Lo que el RGPD exige de verdad a una pyme (y lo que no)

El RGPD genera más alarma de la que exige realmente a una pyme. No hace falta un delegado de protección de datos en la mayoría de los casos, pero sí hay unos mínimos que cualquier negocio que trate datos de clientes o empleados debe tener resueltos.

1. El registro de actividades de tratamiento

Documentar qué datos se tratan, con qué finalidad, durante cuánto tiempo y quién tiene acceso a ellos. Es una obligación en sí misma y, además, la base para todo lo demás: si no está claro qué se trata, no se puede informar correctamente ni responder a una reclamación.

2. La información al interesado

Un formulario web, una hoja de encargo o un contrato laboral deben incluir una cláusula clara sobre qué se hace con los datos que se recogen. No basta con un enlace genérico a "política de privacidad" copiado de otra web.

3. Los encargados de tratamiento

Si un proveedor externo (hosting, gestoría, envío de correo) trata datos por cuenta de la empresa, hace falta un contrato de encargado de tratamiento conforme al artículo 28 RGPD. Es una de las obligaciones que más se pasa por alto.

Si quieres saber si tu negocio tiene estos mínimos cubiertos, nuestro abogado mercantil puede hacer una revisión rápida y decirte exactamente qué falta.