Un negocio que trata datos de clientes, proveedores o empleados tiene que poder justificar cada tratamiento con una base del art. 6 del RGPD, informar al recoger los datos, firmar un contrato con quien los trata por su cuenta y notificar las brechas a la AEPD en 72 horas. El registro de actividades solo es voluntario para organizaciones de menos de 250 personas con tratamientos ocasionales y sin riesgo, algo que, según la propia AEPD, se da en casos muy limitados. La herramienta gratuita Facilita RGPD genera los documentos de partida.
Cada tratamiento necesita una base jurídica
El RGPD solo permite tratar datos personales si se da alguna de las condiciones del art. 6.1. En un negocio las habituales son el contrato o las medidas precontractuales pedidas por el interesado (letra b: presupuestar, facturar, entregar), una obligación legal (letra c: nóminas, libros fiscales) y el interés legítimo, si no prevalecen los derechos del interesado (letra f). El consentimiento (letra a) queda para lo que no encaja en las otras, como un boletín comercial, y debe poder retirarse con la misma facilidad con que se dio (art. 7.3). Los datos de contacto de quienes trabajan en otras empresas, y los de autónomos tratados como tales, se presumen amparados en el interés legítimo (art. 19 LOPDGDD).
Los documentos que debes tener
| Obligación | Qué es | Norma |
|---|---|---|
| Informar | Al recoger los datos: quién eres, para qué, base jurídica, destinatarios, plazo de conservación y derechos; puede hacerse por capas | Arts. 13 y 14 RGPD; art. 11 LOPDGDD |
| Registro de actividades | Fines, categorías de datos e interesados, destinatarios, plazos de supresión y medidas de seguridad | Art. 30 RGPD; art. 31 LOPDGDD |
| Contrato de encargado | Con la gestoría, el proveedor de software, el alojamiento web o la nube que tratan datos por tu cuenta | Art. 28.3 RGPD |
| Medidas de seguridad | Adecuadas al riesgo: contraseñas, copias, cifrado, control de accesos | Art. 32 RGPD |
| Registro de brechas | Documentar toda brecha, aunque no se notifique | Art. 33.5 RGPD |
El art. 30.5 del RGPD exime del registro de actividades a las organizaciones de menos de 250 personas, pero solo si el tratamiento no puede entrañar riesgo, es ocasional y no incluye datos especiales, como los de salud, ni penales. La AEPD advierte en sus preguntas frecuentes que la excepción se aplica en casos muy limitados y que la mayoría de los responsables con menos de 250 trabajadores estarán obligados. No tenerlo es infracción grave (art. 73.n LOPDGDD).
El contrato con el encargado debe fijar que trate los datos solo según tus instrucciones documentadas, que garantice la confidencialidad, que aplique medidas de seguridad, que te ayude a atender los derechos de los interesados y que devuelva o suprima los datos al terminar (art. 28.3 RGPD). Encargar el tratamiento sin contrato escrito es infracción grave (art. 73.k LOPDGDD).
Cámaras en el local
Puedes grabar para proteger a las personas, los bienes y las instalaciones, pero de la vía pública solo lo imprescindible (art. 22.1 y 22.2 LOPDGDD). Las imágenes se borran en un mes como máximo, salvo que acrediten un hecho contra personas, bienes o instalaciones; entonces se entregan a la autoridad en 72 horas desde que conoces la grabación (art. 22.3). El deber de informar se cumple con un cartel visible que indique el tratamiento, el responsable y cómo ejercer los derechos (art. 22.4). Si también controlan a los trabajadores, debes informarles antes de forma expresa, y nunca se admiten cámaras ni grabación de sonido en vestuarios, aseos o comedores (art. 89 LOPDGDD). Más en cámaras, correo y GPS en el trabajo y qué grabaciones son legales.
Delegado de protección de datos y brechas
La mayoría de los pequeños negocios no necesitan delegado de protección de datos. Es obligatorio si tu actividad principal es observar a personas de forma habitual y sistemática a gran escala o tratar a gran escala datos especiales (art. 37.1 RGPD), y para las entidades del art. 34.1 LOPDGDD, entre ellas centros docentes, centros sanitarios con historias clínicas (no los profesionales que ejercen solos), aseguradoras, empresas de seguridad privada y servicios en línea que elaboran perfiles a gran escala. Si lo nombras, lo comunicas a la AEPD en diez días (art. 34.3).
