RGPD para pymes: cinco pasos para empezar
Cumplir el RGPD no es solo una obligación legal: bien planteado, genera confianza y diferencia a la empresa. INCIBE lo presenta como una oportunidad de competitividad para las pymes y propone un camino por pasos. Esta guía lo resume; para decisiones concretas consulta con un asesor de protección de datos.
A quién se aplica
Al RGPD se someten las empresas, autónomos y entidades establecidos en la Unión Europea, las que monitorizan a personas de la UE y las que les ofrecen bienes o servicios. Las personas pueden presentar reclamaciones y las sanciones van desde advertencias hasta multas o la limitación o prohibición del tratamiento.
Los cinco pasos
- 1. Identifica el riesgo de tus tratamientos: si tratas datos especialmente protegidos, a gran escala o con un riesgo alto para las personas.
- 2. Garantiza los derechos de las personas: informa con claridad, obtén un consentimiento válido (el tácito no sirve), facilita el ejercicio de derechos y ten preparada la notificación de brechas.
- 3. Haz un análisis de riesgos para decidir las medidas técnicas y organizativas adecuadas.
- 4. Revisa los contratos con los encargados del tratamiento (proveedores que tratan datos por tu cuenta).
- 5. Verifica periódicamente que las medidas siguen siendo eficaces.
Qué obligaciones dependen del nivel de riesgo
- Riesgo alto: registro de actividades de tratamiento, delegado de protección de datos y evaluación de impacto.
- Todos los casos: adaptar procedimientos, revisar contratos, aplicar políticas de seguridad y formar al personal.
- Riesgo bajo: la Agencia Española de Protección de Datos ofrece la herramienta FACILITA como ayuda.
La parte tecnológica
INCIBE recomienda inventariar datos y dispositivos, aplicar el mínimo privilegio y una buena gestión de identidades, cifrar los datos, hacer copias de seguridad, usar antimalware y proteger las comunicaciones con cortafuegos y VPN. Son las mismas medidas básicas de ciberseguridad: proteger los datos personales y proteger el negocio coinciden en gran parte.
Brechas de seguridad
Si un incidente puede perjudicar a las personas afectadas, hay que comunicarlo a esas personas y, en general, notificar la brecha a la autoridad de control en un plazo de 72 horas desde que se tiene conocimiento. Ten un procedimiento escrito: quién decide, quién notifica y cómo.
¿Quieres comparar partners para tu proyecto?
Cuéntanos qué necesitas y te presentamos hasta tres especialistas con experiencia real en proyectos como el tuyo. Primera respuesta humana en menos de 24 h y sin coste para tu empresa.
Preguntas frecuentes
¿Necesito un delegado de protección de datos?
Solo en los supuestos que fija la norma (por ejemplo, tratamientos a gran escala de determinadas categorías de datos). Consulta con un asesor si es tu caso.
¿Qué relación tiene con la inteligencia artificial?
Si el sistema de IA trata datos personales, se aplican los mismos principios. Lo explicamos en el artículo sobre RGPD e inteligencia artificial.
¿Quién puede ayudarme a adaptarme?
Un asesor de protección de datos y un partner de ciberseguridad para las medidas técnicas. En la guía de ciberseguridad para empresas explicamos qué pedirle.
Fuentes y recursos oficiales
Este artículo está redactado con palabras propias a partir de la información pública de INCIBE (Instituto Nacional de Ciberseguridad). Consulta siempre la versión vigente en su web: