Un profesional autónomo que decide para qué utiliza datos personales debe cumplir el Reglamento General de Protección de Datos, aunque trabaje solo. La obligación depende del tratamiento, no de tener una sociedad mercantil, un número mínimo de clientes o una facturación concreta. Un diseñador que conserva datos de clientes, una fisioterapeuta que mantiene historias clínicas y un consultor que accede a una base por encargo realizan actividades distintas y necesitan decisiones distintas. La AEPD ofrece una orientación específica para pymes y profesionales; el RGPD y la LOPDGDD fijan las reglas aplicables en España.
Esta guía propone revisar una actividad real de principio a fin: qué datos entran, con qué finalidad, bajo qué base, quién tiene acceso, cuánto tiempo permanecen y cómo se atienden las solicitudes. No existe una tarifa de sanción “para freelance” ni un cumplimiento garantizado en diez horas. Las medidas deben responder al riesgo y a las obligaciones efectivamente aplicables. La guía para pymes sirve como contexto, pero un autónomo puede empezar con sus propios procesos y proveedores.
Distingue cuándo eres responsable y cuándo encargado
Si decides ofrecer un servicio, facturar al cliente y conservar sus datos de contacto para prestar ese servicio, normalmente actúas como responsable de ese tratamiento. Si una empresa te contrata para mantener su aplicación y tratas datos de sus usuarios solo siguiendo sus instrucciones, puedes actuar como encargado respecto a esos datos. Una misma persona puede desempeñar ambos papeles según la operación. No basta con que el contrato te denomine “encargado”: importa quién decide finalidades y medios esenciales.
Haz un mapa sencillo por actividades. Para tu facturación, anota los datos y obligaciones que gestionas como responsable. Para un proyecto de desarrollo, identifica los sistemas del cliente a los que accedes, las instrucciones permitidas, las personas autorizadas y cómo devuelves o eliminas los datos al acabar. Cuando seas encargado, revisa un contrato u otro acto vinculante conforme al artículo 28 antes de acceder al entorno. Si recurres a otro proveedor para cumplir el encargo, examina las reglas de subcontratación. La guía para asesorías y gestorías muestra por qué el papel de un proveedor depende del servicio concreto, no de su profesión.
No presupongas que cualquier contacto comercial es “cliente” a efectos de la base contractual. El artículo 6.1.b del RGPD exige que el tratamiento sea necesario para ejecutar un contrato con la propia persona interesada o para aplicar medidas precontractuales solicitadas por ella. Una persona de contacto de una empresa cliente puede requerir otra base para el uso de sus datos profesionales. En salud o datos similares hay que identificar, además, una condición válida del artículo 9. El ejemplo sectorial inmobiliario ayuda a separar clientes, potenciales clientes y terceros cuyos datos aparecen en un expediente.
Prepara una ficha por actividad antes de redactar avisos
Una ficha útil para un autónomo puede incluir finalidad, personas afectadas, categorías de datos, base jurídica, destinatarios, proveedores, transferencias, plazo o criterio de conservación, medidas de seguridad y responsable de la revisión. No es necesario transformar la ficha en una base de datos de todos los clientes. Lo que importa es poder explicar el flujo y mantener la información cuando cambie el servicio. Si atiendes consultas y emites facturas, probablemente son dos actividades con necesidades de conservación y acceso diferentes.
El artículo 30(5) contempla una excepción al deber de registro para organizaciones con menos de 250 empleados, pero deja de operar cuando el tratamiento pueda entrañar riesgo para derechos y libertades, no sea ocasional, incluya categorías especiales del artículo 9 o datos del artículo 10. No basta con afirmar “soy autónomo, luego no llevo registro”. La atención habitual a clientes y la facturación son actividades no ocasionales. Comprueba el caso y, en la práctica, una tabla breve suele facilitar la gestión aunque debas razonar una excepción concreta. La guía del registro de actividades ayuda a distinguir campos obligatorios de detalles útiles para gestionar el negocio.
Una ficha no demuestra que el tratamiento sea lícito si los datos o finalidades reales difieren. Mira los formularios, correos, hojas compartidas, aplicaciones y copias de seguridad. Comprueba si pides documentos de identidad para una tarea que no los requiere o si envías datos de todos los clientes a una herramienta de análisis innecesaria. Añade el cambio propuesto y quién lo realizará. Una revisión pequeña pero basada en el trabajo real resulta más valiosa que una carpeta de plantillas que nadie actualiza.