Una brecha es la destrucción, pérdida o alteración de datos, o un acceso o comunicación no autorizados (art. 4.12 RGPD), como un portátil robado o un ataque que cifra tus archivos. Hay que notificarla a la AEPD sin dilación indebida y, si es posible, en 72 horas desde que tienes constancia de ella, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 RGPD); si el riesgo es alto, también a los afectados (art. 34). Las herramientas Asesora Brecha y Comunica-Brecha RGPD de la AEPD ayudan a decidirlo. El lado del afectado está en me han filtrado los datos.
Las 72 horas corren desde que tienes constancia de la brecha, no desde que la entiendes del todo. Si aún no tienes toda la información, notifica lo que sepas y completa después de forma gradual (art. 33.4). Documenta siempre lo ocurrido y las medidas que tomaste, aunque decidas no notificar (art. 33.5): no hacerlo es infracción leve (art. 74.n LOPDGDD).
Sanciones y por dónde empezar
El RGPD prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial por infracciones como las de seguridad, encargados o registro, y de hasta 20 millones o el 4 % por las de principios, bases jurídicas, consentimiento o derechos, aplicándose la cifra mayor (art. 83.4 y 83.5). Son máximos que la AEPD gradúa (art. 83.2 RGPD y art. 76 LOPDGDD), y cabe un apercibimiento (art. 58.2.b). Las infracciones prescriben a los tres años las muy graves, a los dos las graves y al año las leves (arts. 72 a 74 LOPDGDD). A octubre de 2026 hay propuestas de la Comisión Europea para modificar el RGPD (COM(2025) 501 y COM(2025) 837), pero no se han aprobado: rige el texto de 2016.
Para empezar: si tratas datos de bajo riesgo (clientes, proveedores, personal), usa Facilita RGPD de la AEPD. Genera cláusulas informativas, cláusulas para encargados, el registro de actividades y medidas de seguridad orientativas. La AEPD avisa de que hay que adaptarlos y de que no sirve para tratamientos de alto riesgo, como los de datos de salud.
Preguntas que nos hacéis cada semana
¿Necesito consentimiento para guardar los datos de mis clientes?
No para la relación con ellos: presupuestar, facturar o entregar se basa en el contrato (art. 6.1.b RGPD) y conservar las facturas, en una obligación legal (art. 6.1.c). Sí lo necesitas para enviarles publicidad que no esté amparada por el art. 21.2 de la LSSI.
¿La gestoría es encargada del tratamiento?
Normalmente sí, en la medida en que trata por tu cuenta los datos de tus empleados o clientes para prestarte su servicio. Necesitas el contrato del art. 28.3 del RGPD.
Un cliente me pide copia de sus datos. ¿Cuánto tengo para contestar?
Un mes desde que recibes la solicitud, prorrogable otros dos si es compleja o hay muchas solicitudes (art. 12.3 RGPD). No atender los derechos es infracción leve, y muy grave si se impide o se repite (arts. 74.c y 72.1.k LOPDGDD).
¿Cuánto tiempo guardo las grabaciones de las cámaras?
Un mes como máximo desde que se graban, salvo que sirvan para acreditar un hecho contra personas, bienes o instalaciones (art. 22.3 LOPDGDD).
Te llama un abogado de empresa y autónomos
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de empresa y autónomos →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Aviso legal, privacidad y cookies en tu web
→ Los derechos de protección de datos
→ Me han filtrado los datos
→ Cámaras, correo y GPS en el trabajo
→ Fraude del CEO y suplantación de correo
→ Contratar al primer trabajador
Marco legal: arts. 4.12, 6, 7, 12, 13, 14, 28, 30, 32, 33, 34, 37, 58 y 83 del Reglamento (UE) 2016/679 · arts. 11, 19, 22, 31, 34, 72 a 74, 76 y 89 de la LO 3/2018 (LOPDGDD) · preguntas frecuentes y herramientas de la AEPD (Facilita RGPD, Asesora Brecha, Comunica-Brecha RGPD). Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.