Cursos · RGPD para pequeñas empresas (2026)

Lección 2 de 5

Documentos obligatorios para cumplir el RGPD: la lista para pymes (2026)

Tiempo de lectura: 8 minutos

Resumen rápido: El principio de responsabilidad proactiva (art. 5.2 RGPD) obliga no solo a cumplir, sino a poder demostrarlo, y eso se hace con documentos. Una pyme habitual necesita 6 documentos: (1) Registro de Actividades de Tratamiento o RAT (art. 30 RGPD), (2) política de privacidad (arts. 13 y 14 RGPD), (3) aviso legal (art. 10 LSSI), (4) política de cookies y banner de consentimiento (art. 22.2 LSSI), (5) cláusulas informativas en formularios y contratos y (6) contratos de encargo con los proveedores que acceden a tus datos (art. 28.3 RGPD). Según tu actividad pueden hacer falta además una evaluación de impacto, un procedimiento de brechas de seguridad, la designación de un delegado de protección de datos (DPO) y un procedimiento para atender los derechos. Lo práctico es reunirlo todo en un dossier RGPD.

Por qué hacen falta documentos: la responsabilidad proactiva

El art. 5.2 del RGPD establece el principio de responsabilidad proactiva (en inglés, accountability):

"El responsable del tratamiento será responsable del cumplimiento [...] y capaz de demostrarlo."

Dicho de otro modo: no basta con cumplir, tienes que poder demostrar que cumples. Y eso se demuestra con documentos: políticas, registros, contratos y procedimientos.

Te toca a ti demostrarlo

Si llega una reclamación o un requerimiento de la AEPD, lo que te protege es poder enseñar el documento que acredita el cumplimiento. Sin documentación, aunque hayas hecho las cosas bien, te será muy difícil demostrarlo.

Los 6 documentos imprescindibles

1. Registro de Actividades de Tratamiento (RAT): art. 30 RGPD

Es el inventario interno de los tratamientos de datos de tu empresa. Para cada tratamiento (nóminas, facturación, marketing, videovigilancia…) recoge, entre otras cosas:

Finalidad.
Categorías de interesados (clientes, empleados, proveedores) y de datos.
Destinatarios (organismos, encargados de tratamiento).
Plazos de supresión.
Medidas de seguridad.
Y, aunque el art. 30 no lo exige, conviene añadir la base legal.

No se publica: es un documento interno, pero tienes que ponerlo a disposición de la AEPD si te lo pide (art. 30.4 RGPD). No tenerlo, estando obligado, es infracción grave (art. 73.n LOPDGDD).

La excepción para empresas de menos de 250 trabajadores casi nunca se aplica en la práctica: lo vemos en la lección 3.

2. Política de privacidad: arts. 13 y 14 RGPD

Es la información que das a las personas sobre cómo tratas sus datos. En la web, accesible desde todas las páginas (normalmente en el pie). Debe incluir:

Identidad y contacto del responsable (tu empresa) y, si lo tienes, del DPO.
Finalidades y base legal de cada una.
Destinatarios de los datos.
Plazos de conservación o los criterios para fijarlos.
Derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad) y cómo ejercerlos.
Derecho a retirar el consentimiento y a reclamar ante la AEPD.
Si existen transferencias internacionales o decisiones automatizadas.

Con lenguaje claro y sencillo: la letra pequeña no sirve.

3. Aviso legal: art. 10 LSSI

No es lo mismo que la política de privacidad. Lo exige la Ley 34/2002 de servicios de la sociedad de la información (LSSI) a cualquier web con actividad económica, aunque no venda en línea. Debe incluir:

Nombre o denominación social y NIF.
Domicilio (o el de un establecimiento permanente en España).
Email u otra vía de contacto directo.
Datos de inscripción en el Registro Mercantil u otro registro público, si estás inscrito.
Si tu profesión es colegiada: colegio, título y número de colegiado.
La autorización administrativa previa, si tu actividad la necesita.

4. Política de cookies y banner de consentimiento: art. 22.2 LSSI

Las cookies se rigen por el art. 22.2 LSSI (que traslada la Directiva europea de privacidad electrónica) y la AEPD explica cómo cumplirlo en su Guía sobre el uso de las cookies (versión actualizada en mayo de 2024). Es uno de los incumplimientos más frecuentes en webs de pymes.

