RGPD para PYMEs: qué es obligatorio hoy y cómo cumplirlo
El Reglamento General de Protección de Datos se aplica a cualquier empresa o autónomo que trate datos de clientes, empleados o proveedores. Sin letra pequeña: obligaciones, plazos y sanciones.
Última revisión:
Lo esencial, en 30 segundos
- Es obligatorio hoy: el RGPD y la ley española que lo complementa (LOPDGDD) están en vigor y los vigila la AEPD.
- Afecta a casi todos: si tienes clientes, empleados o una web con formulario, tratas datos personales.
- Si hay una brecha: 72 horas para avisar a la AEPD cuando haya riesgo para las personas.
- Las multas: hasta 10 M€ o el 2 % de la facturación, y hasta 20 M€ o el 4 % según la infracción.
Lo esencial
El Reglamento (UE) 2016/679 (RGPD) regula cómo se tratan los datos personales en toda la Unión Europea. En España se completa con la Ley Orgánica 3/2018 (LOPDGDD), y la autoridad que lo supervisa es la Agencia Española de Protección de Datos (AEPD). A diferencia de NIS2, no hace falta esperar a ninguna ley: es plenamente exigible.
Un dato personal es cualquier información sobre una persona identificada o identificable: nombre, DNI, correo, teléfono, dirección, cuenta bancaria, nóminas, imágenes de cámaras, currículums o incluso la dirección IP. Un tratamiento es cualquier cosa que hagas con ellos: recogerlos, guardarlos, consultarlos, enviarlos o borrarlos.
¿A quién aplica?
A toda empresa, autónomo u organización que trate datos personales de personas en la UE. No hay una exención general por tamaño. La única excepción parcial es la del registro de actividades para organizaciones de menos de 250 personas, que tiene condiciones y que, como verás más abajo, en la práctica casi nunca se cumple.
Clientes y proveedores
Datos de contacto, facturación y contratos.
Empleados y candidatos
Nóminas, contratos, bajas médicas y currículums.
Web y marketing
Formularios, cookies, boletines y redes sociales.
Los 7 principios del RGPD
Todo lo demás se deriva de ellos. Si los tienes presentes, casi siempre acertarás.
Licitud, lealtad y transparencia
Tratas datos con una base legal y explicas con claridad qué haces con ellos.
Limitación de la finalidad
Los recoges para algo concreto y no los usas para otra cosa incompatible.
Minimización
Pides solo los datos que necesitas. Si no hace falta el DNI, no lo pidas.
Exactitud
Los mantienes actualizados y corriges o borras los erróneos.
Limitación del plazo de conservación
No los guardas más tiempo del necesario, salvo plazos legales.
Integridad y confidencialidad
Los proteges con medidas de seguridad adecuadas frente a accesos no autorizados, pérdida o daño.
Responsabilidad proactiva
No basta con cumplir: tienes que poder demostrarlo con documentos y registros.
Las 10 obligaciones prácticas
Esto es lo que una pyme debe tener en marcha. Úsalo como lista de comprobación.
- 1
Registro de actividades de tratamiento (art. 30)
Un inventario de qué datos tratas, para qué, de quién, con quién los compartes, cuánto tiempo los guardas y con qué medidas de seguridad. Hay una excepción para organizaciones de menos de 250 personas, pero no vale si el tratamiento es habitual, entraña riesgo o incluye datos sensibles. Como casi cualquier empresa trata datos de clientes y empleados de forma habitual, en la práctica casi todas deben llevarlo.
- 2
Una base legal para cada tratamiento (art. 6)
Consentimiento, ejecución de un contrato, obligación legal, interés vital, interés público o interés legítimo. Debes saber cuál aplica en cada caso.
- 3
Informar a las personas (arts. 13 y 14)
Cláusulas informativas en formularios web, contratos, currículums y cámaras de videovigilancia, más una política de privacidad en tu web.
