Guía operativa para empresas y autónomos: qué exige la ley, checklists por perfil, modelos de documentos listos para adaptar, procesos paso a paso y un diagnóstico que genera su informe de situación.
La normativa no distingue por tamaño ni facturación: se aplica a cualquier tratamiento de datos personales (nombre, teléfono, email, imagen, IP…) realizado en el marco de una actividad profesional.
Aunque actúe a título individual, si gestiona datos de clientes, proveedores o pacientes, la ley le aplica íntegramente.
Tratan datos de empleados, clientes y proveedores. Obligadas siempre; el tamaño solo modula algunas obligaciones (DPO, RAT).
Formularios, newsletters, cookies, tienda online o videovigilancia son tratamientos: exigen textos legales y consentimiento válido.
Tratan categorías especiales de datos (salud, etc.): obligaciones reforzadas y, en muchos casos, DPO obligatorio.
Estas son las exigencias del RGPD y la LOPDGDD que la AEPD verifica en una inspección. Cada una tiene su formato modelo en el Apartado 04.
Todo uso de datos necesita una legitimación: ejecución de contrato, obligación legal, consentimiento, interés legítimo, interés vital o misión pública. Sin base jurídica, el tratamiento es ilícito.
Debe informar a las personas de quién es el responsable, para qué usa sus datos, con qué base legal, a quién los cede, cuánto tiempo los conserva y cómo ejercer sus derechos. En formularios, contratos, web y carteles.
Debe ser libre, específico, informado e inequívoco: casillas sin premarcar, una casilla por finalidad, y tan fácil de retirar como de dar. Las cookies no esenciales exigen consentimiento granular (rechazar tan fácil como aceptar).
Inventario documentado de qué datos trata, con qué fin, base legal, destinatarios, plazos y medidas de seguridad. La exención para menos de 250 empleados casi nunca aplica en la práctica (basta que el tratamiento no sea ocasional, como clientes o nóminas).
Debe aplicar medidas técnicas y organizativas apropiadas al riesgo: contraseñas robustas, copias de seguridad, cifrado, control de accesos, armarios bajo llave, confidencialidad del personal.
Gestoría, programa de facturación, hosting, email marketing, nube, herramientas de IA… todo proveedor que accede a datos por su cuenta necesita un contrato de encargo con el contenido mínimo del art. 28.3.
Acceso, rectificación, supresión, oposición, limitación, portabilidad y no ser objeto de decisiones automatizadas. Plazo: 1 mes (ampliable 2 más en casos complejos, avisando). Gratuito.
Ante una violación de seguridad (robo de portátil, ransomware, email masivo con CCO expuesto…), debe evaluarla, registrarla y, si hay riesgo para las personas, notificar a la AEPD en 72 horas y comunicar a los afectados si el riesgo es alto.
Obligatorio para tratamientos a gran escala, categorías especiales de forma sistemática o actividades del art. 34 LOPDGDD (centros sanitarios, colegios, aseguradoras, publicidad con perfilados…). La designación se comunica a la AEPD en 10 días. No designarlo cuando es obligatorio es infracción grave.
Los tratamientos de alto riesgo exigen Evaluación de Impacto previa. La videovigilancia requiere cartel informativo y conservación máxima de 1 mes como regla general. La web necesita aviso legal (LSSI), política de privacidad y política de cookies.
Marque lo que ya tiene implantado. La barra de progreso le indica cuánto le falta. (El progreso se mantiene mientras la página esté abierta.)
Diez modelos base con los contenidos mínimos legales. Sustituya los campos entre [CORCHETES] por sus datos. Puede verlos en pantalla o descargarlos como archivo de texto.
Los cuatro flujos que debe tener por escrito. Despliegue cada uno para ver sus pasos y plazos.
Responda a las 14 preguntas y genere su informe: nivel de riesgo, incumplimientos detectados con su artículo de referencia y plan de acción priorizado. Puede imprimirlo o guardarlo en PDF.
Este informe es una autoevaluación orientativa basada en el RGPD y la LOPDGDD. No constituye asesoramiento jurídico ni sustituye a una auditoría profesional. Herramientas oficiales gratuitas de la AEPD: Facilita RGPD, Gestiona EIPD y Evalúa-Riesgo (aepd.es).
Para cada obligación, indique si la cumple y estime dos cosas: la probabilidad de que se materialice el problema (una reclamación, una inspección, una brecha) y el impacto que tendría en su negocio. La herramienta sitúa cada riesgo en una matriz 5×5 y genera su mapa de calor.
| Obligación / riesgo | ¿La cumple? | Probabilidad (1–5) | Impacto (1–5) | Nivel |
|---|
Matriz orientativa de autoevaluación. La probabilidad e impacto son estimaciones del propio responsable; no constituyen una valoración jurídica del riesgo sancionador. Metodología: matriz de riesgos 5×5 (probabilidad × impacto).