Informa en el momento adecuado y por el canal que uses
Los artículos 13 y 14 del RGPD exigen información según si obtienes los datos directamente de la persona o de otra fuente. La obligación no depende de tener una web. Si recoges datos en un formulario, correo, cita presencial o presupuesto, debes proporcionar la información pertinente de forma clara y accesible en ese contexto. Una política de privacidad en la web puede ser útil para los formularios de la web, pero no sustituye automáticamente la información sobre una historia clínica o un proceso de selección. La plantilla de política de privacidad es un punto de partida para adaptar, no un texto universal.
Indica quién es responsable y cómo contactar, finalidades y bases, destinatarios o sus categorías, transferencias cuando existan, plazos o criterios de conservación y derechos. Revisa el artículo aplicable para el contenido completo. Si una gestoría, proveedor de correo o plataforma de reservas accede a los datos, identifica su papel antes de presentar a todos como simples “terceros”. Si utilizas servicios fuera del Espacio Económico Europeo o con acceso desde fuera, analiza la transferencia en lugar de dar por supuesto que el domicilio español del proveedor la descarta.
Para una consulta recibida por teléfono, puedes facilitar un aviso breve en el momento de la recogida y una vía accesible al texto completo cuando proceda. Para una reserva por web, enlaza la información junto al formulario. La prueba no consiste únicamente en guardar el PDF: conserva la versión y comprueba que el procedimiento diario la entrega donde corresponde. Si una finalidad nueva aparece más tarde, revisa información y base antes de reutilizar los datos.
Trata el marketing como dos análisis conectados
Enviar publicidad por correo electrónico en España exige revisar tanto el RGPD como el artículo 21 de la LSSI-CE consolidada en el BOE. La base jurídica del tratamiento de datos personales no sustituye las condiciones de la LSSI para el envío del mensaje. Por eso no es correcto afirmar que cualquier correo a una dirección profesional B2B está permitido solo por invocar interés legítimo. Examina destinatario, finalidad, origen del contacto, contenido y norma de comunicaciones comerciales aplicable.
El artículo 21 prohíbe en general los correos comerciales no solicitados o no autorizados previamente, con una excepción para una relación contractual previa: datos obtenidos lícitamente y comunicaciones sobre productos o servicios de la propia empresa similares a los inicialmente contratados, además de la posibilidad de oposición en los términos de la ley. Un contacto comprado o extraído de una web no encaja por el mero hecho de trabajar en una empresa. La guía de la LSSI-CE detalla ese requisito. Mantén listas de baja operativas y registra el origen de los contactos.
Distingue también comunicaciones de servicio y comerciales. Confirmar una cita o enviar una factura no equivale a enviar una promoción. Mezclar ambas cosas en un mismo mensaje puede cambiar su calificación. Si utilizas WhatsApp, una aplicación de mensajería o redes sociales, decide la finalidad y evita incluir a clientes en un grupo que revele sus números o consultas a otras personas sin una razón válida. Una herramienta cómoda no crea por sí sola una base jurídica ni resuelve la confidencialidad.
Selecciona proveedores y medidas de seguridad proporcionadas
Haz una lista de servicios que ven datos: correo, nube, videollamadas, facturación, gestoría, mantenimiento informático y copias de seguridad. Para cada uno, identifica si es encargado, responsable independiente o ambas cosas para actividades diferentes. Si actúa como encargado, el artículo 28 requiere contrato u otro acto jurídico con contenido específico. Comprueba instrucciones, medidas, subencargados, ayuda con derechos y brechas, y devolución o supresión al terminar. No firmes un anexo genérico sin verificar dónde están los datos y quién administra el acceso.
El artículo 32 exige seguridad adecuada al riesgo. Un autónomo que lleva contactos de clientes puede necesitar cuentas individuales, autenticación robusta, actualizaciones, copias recuperables y control de compartición. Un profesional sanitario debe valorar además la especial sensibilidad y continuidad de los historiales. No existe una configuración técnica universal que baste para ambos. Una hoja de cálculo puede ser legítima si el tratamiento y las medidas se ajustan al riesgo; una contraseña aislada no demuestra por sí sola que la información clínica esté protegida. Revisa dispositivos, acceso de colaboradores, archivos enviados por correo y borrado de copias al terminar la relación.
