El RGPD no es un formulario que rellenas una vez y te olvidas. Es una forma de trabajar con los datos de tus clientes y empleados que tienes que sostener en el tiempo. La buena noticia para una empresa pequeña es que cumplir de verdad no exige un departamento jurídico entero: exige orden, unos cuantos documentos bien hechos y una parte técnica que casi nadie mira hasta que llega un incidente o una inspección.
En esta guía te explicamos cómo cumplir el RGPD en tu empresa centrándonos en lo que sí depende de ti: la web, los registros, los contratos con proveedores y la seguridad de los datos. No es asesoría jurídica —para eso está tu abogado o tu delegado de protección de datos—, es la hoja de ruta técnica y organizativa que evita que un fallo tonto acabe en sanción.
Qué te pide realmente el RGPD (en cristiano)
Quítate de la cabeza la idea de que el RGPD va de «no compartir datos». Va de algo más simple y más exigente: saber qué datos tienes, para qué los usas, dónde están y quién los toca. Si puedes responder a esas cuatro preguntas sobre cualquier dato personal que maneja tu empresa —el email de un cliente, la nómina de un empleado, el CV de un candidato—, estás en el buen camino. Si no puedes, ahí está tu problema.
El reglamento se apoya en unos principios que se traducen en obligaciones concretas y muy terrenales:
- Base legal para cada tratamiento. No recoges datos «por si acaso»: cada dato responde a un motivo (un contrato, un consentimiento, una obligación legal).
- Minimización. Pides solo lo que necesitas. Un formulario de contacto no necesita el DNI.
- Transparencia. La persona sabe qué haces con sus datos antes de dártelos.
- Derechos. Cualquiera puede pedirte acceso, rectificación o borrado, y tienes que poder atenderlo.
- Seguridad. Proteges los datos con medidas técnicas reales, no con buenas intenciones.
Lo importante: el cumplimiento se demuestra, no se declara. El principio de «responsabilidad proactiva» significa que la carga de probar que cumples recae en ti. Por eso la documentación y los registros no son burocracia; son tu defensa el día que alguien pregunta.
Tu web: textos legales, formularios y cookies
La web es donde más empresas pequeñas se juegan una denuncia, porque es lo único que cualquiera puede auditar desde fuera sin entrar en tu oficina. Aquí no hay margen para la improvisación y tres cosas tienen que estar impecables.
Textos legales que digan la verdad
Necesitas una política de privacidad, un aviso legal y, si tratas cookies, una política de cookies. El error habitual es copiar la de otra web: te queda un documento que menciona finalidades que no aplicas y omite las que sí. La política tiene que reflejar tu realidad —qué datos recoges de verdad, con qué herramientas (tu CRM, tu proveedor de email marketing, tu analítica) y durante cuánto tiempo los guardas—. Un texto genérico es peor que no tener nada, porque prueba que sabías que había que ponerlo y aun así no lo hiciste bien.
Formularios con consentimiento real
Cada formulario —contacto, newsletter, presupuesto— necesita informar de quién trata los datos y enlazar a la política de privacidad. Si el objetivo es enviar comunicaciones comerciales, hace falta una casilla de consentimiento sin marcar por defecto. Y ese consentimiento hay que poder demostrarlo: guarda cuándo y cómo se dio. Un formulario que no registra nada es una promesa que no puedes probar.
Cookies: bloquear antes de aceptar
El banner de cookies no es decorativo. Las cookies no esenciales —analítica, publicidad, píxeles de redes sociales— no pueden cargarse hasta que el usuario acepta, y rechazar tiene que ser tan fácil como aceptar. Muchos banners «de plantilla» enseñan el aviso pero cargan los scripts igualmente: eso es incumplir con cartel incluido. La configuración técnica del banner y del gestor de etiquetas es tan importante como el texto.
Registro de actividades y contratos de encargado de tratamiento
Aquí está la parte que casi ninguna empresa pequeña tiene hecha, y es de las primeras que se piden en una inspección. El registro de actividades de tratamiento (RAT) es el inventario de todo lo que haces con datos personales: cada actividad (gestión de clientes, nóminas, selección de personal, videovigilancia) con su finalidad, su base legal, las categorías de datos, los plazos de conservación y las medidas de seguridad.
