RGPD para pymes: lo mínimo que tienes que tener en regla

Es el punto de partida: un inventario de para qué usas datos personales (nómina, clientes, videovigilancia, marketing…), de quién y de qué tipo, con quién los compartes y, cuando sea posible, cuándo prevés suprimirlos y con qué medidas los proteges (art. 30.1 del RGPD). El modelo de la AEPD añade la base legal de cada tratamiento. Tu organización debe tenerlo y mantenerlo al día: la excepción para quien emplea a menos de 250 personas no se aplica si el tratamiento no es ocasional, puede entrañar un riesgo para las personas o incluye datos sensibles o penales (art. 30.5), y la nómina de tu plantilla, por ejemplo, no es ocasional.

Todo tratamiento necesita una base que lo legitime: el consentimiento, la ejecución de un contrato, una obligación legal, el interés legítimo… No es un detalle formal: determina qué puedes hacer y qué información debes dar. Usar el consentimiento cuando en realidad te ampara un contrato, o al revés, es un error frecuente.

Cuando recoges datos —en un formulario web, en la ficha de un cliente, en el alta de un empleado— tienes que informar, entre otras cosas, de quién eres, para qué los usas y con qué base legal, cuánto tiempo los guardas y qué derechos tiene la persona (art. 13 del RGPD). De forma concisa, clara y de fácil acceso (art. 12.1), no escondida en una letra minúscula que nadie lee. Puedes darla por capas: lo básico en el momento y un enlace al resto (art. 11 de la LOPDGDD).

Si sufres un incidente que afecta a datos personales (un correo enviado a quien no debía, un portátil robado, un acceso no autorizado), puede que tengas que notificarlo a la autoridad sin dilación y, si es posible, en 72 horas desde que tienes constancia de él (art. 33 del RGPD); no hace falta si es improbable que suponga un riesgo para las personas. Si es probable que entrañe un alto riesgo para ellas, también tienes que comunicárselo a las personas afectadas (art. 34). Tener el procedimiento preparado antes de que ocurra marca la diferencia.

Cualquier persona cuyos datos trates puede pedirte acceder, rectificar, suprimir u oponerse al tratamiento de sus datos, entre otros derechos (arts. 15 a 22 del RGPD). Debes tener una vía para atender esas solicitudes y responder sin dilación y, como máximo, en un mes, prorrogable otros dos meses si hace falta, avisando antes de que acabe el primero (art. 12.3). Si no respondes, la persona puede reclamar ante la Agencia Española de Protección de Datos, que tiene un procedimiento propio para la falta de atención de estos derechos (art. 64.1 de la LOPDGDD).

La plataforma te ayuda a montar el RAT, generar los textos informativos citados a la norma, preparar el procedimiento de brechas y atender los derechos con un canal y su seguimiento. El diagnóstico gratuito te dice por dónde empezar según tu actividad.