- 4
Contratos con los encargados de tratamiento (art. 28)
Cualquier proveedor que acceda a datos por tu cuenta, como la gestoría, la asesoría laboral, el hosting, el programa de gestión o el servicio de informática, necesita un contrato que fije qué puede hacer con ellos.
- 5
Atender los derechos de las personas (arts. 12 a 22)
Acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Debes responder, en general, en el plazo de un mes desde la solicitud, y tener un procedimiento para ello.
- 6
Medidas de seguridad adecuadas al riesgo (art. 32)
Medidas técnicas y organizativas que garanticen la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, la capacidad de restaurar los datos y una verificación periódica de que funcionan. Es el artículo donde la ciberseguridad se vuelve obligación legal.
- 7
Notificar las brechas de seguridad (arts. 33 y 34)
En 72 horas a la AEPD y, si el riesgo es alto, también a los afectados. Y documentar todas las brechas, también las que no se notifican.
- 8
Evaluación de impacto cuando el riesgo es alto (art. 35)
Antes de empezar tratamientos que puedan entrañar un alto riesgo para las personas, como la vigilancia sistemática a gran escala o el uso masivo de datos sensibles.
- 9
Delegado de protección de datos, en ciertos casos (art. 37 y art. 34 de la LOPDGDD)
No es obligatorio para todas las empresas. Lo es, entre otros, para colegios profesionales, centros docentes, entidades de crédito, aseguradoras, empresas de servicios de inversión, comercializadoras de electricidad y gas, centros sanitarios obligados a llevar historias clínicas, operadores de juego en línea y empresas de seguridad privada.
- 10
Cookies y comunicaciones comerciales (LSSI-CE)
Las cookies que no son técnicas, como las de analítica, requieren el consentimiento previo del usuario, y rechazarlas debe ser tan fácil como aceptarlas. Los correos comerciales requieren consentimiento. Así lo aplicamos en nuestra política de cookies.
Para empezar, el registro de actividades debe contener como mínimo: quién es el responsable, las finalidades, las categorías de personas y de datos, los destinatarios y las transferencias a terceros países y, cuando sea posible, los plazos previstos de supresión y una descripción de las medidas de seguridad.
Brechas de seguridad: 72 horas
Una brecha de datos personales es cualquier incidente que provoque la destrucción, pérdida, alteración o acceso no autorizado a datos personales: un ransomware, un portátil robado, un correo enviado a la persona equivocada o un empleado que accede a lo que no debe.
72 h
Aviso a la AEPD
Desde que tienes conocimiento de la brecha, salvo que sea improbable que suponga un riesgo para las personas. Si tardas más, hay que explicar el motivo.
Alto riesgo
Aviso a los afectados
Si la brecha puede suponer un alto riesgo para sus derechos y libertades, también hay que comunicárselo a ellos.
Siempre
Documentar
Hay que registrar los hechos, sus efectos y las medidas adoptadas en todas las brechas, también en las que no se notifican.
La notificación debe incluir como mínimo: la naturaleza de la brecha (con las categorías y el número aproximado de personas y de registros afectados), los datos de contacto de quien pueda ampliar la información, las consecuencias probables y las medidas adoptadas o propuestas.
Sanciones
El artículo 83 fija dos niveles de multas administrativas. En ambos se aplica la cifra más alta entre el importe y el porcentaje.
Hasta 10 M€ o el 2 %
Incumplir las obligaciones del responsable y del encargado: registro de actividades, medidas de seguridad, notificación de brechas, delegado de protección de datos, protección desde el diseño…
Hasta 20 M€ o el 4 %
Infringir los principios básicos del tratamiento, las bases de legitimación y el consentimiento, los derechos de las personas, las transferencias internacionales o no cumplir una orden de la autoridad de control.
Son importes máximos de facturación mundial anual. La autoridad gradúa cada sanción según la gravedad, la duración, la intención, las medidas adoptadas para paliar el daño y la cooperación con ella, entre otros factores.
