El RGPD para autónomos no es una versión rebajada del que cumplen las empresas. Si tratas datos de clientes, pacientes, alumnos o proveedores, las obligaciones de fondo son las mismas. Lo que cambia es la escala: menos tratamientos, menos personas con acceso y, por tanto, menos documentación. En esta guía te explicamos qué te exige la ley de verdad, qué mitos conviene olvidar y qué puedes resolver en una tarde con una checklist.
En este artículo vamos a tratar...
¿Se aplica el RGPD a los autónomos?
Sí. El Reglamento General de Protección de Datos se aplica a cualquier persona que trate datos personales en una actividad profesional. Solo queda fuera lo que haces en tu vida privada, es decir, las actividades «exclusivamente personales o domésticas». En cambio, tu agenda de clientes, tus facturas o los formularios de tu web sí entran.
Además, la Ley Orgánica 3/2018 (LOPDGDD) contiene una regla que afecta directamente a los autónomos. Según su artículo 19.2, se presume, salvo prueba en contrario, que tratar los datos de empresarios individuales y profesionales liberales se basa en el interés legítimo cuando se refieren a ellos «únicamente en dicha condición». Por ejemplo, guardar el teléfono profesional de otro autónomo que te presta servicios se presume lícito. Sin embargo, esa presunción no ampara usar sus datos para fines personales.
Las obligaciones de protección de datos para autónomos, una a una
1. Saber qué datos tratas: el registro de actividades
Aquí está el mito más extendido. Muchas guías dicen que el registro de actividades de tratamiento solo es obligatorio para empresas de más de 250 trabajadores. No es exacto. El artículo 30.5 del RGPD exime a quien tiene menos de 250 personas, salvo que el tratamiento pueda entrañar un riesgo, «no sea ocasional» o incluya categorías especiales de datos.
En la práctica, gestionar clientes no es algo ocasional: lo haces todos los días. Por eso, casi cualquier autónomo con actividad estable debería tener su registro. No hace falta que sea un documento complejo. Basta con una tabla que recoja qué datos tratas, para qué, de quién, cuánto tiempo los guardas y quién accede a ellos. Es la base del RGPD para autónomos: todo lo demás se apoya en ella.
2. Informar a quien te da sus datos
Cada vez que recoges datos tienes que explicar quién eres, para qué los usas y cómo puede ejercer sus derechos la persona afectada. Esto incluye el formulario de tu web, los presupuestos, las hojas de encargo y el pie de tus correos. Para la web, además, necesitas un aviso legal y una política de cookies acordes con la LSSI. Si tu página no los tiene al día, revisa nuestro servicio de adaptación de webs y apps a la normativa.
3. Tener una base jurídica para cada uso
Este es el punto del RGPD que más dudas genera entre los autónomos. El consentimiento no es la única base, y a menudo no es la adecuada. Para prestar un servicio a tu cliente te basta el contrato. Para facturar, la obligación legal. En cambio, para enviar publicidad por correo electrónico necesitas el consentimiento del destinatario o una relación contractual previa. Este último caso solo vale si ofreces productos o servicios similares a los que ya contrató, tal como exige el artículo 21 de la LSSI.
4. Firmar con quien accede a tus datos
Tu gestoría, tu proveedor de hosting, el programa de facturación o la nube donde guardas documentos tratan datos por cuenta tuya. Por lo tanto, son encargados del tratamiento y necesitas un contrato con cada uno. Para muchos autónomos, es la obligación del RGPD que más se olvida. Muchas plataformas lo incluyen en sus condiciones; aun así, conviene comprobarlo y guardarlo. Te contamos qué debe incluir en nuestra guía del contrato de encargado del tratamiento.
5. Proteger los dispositivos y la información
La seguridad es la obligación que más se nota cuando falla. Para un autónomo que aplica el RGPD, las medidas razonables suelen ser sencillas:
- Contraseñas robustas y doble factor en el correo y en la nube.
