Facilita RGPD: qué es la herramienta de la AEPD y hasta dónde llega

Facilita RGPD es una de las herramientas más conocidas de la Agencia Española de Protección de Datos, y también una de las peor interpretadas. Es gratuita, es útil y está pensada con buena intención, pero solo funciona para un perfil muy concreto de negocio. Esta guía explica qué es Facilita, qué documentación genera, para quién sirve de verdad y —lo más importante— dónde están sus límites, para que sepas si tu empresa entra dentro de su alcance o se ha quedado fuera sin darse cuenta.

¿Qué es Facilita RGPD?

Facilita RGPD es una herramienta gratuita en línea desarrollada por la Agencia Española de Protección de Datos (AEPD). Su objetivo es ayudar a las empresas más pequeñas y a los autónomos que realizan tratamientos de datos de muy bajo riesgo a generar una documentación básica de protección de datos sin necesidad de conocimientos jurídicos previos. Funciona a modo de cuestionario guiado: se responde a una serie de preguntas sobre la actividad y la herramienta devuelve varios documentos orientativos listos para descargar.

La lógica detrás de Facilita es razonable. La AEPD quiere que el micronegocio que solo maneja el nombre, el teléfono y el correo de sus clientes tenga a mano un primer conjunto de documentos, en lugar de quedarse sin nada por desconocimiento o por el coste de partida. Es una herramienta de divulgación y primer apoyo, concebida para bajar la barrera de entrada al cumplimiento en los casos más sencillos.

Conviene tener clara desde el principio una idea que la propia herramienta advierte: Facilita no está pensada para todo el mundo. Está acotada, por diseño, a un perfil de riesgo mínimo. En el momento en que la actividad de una empresa se aleja de ese perfil, la herramienta deja de encajar, y los documentos que produce dejan de ser adecuados. Entender esa frontera es la parte más importante de este artículo.

Qué documentación genera

A partir de las respuestas del cuestionario, Facilita genera un paquete de documentación básica de partida. Sin entrar en el detalle exacto de cada plantilla —que la propia herramienta adapta según lo que se responde—, los documentos que produce cubren, en términos generales, cuatro piezas:

• Cláusulas informativas para cumplir el deber de información del art. 13 RGPD: los textos que hay que entregar o mostrar a las personas cuyos datos se recogen (clientes, proveedores, empleados) explicando quién trata sus datos, para qué y qué derechos tienen.
• Un registro de actividades de tratamiento básico, la versión mínima del documento del art. 30 RGPD que inventaría los tratamientos de la organización.
• Un anexo con medidas de seguridad orientativas, un listado de buenas prácticas técnicas y organizativas de referencia para un tratamiento sencillo.
• Una cláusula tipo para contratos con encargados del tratamiento, pensada para regular la relación con proveedores que acceden a datos por cuenta de la empresa (art. 28 RGPD).

Es un buen punto de partida para quien no tiene absolutamente nada. Pero hay que leerlo por lo que es: plantillas genéricas generadas a partir de un cuestionario, no un análisis de la organización. La herramienta no conoce tu negocio; conoce las casillas que has marcado. Y solo funciona si esas casillas describen un tratamiento realmente de bajo riesgo.

Para quién sirve: el negocio de bajo riesgo

Facilita está diseñada para el negocio que realiza tratamientos de escaso riesgo. En la práctica, esto describe a una empresa o autónomo que maneja poco más que datos identificativos y de contacto —nombre, DNI, teléfono, correo, dirección— de sus clientes, proveedores y empleados, con la única finalidad de gestionar la relación comercial o laboral ordinaria.

Un tratamiento encaja en ese perfil de bajo riesgo cuando reúne, a grandes rasgos, estas características:

• Se limita a datos identificativos y de contacto, los estrictamente necesarios para prestar el servicio o gestionar la relación.
• No incluye categorías especiales de datos del art. 9 RGPD: salud, origen étnico, opiniones políticas, afiliación sindical, orientación sexual, datos biométricos o genéticos.
• No hay elaboración de perfiles ni decisiones automatizadas que evalúen o clasifiquen a las personas.
• No se manejan grandes volúmenes de datos ni se hace un seguimiento sistemático de personas.
• No hay transferencias internacionales complejas ni cesiones masivas a terceros más allá de las obligadas por ley.

El ejemplo típico sería un pequeño taller, una tienda de barrio, un profesional autónomo que factura a una cartera reducida de clientes o un despacho unipersonal que solo guarda datos de contacto. Para ese perfil, Facilita cumple su función: pone en marcha una documentación de partida que antes no existía. El problema empieza cuando un negocio que cree ser de bajo riesgo en realidad no lo es.