La parte técnica y cómo te ayudamos
Una brecha de seguridad es una brecha de datos. El artículo 32 exige medidas de seguridad adecuadas al riesgo, y el artículo 33 te da 72 horas desde que descubres un incidente. Si lo descubres tarde, ya vas tarde. Estos son los controles que más se echan en falta cuando algo sale mal:
- Verificación en dos pasos en correo, nube y accesos remotos.
- Cifrado de portátiles, móviles y copias de seguridad.
- Copias fuera de la red, y probadas.
- Parches al día, sobre todo en lo expuesto a Internet.
- Permisos mínimos y revisión periódica de accesos.
- Monitorización para detectar accesos y salidas de datos anómalas.
- Formación frente a phishing y fraude.
- Un procedimiento escrito para actuar ante una brecha.
Con qué te ayuda SIMODEF
Auditoría
Mide la efectividad real de tus controles y te da un Índice de Resiliencia de 0 a 10, con un radar de puntos ciegos. Es la base para demostrar que aplicas medidas del artículo 32 y para ver cómo mejoras con el tiempo.
Agente SIMA
Plug & Play, con cortafuegos de aplicación y control de navegación. Reduce la superficie expuesta y protege tu red desde dentro.
SIMA.IA
Aprende el comportamiento normal de tu red y alerta, por ejemplo, si un dispositivo transfiere gigabytes de datos en horarios inusuales. Es justo la señal que más interesa detectar a tiempo en una brecha de datos.
SIMA-Central
SOC a demanda: analistas que revisan las alertas relevantes y a quienes puedes consultar para entender qué ha ocurrido. Así sabes antes si hay que activar el plazo de 72 horas.
Lo que no hacemos
SIMODEF no es un despacho jurídico. Las bases legales, las cláusulas, los contratos con encargados y la designación de un delegado de protección de datos conviene revisarlos con un asesor especializado. Nosotros cubrimos la parte técnica. Si quieres ver cómo se enlazan, lee cómo el ransomware ya roba los datos antes de cifrarlos.
Herramientas gratuitas de la AEPD
La propia agencia pone a disposición de las pymes recursos que facilitan el primer paso:
- Facilita_RGPD: para tratamientos de bajo riesgo. Ayuda a elaborar el registro de actividades, las cláusulas informativas, las cláusulas para encargados y las medidas de seguridad.
- Gestiona RGPD: para análisis de riesgos y evaluaciones de impacto, y para llevar el registro de actividades.
- Informa_RGPD: canal para resolver dudas sobre la aplicación del reglamento.
La AEPD advierte de que usar estos documentos no equivale a cumplir automáticamente el RGPD y la LOPDGDD: son un punto de partida.
Qué puede cambiar: el Ómnibus Digital
Es una propuesta, no una norma en vigor
La Comisión Europea ha propuesto reformar varias normas digitales, entre ellas el RGPD, en el llamado «Ómnibus Digital». Según los análisis consultados, entre los cambios más concretos están elevar el umbral para notificar brechas de «riesgo» a «alto riesgo», ampliar el plazo de 72 a 96 horas y crear un punto único de notificación para varios regímenes (RGPD, NIS2, DORA y otros).
Los análisis disponibles indican que, a mayo de 2026, la propuesta seguía en primera lectura parlamentaria y que el Comité Europeo de Protección de Datos y el Supervisor Europeo expresaron preocupaciones sobre algunos cambios. Mientras no se apruebe, rige el plazo actual de 72 horas. Comprueba el estado vigente antes de basarte en ello.
RGPD y NIS2
Protegen cosas distintas y un mismo incidente puede activar las dos. Si tu empresa podría entrar en el ámbito de NIS2, revisa la guía NIS2.