- Cifrado del portátil y bloqueo automático del móvil.
- Copias de seguridad periódicas y comprobadas.
- Separar las cuentas personales de las profesionales.
- Usar copia oculta en los envíos a varios destinatarios. Es un error sencillo que, de hecho, puede acabar en reclamación, como explicamos en enviar un e-mail sin copia oculta.
6. Conservar lo justo y bloquear después
No puedes guardar datos para siempre. Sin embargo, tampoco puedes borrarlo todo al terminar un encargo. La normativa fiscal permite a Hacienda revisar cuatro años, de modo que las facturas y sus justificantes deben conservarse al menos ese tiempo. Si eres empresario, el artículo 30 del Código de Comercio fija seis años para la documentación de tu negocio.
Una vez cumplida la finalidad, la LOPDGDD obliga a bloquear los datos: los apartas y solo los usas si un juez o una administración los pide. Después, los suprimes.
7. Atender los derechos de las personas
Un cliente puede pedirte acceso a sus datos, su rectificación o su supresión, entre otros derechos. Tienes un mes para responder, ampliable en casos complejos. Conviene tener preparado un modelo de respuesta y saber dónde está cada dato, porque eso convierte una petición incómoda en un trámite de diez minutos.
8. Saber qué hacer ante una brecha
Perder un portátil, enviar un documento al cliente equivocado o sufrir un ransomware son brechas de seguridad. Si suponen un riesgo para las personas afectadas, debes notificarlas a la AEPD en un máximo de 72 horas. Te lo explicamos paso a paso en cómo notificar una brecha a la AEPD en 72 horas.
¿Necesita un autónomo delegado de protección de datos?
En la mayoría de los casos, no: el RGPD no exige un delegado a los autónomos salvo en supuestos concretos. El delegado de protección de datos (DPO) solo es obligatorio en los supuestos del artículo 37 del RGPD y en la lista del artículo 34 de la LOPDGDD. Esa lista incluye, por ejemplo, los centros sanitarios obligados a llevar historias clínicas.
Sin embargo, la propia ley hace una excepción que muchos desconocen: no tienen que designar DPO «los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual». Un fisioterapeuta o un psicólogo sanitario que trabaja solo, por tanto, no necesita DPO.
En la misma línea, el considerando 91 del RGPD aclara que el tratamiento de datos de pacientes o clientes por «un solo médico, otro profesional de la salud o abogado» no es a gran escala, así que la evaluación de impacto no debe ser obligatoria.
Ahora bien, sigue tratando datos de salud, que son categoría especial. En consecuencia, necesita su registro de actividades, más medidas de seguridad y mucho cuidado con a quién comunica los informes. Puedes ampliar este punto en nuestro artículo sobre categorías especiales de datos.
Casos frecuentes: lo que cambia según tu actividad
- Tienda o local con cámaras: necesitas el cartel informativo y respetar los límites de grabación. Lo detallamos en cámaras en tu negocio.
- Formación o actividades con menores: cuando el tratamiento se basa en el consentimiento, por debajo de 14 años lo dan los padres o tutores. Además, las fotos de alumnos exigen un cuidado especial.
- Consultores, informáticos y diseñadores: cuando accedes a datos de tus clientes empresa, tú eres su encargado del tratamiento. Por eso cada vez más empresas te pedirán firmar un contrato y demostrar tus medidas de seguridad.
- Comunicaciones comerciales: si haces campañas por correo o mensajería, revisa la base jurídica y ofrece siempre una forma sencilla y gratuita de darse de baja.
Checklist RGPD para autónomos
Usa esta lista como punto de partida. Si puedes marcar todo, vas por buen camino; si no, ya sabes por dónde empezar.
- Tengo identificados los datos que trato, para qué y durante cuánto tiempo.
- Tengo un registro de actividades de tratamiento, aunque sea sencillo.
