¿Tienes que pagar a una empresa para cumplir la protección de datos? No, y es más fácil de lo que parece

Es una de las preguntas que más nos hacen: «Me han llamado para adaptarme a la protección de datos, ¿es obligatorio contratarlo?». Muchos empresarios dan por hecho que sí, que hay que pagar cada año a una empresa para que «te lo revise» o te dé un certificado. No es así. La ley te obliga a cumplir, no a contratar a nadie. Y para la mayoría de pymes y autónomos, cumplir es bastante más sencillo de lo que parece.

Lo que no es obligatorio

• Contratar una consultora o una auditoría. Ni el Reglamento General de Protección de Datos (RGPD) ni la Ley Orgánica 3/2018 (LOPDGDD) lo exigen. Lo que exigen es que tu empresa cumpla y pueda demostrarlo. Puedes hacerlo tú, tu gestoría o un especialista: es decisión tuya.
• Inscribir ficheros en la Agencia. La inscripción de ficheros en la Agencia Española de Protección de Datos (AEPD) desapareció en mayo de 2018, cuando empezó a aplicarse el RGPD. Ahora llevas tú un registro interno.
• Tener un «certificado de protección de datos». Las certificaciones existen, pero son voluntarias.
• Nombrar un delegado de protección de datos, salvo que estés en los casos que te contamos más abajo.

La propia AEPD lo dejó claro en 2019, en un aviso a pymes y autónomos sobre los servicios de adaptación «a coste cero». Entre las prácticas de las que alertaba estaban «hacer creer a pymes y autónomos que están obligadas en cualquier caso a designar un delegado de protección de datos», suplantar a la Agencia o aparentar que se colabora con ella, presionar con amenazas de sanciones y vender documentos genéricos que dan una falsa apariencia de cumplimiento.

¿Y el delegado de protección de datos?

El delegado de protección de datos (DPD) solo es obligatorio en estos casos:

• Las autoridades y organismos públicos.
• Quien, como actividad principal, observa a personas de forma habitual, sistemática y a gran escala, o trata a gran escala datos especialmente protegidos, como los de salud.
• Y las entidades que enumera la ley española (artículo 34 de la LOPDGDD): colegios profesionales, centros educativos y universidades, bancos, aseguradoras y empresas de inversión, comercializadoras y distribuidoras de luz y gas, centros sanitarios (no los profesionales sanitarios que trabajan por su cuenta), empresas de publicidad que hacen perfiles, operadores de juego online, empresas de seguridad privada y federaciones deportivas que tratan datos de menores, entre otras.

Una tienda, un taller, una distribuidora, un despacho o una empresa de servicios normal no tiene que nombrar delegado. Puede hacerlo si quiere, pero no es una obligación.

Lo que la ley te pide de verdad

Para una pyme típica, que trata datos de clientes, proveedores y empleados, la lista es esta:

1. Saber qué datos tratas y para qué. Es el registro de actividades de tratamiento: clientes, proveedores, empleados, candidatos, cámaras, envíos comerciales… En teoría, las empresas de menos de 250 trabajadores pueden librarse, pero solo si el tratamiento es ocasional y de poco riesgo. Como los datos de clientes y empleados se tratan todos los días, en la práctica casi todas lo necesitan.
2. Informar a las personas. Una cláusula donde recoges los datos (el formulario de la web, el contrato, la ficha del cliente), que diga quién eres, para qué los usas, cuánto tiempo los guardas y cómo ejercer sus derechos. Puede ser breve, con un enlace a la información completa.
3. Tener una razón para tratarlos. El contrato con el cliente, una obligación legal (las facturas, las nóminas) o su consentimiento. Para los correos comerciales, consentimiento, salvo que ya sea cliente tuyo y le ofrezcas productos o servicios parecidos a los que te compró, con una forma fácil de darse de baja en cada envío.
4. Firmar un contrato con quien trata datos por ti. Tu gestoría, el proveedor de tu web, tu programa de gestión en la nube o la herramienta de email marketing son encargados del tratamiento, y la relación tiene que constar por escrito.
5. Proteger los datos con sentido común. Un usuario y una contraseña por persona, permisos según lo que necesita cada uno, copias de seguridad, ordenadores portátiles cifrados y nada de hojas de cálculo con datos de clientes en un USB.
6. Atender los derechos en un mes. Si alguien pide ver sus datos, corregirlos, borrarlos o dejar de recibir publicidad, tienes un mes para contestar.
7. Avisar si hay una brecha. Si pierdes datos, te roban un portátil o te entra un virus, y eso supone un riesgo para las personas, hay que notificarlo a la AEPD en un plazo de 72 horas.
8. La web en regla. Aviso legal, política de privacidad y un aviso de cookies que permita rechazarlas tan fácil como aceptarlas.
9. Las cámaras, con cartel. Si tienes videovigilancia, un cartel visible que diga quién es el responsable y cómo ejercer los derechos, y las imágenes se borran en un mes como máximo, salvo que hagan falta para demostrar un delito o un daño.

