de los datos genéticos y biométricos usados para identificar a una persona. Están sujetos a una protección reforzada y a restricciones severas.

La distinción importa porque cambia todo lo que viene después: la base legal necesaria, las medidas de seguridad exigibles y el nivel de riesgo del tratamiento. Detectar que tratas un dato del art. 9 —muchas empresas lo hacen sin darse cuenta, por ejemplo al gestionar bajas médicas de su personal— condiciona el resto de la adaptación. Para entender qué entra en esta categoría y cómo se maneja, consulta datos especialmente protegidos: categorías especiales.

Paso 3. Bases de legitimación: por qué puedes tratar cada dato

Tratar datos sin una base que lo legitime es tratarlos ilícitamente. Por eso, para cada tratamiento del inventario del paso anterior, hay que identificar en cuál de las bases del art. 6 RGPD se apoya. No es un formalismo: es lo que separa un tratamiento legal de uno que no lo es. Las bases del art. 6 son:

• Consentimiento del interesado.
• Ejecución de un contrato en el que el interesado es parte.
• Cumplimiento de una obligación legal del responsable.
• Protección de intereses vitales del interesado o de otra persona.
• Misión de interés público o ejercicio de poderes públicos.
• Interés legítimo del responsable o de un tercero, siempre que no prevalezcan los derechos del interesado.

Un error frecuente es pensar que todo se legitima con el consentimiento. No es así: gestionar la relación con un cliente se apoya normalmente en la ejecución del contrato, y emitir facturas, en una obligación legal. El consentimiento se reserva para tratamientos donde no cabe otra base, como el envío de comunicaciones comerciales. Elegir mal la base tiene consecuencias en cadena, porque de ella dependen la información que das y los derechos que puede ejercer la persona.

Y hay un matiz que no puede fallar: si en el paso 2 detectaste datos de categoría especial (art. 9), el consentimiento del art. 6 no basta por sí solo. Estos datos exigen una doble base: una base legitimadora del art. 6 y, además, una de las excepciones del art. 9.2 que levantan la prohibición general de tratarlos. Las dos, a la vez. Para profundizar en cómo se define la base de cada tratamiento y qué ocurre al ceder o comunicar datos, mira tratamiento, cesión y transferencias de datos.

Paso 4. Documentación: RAT, cláusulas y contratos con encargados

Con el inventario hecho y las bases definidas, toca dejarlo por escrito. Esta es la parte que muchos confunden con "adaptarse al RGPD", cuando en realidad es solo el reflejo documental de los tres pasos anteriores. Tres piezas concentran el grueso de la documentación:

El Registro de Actividades de Tratamiento (art. 30 RGPD)

El RAT es el documento del art. 30 RGPD que inventaría, tratamiento por tratamiento, qué datos manejas, con qué finalidad, sobre qué personas, durante cuánto tiempo y con qué medidas de seguridad. Es el corazón documental de la adaptación y la traducción formal del inventario del paso 2. La creencia de que las empresas pequeñas están exentas es, en la mayoría de los casos, falsa. Aquí tienes la guía completa para construirlo: Registro de Actividades de Tratamiento (RAT): qué es y cómo se hace.

Las cláusulas informativas

Son los textos con los que informas al interesado en el momento de recoger sus datos: en formularios web, contratos, fichas de cliente o el pie de tus correos. No son genéricas: deben decir la verdad sobre tus finalidades y tus bases de legitimación, las que fijaste en el paso 3. Su contenido concreto se detalla en el paso 6.

Los contratos con encargados del tratamiento (art. 28 RGPD)

Cada vez que un tercero trata datos por cuenta de tu empresa —la gestoría, el proveedor de correo, el CRM en la nube, la empresa de mantenimiento informático— actúa como encargado del tratamiento y el art. 28 RGPD exige regular esa relación por contrato. Un detalle importante: al terminar la relación, el encargado no debe simplemente "destruir" los datos, sino devolverlos o permitir que los exportes para que puedas cumplir tus propios plazos de conservación; la destrucción viene después. Entiende bien esta figura en qué es el encargado del tratamiento.

Paso 5. Seguridad y riesgos: medidas proporcionales

Documentar los datos no los protege; hay que defenderlos. El art. 32 RGPD obliga a aplicar medidas técnicas y organizativas proporcionales al riesgo de cada tratamiento. No existe un catálogo cerrado y obligatorio para todos: una asesoría que trata datos de salud de bajas laborales necesita más garantías que un negocio que solo guarda datos de contacto. La proporcionalidad es la regla.

