Protección de datos: obligaciones para empresas

Un formulario de contacto, una base de clientes, una nómina o una cámara de videovigilancia bastan para que una empresa trate datos personales. La protección de datos no es un trámite reservado a grandes compañías ni se resuelve copiando un texto legal en la web. Para autónomos, comunidades, asociaciones y pymes, es una obligación diaria que exige documentos correctos, procedimientos internos y decisiones coherentes con la actividad real.

El RGPD y la LOPDGDD obligan a tratar la información personal con licitud, transparencia y seguridad. Incumplir puede derivar en requerimientos, reclamaciones, pérdida de confianza y sanciones económicas. Pero también hay una consecuencia menos visible: cuando no existen criterios claros, el negocio pierde tiempo respondiendo mal a clientes, trabajadores o proveedores.

Protección de datos: qué debe cumplir su empresa

La obligación no depende de tener una gran plantilla ni de facturar una cifra concreta. Depende de tratar datos de personas físicas. Si recoge nombres, teléfonos, direcciones de correo electrónico, DNI, currículos, imágenes, datos bancarios o información laboral, debe cumplir la normativa.

El primer paso es identificar qué datos maneja la organización, para qué los utiliza, dónde los guarda, quién accede a ellos y durante cuánto tiempo los conserva. Esta revisión evita un error frecuente: pensar que todos los datos pueden guardarse indefinidamente por si algún día resultan útiles. La normativa exige limitar la conservación al plazo necesario para la finalidad prevista o al plazo legal aplicable.

También debe existir una base jurídica válida para cada tratamiento. En ocasiones será la ejecución de un contrato, como ocurre al gestionar los datos de un cliente. En otras, una obligación legal, por ejemplo en materia laboral o fiscal. El consentimiento puede ser necesario en determinados supuestos, pero no es una solución universal ni una casilla que permita cualquier uso posterior de la información.

La información al interesado debe ser clara

Quien entrega sus datos tiene derecho a saber quién los trata, con qué finalidad, cuál es la base legal, cuánto tiempo se conservarán, si se cederán a terceros y cómo puede ejercer sus derechos. Esta información debe adaptarse al canal de recogida: web, contrato, presupuesto, formulario en papel, proceso de selección o videovigilancia.

Un aviso legal genérico no cubre automáticamente todos los tratamientos. Por ejemplo, la información facilitada a un candidato no es idéntica a la que necesita un cliente, un empleado o un visitante grabado por cámaras. Usar textos desactualizados o inconexos con la operativa real es una fuente habitual de incumplimientos.

El registro de actividades no es papel sin utilidad

El registro de actividades de tratamiento documenta cómo circulan los datos dentro del negocio. Debe reflejar las categorías de interesados y datos, las finalidades, destinatarios, medidas de seguridad, plazos de conservación y, cuando proceda, transferencias internacionales.

Para una pyme, bien elaborado, es una herramienta de control. Permite saber qué aplicaciones intervienen, qué proveedores acceden a información personal y qué procesos requieren una revisión. Sin este mapa, es difícil responder con seguridad ante una inspección o una incidencia.

Documentos que no pueden faltar

La adaptación debe ser proporcional, pero nunca improvisada. Una empresa que utiliza correo electrónico, asesoría laboral, software de facturación o almacenamiento en la nube necesita ordenar sus relaciones y evidencias de cumplimiento.

El contrato de encargo de tratamiento es esencial cuando un proveedor trata datos por cuenta de la empresa. Puede afectar a la asesoría, al proveedor informático, a una plataforma de gestión, a la empresa de mantenimiento o a quien custodia documentación. No basta con confiar en que el proveedor “cumple RGPD”: hay que regular por escrito las instrucciones, la confidencialidad, las medidas de seguridad, la asistencia ante derechos y la devolución o eliminación de los datos al finalizar el servicio.

Las cláusulas informativas, los protocolos para atender derechos, los compromisos de confidencialidad del personal y las políticas internas completan esa estructura. Cada documento debe responder a una situación concreta. Un modelo descargado sin revisión puede contener referencias a tratamientos inexistentes y omitir los que realmente generan riesgo.

Seguridad: el cumplimiento se demuestra en la práctica

El RGPD no impone una misma medida técnica para todos. Exige aplicar medidas adecuadas al riesgo. Una clínica, una asesoría o una empresa que maneja información laboral sensible no afrontan el mismo escenario que un pequeño comercio con una lista básica de clientes. Aun así, existen mínimos operativos que conviene revisar en cualquier organización.

