Cualquier negocio, por pequeño que sea, maneja datos personales: los de sus clientes, sus proveedores, sus empleados o las personas que escriben a través de su web. La normativa de protección de datos se aplica igual a una gran empresa que a una peluquería o a un despacho, aunque las exigencias se adaptan al riesgo. Esta guía resume lo imprescindible para cumplir sin complicarse en exceso.
¿Qué normas se aplican y a quién?
Las dos normas básicas son el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). A ellas se suma la Ley 34/2002, de servicios de la sociedad de la información (LSSI), que regula las comunicaciones comerciales por correo electrónico y las cookies.
Se aplican a cualquier persona o entidad que trate datos de personas físicas identificadas o identificables en el ejercicio de una actividad profesional o empresarial: autónomos, sociedades, asociaciones o comunidades de propietarios. Solo quedan fuera los tratamientos puramente domésticos, como la agenda personal.
La filosofía del RGPD es la responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo. Por eso conviene documentar las decisiones que se toman.
¿Puedo tratar los datos de mis clientes sin pedirles permiso?
Sí, en muchos casos. Es un error frecuente pensar que todo exige consentimiento. El RGPD admite varias bases jurídicas y la más habitual en un negocio es la ejecución de un contrato: para atender un pedido, emitir una factura o prestar un servicio no hace falta pedir permiso adicional. También se tratan datos por obligación legal (conservar facturas, comunicar datos a Hacienda) o por interés legítimo, que debe ponderarse frente a los derechos de la persona.
El consentimiento sí es necesario para finalidades que van más allá de lo contratado, como enviar publicidad a quien no es cliente o publicar fotografías. Debe ser libre, informado e inequívoco (nada de casillas premarcadas) y tan fácil de retirar como de dar.
Un caso concreto: para enviar comunicaciones comerciales por correo electrónico hace falta consentimiento previo, salvo que el destinatario ya sea cliente y se le ofrezcan productos o servicios similares a los que contrató. En cada envío debe incluirse una forma sencilla y gratuita de darse de baja.
¿Qué documentos debe tener un pequeño negocio?
Lo mínimo recomendable es:
- Registro de actividades de tratamiento: un documento interno que describe qué datos se tratan, para qué, con qué base jurídica, a quién se comunican, cuánto tiempo se conservan y qué medidas de seguridad se aplican. La excepción para empresas de menos de 250 trabajadores casi nunca se aplica, porque no rige cuando el tratamiento es habitual, como la gestión de clientes o de nóminas.
- Cláusulas informativas: en formularios, contratos, presupuestos o en el mostrador, hay que informar de quién trata los datos, para qué y cómo ejercer los derechos. La ley permite informar por capas: un texto breve junto al formulario y un enlace a la información completa.
- Política de privacidad en la web, si se recogen datos a través de ella, junto con el aviso legal y, si se usan cookies que no sean técnicas, un banner de consentimiento y la política de cookies.
- Contratos con encargados del tratamiento: con la gestoría, el informático, el proveedor de alojamiento web o la empresa de marketing que acceden a los datos para prestarte un servicio.
- Información a los empleados sobre el tratamiento de sus datos y, en su caso, sobre el uso de dispositivos digitales y la videovigilancia.
La Agencia Española de Protección de Datos (AEPD) ofrece herramientas gratuitas, como Facilita RGPD, pensadas para pequeñas empresas que tratan datos de bajo riesgo.
¿Cuándo necesito un delegado de protección de datos?
La mayoría de los pequeños negocios no lo necesitan. Es obligatorio para las administraciones públicas y para quienes, como actividad principal, observan de forma habitual y sistemática a personas a gran escala o tratan a gran escala datos especialmente protegidos (salud, ideología, datos biométricos, etc.). La LOPDGDD enumera además sectores concretos que deben designarlo, como centros docentes, entidades aseguradoras, centros sanitarios obligados a llevar historias clínicas (salvo profesionales que ejercen a título individual) o empresas de seguridad privada. Si tienes dudas, conviene consultarlo, porque no designarlo cuando es obligatorio es una infracción.
¿Qué hago si un cliente ejerce sus derechos o si hay una brecha de seguridad?
Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Hay que responder en el plazo de un mes desde que se recibe la solicitud, ampliable dos meses más si es compleja o hay muchas solicitudes, avisando al interesado dentro del primer mes. Si no se atiende, la persona puede reclamar ante la AEPD.
Una brecha de seguridad es cualquier incidente que provoque la pérdida, destrucción, alteración o acceso no autorizado a datos personales: un portátil robado, un correo enviado con los destinatarios a la vista o un ataque informático. Todas deben anotarse en un registro interno de incidencias. Si es probable que suponga un riesgo para las personas, hay que notificarla a la AEPD en 72 horas desde que se tiene constancia; y si el riesgo es alto, comunicarla también a los afectados.
¿Puedo poner cámaras de videovigilancia?
Sí, con fines de seguridad, pero respetando ciertas reglas. Hay que colocar un cartel informativo visible que indique al menos la existencia del tratamiento, la identidad del responsable y cómo ejercer los derechos. Las cámaras no pueden grabar la vía pública más allá de lo imprescindible ni espacios reservados como vestuarios o aseos. Las imágenes deben suprimirse en el plazo máximo de un mes, salvo que haya que conservarlas para acreditar un delito o un daño, en cuyo caso se ponen a disposición de la autoridad. Si las cámaras se usan para controlar a los trabajadores, hay que informarles previamente de forma expresa.
¿Qué sanciones puede imponer la AEPD?
El RGPD prevé multas de hasta 10 o 20 millones de euros o, en el caso de empresas, del 2 % o del 4 % de su volumen de negocio anual global, según la gravedad. En la práctica, las sanciones a pequeños negocios son mucho menores, pero no son raras y suelen derivar de reclamaciones de clientes o empleados: cámaras mal instaladas, publicidad sin consentimiento, derechos no atendidos o datos publicados por error. La AEPD puede también apercibir u ordenar que se corrija el tratamiento. Tener la documentación en orden y responder a tiempo es la mejor prevención.
Modelos que te pueden servir
- Registro de actividades de tratamiento de datos personales
- Política de privacidad de un sitio web
- Contrato de acceso a datos personales por cuenta de terceros (encargado del tratamiento)
- Política de privacidad para trabajadores de una empresa
- Libro registro de incidencias en el tratamiento de datos personales
- Autorización para el uso de datos personales
Guía orientativa revisada en octubre de 2026. No sustituye el asesoramiento profesional.