Última revisión: 16 de octubre de 2026. Este contenido es informativo y no sustituye el asesoramiento sobre un caso concreto.
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) se aplican a cualquier empresa que trate datos personales, sea cual sea su tamaño. Muchas pymes tienen documentación de cuando se adaptaron en 2018 que no refleja cómo trabajan hoy. Esta lista de doce puntos ayuda a identificar dónde están las diferencias y a priorizar.
Antes de empezar
El RGPD se basa en el principio de responsabilidad proactiva (artículo 5.2): no basta con cumplir, la empresa debe poder demostrarlo. Por eso cada punto de esta lista se revisa con una pregunta doble: ¿lo hacemos? y ¿podemos acreditarlo?
Los 12 puntos
1. Inventario de tratamientos
Identifica qué datos tratas, de quién, para qué, dónde se guardan y quién accede a ellos: clientes, proveedores, candidatos, plantilla, videovigilancia, marketing o Sistema Interno de Información. El artículo 30 del RGPD regula el registro de actividades de tratamiento. Prevé una excepción para organizaciones de menos de 250 personas, pero no se aplica cuando el tratamiento puede entrañar un riesgo, no es ocasional o incluye categorías especiales de datos. En la práctica, la mayoría de pymes que gestionan nóminas o clientes de forma continuada deben llevarlo.
2. Base jurídica de cada tratamiento
Cada tratamiento necesita una base jurídica del artículo 6 del RGPD: contrato, obligación legal, interés legítimo, consentimiento, entre otras. Un error frecuente es basarlo todo en el consentimiento, incluso cuando el tratamiento es necesario para ejecutar un contrato o cumplir una ley. Si se usa el interés legítimo, conviene documentar la ponderación.
3. Información a los interesados
Revisa las cláusulas informativas de formularios web, contratos, ofertas de empleo y carteles de videovigilancia. Deben incluir la información de los artículos 13 y 14 del RGPD. La LOPDGDD (artículo 11) permite ofrecerla por capas: una información básica en el punto de recogida y un enlace a la información completa.
4. Contratos con encargados del tratamiento
Gestorías, proveedores de software, alojamiento web, nóminas o mantenimiento informático suelen acceder a datos por cuenta de la empresa. El artículo 28 del RGPD exige un contrato u otro acto jurídico con un contenido mínimo. Comprueba que existe para cada proveedor relevante y que el proveedor ofrece garantías suficientes.
5. Procedimiento de derechos
Las personas pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. El artículo 12 del RGPD fija como regla general un plazo de un mes para responder, prorrogable en determinados casos. Define quién recibe las solicitudes, cómo se verifica la identidad y cómo se documenta la respuesta.
6. Medidas de seguridad
El artículo 32 del RGPD exige medidas técnicas y organizativas apropiadas al riesgo. Para una pyme, lo básico suele ser: control de accesos y contraseñas robustas, doble factor en el correo y servicios en la nube, copias de seguridad probadas, cifrado de portátiles y dispositivos móviles, y actualización del software.
7. Gestión de brechas de seguridad
Una pérdida de un portátil, un correo enviado al destinatario equivocado o un ciberataque pueden ser brechas de datos personales. El artículo 33 del RGPD obliga a notificarlas a la AEPD sin dilación indebida y, cuando sea posible, en un plazo de 72 horas desde que se tenga constancia, salvo que sea improbable que constituyan un riesgo para los derechos y libertades de las personas. Si el riesgo es alto, el artículo 34 exige comunicarlo también a los afectados. En todos los casos, la brecha debe documentarse internamente, aunque no se notifique.
8. Evaluación de riesgos y de impacto
Analiza el riesgo de los tratamientos y, cuando sea probable que un tratamiento entrañe un alto riesgo, realiza una evaluación de impacto (artículo 35 del RGPD). La AEPD publica una lista de tipos de tratamiento que requieren esta evaluación, útil como referencia.
9. Delegado de Protección de Datos
Comprueba si tu empresa está obligada a designar un Delegado de Protección de Datos (DPD). El artículo 37 del RGPD y el artículo 34 de la LOPDGDD enumeran los supuestos, entre ellos determinadas actividades como centros docentes, centros sanitarios, entidades de seguros o empresas de seguridad privada. Si no es obligatorio, puede designarse voluntariamente cuando la complejidad de los tratamientos lo aconseje; en ese caso, sus funciones y su posición deben respetar las reglas del RGPD.
10. Derechos digitales en el ámbito laboral
La LOPDGDD (artículos 87 a 91) regula el uso de dispositivos digitales por la plantilla, el derecho a la desconexión digital, la videovigilancia, la grabación de sonidos y la geolocalización en el trabajo. Revisa que existan criterios o políticas de uso, que se haya informado a la plantilla y, cuando proceda, a su representación.
11. Videovigilancia, cookies y comunicaciones comerciales
Tres áreas con normas específicas que generan muchas reclamaciones:
- Videovigilancia: el artículo 22 de la LOPDGDD regula la información mediante un dispositivo visible y fija la supresión de las imágenes en el plazo máximo de un mes, salvo que deban conservarse para acreditar hechos.
- Cookies: el artículo 22.2 de la LSSI exige consentimiento para las cookies no exentas. La Guía sobre el uso de las cookies de la AEPD concreta cómo obtenerlo y cómo informar.
- Comunicaciones comerciales electrónicas: el artículo 21 de la LSSI limita el envío sin solicitud o autorización previa, con una excepción para clientes con relación contractual previa en determinadas condiciones.
12. Conservación, formación y revisión periódica
Define cuánto tiempo conservas cada categoría de datos, según los plazos legales y la finalidad, y cuándo se bloquean o eliminan (artículo 5.1.e del RGPD y artículo 32 de la LOPDGDD). Forma a las personas que tratan datos y recuérdales su deber de confidencialidad (artículo 5 de la LOPDGDD). Por último, programa una revisión periódica de todo lo anterior.
Cómo priorizar
No todos los puntos tienen el mismo peso en todas las empresas. Como criterio orientativo, recomendamos empezar por:
- Los tratamientos con datos sensibles, de menores o de un gran número de personas.
- Las brechas de seguridad: tener claro qué hacer en las primeras horas.
- Los puntos visibles para el público: web, formularios, cookies y carteles de videovigilancia.
- Los contratos con proveedores tecnológicos que tienen acceso a los datos.
Obligación legal, estándar voluntario y recomendación profesional
- Obligación legal: el RGPD, la LOPDGDD y, para cookies y comunicaciones comerciales, la LSSI.
- Estándar voluntario: normas como ISO/IEC 27001 o ISO/IEC 27701 ofrecen marcos para gestionar la seguridad de la información y la privacidad. Son útiles, pero no sustituyen a la normativa ni son obligatorias.
- Recomendación profesional: adaptar la documentación a los tratamientos reales, prescindir de plantillas genéricas y revisar el conjunto al menos una vez al año o cuando cambien los sistemas o proveedores.
Puedes conocer cómo abordamos estos trabajos en nuestra página de protección de datos.
Fuentes
- Reglamento (UE) 2016/679, General de Protección de Datos (BOE)
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (BOE, texto consolidado)
- Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (BOE, texto consolidado)
- Guías de la Agencia Española de Protección de Datos
Si quieres revisar estos doce puntos con alguien que conozca tu actividad, Solicita un diagnóstico inicial.