En la práctica, estas medidas se traducen en rutinas del día a día: control de accesos por rol, contraseñas individuales, cifrado de dispositivos, copias de seguridad, bloqueo de pantallas, deberes de confidencialidad del personal y control de las copias en papel. Ordenar todo esto en un documento vivo es la función de una política de seguridad de la información.

Cuando el análisis del paso 2 revela un tratamiento que probablemente entrañe un alto riesgo para los derechos y libertades de las personas, el art. 32 se queda corto y entra en juego el art. 35 RGPD: la Evaluación de Impacto (EIPD), un análisis previo y más profundo del riesgo y de cómo mitigarlo. No todos los tratamientos la necesitan, pero identificarla a tiempo es parte de adaptarse bien. Aquí se explica cuándo procede: Evaluación de Impacto en Protección de Datos (EIPD).

Paso 6. Deber de informar: transparencia con el interesado

La transparencia es un principio del art. 5 que se concreta en una obligación muy tangible: informar a la persona de qué haces con sus datos, antes o en el momento de recogerlos. El RGPD distingue dos situaciones:

• Art. 13 RGPD: cuando los datos se obtienen directamente del interesado (rellena tu formulario, firma tu contrato, te da su tarjeta).
• Art. 14 RGPD: cuando los datos no se obtienen del interesado, sino de un tercero o de una fuente accesible al público.

En ambos casos hay que comunicar quién eres, con qué finalidad y base tratas los datos, a quién se los comunicas, cuánto los conservas y cómo puede ejercer sus derechos. Un equívoco habitual: que un tratamiento no necesite consentimiento —porque se apoya en el contrato o en una obligación legal— no exime del deber de informar. La cláusula de privacidad hay que entregarla igual, en el primer contacto. La expresión más visible de este deber es la política de privacidad del sitio web; cómo redactarla se detalla en la política de privacidad de la web de tu empresa.

Paso 7. Derechos de los interesados: un procedimiento para atenderlos

Adaptarse no es solo poder demostrar lo que haces: es estar preparado para responder cuando una persona ejerce sus derechos. El RGPD reconoce a cada interesado un conjunto de derechos (arts. 15 a 22 RGPD) y la empresa debe tener un procedimiento para atenderlos en plazo:

• Acceso (art. 15): saber qué datos suyos tratas y obtener una copia.
• Rectificación (art. 16): corregir datos inexactos o incompletos.
• Supresión (art. 17): el "derecho al olvido", con sus límites.
• Limitación del tratamiento (art. 18): "congelar" el uso de los datos en ciertos supuestos.
• Portabilidad (art. 20): recibir los datos en formato estructurado para llevarlos a otro responsable.
• Oposición (art. 21): oponerse a un tratamiento basado en interés legítimo o a la publicidad.

Aquí se cierra el círculo con los pasos anteriores: para responder a un derecho de acceso o de supresión necesitas el RAT del paso 4, porque es el mapa que te dice dónde están los datos de esa persona y quién los tiene. Un procedimiento de derechos sin inventario detrás es papel mojado. Cómo articular la respuesta a cada uno se explica en los derechos de acceso, rectificación, supresión y oposición.

Paso 8. Delegado de Protección de Datos: cuándo hay que designarlo

No todas las organizaciones necesitan un Delegado de Protección de Datos (DPD), pero todas deben comprobar si les toca. La designación es obligatoria en los supuestos del art. 37 RGPD —esencialmente, cuando el tratamiento a gran escala de datos, la observación habitual y sistemática de personas, o el tratamiento de categorías especiales forman parte del núcleo de la actividad— y en los casos adicionales que enumera el art. 34 LOPDGDD para determinadas entidades en España.

Esta es información orientativa: la obligación de designar DPD depende de la escala, el volumen y la tipología exacta de los tratamientos de cada organización, y cada caso requiere un análisis individualizado. Si quieres ver los supuestos con detalle y valorar si tu actividad encaja, aquí está la referencia: Delegado de Protección de Datos.

Paso 9. Protocolo de brechas: qué hacer cuando algo falla

La última pieza de una empresa adaptada es la que se activa cuando el resto no ha sido suficiente. Una violación de seguridad —un portátil robado, un ransomware, un correo con datos enviado por error, un acceso no autorizado— puede ocurrirle a cualquiera, y lo que distingue a una organización preparada es tener un protocolo listo antes de que pase.

El RGPD marca dos obligaciones que se disparan ante una brecha:

• Notificación a la autoridad de control (art. 33 RGPD): salvo que sea improbable que la brecha suponga un riesgo para los derechos de las personas, hay que notificarla a la autoridad competente sin dilación indebida y, de ser posible, en un plazo máximo de 72 horas desde que se tiene constancia.
• Comunicación a los afectados (art. 34 RGPD): cuando la brecha entrañe un alto riesgo para sus derechos y libertades, además hay que comunicárselo a las personas afectadas.

Las 72 horas del art. 33 corren desde que la empresa tiene constancia de la brecha, no desde que decide reaccionar. Por eso el protocolo tiene que estar definido de antemano: quién detecta, quién decide, quién notifica. Improvisarlo en caliente es la forma más segura de incumplir el plazo. El procedimiento completo, paso a paso, está en brecha de seguridad: qué hacer.

Tabla resumen del proceso

Los nueve pasos, su contenido esencial y el artículo donde se desarrolla cada uno:

Checklist de adaptación

Una lista rápida para situar en qué punto está tu organización. No sustituye al análisis individualizado, pero ayuda a ver los huecos:

Preguntas frecuentes

¿Por dónde empiezo a adaptar mi empresa al RGPD?

Por el inventario de datos. Antes de redactar una cláusula o comprar una plantilla, hay que saber qué datos personales trata la empresa, sobre qué personas, con qué finalidad y quién los toca. Ese inventario es la base sobre la que se construye todo lo demás: el RAT (art. 30 RGPD), las bases de legitimación (art. 6), las medidas de seguridad (art. 32) y la información al interesado (art. 13 y 14). Adaptar bien una empresa no es rellenar documentos genéricos, sino analizar la actividad concreta que realiza.

¿Cuánto se tarda en adaptar una empresa al RGPD?

Depende del tamaño de la organización y de la complejidad de sus tratamientos. La adaptación no es un trámite que se cierra en una fecha: el RGPD se apoya en la responsabilidad proactiva (art. 5.2 y 24), que es una obligación continua. Una parte del trabajo es inicial (inventario, documentación, cláusulas), pero mantener la coherencia después —cuando cambias de software, sumas un proveedor o abres una nueva finalidad— es permanente. Por eso la pregunta no es cuándo se termina, sino cómo se sostiene en el tiempo.

¿La adaptación al RGPD es obligatoria para autónomos?

Sí. El RGPD y la LOPDGDD se aplican a cualquiera que trate datos personales en el marco de una actividad profesional o empresarial, con independencia de su forma jurídica. Un autónomo que gestiona una cartera de clientes, envía facturas o guarda datos de contacto está tratando datos personales y debe cumplir los principios del art. 5, identificar sus bases de legitimación (art. 6), informar a los interesados (art. 13) y atender sus derechos (arts. 15 a 22). El volumen es menor que en una gran empresa, pero la obligación existe igual.

¿Sirve una plantilla genérica para adaptar mi empresa al RGPD?

No, o al menos no por sí sola. Una plantilla puede servir de punto de partida formal, pero el RGPD exige que la documentación refleje los tratamientos reales de tu organización: tus finalidades, tus bases de legitimación, tus proveedores, tus plazos de conservación. Un Registro de Actividades de Tratamiento copiado de otra empresa describe una organización que no es la tuya, y por tanto incumple el art. 30 aunque parezca completo. Adaptarse bien pasa por analizar la actividad concreta, no por repartir documentos iguales para todos.

En resumen

Adaptar una empresa al RGPD es recorrer, en orden, estos nueve pasos: entender la responsabilidad proactiva, inventariar los datos, asignar bases de legitimación, documentar, proteger, informar, atender derechos, valorar el DPD y preparar el protocolo de brechas. Cada pieza se apoya en la anterior y ninguna se sostiene sola. La diferencia entre una empresa realmente adaptada y una con una carpeta de documentos bonitos está en un solo punto: si esos documentos describen la actividad real del negocio o describen la de otro. El siguiente paso lógico es un análisis individualizado de lo que tu organización trata de verdad.

Lecturas relacionadas

• Adaptación al RGPD para empresas — cómo Certix acompaña todo el proceso, paso a paso, con un análisis de tu actividad concreta.
• Qué es la protección de datos — el marco conceptual sobre el que se apoya toda la adaptación.
• Registro de Actividades de Tratamiento (RAT) — el documento central del art. 30 RGPD.

---

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.