RGPD para pymes: lo mínimo que necesitas (sin gastar de más)

«Tenemos que cumplir el RGPD» es una frase que genera más ansiedad que claridad. La buena noticia: para la mayoría de negocios locales —una clínica, una tienda, una gestoría— el cumplimiento real no exige un despliegue enorme. La mala noticia: lo poco que hay que hacer, casi nadie lo tiene hecho del todo. Vamos con lo mínimo que de verdad importa.

Lo que sí te afecta, sin excusas

Si tu negocio tiene un formulario de contacto, guarda datos de clientes (nombre, teléfono, email, historial de compras o citas) o usa cámaras de videovigilancia, el RGPD te aplica. No importa el tamaño: la ley no exime a autónomos ni a microempresas.

Los seis puntos que de verdad revisan

• Aviso legal y política de privacidad en tu web. Tienen que explicar qué datos recoges, para qué, cuánto tiempo los guardas y cómo alguien puede pedirte que los borre. Una plantilla genérica copiada de otra web no vale: si describe un tratamiento que tú no haces (o al revés), es peor que no tener nada.
• Consentimiento explícito en los formularios. Una casilla premarcada no es válida. El usuario tiene que marcar activamente que acepta, y tiene que poder usar el formulario sin verse forzado a aceptar cosas que no necesita (por ejemplo, comunicaciones comerciales).
• Contratos de encargado de tratamiento con tus proveedores. Si usas un hosting, un CRM, una herramienta de email marketing o un contable externo que accede a datos de tus clientes, necesitas un contrato (art. 28 RGPD) con cada uno. La mayoría de proveedores serios ya te lo ofrecen firmado; hay que pedirlo y guardarlo.
• Medidas de seguridad proporcionadas. HTTPS en tu web, contraseñas que no sean «123456», copias de seguridad, y acceso a los datos limitado a quien realmente lo necesita. No hace falta un SOC de nivel bancario para una peluquería, pero sí lo básico.
• Registro de actividades de tratamiento. Un documento (puede ser sencillo) que liste qué datos tratas, con qué finalidad, cuánto tiempo los conservas y a quién se los cedes, si a alguien. Es obligatorio también para empresas pequeñas.
• Saber qué hacer si hay una brecha. Un fallo de seguridad que exponga datos personales debe notificarse a la Agencia Española de Protección de Datos en un plazo de 72 horas si supone un riesgo para los afectados. No tener ni idea de este plazo es de las cosas que más caro salen cuando pasa algo.

Lo que NO hace falta (y a veces te venden de más)

• Un Delegado de Protección de Datos (DPO), salvo excepciones concretas (tratamiento a gran escala, datos sensibles como categoría principal de tu actividad, sector público). La mayoría de pymes no lo necesita.
• Auditorías anuales certificadas de RGPD con sello oficial: no existe tal certificación oficial única, desconfía de quien te la venda como obligatoria.
• Pagar una cuota mensual «de por vida» solo por tener el aviso legal actualizado. Es un documento que se revisa cuando cambia algo relevante en tu negocio, no cada mes.

Por qué esto y la ciberseguridad van de la mano

El RGPD exige medidas de seguridad "adecuadas al riesgo", pero no te dice exactamente cuáles. En la práctica, la forma de saber si tu web y tus sistemas están realmente protegidos —y no solo con un aviso legal bien redactado sobre una infraestructura débil— es una revisión técnica real. Nuestra revisión gratuita de la web comprueba lo básico (HTTPS, cabeceras de seguridad, aviso legal) en 30 segundos, y la auditoría exprés de seguridad (690 €, precio cerrado) va más a fondo: vulnerabilidades, exposición de datos y configuración de correo.

Cómo lo resolvemos en un pack web

Nuestro pack de web profesional (desde 890 €) incluye el aviso legal y la política de privacidad adaptados a tu negocio real —no una plantilla genérica— y las medidas técnicas básicas (HTTPS, formularios con consentimiento correcto). Si además necesitas el registro de actividades o revisar tus contratos con proveedores, podemos ayudarte a montarlo; no es complicado, solo hay que sentarse una vez a documentarlo bien.

Si tienes dudas sobre si tu negocio está en orden, escríbenos por WhatsApp y te decimos, sin rodeos, qué de esta lista te falta y qué no es tan urgente como parece.

Este artículo es informativo y no constituye asesoramiento jurídico. La aplicación concreta del RGPD depende de tu actividad y del tratamiento de datos real que hagas; ante dudas, consulta con un asesor legal especializado.