Una pyme española trata datos personales desde el primer día: empleados, clientes, proveedores, candidatos a empleo, visitantes web, contactos comerciales, en muchos casos también imágenes de videovigilancia. Cumplir el RGPD no es una opción para empresas de cierto tamaño: es una obligación que se aplica igual a quien tiene cinco empleados que a quien tiene quinientos. Lo que cambia es el alcance documental proporcional: lo que en una multinacional son carpetas de protocolos, en una pyme bien estructurada cabe en una decena de documentos cortos y útiles.
Esta guía explica cómo aterrizar el RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la LSSICE (Ley 34/2002) al tamaño real de una pyme española, sin sobredimensionar el cumplimiento ni quedarse corto. Está orientada a empresas con plantilla, oficina y operativa estable: comercio, distribución, fabricación, servicios profesionales, agencia, taller, restauración con varios empleados.
El principio de proporcionalidad: lo que cambia y lo que no
El RGPD no fija un único modelo de cumplimiento. Su art. 24 obliga al responsable a aplicar medidas técnicas y organizativas apropiadas teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. Esa flexibilidad permite a una pyme construir un cumplimiento ajustado a su realidad sin tener que copiar el modelo de una corporación.
Lo que no cambia con el tamaño:
- Los principios del art. 5 RGPD (licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad, responsabilidad proactiva).
- El deber de información al interesado (art. 13 RGPD): cada vez que la empresa recoge datos de un cliente, empleado o candidato, debe informarle.
- Los derechos del interesado (acceso, rectificación, supresión, oposición, limitación, portabilidad) y el plazo de un mes para responderlos (art. 12.3 RGPD).
- La obligación de notificar brechas a la AEPD en menos de 72 horas cuando puedan afectar a derechos y libertades (art. 33 RGPD).
Lo que sí cambia con el tamaño:
- La extensión documental: el RAT de una pyme de quince empleados puede caber en una página y media; el de una empresa de quinientos es un documento extenso.
- El nivel de especialización requerido en seguridad: una pyme aplica medidas razonables basadas en software comercial estándar y buenas prácticas; una gran empresa puede necesitar SOC, CISO y políticas formales.
- La obligación de DPD: aplica solo en casos específicos del art. 37 RGPD y del art. 34 LOPDGDD; la mayoría de pymes no la tienen como obligación.
- La posible exención del RAT del art. 30.5 RGPD para empresas con menos de 250 empleados, aunque en la práctica casi todas tienen tratamientos no ocasionales que la inutilizan.
Los cinco tratamientos típicos de una pyme
Casi cualquier pyme española se resume en cinco bloques de tratamiento. Identificarlos primero ayuda a dimensionar el resto de la documentación:
| Tratamiento | Datos típicos | Base jurídica habitual |
|---|---|---|
| Empleados | Identificativos, nómina, IBAN, datos fiscales, bajas, vacaciones, formación. | Contrato laboral (6.1.b) + obligación legal (6.1.c) |
| Clientes | Razón social/nombre, NIF, contacto, dirección, IBAN, pedidos, historial. | Ejecución de contrato (6.1.b) |
| Proveedores | Datos del proveedor y de sus contactos comerciales. | Ejecución de contrato (6.1.b) |
| Candidatos a empleo | CV, datos de contacto, formación, experiencia laboral, ocasionalmente carta de motivación. | Medidas precontractuales (6.1.b) o consentimiento (6.1.a) |
| Marketing y comunicación | Suscriptores de newsletter, contactos comerciales, visitantes web identificados. | Consentimiento (6.1.a) o interés legítimo (6.1.f) + art. 21 LSSICE |
A esto se añade, si la pyme tiene videovigilancia, un sexto tratamiento con base en el interés legítimo (art. 6.1.f RGPD) y cumpliendo el régimen específico del art. 22 LOPDGDD; si la actividad incluye exportación o tratamiento de datos en países fuera del EEE, hay que considerar las garantías del Cap. V RGPD.