No hace falta una herramienta cara: una hoja de cálculo bien estructurada y mantenida al día cumple. Lo que no cumple es no tenerlo o tenerlo desactualizado. El RAT es además el mejor mapa para todo lo demás: cuando lo rellenas en serio descubres tratamientos que no habías documentado y proveedores que tocan datos sin contrato.
Cada empresa a la que le das datos personales para que trabaje por ti es un encargado de tratamiento. Y con cada uno necesitas un contrato firmado. Sin excepciones.
El contrato de encargado de tratamiento es un documento del artículo 28 del RGPD que regula qué puede hacer ese proveedor con los datos. ¿Y quiénes son tus encargados? Más de los que crees:
- Tu gestoría o asesoría, que maneja nóminas y datos fiscales.
- El proveedor de tu email y tu CRM, donde viven los contactos de clientes.
- La plataforma de email marketing desde la que envías tu newsletter.
- El hosting donde se aloja tu web y sus formularios.
- Tu soporte informático externo, que accede a los equipos y los sistemas.
Muchos proveedores serios ya ofrecen su contrato de encargado listo para firmar (a veces lo llaman DPA). Tu trabajo es reunirlos todos y guardarlos. Y ojo con las transferencias internacionales: si tu herramienta almacena datos fuera del Espacio Económico Europeo, hay que verificar que existe una garantía válida. No es opcional.
Errores típicos que acaban en sanción
La mayoría de sanciones a pymes no vienen de casos rebuscados, sino de fallos repetidos que se podían haber evitado con un poco de orden. Estos son los que más se repiten:
- Cookies que cargan sin consentimiento. El clásico. Banner de adorno mientras la analítica y los píxeles ya están corriendo.
- No atender un derecho a tiempo. Alguien pide que borres sus datos, nadie lo gestiona, y ese silencio se convierte en denuncia.
- No notificar una brecha de seguridad. Ante un incidente que afecta a datos personales, hay un plazo de 72 horas para valorar y, si procede, notificar a la autoridad. Improvisar ese día sale caro.
- Enviar comunicaciones comerciales sin consentimiento o sin un enlace claro para darse de baja.
- Datos sin proteger. Contraseñas compartidas, portátiles sin cifrar, backups que nadie prueba, accesos de exempleados que siguen activos.
Fíjate en el patrón: casi todos son fallos técnicos y de organización, no de interpretación jurídica. Una brecha por un servidor sin actualizar, un backup que falló en silencio o un banner mal configurado no se arreglan con un buen abogado; se previenen con una infraestructura bien montada y vigilada. Ahí es donde la protección de datos deja de ser papeleo y se convierte en ciberseguridad aplicada.
Cómo te ayuda MagicBoxDesk
Seamos claros: MagicBoxDesk no es tu asesoría jurídica. No redactamos tu política de privacidad ni te decimos qué base legal aplica a cada tratamiento —eso es trabajo de tu abogado o de tu delegado de protección de datos—. Lo que hacemos es la mitad técnica y de seguridad del RGPD, que es la que suele quedar coja y la que, cuando falla, acaba en incidente.
Nos encargamos de que las medidas de seguridad que exige el reglamento existan de verdad y funcionen: control de accesos, cifrado, copias de seguridad probadas, actualizaciones al día, monitorización de tus sistemas y un plan de respuesta para el día que haya una brecha. Configuramos bien tu web y su banner de cookies, revisamos dónde y cómo se almacenan los datos que manejas y te ayudamos a mantener el orden técnico que sostiene todo lo demás. Como externalizamos tu departamento IT, esto no es un proyecto suelto: es soporte continuo en toda España, remoto y presencial cuando hace falta.
Cumplir el RGPD en tu empresa es sobre todo tener las cosas ordenadas y protegidas antes de que alguien pregunte. Nosotros ponemos la parte técnica para que tú te ocupes de tu negocio. Pide presupuesto sin compromiso y revisamos contigo qué necesitas de verdad para dormir tranquilo.