- Mi web tiene aviso legal, política de privacidad y política de cookies actualizados.
- Mis formularios, presupuestos y correos incluyen la información básica de protección de datos.
- Sé qué base jurídica uso para cada finalidad y no pido consentimientos innecesarios.
- Tengo contrato de encargado con gestoría, hosting, software y nube.
- Mis dispositivos están cifrados, con contraseñas robustas y doble factor.
- Hago copias de seguridad y he comprobado que se pueden restaurar.
- Sé cuánto tiempo conservo cada documento y cuándo lo bloqueo o lo borro.
- Tengo un modelo para responder a los derechos de las personas.
- Sé cómo actuar y a quién avisar si sufro una brecha.
- Si trato datos de salud, de menores o con cámaras, he revisado los requisitos específicos.
Errores habituales en la protección de datos para autónomos
- Copiar textos legales de otra web que no describen tu actividad real.
- Pensar que, por no tener empleados, no te afecta ninguna obligación.
- Pedir consentimiento para todo, incluso para lo que ya ampara el contrato.
- Usar el correo o la nube personal para documentos de clientes.
- No firmar contrato con la gestoría o con el proveedor de software.
- Guardar datos de antiguos clientes sin plazo ni motivo.
¿Qué pasa si un autónomo no cumple el RGPD?
La AEPD suele actuar a raíz de una reclamación: un cliente molesto, un correo con todos los destinatarios a la vista o una cámara mal orientada. A partir de ahí, puede imponer una multa o, en casos leves, sustituirla por un apercibimiento. El considerando 148 del RGPD prevé expresamente esta opción cuando la multa supondría «una carga desproporcionada para una persona física».
No obstante, el apercibimiento no sale gratis. Puede venir acompañado de una orden para corregir la situación en un plazo concreto. Además, si incumples esa orden, el siguiente paso sí puede ser una sanción económica. Por eso compensa adelantarse.
Herramientas gratuitas de la AEPD
La Agencia ofrece Facilita RGPD, un asistente que ayuda a elaborar el registro de actividades, las cláusulas informativas, los contratos con encargados y unas medidas de seguridad básicas. También existe Facilita Emprende para proyectos que usan tecnologías innovadoras. Son un buen punto de partida para aplicar el RGPD como autónomo, pero la propia AEPD advierte de que están pensadas para tratamientos de escaso riesgo y de que hay que revisar y adaptar el resultado. Por tanto, si tratas datos de salud, de menores o tecnología con IA, conviene una revisión profesional.
Preguntas frecuentes
¿Un autónomo sin empleados tiene que cumplir el RGPD?
Sí. La obligación depende de que trates datos personales en tu actividad profesional, no de que tengas plantilla.
¿Necesito registro de actividades si soy autónomo y solo tengo clientes?
Casi siempre sí. Para el RGPD, gestionar clientes es un tratamiento habitual, no ocasional, y la exención del artículo 30.5 del RGPD no se aplica en ese caso.
¿Cuánto tiempo debo guardar las facturas?
Al menos cuatro años por la normativa fiscal y, si eres empresario, seis años por el Código de Comercio. Después, bloquea los datos y elimínalos cuando ya no los necesites.
¿Puedo enviar publicidad por correo a mis clientes?
Solo si te lo han autorizado o si ya te contrataron y les ofreces servicios similares. En ambos casos debes facilitar una baja sencilla y gratuita.
Cómo te ayudamos en Auratech
En Auratech Legal revisamos el cumplimiento del RGPD de autónomos y pequeños despachos con un enfoque práctico: qué tienes, qué te falta y qué puedes resolver tú mismo. Preparamos el registro de actividades, los textos de tu web y los contratos con tus proveedores dentro de nuestro servicio de asesoría en protección de datos. Si trabajas con datos de salud, menores o IA, lo revisamos con especial detalle. Cuéntanos tu caso y te respondemos el mismo día laborable.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