Documentación mínima proporcional
Una pyme cumple razonablemente con cinco bloques documentales bien hechos. La extensión de cada uno depende de la complejidad real de la empresa, pero ninguno requiere ser un tratado:
- Registro de Actividades del Tratamiento (RAT): una entrada por cada tratamiento identificado (cinco o seis para una pyme estándar), con la información del art. 30.1 RGPD: responsable, finalidad, categorías de interesados, categorías de datos, destinatarios, plazos, medidas de seguridad, transferencias internacionales si aplican. Documento Excel o tabla en un Word; no necesita más.
- Cláusulas informativas: una para empleados (entrega al firmar el contrato laboral), otra para clientes (entrega en el primer presupuesto o contrato), otra para candidatos a empleo (entrega al recibir CV o al publicar oferta), y la política de privacidad web si hay web. Son cuatro textos cortos.
- Contratos del art. 28 RGPD con los proveedores tecnológicos que tratan datos: software de RRHH y nóminas, gestoría externa, proveedor IT o de mantenimiento informático, hosting, herramienta de email marketing, CRM, ERP, plataforma de almacenamiento en la nube. La mayoría ofrecen el contrato como anexo de adhesión.
- Política de seguridad operativa: dos o tres páginas con las medidas reales aplicadas: contraseñas individuales y fuertes, doble factor en accesos críticos, copia de seguridad cifrada, cifrado de dispositivos, bloqueo automático de pantallas, antivirus, gestión de altas y bajas de personal con acceso a sistemas, separación de redes wifi de visita y de trabajo.
- Protocolo de brechas: una página con qué hacer si se detecta una incidencia (pérdida de portátil, phishing exitoso, ataque ransomware, fuga interna), quién es responsable de evaluar, en qué casos hay que notificar a la AEPD en menos de 72 horas y cómo. Incluye plantilla del modelo de notificación.
Si la pyme tiene videovigilancia, se añade el cartel informativo conforme al art. 22.4 LOPDGDD y la regulación interna del sistema (zonas grabadas, plazos de conservación, accesos al visor, cesión a las fuerzas de seguridad).
Empleados: el tratamiento más sensible de la pyme
El tratamiento de datos de la plantilla concentra los riesgos jurídicos más serios de una pyme. Tres puntos críticos:
- Información al empleado en el momento de la contratación: cláusula informativa específica que cubre finalidades laborales (nómina, cotización, prevención de riesgos, vigilancia de la salud si procede), comunicación a terceros (TGSS, AEAT, gestoría, mutua), plazos vinculados a obligaciones laborales y prescripción.
- Control horario (obligatorio desde el RD-Ley 8/2019): debe registrar la jornada de cada trabajador. La pyme dispone de varias opciones legítimas y proporcionadas para implantarlo: código PIN individual, tarjeta de proximidad, app móvil corporativa, registro firmado en papel o software de RRHH con login personalizado.
- Acceso al correo y a los sistemas tras la baja del empleado: el correo profesional contiene datos de clientes y de la empresa que la organización tiene derecho a recuperar. El protocolo debe estar definido y comunicado al empleado al firmar el contrato: derivación del correo a otro responsable durante un plazo razonable, no apertura sistemática de la correspondencia personal eventualmente recibida, supresión segura tras el plazo.
"La pyme no necesita un manual de cumplimiento de cien páginas. Necesita diez páginas reales, alineadas con lo que de verdad hace cada día. La diferencia entre un cumplimiento que aguanta y uno que no aguanta no está en el volumen del documento, está en si refleja la realidad de la empresa."
Mario P. Talamillo · Socio director, Certix®
Proveedores tecnológicos: la cadena que pocas pymes documentan
Una pyme media trabaja con una decena de proveedores tecnológicos que tratan datos personales por su cuenta: gestoría externa, software de RRHH y nóminas, proveedor IT que mantiene servidores y equipos, ERP en la nube, herramienta de email marketing, plataforma de almacenamiento, CRM. Cada uno es encargado del tratamiento y debe firmar el contrato del art. 28 RGPD con el contenido del art. 28.3.
Los puntos críticos que la pyme debe revisar al contratar:
- El proveedor ofrece el contrato como anexo de sus condiciones. Si no lo ofrece, hay que pedirlo expresamente.
- El contrato lista los subencargados y obliga al proveedor a notificar cambios.
- Identifica transferencias internacionales y su base de legitimación (Data Privacy Framework para EE.UU., cláusulas contractuales tipo).
