Protección de datos para autónomos: lo mínimo que tienes que tener

«Yo soy autónomo, esto de la protección de datos no va conmigo». Es una idea muy extendida y no es cierta. Si tienes clientes, proveedores o algún trabajador, tratas datos personales: nombres, teléfonos, correos, direcciones, cuentas bancarias, a veces incluso datos de salud. Y el RGPD se aplica a cualquiera que trate datos en el ejercicio de una actividad profesional, sea una multinacional o un negocio de una sola persona.

La buena noticia es que, para la mayoría de autónomos, cumplir no es complicado. Esto es lo mínimo que deberías tener.

¿De verdad me afecta?

El RGPD solo excluye los tratamientos que hace una persona física en el ejercicio de actividades exclusivamente personales o domésticas (artículo 2.2.c). La agenda de tus amigos no está afectada; la libreta con los teléfonos de tus clientes, sí. Da igual que los datos estén en papel, en el móvil o en un programa.

1. Saber qué datos tratas: el registro de actividades

Es el documento base: qué datos tienes (clientes, proveedores, empleados, candidatos, cámaras…), para qué los usas, a quién se los comunicas y cuánto tiempo los guardas (artículo 30 del RGPD). Aunque el RGPD prevé una excepción para organizaciones de menos de 250 personas, no aplica cuando el tratamiento no es ocasional, que es lo normal en cualquier negocio con clientes. En la práctica, conviene tenerlo siempre.

2. Informar a tus clientes

Las personas tienen derecho a saber quién trata sus datos, para qué, con qué base, a quién se comunican, cuánto tiempo se guardan y cómo ejercer sus derechos (artículo 13 del RGPD). Esto se resuelve con textos breves en:

• Presupuestos, contratos y hojas de encargo.
• Formularios de la web y de alta de clientes.
• Facturas o pie de los correos, remitiendo a una información más completa.
• Un cartel en el local si atiendes en persona o tienes cámaras.

3. Contratos con tus proveedores

Tu gestoría, el informático, el programa de facturación en la nube o la plataforma de reservas acceden a datos de tus clientes. Son encargados del tratamiento y necesitas un contrato con ellos (artículo 28 del RGPD). Muchos proveedores de software ya lo incluyen en sus condiciones: búscalo y guárdalo.

4. Proteger la información

El RGPD exige medidas de seguridad adecuadas al riesgo (artículo 32). Para un autónomo, lo razonable suele ser:

• Contraseñas robustas y distintas, y verificación en dos pasos en el correo.
• Bloqueo con contraseña o huella en el móvil y el portátil, y cifrado activado.
• Copias de seguridad periódicas, con alguna fuera del equipo.
• Sistema operativo y programas actualizados, y antivirus.
• Papeles con datos bajo llave y destruidos con trituradora cuando ya no se necesiten.
• Cuidado con el WhatsApp: no reenvíes datos de clientes a grupos ni los dejes en el móvil personal sin control.

5. Tu web

Si tienes página web, la LSSI te obliga a incluir un aviso legal con tus datos identificativos (artículo 10), una política de privacidad si recoges datos (por ejemplo, con un formulario de contacto) y una gestión de cookies que pida consentimiento antes de instalar las que no son necesarias (artículo 22.2). Es lo primero que ve cualquiera que mire tu cumplimiento, incluido un cliente molesto.

6. Publicidad: con permiso

Enviar publicidad por correo electrónico, SMS o mensajería requiere que la persona lo haya pedido o autorizado expresamente (artículo 21.1 de la LSSI). La excepción es el cliente con el que ya tienes una relación contractual, cuando le ofreces productos o servicios similares a los que contrató, siempre que le hayas dado la opción de oponerse al recoger sus datos y en cada envío (artículo 21.2). Comprar bases de datos para enviar publicidad es una fuente segura de problemas.

7. Si tienes empleados

• Infórmales de cómo tratas sus datos (nóminas, registro de jornada, cámaras si las hay).
• Pídeles un compromiso de confidencialidad: la LOPDGDD establece un deber de confidencialidad para todas las personas que intervienen en el tratamiento (artículo 5).
• Recuerda que el registro de jornada es obligatorio y se conserva cuatro años.

8. Atender derechos y brechas

Ten claro qué hacer si un cliente te pide sus datos o que los borres (tienes un mes para responder) y qué hacer si pierdes el móvil o envías un correo a quien no debías (en algunos casos hay 72 horas para notificarlo a la AEPD). Basta con un procedimiento sencillo y un registro.

¿Necesito delegado de protección de datos?

En general, no. Es obligatorio en supuestos concretos (artículo 37 del RGPD y artículo 34 de la LOPDGDD), como tratar datos sensibles a gran escala o determinadas actividades. Por ejemplo, la LOPDGDD lo exige a los centros sanitarios obligados a llevar historias clínicas, pero exceptúa a los profesionales sanitarios que ejercen a título individual. Si tienes dudas sobre tu caso, consulta nuestra página sobre el delegado de protección de datos.

Por dónde empezar

La AEPD ofrece una herramienta gratuita, Facilita RGPD, pensada para negocios con tratamientos de poco riesgo, que puede servirte de primera aproximación. Si quieres saber en qué punto estás, haz nuestro test de protección de datos. Y si tienes un negocio de cara al público, como en la hostelería, el comercio o una academia, revisa con especial atención las cámaras, la web y las comunicaciones con tus clientes. Puedes ver cómo lo hacemos en nuestro servicio de protección de datos.