Cuando salió el GDPR en 2018 hubo un tsunami de emails de “actualizamos nuestra política de privacidad” y muchas empresas contrataron un servicio de adecuación, pagaron la factura y pensaron que ya estaban cubiertas. Ocho años después, la realidad es que muchas PYMEs siguen sin tener lo básico realmente implementado.
No voy a intentar resumir el GDPR entero — para eso están los abogados especializados. Lo que sí puedo contarte es qué afecta más directamente a la operativa IT de una empresa pequeña.
Lo que el GDPR exige en práctica
1. Registro de actividades de tratamiento
Toda empresa que trate datos personales (es decir, prácticamente todas) debe mantener un registro interno de qué datos recoge, para qué, durante cuánto tiempo los guarda y quién tiene acceso.
No es un documento que se envía a ningún lado — es para uso interno y para presentar ante la AEPD si hay una inspección. Un Excel bien hecho puede ser suficiente.
2. Base legal para cada tratamiento
Necesitas saber por qué tienes derecho a tratar cada tipo de dato. Las bases legales habituales en PYMEs son:
- Contrato: datos de clientes necesarios para prestar el servicio
- Obligación legal: datos que exige Hacienda, Seguridad Social, etc.
- Interés legítimo: newsletters a clientes actuales, por ejemplo
- Consentimiento: cuando no encaja ninguna de las anteriores
3. Información a los afectados
Los formularios de tu web, las fichas de cliente, los emails de captación — todos deben informar de quién es el responsable del tratamiento, para qué se usan los datos y cómo pueden ejercer sus derechos.
4. Derechos de los interesados
Debes poder responder a solicitudes de acceso, rectificación, supresión o portabilidad. No necesitas un sistema sofisticado, pero sí un proceso claro para cuando alguien lo pida.
5. Contratos con encargados de tratamiento
Todos los proveedores que traten datos en tu nombre (el gestor de correo, el CRM en la nube, el servicio de contabilidad) deben tener firmado un contrato de encargado de tratamiento (DPA). La mayoría de proveedores grandes ya lo tienen disponible online.
6. Medidas de seguridad técnicas
Aquí es donde entra el IT. El GDPR no especifica qué medidas concretas debes aplicar, pero exige que sean apropiadas al riesgo. En la práctica, para una PYME esto incluye:
- Contraseñas robustas y gestión centralizada
- Acceso restringido a datos por roles — no todo el mundo necesita acceder a todo
- Cifrado de datos en reposo y en tránsito
- Backups seguros y probados
- Proceso de baja de empleados con revocación de accesos
- Registro de incidentes (aunque sean pequeños)
7. Notificación de brechas
Si sufres una brecha de seguridad que afecte a datos personales, tienes 72 horas para notificarlo a la AEPD. Si el riesgo para los afectados es alto, también debes notificarlo a ellos.
Lo que puedes dejar para después
El GDPR tiene muchos matices y hay requisitos más complejos (evaluaciones de impacto, delegado de protección de datos) que solo aplican en situaciones específicas. Para la mayoría de PYMEs pequeñas, si tienes los 7 puntos anteriores cubiertos, estás en un estado razonable.
Por dónde empezar
Si partes de cero, el orden lógico es:
- Identificar qué datos personales tratas y para qué
- Levantar el registro de actividades
- Revisar los formularios de la web
- Firmar los DPAs con tus proveedores cloud
- Revisar los controles de acceso a los datos
La AEPD tiene guías gratuitas y herramientas de diagnóstico para PYMEs. Son más accesibles de lo que parece. Y una asesoría especializada para validar que lo has hecho bien es una inversión razonable comparada con una sanción.