| NIS2 | RGPD | |
|---|---|---|
| Qué protege | La seguridad y continuidad de redes y servicios | Los datos personales de las personas |
| A quién aplica | Empresas de ciertos sectores y de tamaño mediano o grande (con excepciones) | Cualquier empresa, autónomo u organización que trate datos personales |
| Estado en España | Directiva europea pendiente de ley nacional | En vigor (RGPD y LOPDGDD) |
| Aviso de incidentes | Alerta en 24 h, notificación en 72 h e informe final en 1 mes | 72 h a la AEPD si hay riesgo, y aviso a los afectados si el riesgo es alto |
| Sanción máxima | Al menos 10 M€ o 2 % (esenciales) / 7 M€ o 1,4 % (importantes) | Hasta 10 M€ o 2 %, y hasta 20 M€ o 4 % según la infracción |
| Quién vigila | Autoridades previstas en la futura ley (Centro Nacional de Ciberseguridad y autoridades de control) | Agencia Española de Protección de Datos (AEPD) |
¿Qué tal está la seguridad de los datos de tu empresa?
Te hacemos una auditoría gratuita de la parte técnica y te decimos, sin tecnicismos, qué controles te faltan y por dónde empezar.
Preguntas frecuentes sobre el RGPD
Soy autónomo con pocos clientes, ¿me aplica el RGPD?+
Sí. Se aplica a cualquier persona o empresa que trate datos personales de clientes, empleados o proveedores en el marco de su actividad profesional, aunque sea una sola persona. Lo que cambia es el volumen de trabajo: la AEPD presume que los tratamientos de pymes, micropymes y profesionales suelen tener un riesgo bajo.
¿Necesito un delegado de protección de datos?+
Solo en los supuestos del artículo 37 del RGPD (autoridades públicas, seguimiento sistemático a gran escala o tratamiento a gran escala de datos sensibles) y en los que lista el artículo 34 de la LOPDGDD. La mayoría de las pymes no lo necesitan, pero sí deben saber quién se encarga del tema internamente.
He perdido un portátil con datos de clientes, ¿qué hago?+
Evalúa si hay riesgo para las personas: un disco cifrado y con contraseña reduce mucho ese riesgo. Si lo hay, tienes 72 horas desde que lo supiste para notificarlo a la AEPD, aunque no tengas toda la información. Y en cualquier caso, documenta lo ocurrido.
¿Qué pasa si tardo más de 72 horas en notificar?+
Puedes notificar más tarde, pero debes acompañar la notificación de los motivos del retraso. Por eso interesa detectar rápido: el plazo cuenta desde que tienes conocimiento de la brecha.
¿Cumplir el RGPD es lo mismo que tener buena ciberseguridad?+
No, pero van unidas. El RGPD exige además cuestiones legales (bases jurídicas, información, derechos, contratos) que ninguna herramienta técnica resuelve. A la vez, sin seguridad técnica no puedes cumplir el artículo 32.
¿Puede SIMODEF encargarse de mi cumplimiento del RGPD?+
Cubrimos la parte técnica: medir la seguridad de tus sistemas, detectar incidentes y ayudarte a interpretar lo ocurrido. La parte jurídica (cláusulas, bases legales, contratos, delegado de protección de datos) debe revisarla un asesor especializado en protección de datos.
¿Las herramientas gratuitas de la AEPD bastan?+
Son un buen punto de partida, sobre todo Facilita_RGPD para tratamientos de bajo riesgo. La propia AEPD advierte de que usar sus documentos no equivale a cumplir automáticamente el RGPD y la LOPDGDD: son una ayuda inicial para entender y abordar las obligaciones.
Sigue leyendo: guía NIS2, ciberseguridad para autónomos y nuestra política de privacidad.
Fuentes y normativa
- Reglamento (UE) 2016/679 (RGPD), texto oficial
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (BOE)
- AEPD: orientación a pequeñas y medianas empresas (PYMES) y herramienta Facilita_RGPD
- AEPD: Gestiona RGPD (análisis de riesgos y evaluaciones de impacto)
- PwC: «Digital Omnibus: estado de la tramitación y principales ajustes al marco digital europeo»
- PwC: «El Digital Omnibus y la transformación del RGPD»
Esta guía es divulgativa y no constituye asesoramiento jurídico. La normativa cambia con frecuencia: comprueba siempre el texto vigente en el BOE y en las fuentes oficiales, y consulta con un profesional del derecho para tu caso concreto.