Protección de datos para autónomos y pequeños negocios: lo que tienes que tener

¿Te aplica la protección de datos si eres autónomo?

Sí. El RGPD se aplica a todo tratamiento de datos personales, y su excepción para actividades exclusivamente personales o domésticas (art. 2.2.c) no cubre una actividad profesional. Si tienes clientes particulares, empleados, un formulario web o cámaras, tratas datos personales aunque trabajes solo. Lo completa la Ley Orgánica 3/2018 (LOPDGDD).

Los datos de las personas jurídicas quedan fuera (considerando 14 RGPD), pero no los de quienes trabajan en ellas; para sus datos de contacto profesional, el art. 19 LOPDGDD presume el interés legítimo, con condiciones. Desde el 25-05-2018 ya no se inscriben ficheros en la AEPD.

Lo mínimo que debe tener un autónomo o pequeño negocio

Las ocho básicas (la última, solo si tienes cámaras):

Informar a tus clientes y elegir la base jurídica

Informa a cada persona al pedirle sus datos. El art. 13 RGPD exige decir quién eres, para qué usas los datos y con qué base jurídica, a quién los cedes, cuánto los conservas, qué derechos tiene y que puede reclamar ante la AEPD. El art. 11 LOPDGDD permite hacerlo por capas: primero identidad, finalidad y derechos, y dónde consultar el resto.

Cada tratamiento necesita una de las seis bases del art. 6 RGPD: consentimiento, contrato, obligación legal, intereses vitales, interés público o interés legítimo. Para prestar tu servicio basta el contrato, y para lo que la ley te obliga a conservar, la obligación legal. Si necesitas consentimiento, por ejemplo para una newsletter a quien no es cliente, debe darse con una acción afirmativa: el silencio y las casillas premarcadas no valen (considerando 32). Tratar datos sin base u omitir la información es infracción muy grave (art. 72.1.b y 72.1.h LOPDGDD); darla incompleta, leve (art. 74.a).

Registro de actividades de tratamiento: cuándo no vale la excepción

La excepción para organizaciones de menos de 250 personas casi nunca sirve a un autónomo con clientes. El art. 30.5 RGPD no la aplica si el tratamiento puede entrañar un riesgo para los derechos de las personas, no es ocasional o incluye categorías especiales de datos (la salud, por ejemplo) o datos penales.

Con clientes habituales, nóminas o cámaras, el tratamiento no es ocasional. La AEPD considera esas excepciones muy limitadas: en la práctica, la mayoría de responsables de menos de 250 trabajadores deben llevar el registro. Recoge, entre otros, los fines, las categorías de datos y los destinatarios (art. 30.1). No se presenta a la AEPD, pero debes entregarlo si lo pide (art. 30.4). No tenerlo es infracción grave (art. 73.n LOPDGDD).

Qué puede cambiar: la Comisión propuso el 21-05-2025 (COM(2025) 501) ampliar la excepción a menos de 750 personas, salvo alto riesgo. Según el Observatorio Legislativo del Parlamento Europeo, Parlamento y Consejo acordaron un texto el 26-06-2026 y el pleno lo votaría, de forma indicativa, el 23-11-2026. A 22-10-2026 no está en vigor: faltan esa votación, la aprobación del Consejo y la publicación, así que rige el umbral de 250.

Contratos con tu gestoría, tu informático y otros encargados

Necesitas un contrato escrito con cada proveedor que trate datos personales por tu cuenta (art. 28 RGPD), que le obligue a seguir tus instrucciones documentadas. La AEPD indica que la gestoría que lleva tus nóminas actúa como encargada. Con tu informático, la clave es si accede a los datos: la AEPD considera que quien instala o mantiene cámaras sin acceder a las imágenes no es encargado, y sí lo es si accede; ese criterio sirve de referencia para quien mantiene tus equipos o tu programa de gestión. Encargar sin contrato escrito es infracción grave (art. 73.k LOPDGDD).

Seguridad y brechas: las 72 horas

Notifica la brecha a la AEPD sin dilación y, de ser posible, en 72 horas desde que tengas constancia, salvo que sea improbable que suponga un riesgo para las personas (art. 33.1 RGPD). Un portátil perdido con datos de clientes es una brecha. La AEPD cuenta fines de semana y festivos y admite una notificación inicial que se completa en un máximo de 30 días hábiles. Para prevenirlas, el art. 32 pide medidas apropiadas al riesgo, sin lista cerrada, como el cifrado o poder restaurar los datos tras un incidente.

Documenta toda brecha, la notifiques o no (art. 33.5), y avisa a los afectados si el riesgo es alto (art. 34.1). Las herramientas gratuitas Asesora Brecha y Comunica-Brecha RGPD, de la AEPD, ayudan a decidir ambas cosas. No notificar cuando es obligatorio es infracción grave (art. 73.r LOPDGDD).

