Cursos · RGPD para pequeñas empresas (2026)
Lección 1 de 5
¿Cuándo me aplica el RGPD a mi empresa? Guía para pymes y autónomos (2026)
Tiempo de lectura: 9 minutos
Resumen rápido: El RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018) se aplican a cualquier empresa o autónomo que trate datos personales, sin distinguir por tamaño. En la práctica, a casi todos: si tienes empleados, clientes, proveedores autónomos, una web con formulario, cookies, cámaras o un CRM, ya tratas datos personales. Para tratarlos legalmente necesitas al menos una de las 6 bases legales del art. 6 RGPD. Las multas máximas las fija el art. 83 RGPD: hasta 10 millones de euros o el 2 % de la facturación anual mundial, o hasta 20 millones o el 4 %, según la infracción. En 2025 la AEPD recibió 30.931 reclamaciones (un 64 % más que el año anterior) e impuso multas por 48,1 millones de euros.
Bienvenido al curso
Si tu empresa tiene empleados, clientes, una web, cámaras o un CRM, el RGPD te aplica. Y es fácil que tengas alguna obligación básica pendiente.
En este curso veremos, en 5 lecciones:
- ¿Cuándo me aplica el RGPD? (esta lección).
- Los documentos obligatorios para una pyme.
- El Registro de Actividades de Tratamiento (RAT) paso a paso.
- Las cláusulas en la web, los formularios y los contratos.
- Brechas de seguridad: qué hacer en las 72 horas.
Qué son el RGPD y la LOPDGDD
Cuando se habla de "el RGPD" en realidad se habla de dos normas que se aplican juntas:
1. RGPD: Reglamento (UE) 2016/679
- Norma europea, aplicable desde el 25 de mayo de 2018 en toda la UE.
- Fija el marco general: principios, derechos, bases legales, obligaciones y multas.
- Sustituyó a la antigua Directiva 95/46/CE.
2. LOPDGDD: Ley Orgánica 3/2018, de 5 de diciembre
- Ley española que adapta y completa el RGPD.
- Añade los derechos digitales (por ejemplo, el derecho a la desconexión digital en el trabajo).
- Regula la AEPD, el procedimiento sancionador y la prescripción de las infracciones.
La AEPD: tu autoridad de control
La Agencia Española de Protección de Datos (AEPD) vigila el cumplimiento en España, tramita las reclamaciones y puede sancionar. Sus resoluciones se pueden recurrir ante la Audiencia Nacional.
Los 3 pilares
Lo que pide el RGPD se resume en tres ideas:
- Legalidad: solo tratas datos si tienes una base legal que lo justifique.
- Seguridad: proteges esos datos frente a accesos no autorizados, pérdidas o brechas.
- Transparencia: informas con claridad y atiendes los derechos de las personas (acceso, rectificación, supresión…).
¿A quién se aplica? A casi todos
El gran malentendido
"Soy una empresa pequeña, esto no va conmigo."
Es un error muy extendido. La normativa no distingue por tamaño, sino por actividad: si tratas datos personales, te aplica. Una empresa de 3 trabajadores y una multinacional están sujetas a las mismas normas, aunque las medidas concretas se ajustan al riesgo de cada tratamiento.
Qué es un "dato personal" (art. 4 RGPD)
La definición es deliberadamente amplia: toda información sobre una persona física identificada o identificable. Incluye:
- Datos identificativos: nombre, apellidos, NIF, dirección, teléfono, email.
- Identificadores en línea: dirección IP, cookies, identificadores de dispositivo.
- Datos de localización.
- Voz, imagen y vídeo (videovigilancia, grabaciones).
- Cualquier combinación de datos que permita identificar a alguien.
Ojo: los datos seudonimizados siguen siendo datos personales si se puede volver a identificar a la persona con medios razonables.
Si tienes alguna de estas cosas, ya tratas datos personales
- Empleados: nóminas, contratos, partes de baja, evaluaciones.
- Clientes: facturas con NIF, contratos, historial de compras.
- Proveedores autónomos: facturas con NIF, datos de contacto.
- Una web con formulario de contacto, newsletter o comentarios.
- Cookies de analítica o publicidad (Google Analytics, Meta Pixel…).
- Cámaras de videovigilancia en tu local.
- WhatsApp Business o redes sociales con datos de clientes.
