Una pyme puede tratar datos de clientes, empleados, proveedores o contactos. El punto de partida es saber qué información utiliza, para qué y quién accede a ella; las obligaciones concretas dependen de cada tratamiento.
El marco principal es el Reglamento (UE) 2016/679, Reglamento General de Protección de Datos. Consulta también las guías y herramientas de la Agencia Española de Protección de Datos.
Identifica tus tratamientos y su finalidad
Haz un inventario de las actividades que implican datos personales: gestión de clientes, personal, proveedores, atención de consultas o comunicaciones comerciales, si corresponden. Para cada una, identifica su finalidad, las categorías de datos, la base jurídica y los destinatarios. No todas las finalidades se apoyan necesariamente en el consentimiento.
El artículo 30 del RGPD regula el registro de actividades y una excepción para determinadas organizaciones de menos de 250 personas, con condiciones y excepciones a esa excepción. Por ello, no basta con contar empleados para concluir que una pyme está dispensada: revisa sus tratamientos y riesgos.
Informa y atiende los derechos
Revisa la información que facilitas cuando obtienes datos y asegúrate de que refleja el tratamiento real. Prepara un canal y un procedimiento para recibir y tramitar las solicitudes de derechos, con identificación adecuada y seguimiento de los plazos aplicables.
Si recurres a un proveedor que trata datos por tu cuenta, comprueba sus garantías y formaliza las condiciones que exige el artículo 28 del RGPD cuando actúe como encargado del tratamiento. No todos los proveedores tienen automáticamente el mismo papel: depende de lo que hagan con los datos.
Seguridad y evaluación
Limita los accesos a quienes los necesitan, revisa permisos, protege las cuentas y prepara copias de seguridad acordes con el riesgo. Documenta cómo detectar y gestionar incidentes. El RGPD regula la notificación de determinadas violaciones de seguridad y la evaluación de impacto para tratamientos que puedan entrañar un alto riesgo.
El RGPD regula las funciones del delegado de protección de datos en su artículo 39, pero no establece una obligación general para todas las pymes; su designación depende de los supuestos previstos en la normativa aplicable.
Ejemplo ilustrativo: revisar un proveedor
Una empresa ficticia utiliza un servicio externo para gestionar citas. Identifica los datos que comparte, determina el papel del proveedor y revisa el contrato, los accesos y el plazo de conservación. Este supuesto es ilustrativo y no sustituye el análisis del servicio concreto.