Derechos de tus clientes: cómo y cuándo responder

Tienes un mes para responder cuando un cliente te pide acceso, rectificación, supresión, limitación, portabilidad u oposición (arts. 15 a 22 RGPD). El plazo puede prorrogarse dos meses más por la complejidad o el número de solicitudes, si avisas con el motivo dentro del primer mes (art. 12.3), y la respuesta es gratuita (art. 12.5). No atender una solicitud es infracción leve (art. 74.c LOPDGDD); obstaculizar los derechos o desatenderlos de forma reiterada, muy grave (art. 72.1.k).

Cámaras de videovigilancia en tu local

Con cámaras, necesitas un cartel visible y borrar las imágenes en un mes como máximo, salvo las que haya que conservar para acreditar actos contra personas, bienes o instalaciones (art. 22.3 LOPDGDD). La vía pública solo puede grabarse en la medida imprescindible (art. 22.2). El cartel indica que hay tratamiento, quién es el responsable y cómo ejercer los derechos (art. 22.4). La AEPD ofrece un modelo en su Guía sobre el uso de videocámaras (febrero de 2025) y, en su ficha para establecimientos, pide hacer el registro antes de poner las cámaras en marcha.

Si hay trabajadores, infórmales antes de forma expresa, clara y concisa, también a sus representantes (art. 89.1 LOPDGDD). No se admiten cámaras ni grabación de sonido en vestuarios, aseos, comedores o zonas de descanso (art. 89.2).

WhatsApp, correo electrónico y web con tus clientes

Para atender a tus clientes puedes usar WhatsApp o el correo; para enviarles publicidad, el art. 21 LSSI exige que la hayan pedido o autorizado expresamente, por correo electrónico o cualquier medio electrónico equivalente. La excepción es para quien ya es cliente: datos obtenidos de forma lícita, publicidad de productos o servicios tuyos similares a los que contrató y una forma sencilla y gratuita de oponerse, ofrecida al recoger los datos y en cada mensaje. Para promociones por WhatsApp, aplica el mismo criterio por prudencia.

Al escribir a varias personas, usa copia oculta. En tu web, enlaza la política de privacidad desde cada formulario y pide consentimiento previo para las cookies no estrictamente necesarias (art. 22.2 LSSI).

¿Necesitas delegado de protección de datos?

Normalmente no. El art. 37.1 RGPD lo exige a autoridades públicas y a quien tenga como actividad principal observar de forma habitual y sistemática a personas, o tratar datos sensibles o penales, a gran escala. El art. 34.1 LOPDGDD añade, entre otras, colegios profesionales, centros docentes de los niveles de la legislación educativa, empresas de seguridad privada y centros sanitarios obligados a llevar historias clínicas (no los profesionales de la salud que ejercen a título individual). Omitirlo cuando es obligatorio es infracción grave (art. 73.v LOPDGDD).

Herramientas gratuitas de la AEPD

Facilita RGPD es gratuita y sirve para tratamientos de escaso riesgo: genera cláusulas informativas, cláusulas para contratos de encargado, el registro de actividades y medidas de seguridad orientativas. No vale para alto riesgo, como datos de salud o tratamientos masivos, y la AEPD avisa de que obtener los documentos no supone cumplir automáticamente: hay que adaptarlos y mantenerlos al día.

Multas por incumplir la protección de datos

Los topes legales son altos, pero tres resoluciones publicadas de la AEPD contra pequeños negocios se quedan entre 400 y 2.500 euros, o un apercibimiento. El art. 83 RGPD permite multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global (registro, encargados, seguridad, brechas) y de hasta 20 millones o el 4 % (información, base jurídica, derechos), la cifra mayor en cada caso. Son máximos: la multa debe ser proporcionada y, si la infracción es leve, cabe un apercibimiento (considerando 148).

Casos publicados por la AEPD:

Cómo te ayudamos en 3CATORCE

En 3CATORCE preparamos la documentación a partir de la información que nos facilita tu negocio, que sigue siendo el responsable del tratamiento; no certificamos que cumplas. Hay dos modalidades, con IVA incluido, explicadas en nuestra guía de protección de datos para empresas:

• Por tu cuenta, 99 €: recibes la documentación adaptada a tu actividad, con un experto que te guía el primer año. Contratar por tu cuenta.
• Te lo hacemos nosotros, 250 €: nos das la información y nuestro experto elabora y te entrega la documentación. Encargárnoslo.

La documentación incluye registro de actividades, análisis de riesgos y medidas de seguridad, política de privacidad, cláusulas informativas, contratos de encargado y, si tienes cámaras, cartel de videovigilancia. Desde el segundo año, el mantenimiento cuesta 9,90 € al mes. Es un servicio de implantación y no se bonifica por FUNDAE; para formar a tu plantilla, mira la formación bonificada para empresas.

Preguntas frecuentes