Necesitas:

Un banner que aparezca al entrar con opciones reales y equivalentes: aceptar, rechazar y configurar.
No instalar cookies que no sean técnicas o necesarias hasta que el usuario acepte. Eso incluye las de analítica, como las de Google Analytics.
Una política de cookies que explique qué cookies usas, para qué, cuánto duran, quién las instala (propias o de terceros) y cómo aceptarlas, rechazarlas o retirar el consentimiento.

Lo que no vale

❌ Casillas premarcadas.
❌ "Si sigues navegando, aceptas".
❌ Un banner que solo permite aceptar.
❌ Que rechazar sea más difícil que aceptar (por ejemplo, aceptar en el primer nivel y rechazar escondido en la configuración).

Sanción: usar cookies sin informar o sin consentimiento es infracción leve de la LSSI, con multa de hasta 30.000 € (arts. 38.4.g y 39 LSSI). La reincidencia la convierte en grave (de 30.001 a 150.000 €).

5. Cláusulas informativas en formularios y contratos

Cada vez que recoges datos tienes que informar (arts. 13 y 14 RGPD). Necesitan cláusula:

El formulario de contacto de la web.
La newsletter (con una casilla de consentimiento aparte).
La compra en línea y las hojas de inscripción.
Los currículums que recibes.
Los contratos: laborales, de servicios, con proveedores y las fichas de alta de cliente.

Para newsletter o publicidad, además de la cláusula, una casilla separada, específica y sin marcar. Te damos los textos en la lección 4.

6. Contratos de encargo de tratamiento: art. 28.3 RGPD

Si un proveedor accede a datos personales de los que tú eres responsable para prestarte un servicio, es un encargado del tratamiento y tienes que firmar con él un contrato de encargo. Por ejemplo:

Asesoría fiscal y laboral (gestiona datos de tus empleados y clientes).
Hosting y servicios en la nube.
Software en la nube: CRM, email marketing, programa de facturación o de citas.
Gestoría de nóminas externa.
Mantenimiento informático, o limpieza y seguridad si tienen acceso a datos.
Mensajería y logística que recibe los datos de envío.

Lo que debe recoger (art. 28.3)

Objeto, duración, naturaleza y finalidad del tratamiento.
Tipo de datos y categorías de interesados.
Que el encargado solo trate los datos siguiendo tus instrucciones y con confidencialidad.
Medidas de seguridad y condiciones para subcontratar.
Ayuda al responsable (derechos, brechas, evaluaciones de impacto).
Devolución o destrucción de los datos al terminar.
Que el encargado te facilite la información necesaria y permita auditorías.

Sin contrato: encargar el tratamiento sin contrato escrito es infracción grave del responsable (art. 73.k LOPDGDD). El art. 28 RGPD impone obligaciones a los dos: al responsable (tú) y al encargado (el proveedor).

Muchas pymes llevan años con su asesoría o su proveedor de email sin haber firmado nunca este contrato. Los grandes proveedores en la nube suelen incluirlo en sus condiciones (como "anexo" o "acuerdo de tratamiento de datos"): guarda una copia.

Documentos según tu actividad

No los necesitan todas las empresas, pero sí muchas.

Evaluación de impacto (EIPD): art. 35 RGPD

Obligatoria antes de empezar un tratamiento que pueda suponer un alto riesgo. Por ejemplo:

Datos especiales (salud, biometría…) a gran escala.
Observación sistemática a gran escala de zonas de acceso público.
Perfiles o decisiones automatizadas con efectos jurídicos o significativos.
Los tratamientos que figuran en la lista publicada por la AEPD (por ejemplo, ciertos tratamientos de datos de personas vulnerables, como menores).

Es un análisis documentado de los riesgos y de las medidas para reducirlos.

Procedimiento de brechas de seguridad

Un protocolo con los pasos que seguir si hay un incidente:

Detectar, contener y anotar el incidente en el registro interno.
Evaluar el riesgo para las personas afectadas.
Notificar a la AEPD en 72 horas, salvo que sea improbable que la brecha suponga un riesgo.
Comunicarlo a los afectados si el riesgo es alto.
Documentar las medidas adoptadas.

Lo vemos a fondo en la lección 5.

