Protección de datos para autónomos: las 7 obligaciones que sí te afectan

Protección de datos para autónomos: las 7 obligaciones que sí te afectan

Tengas un despacho, una tienda online o una consulta de fisioterapia, en cuanto guardas el nombre, el teléfono o el correo de un cliente ya estás tratando datos personales. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) se aplican igual a un autónomo que a una multinacional. Lo que cambia es la escala. No necesitas un departamento jurídico, pero sí tener estas siete cosas en orden.

1. Tener una razón legal para cada dato

Solo puedes tratar datos si tienes una base jurídica. Para un autónomo, casi siempre es una de estas:

• Ejecutar un contrato o un presupuesto: los datos que necesitas para prestar el servicio y facturar.
• Cumplir una obligación legal: conservar facturas, comunicar operaciones a Hacienda.
• Consentimiento: para lo que no es imprescindible, como enviar tu newsletter a alguien que no es cliente.

Pide solo los datos que necesitas. Si para un presupuesto no hace falta la fecha de nacimiento, no la pidas.

2. Informar de forma clara

Cuando recoges datos, tienes que explicar quién eres, para qué los usas, con qué base legal, a quién se los cedes, cuánto tiempo los guardas y cómo se ejercen los derechos (arts. 13 y 14 del RGPD). En la práctica: un texto breve en tus formularios web, en el presupuesto o en la hoja de alta del cliente, con un enlace a una política de privacidad más completa.

3. Llevar un registro de actividades de tratamiento

El artículo 30 del RGPD obliga a documentar qué tratamientos haces: clientes, proveedores, empleados, videovigilancia... Hay una excepción para las organizaciones de menos de 250 empleados, pero no se aplica si el tratamiento no es ocasional, si puede suponer un riesgo o si incluye datos especiales, como los de salud. El tratamiento de los datos de tus clientes es habitual por definición. Por eso lo prudente es tener el registro, aunque sea un documento sencillo.

4. Firmar un contrato con quien trata datos por ti

Tu gestoría, el proveedor de hosting, el programa de facturación en la nube, la herramienta de email marketing o el CRM acceden a datos de tus clientes en tu nombre. Son encargados del tratamiento, y el artículo 28 exige un contrato o acuerdo de encargo con unos contenidos mínimos. Los grandes proveedores ya lo incluyen en sus condiciones: búscalo y guárdalo. Con los proveedores pequeños, fírmalo.

5. Proteger los datos

El artículo 32 pide medidas adecuadas al riesgo. Para un autónomo, lo básico es:

• contraseñas robustas y doble factor en el correo y en las herramientas de trabajo;
• equipos actualizados y con el disco cifrado;
• copias de seguridad que puedas restaurar (el RGPD menciona expresamente la capacidad de recuperar los datos tras un incidente);
• no dejar papeles con datos de clientes a la vista y destruirlos de forma segura cuando ya no hagan falta.

6. Notificar las brechas en 72 horas

Si pierdes un portátil sin cifrar, envías un correo a todos los clientes con las direcciones visibles o sufres un ransomware, puede ser una brecha de seguridad. Si supone un riesgo para las personas, tienes que notificarla a la AEPD en un plazo de 72 horas desde que la conoces (art. 33). Si el riesgo es alto, también tienes que avisar a los afectados. La AEPD tiene una guía para gestionar y notificar brechas. Documenta cualquier incidente, incluso los que decidas no notificar.

7. Atender los derechos en un mes

Cualquier persona puede pedirte acceso a sus datos, que los corrijas, que los borres, que limites su uso, que se los entregues (portabilidad) o oponerse a un tratamiento. Tienes un mes para responder. Ese plazo se puede ampliar dos meses más en casos complejos, avisando a la persona (art. 12.3). Ten una dirección de correo para estas peticiones y responde siempre, aunque sea para explicar por qué no puedes borrar algo, como las facturas, que la ley te obliga a conservar.

Lo que probablemente no necesitas

• Delegado de protección de datos (DPD): solo es obligatorio en ciertos casos, como tratamientos a gran escala de datos sensibles, seguimiento sistemático o los sectores que enumera el art. 34 de la LOPDGDD. La mayoría de autónomos no lo necesitan. Algunos sectores sí deben revisarlo con cuidado, por ejemplo el sanitario, si trata muchos datos de pacientes.
• Evaluación de impacto: solo en tratamientos de alto riesgo.

Publicidad por correo: otra norma

Enviar publicidad por correo electrónico no depende solo del RGPD. La Ley 34/2002 (LSSI), art. 21 exige el consentimiento previo del destinatario. La excepción es tener una relación contractual previa con él y que le ofrezcas productos o servicios de tu empresa parecidos a los que contrató. Siempre tiene que haber una forma sencilla de darse de baja.

La herramienta gratuita de la AEPD

Facilita RGPD es una herramienta gratuita de la Agencia Española de Protección de Datos para empresas y profesionales con tratamientos de escaso riesgo (clientes, proveedores, personal). Contestas unas preguntas y te genera cláusulas informativas, cláusulas para contratos de encargado, el registro de actividades y un anexo de medidas de seguridad mínimas. La AEPD aclara que los datos que introduces no se guardan. Si tratas datos de salud o a gran escala, no puedes usarla y necesitarás un análisis de riesgos.

Qué hacer ahora

Haz el test de protección de datos de clientes para ver dónde estás flojo. Después pasa por Facilita RGPD y descarga tus documentos: tardarás menos de una hora. Por último, haz una lista de tus proveedores con acceso a datos y comprueba que tienes el contrato de encargo de cada uno.