- CRM, agenda o lista de contactos profesional.
- Email marketing.
Es decir: prácticamente toda empresa trata datos personales.
Las 6 bases legales del tratamiento (art. 6 RGPD)
Para tratar datos personales legalmente necesitas al menos una de estas 6 bases:
1. Consentimiento
La persona te da permiso. Para que sea válido debe ser:
- Libre: sin presiones ni condicionar otro servicio a que lo dé.
- Informado: sabe para qué lo da.
- Específico: uno por cada finalidad.
- Inequívoco: mediante una acción afirmativa clara (nada de casillas premarcadas).
- Revocable: se puede retirar en cualquier momento, tan fácilmente como se dio.
Casos típicos: newsletter, cookies de publicidad, fotos de clientes en tu web o redes.
2. Ejecución de un contrato
Tratas los datos porque hay un contrato (o pasos previos a firmarlo) con esa persona: un cliente, un proveedor autónomo, un empleado. No necesitas su consentimiento para los datos imprescindibles para cumplir el contrato.
3. Cumplimiento de una obligación legal
Hacienda te obliga a conservar las facturas con el NIF del cliente; la Seguridad Social, a comunicar altas y bajas. La obligación legal te legitima.
4. Intereses vitales
Solo para proteger la vida o la salud de una persona (emergencias). Poco habitual en una empresa privada.
5. Interés público o ejercicio de poderes públicos
Pensada sobre todo para las administraciones públicas. Una excepción práctica: la AEPD encaja aquí la videovigilancia con fines de seguridad que regula el art. 22 LOPDGDD.
6. Interés legítimo
La más delicada. Permite tratar datos si:
- tienes un interés legítimo propio (por ejemplo, prevenir el fraude o hacer marketing directo a tus clientes), y
- ese interés prevalece sobre los derechos de la persona, tras una ponderación documentada.
Si usas el interés legítimo, documenta la ponderación: por qué tu interés es legítimo, por qué pesa más que los derechos del afectado y qué medidas aplicas para protegerle. Y para enviar emails comerciales recuerda que, además, rige la LSSI (lo vemos en la lección 4).
Regla práctica para pymes
| Tratamiento | Base habitual |
|---|---|
| Empleados, clientes, proveedores | Contrato |
| Facturación, contabilidad, nóminas | Obligación legal |
| Newsletter, cookies de publicidad, fotos en la web | Consentimiento |
| Prevención del fraude | Interés legítimo |
Tienes que saber qué base aplica a cada tratamiento y dejarlo documentado.
Tipos de datos personales
Datos ordinarios
La mayoría: nombre, NIF, dirección, email, teléfono, IP, datos del contrato, datos económicos. Te sirve cualquiera de las bases del art. 6.
Categorías especiales de datos (art. 9 RGPD)
- Origen étnico o racial.
- Opiniones políticas.
- Convicciones religiosas o filosóficas.
- Afiliación sindical.
- Datos genéticos.
- Datos biométricos dirigidos a identificar de forma unívoca a una persona (huella, reconocimiento facial).
- Datos de salud.
- Vida sexual u orientación sexual.
Su tratamiento está prohibido salvo que concurra alguna de las excepciones del art. 9.2 RGPD, por ejemplo:
- Consentimiento explícito del interesado (no vale en todos los casos: en el trabajo, por ejemplo, casi nunca es libre).
- Obligaciones en el ámbito laboral y de la Seguridad Social.
- Proteger intereses vitales.
- Datos que el interesado ha hecho manifiestamente públicos.
- Reclamaciones judiciales.
- Asistencia sanitaria (diagnóstico, tratamiento).
- Investigación científica con garantías.
Si tu empresa trata datos especiales
Es el caso de clínicas, fisioterapeutas, ópticas, despachos de abogados, asesorías laborales (bajas médicas), centros educativos o cualquier empresa que gestione bajas de su plantilla. Las obligaciones se refuerzan:
- Evaluación de impacto (EIPD) previa cuando el tratamiento sea de alto riesgo, por ejemplo datos especiales a gran escala (art. 35.3 RGPD).
- Posible obligación de nombrar delegado de protección de datos (DPO), que vemos en la lección 2.
- Medidas de seguridad reforzadas (cifrado, control de accesos).
