RGPD autónomos y freelance: guía 2026

En una frase. Los autónomos y freelance españoles están plenamente sometidos al RGPD desde la primera factura emitida a una persona física, con sanciones reales (no apercibimiento) habituales entre 1.000 EUR y 30.000 EUR cuando tratan datos sin las garantías mínimas.

Puntos clave

• Autónomo = profesional persona física. Aplica RGPD completo sin excepciones.
• 67% de expedientes AEPD afectan a pymes o autónomos (datos 2025).
• Sanciones típicas a autónomos: 1.000-30.000 EUR según gravedad.
• Reducción del 40% por procedimiento abreviado disponible.
• Cumplimiento básico en 10 horas con plantillas.

1. Régimen aplicable a autónomos

El RGPD no distingue por forma jurídica. Todo profesional que trate datos personales (clientes, proveedores, contactos) está sujeto. Particularidades del autónomo:

• Responsable del tratamiento es el propio profesional.
• Sin régimen de apercibimiento (solo administraciones lo tienen).
• Sanciones reales con misma escala que empresas: hasta 20 M EUR.
• Procedimiento abreviado disponible con reducción 40%.

2. Tipos de datos tratados por autónomos

Tipo	Quién	Base jurídica
Datos cliente persona física	Abogado, asesor, fisio	Contrato
Empleados (si los tiene)	Cualquier autónomo	Contrato laboral
Proveedores persona física	Todos	Contrato
Contactos comerciales	Comercial, agente	Interés legítimo
Categoría especial (salud)	Profesionales sanitarios	Art. 9.2.h RGPD

3. Sanciones AEPD a autónomos relevantes

Casos típicos sancionados:

• Abogado: 6.000 EUR por no responder derechos ARCO.
• Fisioterapeuta: 8.000 EUR por base de pacientes en Excel sin seguridad.
• Asesor fiscal: 12.000 EUR por brecha sin notificar.
• Agente inmobiliario: 15.000 EUR por cesión de datos.
• Fotógrafo: 5.000 EUR por publicar fotos clientes sin consentimiento.
• Consultor: 20.000 EUR por marketing con base comprada.

4. Obligaciones básicas (resumen)

1. Registro de actividades simplificado.
2. Política de privacidad si tiene web.
3. Cláusula de tratamiento en presupuestos y contratos.
4. Contrato art. 28 con asesoría y proveedores TIC.
5. Procedimiento para responder a derechos ARCO.
6. Protocolo de brechas preformateado.
7. Información clara a clientes y empleados.

5. Registro de actividades simplificado

El registro de actividades puede ser una tabla Excel con:

• Tratamiento: facturación clientes, marketing, gestión laboral si hay empleados.
• Finalidad.
• Categorías de datos.
• Base jurídica.
• Plazo conservación.
• Destinatarios.

Una hoja para todo el negocio suele bastar.

6. Política de privacidad para autónomos

Si tiene web, blog o landing page, necesita política conforme al art. 13 RGPD. Si solo opera por boca-oreja y email, basta con cláusula al final de presupuestos y contratos. Plantilla disponible.

7. Email marketing y prospección

Tres reglas clave:

• Email a contacto profesional B2B (persona física): permitido bajo interés legítimo con identificación clara y opción de baja.
• Email a particular: requiere consentimiento previo (LSSI-CE art. 21) salvo cliente con producto similar.
• Compra de bases de datos: prácticamente siempre infracción.

8. Whatsapp y comunicación con clientes

WhatsApp para comunicación operativa con cliente que lo ha proporcionado: permitido bajo ejecución del contrato. Restricciones:

• No mandar mensajes comerciales sin consentimiento específico.
• No crear grupos con varios clientes (visibilidad de números).
• Política de retención de mensajes y archivos.

9. CCTV en consulta o despacho

Si el autónomo tiene local con CCTV (comercio, consulta o un negocio de hostelería o restauración):

• Cartel informativo modelo AEPD.
• Conservación máxima 30 días.
• No grabar zonas íntimas ni a empleados sin información laboral.

10. Profesionales sanitarios autónomos

Médicos, dentistas, fisioterapeutas, psicólogos tratan datos de salud (categoría especial). Obligaciones reforzadas:

• DPO recomendado si tratamiento masivo.
• Acceso controlado a historiales.
• Conservación según normativa sanitaria.
• EIPD obligatoria si tratamiento masivo o IA.