Designación de delegado de protección de datos (DPO): art. 37 RGPD y art. 34 LOPDGDD

Es obligatorio si:

Tu actividad principal consiste en observar de forma habitual y sistemática a personas a gran escala (art. 37.1.b RGPD).
Tu actividad principal es tratar datos especiales o de condenas penales a gran escala (art. 37.1.c RGPD).
Eres una de las entidades del art. 34 LOPDGDD, entre ellas: colegios profesionales, centros docentes y universidades, entidades de crédito, aseguradoras y reaseguradoras, empresas de servicios de inversión, distribuidoras y comercializadoras de electricidad y gas, operadores de comunicaciones electrónicas que traten datos de forma habitual y sistemática a gran escala, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, empresas de publicidad y prospección comercial que elaboren perfiles, empresas de seguridad privada, operadores de juego en línea y centros sanitarios obligados a llevar historias clínicas (salvo los profesionales que ejercen a título individual).

Tener un canal de denuncias (obligatorio en el sector privado desde 50 trabajadores, Ley 2/2023) no obliga por sí solo a nombrar DPO: el articulado de esa ley no lo exige a las empresas privadas.

Si lo nombras, aunque sea de forma voluntaria, tienes que comunicarlo a la AEPD (o a la autoridad autonómica competente) en 10 días (art. 34.3 LOPDGDD).

Procedimiento para atender los derechos

Cómo respondes cuando alguien te pide:

Acceso a sus datos.
Rectificación de datos inexactos.
Supresión ("derecho al olvido").
Oposición a un tratamiento.
Limitación del tratamiento.
Portabilidad de sus datos en un formato reutilizable.
No ser objeto de decisiones automatizadas.

Plazo: 1 mes desde que recibes la solicitud, prorrogable otros 2 meses si es compleja o recibes muchas, avisando al interesado dentro del primer mes (art. 12.3 RGPD).

Cómo organizarlo: el dossier RGPD

Reúne todo en un dossier RGPD, digital o en papel, que puedas enseñar si te lo piden:

Datos del responsable (empresa, NIF, contacto).
RAT completo y actualizado.
Textos de la web: política de privacidad, aviso legal y política de cookies.
Cláusulas y formularios que usas.
Contratos de encargo firmados con cada proveedor.
Prueba de los consentimientos (si los usas).
Evaluaciones de impacto (si las tienes).
Procedimiento de brechas y registro de incidentes.
Designación del DPO y comunicación a la AEPD (si procede).
Procedimiento de derechos y registro de solicitudes recibidas.

Revísalo al menos una vez al año y siempre que cambies de proveedor, de software o de forma de trabajar.

Resumen

Responsabilidad proactiva: tienes que poder demostrar que cumples.
6 documentos: RAT, política de privacidad, aviso legal, cookies y banner, cláusulas y contratos de encargo.
Según tu actividad: evaluación de impacto, procedimiento de brechas, DPO y procedimiento de derechos.
Dossier RGPD: todo junto, accesible y revisado cada año.
Fallos muy frecuentes en pymes: cookies mal configuradas y contratos de encargo sin firmar.

¿Quieres que lo llevemos nosotros?

En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA, el RGPD completo (auditoría y documentación) está incluido en los planes Plus:

Plan Autónomos Plus, desde 44,95 €/mes + IVA: impuestos trimestrales, declaración de la renta, RGPD completo y consulta jurídica mensual, con asesor personal.
Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades y cuentas anuales, más Renta, RGPD, canal de denuncias y consulta jurídica.

¿Quieres saber qué documentos te faltan? Haz gratis el Test RGPD. Más información en asesoraya.es/servicios o en el 91 000 47 83.

En la lección 3 hacemos el Registro de Actividades de Tratamiento paso a paso.

Última actualización: octubre de 2026. Normativa: Reglamento (UE) 2016/679 (RGPD, arts. 5.2, 12, 13, 14, 28, 30, 35 y 37), Ley Orgánica 3/2018 (LOPDGDD, arts. 34 y 73), Ley 34/2002 (LSSI, arts. 10, 22, 38 y 39), Ley 2/2023 y Guía sobre el uso de las cookies de la AEPD (actualizada en mayo de 2024). Información divulgativa: no sustituye al asesoramiento personalizado.