Las multas
Cuantías máximas (art. 83 RGPD)
| Tramo | Ejemplos | Máximo |
|---|---|---|
| Art. 83.4 | Registro de actividades, encargados, seguridad, brechas, DPO | 10 M € o 2 % de la facturación anual mundial (la cifra mayor) |
| Art. 83.5 | Principios, bases legales, consentimiento, derechos, transferencias internacionales | 20 M € o 4 % de la facturación anual mundial (la cifra mayor) |
La LOPDGDD (arts. 72 a 74) clasifica las infracciones en muy graves, graves y leves a efectos de prescripción (3, 2 y 1 año), pero no fija importes propios: la cuantía sale siempre del art. 83 RGPD. Los 40.000 € que a veces se citan no son un tope de multa: son uno de los umbrales para la prescripción de las sanciones (art. 78 LOPDGDD).
Cómo se gradúa la multa
La AEPD aplica los criterios del art. 83.2 RGPD y del art. 76 LOPDGDD:
- Naturaleza, gravedad y duración de la infracción.
- Intencionalidad o negligencia.
- Número de afectados y tipo de datos.
- Volumen de negocio.
- Medidas adoptadas para reducir el daño.
- Infracciones anteriores.
Multas a pymes
En la práctica, las multas a pymes quedan muy por debajo de esos máximos, pero una sola sanción puede suponer miles de euros. Además, las cookies y los emails comerciales se sancionan por la LSSI: hasta 30.000 € las infracciones leves y de 30.001 a 150.000 € las graves (art. 39 LSSI).
5 infracciones frecuentes en pymes
- Cookies sin consentimiento o con un banner de cookies que no cumple.
- Comunicaciones comerciales sin base legal (emails y llamadas no consentidos).
- Videovigilancia mal planteada: cámaras que graban la vía pública, sin cartel informativo o en zonas no permitidas.
- Brechas de seguridad mal gestionadas: no notificar a la AEPD en 72 horas cuando hay que hacerlo.
- Proveedores sin contrato de encargo que acceden a tus datos (asesoría, hosting, herramientas en la nube).
Datos oficiales de la AEPD (memoria de 2025)
- 30.931 reclamaciones en 2025, un 64 % más que el año anterior y la cifra más alta de su historia.
- 48,1 millones de euros en multas impuestas.
- La videovigilancia fue el área con más procedimientos sancionadores y de apercibimiento finalizados (81), por delante de los servicios de internet (77) y las brechas de datos personales (46).
El desconocimiento no te exime. El RGPD se basa en la responsabilidad proactiva: tienes que conocer la norma y poder demostrar que la cumples.
Resumen
- RGPD + LOPDGDD se aplican a casi toda empresa: no importa el tamaño, importa que trates datos.
- Si tienes empleados, clientes, web, cookies, cámaras o un CRM, tratas datos personales.
- 6 bases legales: una pyme usa sobre todo contrato, obligación legal y consentimiento.
- Datos especiales (salud, biometría…): prohibidos salvo excepción del art. 9.2 y con obligaciones reforzadas.
- Multas: hasta 10 M € o el 2 %, o hasta 20 M € o el 4 % (art. 83 RGPD). A una pyme, mucho menos, pero de miles de euros.
¿Quieres que lo llevemos nosotros?
En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA, el RGPD completo (auditoría y documentación) está incluido en los planes Plus:
- Plan Autónomos Plus, desde 44,95 €/mes + IVA: impuestos trimestrales, declaración de la renta, RGPD completo y consulta jurídica mensual, con asesor personal.
- Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades y cuentas anuales, más Renta, RGPD, canal de denuncias y consulta jurídica.
¿Quieres saber antes en qué punto estás? Haz gratis el Test RGPD. Más información en asesoraya.es/servicios o en el 91 000 47 83.
En la lección 2 vemos los documentos que necesita una pyme para poder demostrar que cumple.
Última actualización: octubre de 2026. Normativa: Reglamento (UE) 2016/679 (RGPD, arts. 4, 6, 9, 35 y 83), Ley Orgánica 3/2018 (LOPDGDD, arts. 22, 72 a 78) y Ley 34/2002 (LSSI, arts. 21, 22 y 39). Datos de 2025: nota de prensa de la AEPD de 6 de mayo de 2026. Información divulgativa: no sustituye al asesoramiento personalizado.