Es una de las dudas más frecuentes: «¿Yo tengo que cumplir con esto?». Y la respuesta, aunque algo incómoda, es en la mayoría de los casos: sí.
El RGPD y la LOPDGDD no establecen excepciones basadas en el tamaño de la empresa ni en el volumen de datos. Lo que determina la obligación es mucho más simple: si tratas datos personales, debes cumplir. Y prácticamente cualquier actividad económica implica tratar datos personales en alguna medida.
La respuesta directa: si tratas datos personales, estás obligado
Si atendemos a lo que dice la ley, no es obligatorio contar con un servicio de protección de datos en los casos El Reglamento General de Protección de Datos aplica a cualquier organización que trate datos personales de personas físicas situadas en la Unión Europea, con independencia de su tamaño, naturaleza jurídica o localización geográfica.
Esto incluye:
- Sociedades limitadas, anónimas y cualquier otra forma societaria
- Autónomos y profesionales independientes
- Asociaciones, fundaciones y entidades sin ánimo de lucro
- Comunidades de propietarios
- Colegios profesionales
- Administraciones públicas y organismos gubernamentales
No hay un umbral mínimo de tamaño ni de volumen de datos para que la obligación aplique.
Qué significa «tratar datos personales»
Un dato personal es cualquier información que permite identificar a una persona física, directa o indirectamente: nombre, email, teléfono, NIF, dirección, IP, matrícula del coche, datos bancarios, historial de salud…
Tratar esos datos significa recogerlos, almacenarlos, consultarlos, usarlos, modificarlos, comunicarlos o eliminarlos. En la práctica, esto abarca situaciones cotidianas del negocio:
- Gestionar una base de datos de clientes
- Contratar empleados y gestionar sus nóminas
- Enviar facturas por correo electrónico
- Tener una web con formulario de contacto
- Usar un CRM, software de contabilidad o cualquier herramienta con datos de personas
- Grabar videollamadas de reuniones
- Instalar cámaras de videovigilancia en el local
Obligaciones según el tamaño de la empresa
Aunque la obligación aplica a todas las empresas, su alcance práctico varía con el tamaño y la actividad
Pymes y microempresas (menos de 250 empleados)
En consonancia con la protección de datos, son muchas las empresas que requieren la contratación de unEstán obligadas a cumplir el RGPD pero tienen una excepción importante: no están obligadas a llevar el Registro de Actividades de Tratamiento, salvo que el tratamiento no sea ocasional, pueda entrañar un riesgo para los interesados o incluya categorías especiales de datos.
En la práctica, la mayoría de pymes sí está obligada al RAT porque trata datos de forma habitual. Las obligaciones principales son:
- Responder a solicitudes de derechos
- Informar a los usuarios y empleados sobre el tratamiento de sus datos
- Tener base legal para cada tratamiento
- Contar con contratos de encargado de tratamiento con proveedores
- Aplicar medidas de seguridad apropiadas
Grandes empresas y organizaciones con tratamientos de alto riesgo
Tienen todas las obligaciones anteriores más las específicas para su actividad: nombramiento de DPD si procede, evaluaciones de impacto cuando el tratamiento pueda suponer alto riesgo, medidas de seguridad más estrictas y mayor documentación.
¿Y si soy autónomo?
Los autónomos están sujetos exactamente a las mismas obligaciones que una empresa. Si tratas datos personales de clientes, proveedores o colaboradores en tu actividad profesional, debes cumplir el RGPD.
La buena noticia es que para la mayoría de autónomos las obligaciones son manejables: revisar los contratos y documentación, actualizar la web con los textos legales correctos y asegurarse de que los proveedores digitales tienen contratos de encargado. No es un proceso complejo si se afronta de forma ordenada.
Puedes ver más detalle en nuestro artículo específico sobre protección de datos para autónomos en España.
Sectores con obligaciones adicionales
Algunos sectores tienen requisitos específicos que van más allá del RGPD general:
- Sector sanitario: datos de salud son categoría especial. Requisitos adicionales de seguridad y posible obligación de DPD.
- Sector financiero y asegurador: obligación de DPD en muchos casos. Normativa sectorial añadida.
- Sector educativo: tratamiento de datos de menores, con requisitos específicos de consentimiento parental.
- Despachos jurídicos: datos cubiertos por secreto profesional con implicaciones específicas.
- Sector de recursos humanos: tratamiento de datos laborales con régimen propio bajo la LOPDGDD.
Lo que pasa si no cumples
Las consecuencias del incumplimiento van más allá de la sanción económica:
- Sanciones de la AEPD: desde advertencias hasta multas de hasta 20 millones de euros o el 4% de la facturación global anual para las infracciones más graves.
- Reclamaciones de clientes, empleados o usuarios cuyos derechos hayan sido vulnerados.
- Daño reputacional ante clientes y socios comerciales que exigen garantías de cumplimiento.
- Exclusión de licitaciones públicas o relaciones con grandes empresas que requieren acreditación de cumplimiento.
En Ubimia Compliance atendemos a empresas de todos los tamaños, desde autónomos hasta pymes con decenas de empleados. Lo que vemos con más frecuencia son microempresas convencidas de que «esto no va con ellas», cuando en realidad el RGPD aplica desde el momento en que tratas un solo dato personal de un cliente, empleado o proveedor.
Si no tienes claro si tu empresa está cumpliendo correctamente, podemos revisarlo contigo sin compromiso. → Ver el servicio de protección de datos
Puedes también hacer el checklist de cumplimiento RGPD de este blog para tener una primera imagen de la situación de tu empresa.