Los límites de Facilita: dónde se queda corta

Aquí está el punto crítico de este artículo. Facilita solo cubre tratamientos de bajo riesgo, y la mayoría de las empresas reales tienen, sin ser conscientes de ello, al menos un tratamiento que se sale de ese marco. En cuanto aparece uno solo de los siguientes elementos, la herramienta deja de ser suficiente:

• Categorías especiales de datos (art. 9 RGPD): datos de salud, biométricos, de afiliación, ideología, etc. Basta con recabar informes médicos, partes de baja detallados o cualquier dato sensible para salir del alcance de Facilita.
• Videovigilancia. Instalar cámaras que graban a clientes o empleados es un tratamiento con implicaciones propias que la herramienta no resuelve.
• Elaboración de perfiles o decisiones automatizadas: segmentación de clientes, scoring, marketing basado en comportamiento, publicidad personalizada avanzada.
• Grandes volúmenes de datos o seguimiento sistemático de personas, típico del comercio electrónico con miles de clientes, plataformas o negocios con bases de datos extensas.
• Tratamientos complejos: cesiones habituales a terceros, transferencias internacionales, uso intensivo de proveedores tecnológicos, gestión de datos de menores, o cualquier actividad que combine varias finalidades sensibles.

El riesgo no es que Facilita "falle": la herramienta hace exactamente lo que promete. El riesgo es que un empresario la use fuera de su ámbito, descargue sus documentos y dé por hecho que está cumpliendo cuando no lo está. Esa es la trampa: la documentación existe, tiene buena apariencia y lleva el nombre de la AEPD detrás, pero describe un negocio de bajo riesgo que no se corresponde con la realidad de la empresa que la ha generado. El resultado es una falsa sensación de cumplimiento, que a menudo es peor que no tener nada, porque desactiva la alarma.

Tabla: cuándo sirve y cuándo no

La forma más rápida de situar tu negocio es contrastar tu actividad con las dos columnas siguientes. Si te reconoces en cualquier fila de la derecha, Facilita se ha quedado corta para tu caso.

La frontera entre ambas columnas no siempre es tan nítida como parece sobre el papel. Muchos negocios cruzan a la derecha sin percatarse: una tienda que instala una cámara, una gestoría que recibe partes de baja, un e-commerce que crece y empieza a segmentar. El tratamiento que ayer era de bajo riesgo hoy ya no lo es, y la documentación de Facilita se queda anclada en una fotografía que dejó de ser cierta.

Cómo usarla bien

Si tras leer lo anterior tienes claro que tu negocio encaja en el perfil de bajo riesgo, Facilita es un recurso perfectamente válido para empezar. El uso correcto es sencillo:

• Accede a la herramienta desde la web oficial de la AEPD. Es gratuita y no requiere registrar tus datos en plataformas de terceros. Desconfía de sitios que la ofrezcan "de pago" o que pidan información innecesaria.
• Responde el cuestionario con honestidad. La calidad de los documentos depende por completo de la exactitud de tus respuestas. Marcar casillas para "simplificar" solo produce documentos que no describen tu realidad.
• Si en el cuestionario aparece cualquier señal de riesgo —la herramienta te avisará si detecta que tu caso excede el bajo riesgo—, no fuerces la máquina: es la señal de que necesitas ir más allá de Facilita.
• Revisa los documentos generados y compáralos con lo que de verdad haces. Las cláusulas informativas deben reflejar tus finalidades reales, y el registro de actividades debe incluir todos tus tratamientos, no solo los que la plantilla presupone.
• Entrega e implanta la documentación. Descargar los archivos no es cumplir: las cláusulas informativas hay que mostrarlas en el primer contacto (art. 13 RGPD) y las medidas de seguridad hay que aplicarlas de verdad.

Y una precaución que vale para cualquier herramienta automática: un documento generado no sustituye a saber lo que estás haciendo. Facilita te da un punto de partida; mantenerlo vivo y coherente con tu actividad sigue siendo tu responsabilidad.

Checklist antes de confiar en ella

Antes de dar por buena la documentación de Facilita, contrasta tu situación con esta lista. Si respondes "sí" a cualquiera de los puntos, la herramienta no cubre tu caso y necesitas una auditoría o diagnóstico de protección de datos que analice tu actividad de verdad:

• ☐ ¿Recabas datos de salud, biométricos o cualquier otra categoría especial del art. 9 RGPD?
• ☐ ¿Tienes cámaras de videovigilancia en tu local o instalaciones?
• ☐ ¿Segmentas, perfilas o clasificas a tus clientes de forma automatizada?
• ☐ ¿Manejas un volumen elevado de datos o haces seguimiento sistemático de personas?
• ☐ ¿Cedes datos a terceros de forma habitual o realizas transferencias internacionales?
• ☐ ¿Tratas datos de menores de edad?
• ☐ ¿Usas varias herramientas o proveedores tecnológicos que acceden a los datos de tus clientes?
• ☐ ¿Tu actividad ha cambiado desde que generaste los documentos y ya no coinciden con lo que haces?