Las contraseñas individuales, el control de accesos, las copias de seguridad verificadas, la actualización de equipos y programas, el bloqueo de pantalla y la destrucción segura de documentación son medidas básicas. A ellas se suma la formación del personal. Muchos incidentes no se producen por un ataque sofisticado, sino por enviar un archivo al destinatario equivocado, compartir claves o abrir un correo fraudulento.

La seguridad también afecta al papel. Dejar expedientes laborales, listados de clientes o presupuestos a la vista en una recepción puede suponer un acceso no autorizado. La protección de datos exige revisar hábitos cotidianos, no solo contratar herramientas tecnológicas.

Qué hacer ante una brecha de seguridad

Una brecha puede ser la pérdida de un portátil, un acceso indebido, un correo enviado por error, un ransomware o la publicación accidental de datos. La empresa debe contar con un procedimiento para detectarla, contenerla, evaluar sus consecuencias y documentarla.

Cuando la brecha entrañe un riesgo para los derechos y libertades de las personas, puede ser necesario notificarla a la autoridad de control en un plazo máximo de 72 horas desde que se tiene conocimiento. Si el riesgo es alto, también habrá que comunicarlo a las personas afectadas. Esperar a tener todos los detalles o confiar en que nadie reclame puede agravar el problema.

Derechos de las personas: responder bien evita conflictos

Clientes, trabajadores, proveedores y usuarios pueden solicitar acceso, rectificación, supresión, oposición, limitación o portabilidad de sus datos, según corresponda. La empresa debe disponer de un canal para recibir estas solicitudes, verificar la identidad de quien las presenta y responder, con carácter general, en el plazo de un mes.

No todas las peticiones obligan a borrar datos de inmediato. Si existe una obligación legal de conservación, como en documentación fiscal o laboral, puede ser necesario limitar el tratamiento en lugar de eliminar la información. Lo relevante es justificar la decisión y comunicarla de forma clara.

Ignorar una solicitud, responder tarde o entregar datos de terceras personas son errores evitables con un protocolo sencillo. La persona que atiende el correo o la recepción debe saber a quién trasladar la petición y qué nunca debe contestar por su cuenta.

Situaciones que requieren una revisión específica

Hay tratamientos que no admiten soluciones genéricas. La videovigilancia exige cartelería, información adecuada, límites de conservación y una configuración que no invada espacios prohibidos. Los currículos requieren una política de conservación y acceso restringido. El uso de WhatsApp para comunicarse con clientes o empleados obliga a valorar qué datos se comparten, con qué finalidad y qué controles existen.

También deben revisarse las páginas web, los formularios digitales, las campañas comerciales y las cookies. Enviar comunicaciones promocionales sin una base legítima o instalar tecnologías no necesarias antes de que el usuario elija puede generar reclamaciones. La web debe reflejar el funcionamiento real del negocio, no una política estándar que nadie ha comprobado.

En organizaciones que tratan datos a gran escala, categorías especiales de datos o realizan determinadas actividades de seguimiento, puede ser obligatorio designar un delegado de protección de datos. En otros casos no es obligatorio, pero contar con asesoramiento especializado reduce errores, aporta criterio independiente y facilita una respuesta ordenada ante requerimientos o incidentes.

El coste de no actuar suele ser mayor

Las sanciones por incumplimiento no se calculan únicamente por el tamaño de la empresa. La autoridad valora factores como la gravedad, duración, número de afectados, tipo de datos, medidas aplicadas y colaboración posterior. Por eso una pequeña organización no debe asumir que está fuera de riesgo.

Además de una posible multa, una reclamación puede obligar a revisar procesos con urgencia, movilizar al equipo, responder a requerimientos y corregir fallos bajo presión. Adaptarse con antelación permite controlar el coste, distribuir tareas y disponer de evidencias de cumplimiento desde el primer momento.

La protección de datos bien planteada no paraliza la actividad comercial ni añade burocracia inútil. Ordena la información, reduce exposiciones y ofrece una respuesta clara cuando un cliente, un trabajador o una autoridad pide explicaciones. Si su documentación no refleja cómo funciona hoy su negocio, revisarla ahora es una decisión preventiva mucho más económica que hacerlo después de una incidencia.