Cómo hacerlo tú, gratis

La AEPD tiene herramientas gratuitas pensadas justo para esto. La principal es Facilita RGPD, para empresas y profesionales que tratan datos de escaso riesgo, como los de clientes, proveedores o empleados. Respondes a tres pantallas de preguntas y te prepara:

• Las cláusulas informativas para tus formularios.
• Las cláusulas para los contratos con tus encargados.
• El registro de actividades de tratamiento.
• Un anexo con las medidas de seguridad mínimas orientativas.

Los datos que introduces se borran al terminar. Y la AEPD presume que los tratamientos de las pymes, micropymes y profesionales tienen, por la naturaleza de su actividad, un escaso nivel de riesgo.

Hay más herramientas en la sección de herramientas de la AEPD:

• Facilita EMPRENDE, para emprendedores y startups tecnológicas.
• Gestiona RGPD, para llevar el registro, analizar el riesgo y preparar una evaluación de impacto si hace falta.
• Evalúa-Riesgo RGPD, que te dice si necesitas esa evaluación de impacto.
• Asesora Brecha y Comunica-Brecha RGPD, para decidir si una brecha hay que notificarla a la AEPD o comunicarla a los afectados.

Para dudas, la AEPD atiende consultas en su canal INFORMA_RGPD.

Un aviso de la propia Agencia: sacar los documentos no es cumplir automáticamente. Hay que adaptarlos a lo que haces, ponerlos en práctica (la cláusula en el formulario, el contrato firmado, los permisos bien puestos) y revisarlos cuando cambie algo.

Cuándo sí compensa pagar a un experto

Contratar a un especialista no es obligatorio, pero en algunos casos merece la pena:

• Tratas datos de salud o de otras categorías especiales: una clínica, un fisioterapeuta, una residencia, un psicólogo.
• Tratas muchos datos o datos delicados: menores, perfiles para publicidad, geolocalización, una app con miles de usuarios.
• Estás en la lista del delegado obligatorio, que puede ser externo.
• Envías datos fuera de la Unión Europea con herramientas que no tienen sus servidores aquí.
• Ya has tenido una brecha o una reclamación, o te ha escrito la AEPD.

Si contratas, elige a quien estudie tu caso: qué datos tienes, dónde están y quién accede a ellos. Un paquete de documentos genéricos que te mandan sin hacerte preguntas es justo lo que la AEPD desaconseja.

Señales de alarma

• «Llamamos de parte de la Agencia» o «de la unidad de inspección». Suplantar a la AEPD o aparentar que se colabora con ella es una de las prácticas sobre las que alerta la propia Agencia.
• «Es obligatorio tener delegado» o «si no lo contrata hoy, le multan».
• «Le sale gratis», porque se paga con los créditos de formación de la empresa. La AEPD avisó de que esa práctica puede acabar en multas de la Inspección de Trabajo de 626 a 187.515 euros, y en problemas con Hacienda.
• Documentos sin preguntas. Si no saben qué datos tratas, no pueden decirte cómo protegerlos.

Las multas existen, y la AEPD sanciona también a pequeñas empresas: por enviar publicidad sin permiso, por cámaras mal puestas, por cookies o por no contestar a quien pide sus datos. Pero se evitan cumpliendo, no comprando un certificado.

Cómo te ayuda Koral Data

Una parte de la protección de datos es cómo guardas y usas los datos de tus clientes, y ahí el programa de gestión cuenta:

• Datos en España, dentro de la Unión Europea.
• Un usuario por persona, con roles y permisos: quien factura no tiene por qué ver las nóminas.
• Registro de cada cambio, con quién lo hizo y cuándo.
• Código por email al entrar desde un navegador nuevo, y app de autenticación si la quieres.
• Campañas de email con enlace de baja, y las direcciones que se quejan dejan de recibir campañas. Lo tienes en el CRM.
• Tus clientes corrigen sus datos desde el portal del cliente: email, teléfono y dirección.

Y las copias de seguridad, que también son parte de proteger los datos.

Normativa y fuentes

• Reglamento (UE) 2016/679, General de Protección de Datos: artículos 12 (plazo de un mes), 13 (información), 28 (encargados), 30 (registro de actividades), 33 (brechas, 72 horas) y 37 (delegado de protección de datos).
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales: artículos 11 (información por capas), 22 (videovigilancia), 31 (registro de actividades) y 34 (delegado obligatorio).
• Ley 34/2002, de servicios de la sociedad de la información: artículos 21 (correos comerciales) y 22 (cookies).
• AEPD: aviso sobre los servicios de adecuación «a coste cero» (julio de 2019).
• AEPD: orientación a pymes, Facilita RGPD y herramientas.