# Protección de datos para autónomos: las 7 obligaciones que sí te afectan [Inicio](https://simplifico.es) › [Blog](https://simplifico.es/blog) › Protección de datos para autónomos: las 7 obligaciones que sí te afectan > Informar, registrar tratamientos, firmar con proveedores, proteger, notificar brechas en 72 horas y responder en un mes. Con la herramienta gratis de la AEPD. - URL: https://simplifico.es/blog/proteccion-datos-autonomos-obligaciones-rgpd-aepd - Publicado el 28 de octubre de 2026 (2026-10-28) - Autor: Equipo Simplifico - Editado por Simplifico (https://simplifico.es), portal para autónomos y pymes en España con sede en Bilbao - Categoría: Legal y Normativa - Etiquetas: protección de datos, RGPD, AEPD, clientes, autónomos --- Tengas un despacho, una tienda online o una consulta de fisioterapia, en cuanto guardas el nombre, el teléfono o el correo de un cliente ya estás tratando datos personales. El [Reglamento General de Protección de Datos (RGPD)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679) y la [Ley Orgánica 3/2018 (LOPDGDD)](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673) se aplican igual a un autónomo que a una multinacional. Lo que cambia es la escala. No necesitas un departamento jurídico, pero sí tener estas siete cosas en orden. ## 1. Tener una razón legal para cada dato Solo puedes tratar datos si tienes una **base jurídica**. Para un autónomo, casi siempre es una de estas: - **Ejecutar un contrato o un presupuesto**: los datos que necesitas para prestar el servicio y facturar. - **Cumplir una obligación legal**: conservar facturas, comunicar operaciones a Hacienda. - **Consentimiento**: para lo que no es imprescindible, como enviar tu newsletter a alguien que no es cliente. Pide solo los datos que necesitas. Si para un presupuesto no hace falta la fecha de nacimiento, no la pidas. ## 2. Informar de forma clara Cuando recoges datos, tienes que explicar quién eres, para qué los usas, con qué base legal, a quién se los cedes, cuánto tiempo los guardas y cómo se ejercen los derechos (arts. 13 y 14 del RGPD). En la práctica: un texto breve en tus formularios web, en el presupuesto o en la hoja de alta del cliente, con un enlace a una política de privacidad más completa. ## 3. Llevar un registro de actividades de tratamiento El artículo 30 del RGPD obliga a documentar qué tratamientos haces: clientes, proveedores, empleados, videovigilancia... Hay una excepción para las organizaciones de **menos de 250 empleados**, pero **no se aplica** si el tratamiento **no es ocasional**, si puede suponer un riesgo o si incluye datos especiales, como los de salud. El tratamiento de los datos de tus clientes es habitual por definición. Por eso lo prudente es tener el registro, aunque sea un documento sencillo. ## 4. Firmar un contrato con quien trata datos por ti Tu gestoría, el proveedor de hosting, el programa de facturación en la nube, la herramienta de email marketing o el CRM acceden a datos de tus clientes en tu nombre. Son **encargados del tratamiento**, y el artículo 28 exige un **contrato o acuerdo de encargo** con unos contenidos mínimos. Los grandes proveedores ya lo incluyen en sus condiciones: búscalo y guárdalo. Con los proveedores pequeños, fírmalo. ## 5. Proteger los datos El artículo 32 pide medidas **adecuadas al riesgo**. Para un autónomo, lo básico es: - contraseñas robustas y doble factor en el correo y en las herramientas de trabajo; - equipos actualizados y con el disco cifrado; - **copias de seguridad** que puedas restaurar (el RGPD menciona expresamente la capacidad de recuperar los datos tras un incidente); - no dejar papeles con datos de clientes a la vista y destruirlos de forma segura cuando ya no hagan falta. ## 6. Notificar las brechas en 72 horas Si pierdes un portátil sin cifrar, envías un correo a todos los clientes con las direcciones visibles o sufres un ransomware, puede ser una **brecha de seguridad**. Si supone un riesgo para las personas, tienes que **notificarla a la AEPD en un plazo de 72 horas** desde que la conoces (art. 33). Si el riesgo es alto, también tienes que avisar a los afectados. La AEPD tiene una [guía para gestionar y notificar brechas](https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-aepd-presenta-una-guia-para-gestionar-y-notificar-las). Documenta cualquier incidente, incluso los que decidas no notificar. ## 7. Atender los derechos en un mes Cualquier persona puede pedirte acceso a sus datos, que los corrijas, que los borres, que limites su uso, que se los entregues (portabilidad) o oponerse a un tratamiento. Tienes **un mes** para responder. Ese plazo se puede ampliar dos meses más en casos complejos, avisando a la persona (art. 12.3). Ten una dirección de correo para estas peticiones y responde siempre, aunque sea para explicar por qué no puedes borrar algo, como las facturas, que la ley te obliga a conservar. ## Lo que probablemente no necesitas - **Delegado de protección de datos (DPD)**: solo es obligatorio en ciertos casos, como tratamientos a gran escala de datos sensibles, seguimiento sistemático o los sectores que enumera el art. 34 de la LOPDGDD. La mayoría de autónomos no lo necesitan. Algunos sectores sí deben revisarlo con cuidado, por ejemplo el sanitario, si trata muchos datos de pacientes. - **Evaluación de impacto**: solo en tratamientos de alto riesgo. ## Publicidad por correo: otra norma Enviar publicidad por correo electrónico no depende solo del RGPD. La [Ley 34/2002 (LSSI), art. 21](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) exige el **consentimiento previo** del destinatario. La excepción es tener una relación contractual previa con él y que le ofrezcas productos o servicios de tu empresa parecidos a los que contrató. Siempre tiene que haber una forma sencilla de darse de baja. ## La herramienta gratuita de la AEPD [Facilita RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/facilita-rgpd) es una herramienta gratuita de la Agencia Española de Protección de Datos para empresas y profesionales con tratamientos de **escaso riesgo** (clientes, proveedores, personal). Contestas unas preguntas y te genera **cláusulas informativas**, **cláusulas para contratos de encargado**, el **registro de actividades** y un anexo de **medidas de seguridad mínimas**. La AEPD aclara que los datos que introduces no se guardan. Si tratas datos de salud o a gran escala, no puedes usarla y necesitarás un análisis de riesgos. ## Qué hacer ahora Haz el [test de protección de datos de clientes](https://simplifico.es/herramientas/test-datos-clientes) para ver dónde estás flojo. Después pasa por Facilita RGPD y descarga tus documentos: tardarás menos de una hora. Por último, haz una lista de tus proveedores con acceso a datos y comprueba que tienes el contrato de encargo de cada uno. ## Fuentes citadas - [Reglamento General de Protección de Datos (RGPD)](https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679) - [Ley Orgánica 3/2018 (LOPDGDD)](https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673) - [guía para gestionar y notificar brechas](https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-aepd-presenta-una-guia-para-gestionar-y-notificar-las) - [Ley 34/2002 (LSSI), art. 21](https://www.boe.es/buscar/act.php?id=BOE-A-2002-13758) - [Facilita RGPD](https://www.aepd.es/guias-y-herramientas/herramientas/facilita-rgpd) --- Información general de Simplifico (https://simplifico.es); no sustituye el asesoramiento profesional.