Protección de datos para autónomos: obligaciones básicas del RGPD

Si eres autónomo y guardas el nombre, el teléfono, el correo o la dirección de tus clientes, estás tratando datos personales y te afecta la normativa de protección de datos: el Reglamento General de Protección de Datos (RGPD) y la ley orgánica española que lo complementa. Las obligaciones básicas son informar a las personas de cómo usas sus datos, usarlos solo para fines legítimos, protegerlos, atender sus derechos y, cuando otro trata datos por ti, firmar un contrato con él. Lo que sigue es una orientación general; para adaptarlo a tu negocio, consulta con un profesional especializado.

Qué datos tratas sin darte cuenta

Muchos autónomos piensan que la protección de datos es cosa de grandes empresas. Pero en un negocio pequeño hay datos personales en muchos sitios:

• La agenda del móvil con los contactos de clientes.
• Conversaciones de WhatsApp y correos.
• Presupuestos y facturas con nombre, NIF y dirección.
• La hoja de cálculo o el CRM de clientes.
• Fichas de pacientes, alumnos o socios.
• Datos de empleados: nóminas, contratos, bajas.
• Imágenes de cámaras de videovigilancia.
• Formularios de contacto de tu web.

Algunos datos merecen una protección especial, como los de salud. Si tu actividad los maneja, por ejemplo en una consulta de fisioterapia o un centro de estética, las exigencias son mayores.

Las obligaciones básicas, explicadas en sencillo

Tener un motivo legítimo

Solo puedes tratar datos cuando tienes una base que lo permita: la ejecución de un contrato con el cliente, una obligación legal (como conservar facturas), el consentimiento de la persona o un interés legítimo, entre otras. Por ejemplo, guardar los datos de un cliente para hacerle la factura tiene base en el contrato y en la obligación legal; enviarle publicidad requiere, en general, otra base y cumplir también las normas sobre comunicaciones comerciales.

Informar

Las personas tienen derecho a saber quién trata sus datos, para qué, durante cuánto tiempo y cómo ejercer sus derechos. Se suele hacer con un texto informativo en formularios, presupuestos, la web o un cartel en el local.

Usar solo lo necesario

Pide los datos que realmente necesitas para el servicio y no más. Si para un presupuesto basta con nombre, teléfono y dirección de la obra, no pidas la fecha de nacimiento.

Proteger los datos

Aplica medidas de seguridad proporcionadas: contraseñas robustas, bloqueo del móvil y del ordenador, copias de seguridad, acceso restringido a quien lo necesite, papeles guardados bajo llave. Tienes ideas prácticas en copias de seguridad para pymes.

Registrar lo que haces

En muchos casos es necesario o muy recomendable documentar qué tratamientos realizas: qué datos, para qué, cuánto tiempo, quién accede. Un especialista te dirá si estás obligado a llevar un registro formal de actividades de tratamiento.

Firmar contratos con quien trata datos por ti

Si tu gestoría, tu proveedor de software, tu servicio de atención telefónica o una empresa de mantenimiento informático acceden a datos de tus clientes o empleados, actúan como encargados del tratamiento y hace falta un contrato que regule ese acceso.

Atender los derechos

Las personas pueden pedirte acceso a sus datos, rectificarlos, suprimirlos, oponerse a ciertos usos y otros derechos. Debes responder en el plazo que fija el reglamento, que con carácter general es de un mes.

Actuar ante un incidente

Si pierdes un móvil con datos de clientes o alguien accede sin permiso a tu correo, puede tratarse de una brecha de seguridad. En determinados casos hay que comunicarla a la autoridad de control en un plazo breve. Si te ocurre, consulta de inmediato con un especialista.

Situaciones del día a día

Situación	Qué conviene cuidar
Grupo de WhatsApp con clientes	Los participantes ven los números de los demás; mejor listas de difusión o mensajes individuales
Correo a varios clientes	Usar copia oculta para no mostrar las direcciones
Fotos de trabajos en redes sociales	Evitar que aparezcan personas, matrículas o direcciones sin permiso
Cámaras en el local	Cartel informativo y uso limitado a la seguridad
Ordenador compartido en casa	Usuario propio con contraseña para el trabajo
Facturas en papel en la furgoneta	Guardarlas y digitalizarlas cuanto antes

Lista de revisión para tu negocio

1. Haz un inventario de dónde guardas datos personales.
2. Revisa los textos informativos de tu web, formularios y presupuestos.
3. Comprueba que tienes contratos con los proveedores que acceden a datos.
4. Aplica medidas básicas de seguridad en móvil, ordenador y papel.
5. Define cuánto tiempo conservas cada tipo de dato y elimina lo que sobra.
6. Prepara una forma sencilla de responder si alguien ejerce sus derechos.
7. Consulta con un especialista las dudas sobre tu caso concreto.

Si delegas tareas administrativas

Cuando alguien externo atiende tus llamadas, gestiona tu correo o prepara tus facturas, accede a datos de tus clientes. Es normal y está permitido, siempre que haya un contrato de encargado del tratamiento y medidas adecuadas. Pregunta por ello a cualquier servicio de externalización administrativa que contrates. Lo mismo aplica a herramientas como un CRM o un programa de facturación en la nube.

Preguntas frecuentes

¿La protección de datos afecta a un autónomo sin empleados?

Sí, en cuanto trata datos de personas físicas, como clientes particulares. Las obligaciones se adaptan al tamaño y al riesgo, pero existen.

¿Necesito un delegado de protección de datos?

Solo en determinados supuestos que fija la normativa, por ejemplo por el tipo o volumen de datos tratados. La mayoría de autónomos no lo necesitan, pero confírmalo con un especialista.

¿Puedo enviar ofertas a mis clientes por WhatsApp o correo?

Las comunicaciones comerciales tienen reglas propias, y en muchos casos requieren consentimiento previo o una relación comercial anterior con condiciones. Consulta antes de lanzar campañas.