11. Profesionales de IT y tratamiento de datos clientes

Desarrolladores, consultores IT, freelances digitales suelen ser encargados del tratamiento (art. 28 RGPD) cuando tratan datos del cliente. Necesitan:

• Contrato art. 28 firmado con cada cliente.
• Inventario de datos tratados por cliente.
• Medidas técnicas adecuadas al volumen.
• Política de no usar datos del cliente para fines propios.

12. Brechas de seguridad

Si el autónomo sufre ransomware, robo de portátil con datos o phishing exitoso, debe:

• Evaluar el riesgo (qué datos, cuántas personas, sensibilidad).
• Notificar AEPD en 72h si riesgo.
• Comunicar a afectados si alto riesgo.
• Documentar internamente.

13. Herramientas gratuitas de la AEPD

Un autónomo con tratamientos de bajo riesgo no necesita contratar una consultora para empezar. La AEPD ofrece herramientas gratuitas pensadas para pymes y profesionales: Facilita RGPD, que genera cláusulas informativas, un registro de actividades básico y un modelo de medidas de seguridad tras responder un breve cuestionario; y Gestiona EIPD, para valorar si una actividad requiere evaluación de impacto. Estas herramientas cubren el escenario típico del freelance —clientes, proveedores, algún empleado— y son el punto de partida más eficiente antes de plantearse soluciones de pago.

El marco de fondo es el Reglamento (UE) 2016/679, aplicable sin excepción por tamaño, complementado por la LOPDGDD (Ley Orgánica 3/2018). La idea clave: no existe un “RGPD para pequeños”; existe un principio de proporcionalidad que ajusta las medidas al riesgo real, no a la facturación.

14. Los tres errores que más cuestan a un autónomo

Del patrón sancionador del sector se extraen tres fallos recurrentes, todos evitables sin coste:

1. No responder a un ejercicio de derechos. Un cliente pide acceso o supresión y el autónomo no contesta en plazo. Es la infracción más fácil de probar por el reclamante y la que motivó, por ejemplo, sanciones a profesionales por ignorar solicitudes ARCO.
2. Base de datos sin seguridad mínima. Un Excel de pacientes o clientes en un portátil sin cifrar ni copia de seguridad. Basta un robo o un extravío para convertir un descuido en una brecha notificable.
3. Marketing sobre listas de origen dudoso. Comprar o reutilizar bases sin consentimiento verificable. La LSSI-CE exige consentimiento previo para el email comercial a particulares.

Prevenirlos cuesta horas, no dinero: un procedimiento escrito de respuesta a derechos, cifrado del disco y una política de captación limpia neutralizan la mayor parte del riesgo.

15. Externalización del cumplimiento

Opciones:

• DIY: 10-15 horas con plantillas. Coste 0.
• Asesor laboral o fiscal con servicio RGPD: 300-800 EUR/año.
• Consultora RGPD especializada: 1.000-3.000 EUR implantación + 500-1.500 EUR/año.
• Plataforma SaaS tipo Legiscope: precio mensual reducido para autónomos.

FAQ

¿Un autónomo puede recibir sanción AEPD real?

Sí. No hay régimen de apercibimiento para autónomos (solo para administraciones públicas). Sanciones típicas: 1.000-30.000 EUR.

¿Necesito DPO siendo autónomo?

No, salvo que su actividad principal sea tratamiento masivo de datos personales o categorías especiales (médico con clínica grande, por ejemplo).

¿Puedo guardar datos de clientes en una hoja Excel?

Sí, pero con medidas mínimas: contraseña, copia de seguridad, acceso restringido. Mejor usar herramienta CRM con cifrado.

¿Mi asesoría me cubre el RGPD?

Solo si tiene servicio específico de protección de datos. La asesoría o gestoría tradicional gestiona laboral, fiscal y contable, no RGPD salvo paquete adicional. Conviene además firmar con ella un contrato de encargado del tratamiento, porque accede a datos de tus empleados y clientes.

¿Un cliente puede denunciarme ante la AEPD?

Sí. Cualquier interesado puede presentar una reclamación gratuita ante la AEPD si considera vulnerados sus derechos. La Agencia inicia una fase de admisión y, si aprecia indicios, abre expediente. La mayoría de las sanciones a autónomos nacen de una reclamación individual, no de una inspección de oficio, por lo que atender bien cada solicitud es la primera línea de defensa.