Protección de datos
para pequeñas empresas

Sí. El RGPD no establece umbrales por número de empleados ni por facturación. Cualquier empresa que trate datos personales de clientes, empleados o proveedores queda sujeta a sus obligaciones. El alcance concreto depende del tipo de datos tratados y la naturaleza de la actividad.

La documentación mínima incluye el Registro de Actividades de Tratamiento (RAT), cláusulas informativas para clientes y empleados, contratos de encargado del tratamiento con proveedores que acceden a los datos, política de privacidad y aviso legal de la web, y un protocolo de respuesta ante brechas de seguridad.

La obligación de designar un DPD depende del tipo de tratamiento realizado, no del tamaño de la empresa. En general, las pequeñas empresas no están obligadas salvo que realicen tratamientos a gran escala de categorías especiales de datos o actividades de vigilancia sistemática. Cada caso requiere análisis individualizado.

Las pequeñas empresas deben informar a sus empleados de los tratamientos que se realizan con sus datos (nóminas, control de presencia, videovigilancia, etc.), establecer medidas de seguridad adecuadas y cumplir los plazos de conservación de la documentación laboral. Los contratos de trabajo deben incluir cláusulas informativas.

Si el proveedor actúa como encargado del tratamiento, debe notificarte la brecha sin dilación indebida. Como responsable del tratamiento, eres tú quien debe valorar si la brecha debe notificarse a la AEPD en 72 horas y, en su caso, a los afectados. Contar con un contrato de encargo vigente y un protocolo de brechas facilita la gestión.

No existe una periodicidad fija establecida por ley. La revisión debe realizarse cuando se produzcan cambios en la actividad, en los sistemas usados, en la normativa aplicable o cuando se detecten incidencias. Se recomienda una evaluación continua basada en el riesgo real de cada momento.