Todas las casillas en blanco significan que, probablemente, eres el perfil para el que Facilita se diseñó. Una sola casilla marcada significa que has salido de su alcance, y que apoyarte solo en ella te dejaría con documentación que no protege lo que de verdad tratas.

Cuándo Facilita no basta y qué hacemos en Certix

Reconozcámoslo sin rodeos: para el micronegocio de riesgo mínimo, Facilita es una herramienta honesta y suficiente, y en Certix no vamos a pretender lo contrario. El problema es que la mayoría de las empresas tienen al menos un tratamiento que excede su alcance —una cámara, un dato de salud, un proveedor que gestiona la base de clientes, un volumen que ha crecido— y no siempre lo saben. Ahí es donde una plantilla automática deja de servir y empieza el trabajo de análisis.

La diferencia de fondo es sencilla. Facilita presupone que tu negocio es de bajo riesgo a partir de unas casillas; una consultoría comprueba si lo es a partir de tu actividad real. La responsabilidad proactiva del art. 5.2 RGPD exige que el responsable pueda demostrar en cualquier momento que cumple, y esa demostración no la sostiene un PDF descargado, sino un análisis que conecta cada tratamiento con su base jurídica, sus plazos y sus medidas.

En Certix partimos de un diagnóstico real de tu actividad: identificamos qué tratamientos haces de verdad, si alguno se sale del perfil de bajo riesgo y qué documentación necesitas —desde el registro de actividades de tratamiento completo hasta las cláusulas y contratos que tu caso concreto requiere—. Sin plantillas genéricas y sin dar nada por supuesto. Si tienes dudas sobre si Facilita cubre tu negocio o se te ha quedado pequeña, hablar con un consultor es el paso que resuelve la incertidumbre.

Preguntas frecuentes

¿Qué es Facilita RGPD de la AEPD?

Es una herramienta gratuita en línea de la Agencia Española de Protección de Datos que ayuda a empresas y autónomos con tratamientos de muy bajo riesgo a generar documentación básica de partida: cláusulas informativas, un registro de actividades sencillo, un anexo con medidas de seguridad orientativas y una cláusula tipo para contratos con encargados del tratamiento. Está pensada como primer apoyo para el micronegocio con datos mínimos, no para tratamientos complejos.

¿Facilita RGPD sirve para cumplir con el RGPD en cualquier empresa?

No. Solo cubre tratamientos de escaso riesgo: datos identificativos y de contacto, sin categorías especiales, sin perfilado y sin grandes volúmenes. Si tu organización maneja datos de salud, hace videovigilancia, elabora perfiles, trata grandes cantidades de datos o realiza cesiones y transferencias internacionales, la herramienta no cubre tu situación y la documentación que genera resulta insuficiente. En esos casos hace falta un análisis profesional individualizado.

¿La documentación de Facilita RGPD me exime de responsabilidad?

No. La responsabilidad proactiva del art. 5.2 RGPD recae siempre en el responsable del tratamiento, no en la herramienta que ha usado para generar sus documentos. Facilita entrega un punto de partida, pero es la empresa quien debe asegurarse de que esos documentos reflejan lo que de verdad hace con los datos y de que su caso encaja en el perfil de bajo riesgo que la herramienta presupone. Usarla cuando no aplica genera una falsa sensación de cumplimiento.

¿Cómo sé si mi negocio es de bajo riesgo?

A grandes rasgos, un tratamiento es de bajo riesgo cuando se limita a datos identificativos y de contacto necesarios para la relación con clientes, proveedores o empleados, sin datos sensibles, sin perfiles, sin decisiones automatizadas y sin volúmenes elevados. En cuanto aparece cualquiera de esos elementos, deja de serlo. La frontera no siempre es evidente, y confundirla es el error más habitual: por eso conviene una valoración experta antes de dar por hecho que Facilita es suficiente.

En resumen

Facilita RGPD es una herramienta gratuita y bien concebida de la AEPD para que el negocio de riesgo mínimo tenga una documentación básica de partida. Cumple su función para ese perfil concreto. El error —muy extendido— es usarla cuando la actividad de la empresa ya ha superado el bajo riesgo: una cámara, un dato de salud, un volumen que crece, y la herramienta se queda corta sin que el empresario lo advierta. La documentación existe, pero deja de proteger lo que de verdad se trata, y la responsabilidad del art. 5.2 RGPD sigue siendo del responsable. Antes de confiar en ella, la pregunta correcta no es si Facilita es buena, sino si tu negocio sigue estando dentro de su alcance.

Lecturas relacionadas

• Registro de Actividades de Tratamiento (RAT): qué es y cómo se hace — el documento del art. 30 RGPD que Facilita genera en su versión básica.
• Auditoría y diagnóstico de protección de datos — el análisis que comprueba si tu actividad excede el bajo riesgo.
• Consultoría de protección de datos de Certix — cómo trabajamos cuando una plantilla automática no basta.

---

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.