- Obliga al proveedor a asistir al responsable en los derechos del interesado y en las brechas.
- Garantiza la devolución de los datos al finalizar la relación (art. 28.3.g RGPD), no solo su destrucción.
Marketing y newsletter: lo que la pyme suele hacer mal
La pyme media tiene una lista de contactos comerciales que ha ido acumulando: tarjetas de visita de ferias, contactos LinkedIn, correos que llegaron en respuesta a presupuestos, suscriptores de la newsletter. La tentación de usar esa lista para enviar campañas es alta y los errores se concentran aquí:
- No se mezclan listas de fuentes distintas: las personas que dieron su correo para recibir un presupuesto no consintieron en recibir newsletter. Hace falta consentimiento expreso para incluirlas en la lista comercial.
- Las casillas de consentimiento en formularios web deben estar desmarcadas por defecto y separadas de la aceptación de la política. No vale agrupar todo en una única casilla.
- El art. 21 LSSICE permite enviar comunicaciones comerciales por correo electrónico a clientes existentes sobre productos o servicios similares a los ya contratados, siempre con mecanismo de baja en cada envío. Fuera de ese supuesto, hace falta consentimiento.
- El mecanismo de baja debe ser fácil, gratuito y efectivo: un clic, sin pedir motivos, sin obligar a iniciar sesión.
Checklist mínimo de la pyme
- RAT actualizado con los cinco o seis tratamientos reales.
- Cuatro cláusulas informativas operativas: empleados, clientes, candidatos, web.
- Contratos del art. 28 RGPD firmados con gestoría, software de RRHH, proveedor IT, hosting y otros proveedores relevantes.
- Política de seguridad operativa de dos o tres páginas adaptada al tamaño real.
- Protocolo de brechas con plantilla de notificación a la AEPD.
- Cartel informativo de videovigilancia y regulación interna si hay cámaras.
- Revisión anual de la documentación y de los proveedores.
- Punto de contacto designado para derechos del interesado y consultas (puede ser el gerente, el departamento de RRHH o un DPD externo si se opta por designarlo voluntariamente).
Preguntas frecuentes
¿Una pyme de menos de 10 empleados está exenta del RGPD?
No. El RGPD se aplica con independencia del tamaño. El art. 30.5 RGPD prevé una exención muy limitada del RAT para responsables con menos de 250 empleados, y solo cuando el tratamiento es ocasional, no incluye categorías especiales y no presenta riesgos. En la práctica, casi cualquier pyme tiene tratamientos no ocasionales (plantilla, clientes habituales) y se beneficia siempre del RAT, aunque breve.
¿Cuántos documentos mínimos debería tener una pyme para cumplir el RGPD?
Cinco bloques: el RAT, las cláusulas informativas (clientes, empleados, candidatos, web), los contratos del art. 28 RGPD con proveedores tecnológicos relevantes, una política de seguridad operativa adaptada y un protocolo de gestión de brechas. Más la política de privacidad y cookies en la web. Lo importante es que esos documentos estén vivos y reflejen lo que la empresa hace de verdad.
¿Necesita una pyme nombrar Delegado de Protección de Datos (DPD)?
Por regla general no. Una pyme estándar no encaja en los supuestos taxativos del art. 37 RGPD ni del art. 34 LOPDGDD. La excepción son actividades de observación habitual y sistemática a gran escala o tratamiento a gran escala de categorías especiales. Aunque esta es la regla general del sector, la exigencia final dependerá del tamaño, volumen y tipología exacta de los tratamientos. Cada caso requiere un análisis individualizado. Designar un DPD voluntario aporta orden interno.
¿La pyme puede usar las plantillas gratuitas de internet o necesita asesoramiento profesional?
Las plantillas pueden servir como referencia estructural pero rara vez funcionan como documento final. Política, RAT y contratos del art. 28 RGPD deben reflejar el responsable concreto, las finalidades reales, los proveedores efectivos y las transferencias vigentes. Las plantillas fallan donde la AEPD sanciona: plazos reales, destinatarios efectivos y bases jurídicas coherentes con cada finalidad.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres ordenar el cumplimiento RGPD de tu pyme de forma proporcional y útil?
En Certix te asignamos un experto en cumplimiento para pymes. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto