Resumen: el RGPD obliga también a las pymes que tratan datos de clientes, empleados o proveedores. No hace falta un departamento legal: basta con saber qué datos tienes, para qué los usas, quién los trata y cómo ejerces los derechos de las personas.
Qué cuenta como dato personal
Cualquier información que identifique a una persona: nombre, correo, teléfono, DNI, dirección, historial de compras o incluso una matrícula asociada a un cliente. Si tu negocio guarda este tipo de información, estás tratando datos personales.
Paso 1: haz un inventario
Escribe en una lista qué datos recoges, de quién, dónde se guardan y quién puede verlos. Suele salir de una tarde de trabajo y es la base de todo lo demás. Incluye tu programa de facturación, el correo, la hoja de cálculo de clientes y las herramientas que usen tus empleados.
Paso 2: define para qué los usas
Cada uso necesita una base legal: cumplir una obligación (facturas, nóminas), ejecutar un contrato (un pedido), tu interés legítimo (algunas comunicaciones con clientes) o el consentimiento (boletines o publicidad). Si no encuentras una base para un uso, no lo hagas.
Paso 3: informa a las personas
Tu web y tus formularios deben explicar, de forma clara, quién es el responsable, para qué usas los datos, durante cuánto tiempo y cómo ejercer los derechos. Esa información va en la política de privacidad y, en formularios, en una frase junto al botón.
Paso 4: cuida a tus proveedores
Si un proveedor trata datos por tu cuenta (tu gestoría, tu hosting, tu software de facturación), necesitas un contrato de encargado del tratamiento. La mayoría de proveedores serios lo ofrecen y lo puedes pedir.
Paso 5: protege la información
- Contraseñas únicas y doble verificación en el correo y en las herramientas de negocio.
- Permisos mínimos: cada persona solo ve lo que necesita.
- Copias de seguridad y un procedimiento para avisar si algo sale mal.
Paso 6: responde a los derechos
Las personas pueden pedir acceder a sus datos, corregirlos, borrarlos, limitar su uso u oponerse a él. Tienes un mes para responder, en general. Ten un correo de contacto claro y un registro de las solicitudes.
Aviso: esta guía es una introducción y no sustituye el asesoramiento jurídico. Para la normativa completa y las guías prácticas, consulta la Agencia Española de Protección de Datos.