Protección de datos en una pyme: lo básico según la AEPD

Lo que el RGPD obliga a hacer a cualquier pyme

Un formulario en la web, la lista de newsletter, la ficha de cada cliente en el CRM, las nóminas alojadas en la nube: en cuanto digitalizas el negocio, todos esos datos personales pasan a ser tu responsabilidad. El RGPD se aplica a cualquier empresa, incluida la de dos personas. En España lo desarrolla la LOPDGDD, la Ley Orgánica 3/2018, de 5 de diciembre, en vigor desde el 7 de diciembre de 2018. La AEPD parte de una premisa práctica: en pymes, micropymes y profesionales cabe presumir que muchos tratamientos presentan un escaso nivel de riesgo, y para ese supuesto ha preparado orientación y herramientas gratuitas específicas.

Sus FAQ resumen las medidas de responsabilidad activa exigibles: analizar la licitud de cada tratamiento, llevar el registro de actividades, hacer un análisis de riesgos y revisar la seguridad en función de él, cumplir el deber de información, atender los derechos de los clientes, valorar y contratar a los encargados del tratamiento, gestionar las brechas y designar delegado de protección de datos solo cuando sea obligatorio o cuando lo asumas de forma voluntaria. Las medidas se adaptan al enfoque de riesgo del RGPD: no son las mismas exigencias para un tratamiento de escaso riesgo, el que la AEPD presume habitual en una pyme, que para uno de riesgo elevado, que puede exigir una evaluación de impacto. La clave está en qué datos trates y con qué riesgos, no en una lista única e idéntica para todos.

Las herramientas gratuitas de la AEPD y la función de cada una

Facilita (FACILITA_RGPD) es el asistente pensado para tratamientos de escaso riesgo, el caso típico de una pyme o de un autónomo: genera el registro de actividades, las cláusulas informativas para los formularios, las cláusulas contractuales para encargados y la relación de medidas de seguridad que hay que adoptar. Facilita EMPRENDE aplica la misma lógica a emprendedores y startups cuyos tratamientos tienen un fuerte componente innovador con uso de nuevas tecnologías.

Un escalón más arriba está Gestiona RGPD: permite gestionar el registro completo de una entidad con hasta 500 tratamientos, incluso de varias entidades, incorpora el análisis de riesgos de Evalúa_Riesgo2, ayuda a valorar si necesitas una evaluación de impacto y a documentar idoneidad, necesidad y proporcionalidad, y cubre la gestión de brechas y las medidas organizativas. Para dudas concretas sobre la aplicación del RGPD, la AEPD mantiene el canal INFORMA_RGPD, además de guías sectoriales y una hoja de ruta para el sector privado.

Un ejemplo corriente con web, newsletter y CRM

Es la combinación más habitual en una pyme ya digitalizada, y sirve para verlo todo en miniatura. El formulario y el alta en la newsletter hacen doble trabajo: recoger el dato e informar. Comprueba que la cláusula diga quién eres, para qué usas el dato, cuánto tiempo lo guardas y cómo ejercer los derechos: sin esa información, la recogida no cumple el deber de información que el RGPD impone, y es una de las medidas de responsabilidad activa que la AEPD lista entre las exigibles. Facilita genera esas cláusulas para que las adaptes a tu caso.

Después, el proveedor del CRM o de la plataforma de email es un encargado del tratamiento: hace falta un contrato con el contenido que exige el RGPD, no basta con unas condiciones generales aceptadas al registrarse. El registro de actividades, por su parte, es un documento vivo: si cambias de herramienta, lo actualizas; no vale generarlo una vez y olvidarlo. Y la gestión de brechas es un procedimiento escrito: quién detecta, quién valora el riesgo y en qué plazos se notifica a la AEPD cuando corresponda. Todo eso puedes documentarlo con las herramientas gratuitas. Lo que no puedes es delegar en ellas la decisión.

La AEPD insiste en que la herramienta no exime de responsabilidad

Facilita y Facilita EMPRENDE son programas de ayuda. La documentación que generan hay que revisarla para adaptarla y actualizarla a la situación concreta de tus tratamientos, y obtenerla no implica el cumplimiento automático del RGPD. Con Gestiona RGPD la AEPD es aún más explícita: es el punto de partida para comenzar la gestión del riesgo, no la sustituye, y en ningún caso puede entenderse como forma de aplicar las medidas de seguridad del artículo 32 del RGPD, porque para eso hay que acudir a estándares de reconocido prestigio ya existentes en el mercado.

Traducción práctica: la herramienta organiza tu documentación. Las decisiones de seguridad técnica (copias de seguridad, cifrado, control de accesos) las sigues tomando tú con criterios del mercado. Y quien responde ante la AEPD sigue siendo el responsable del tratamiento, es decir, tu empresa.

Qué tiene que ver todo esto con el Kit Digital

Quien digitalizó con el bono en soluciones de ciberseguridad o de gestión de clientes se quedó con datos personales en herramientas nuevas. La obligación de protegerlos es del responsable, con independencia de quién pagó el software, y las herramientas de la AEPD son gratuitas de todos modos.

En cuanto al estado del programa, todas las convocatorias del Kit Digital están cerradas. Las dos últimas, la del Segmento III y la de comunidades de bienes, cerraron el 31 de octubre de 2025 a las 11:00, y a 21 de octubre de 2026 Acelera pyme indica que las convocatorias han finalizado. La Orden TDF/39/2026, publicada en el BOE el 28 de enero de 2026, mantiene las bases vigentes hasta agotar los fondos y obliga a Red.es a reinvertir los remanentes, pero no abre ninguna convocatoria. Y no existe anuncio oficial de un Kit Digital 2027: sin bases, importes, segmentos ni fechas. Los importes históricos del bono no se pueden trasladar a una ayuda futura, que tendría sus propias bases y su propia convocatoria. Vigila solo los canales oficiales: red.es, sede.red.gob.es y acelerapyme.gob.es; una web privada con kitdigital o 2027 en el dominio no es Red.es.

Cómo ordenar la protección de datos esta semana

Empieza por un inventario de las herramientas que tocan datos personales: web, CRM, email marketing, nóminas, videovigilancia si la hay. A continuación, genera el registro de actividades con Facilita y revísalo para que refleje tu situación real. Revisa también la cláusula informativa de cada formulario y firma un contrato de encargado con cada proveedor que acceda a esos datos.

Queda lo más incómodo: el papel. Escribe el procedimiento de brechas, con quién decide y en qué plazo, y prepara una plantilla para responder a los derechos de los clientes. Delegado de protección de datos y evaluación de impacto, solo si te obligan los supuestos del RGPD; ante la duda, pregunta a INFORMA_RGPD. Por último, marca una revisión cada 6 o 12 meses y siempre que cambies de herramienta.

Presupuesto: las herramientas de la AEPD son gratuitas, pero no todo lo demás lo es. Revisar la seguridad técnica con estándares de mercado, redactar o revisar contratos de encargado con ayuda profesional y el tiempo que dediques a la gestión pueden tener coste. Nada de esto garantiza el resultado de una inspección ni aleja una denuncia, pero sí responde a lo que el RGPD exige y te deja con la documentación lista para justificar tus decisiones si te la piden.