Si prestas servicios digitales a un cliente, acuerda quién recibe alertas de incidentes y cómo se informa al responsable sin dilación indebida. No esperes a confirmar la causa completa para avisar de un acceso indebido a datos del cliente. Si el incidente afecta también a tus propios datos de facturación, evalúalo en tu papel de responsable. Un inventario por cliente y credenciales separadas pueden evitar que un incidente de un encargo se extienda a los demás.
Atiende derechos y documenta las decisiones
Una solicitud de acceso, rectificación, supresión u oposición puede llegar a la cuenta habitual de correo o durante una cita. Prepara una forma de identificarla, verificar la identidad de manera proporcionada y buscar datos en los sistemas pertinentes. El plazo general de respuesta del artículo 12 es un mes, con las condiciones de prórroga previstas en el RGPD para solicitudes complejas o numerosas. Si no atiendes una solicitud, el artículo 12(4) exige informar sin dilación y, como máximo, en un mes, de los motivos y de la posibilidad de reclamar ante una autoridad y acudir a los tribunales. Ignorarla no es una respuesta. La guía de los derechos RGPD permite distinguir cada solicitud antes de preparar el expediente.
No prometas borrar toda factura si una obligación fiscal exige conservarla. Decide qué dato y finalidad se pueden suprimir y qué excepción se aplica, informa a la persona y limita el acceso al dato retenido. Mantén una nota de recepción, búsqueda, decisión, comunicación y ejecución. Si un encargado conserva copias, coordina la instrucción y confirma el resultado. El objetivo es que otra persona pueda reconstruir la respuesta sin depender de la memoria del profesional.
Si ocurre una brecha, distingue el hecho de seguridad de la obligación de notificar. El artículo 33 exige avisar a la autoridad competente sin dilación indebida y, de ser posible, en 72 horas desde que el responsable tiene conocimiento, salvo que sea improbable que exista riesgo para derechos y libertades. El artículo 34 añade comunicación a personas cuando sea probable un riesgo alto, salvo sus excepciones. Documenta también brechas no notificadas. El procedimiento de brechas ofrece una estructura operativa que hay que ajustar al servicio y a los proveedores reales. La pérdida de un portátil cifrado con claves seguras no tiene necesariamente el mismo riesgo que una base clínica publicada; no hay notificación automática por el nombre del incidente.
Revisa condiciones especiales antes de copiar una plantilla
La videovigilancia de un local requiere determinar finalidad, proporcionalidad, zonas grabadas, información visible y acceso. El artículo 22 de la LOPDGDD establece con carácter general la supresión de imágenes en un máximo de un mes desde la captación, con la excepción prevista para acreditar actos contra personas, bienes o instalaciones y su comunicación a la autoridad competente. No es una orden de borrar siempre al día treinta ni permiso para conservar todo durante un mes. La guía del sector hostelero puede ayudar a situar cámaras y datos de reservas según el negocio.
Los datos de salud necesitan una base del artículo 6 y una condición del artículo 9, además de las reglas sanitarias aplicables de conservación y secreto. Una evaluación de impacto se exige cuando el tratamiento sea probablemente de alto riesgo; no toda consulta individual activa automáticamente una EIPD, ni toda actividad sanitaria queda exenta. La guía de evaluación de impacto ayuda a analizar escala, tecnología, personas vulnerables y efectos. La designación de delegado de protección de datos se decide según los artículos 37 a 39 y los supuestos adicionales de la LOPDGDD, no por una regla simplista de “clínica grande”.
Utiliza la ayuda pública con límites claros
La herramienta Facilita RGPD de la AEPD está orientada a tratamientos habituales de bajo riesgo en empresas y profesionales. Puede ayudar a generar documentos iniciales y valorar si ese perfil encaja, pero la AEPD advierte que los resultados deben adaptarse al tratamiento real. Si los datos, volumen o riesgos son diferentes, realiza el análisis correspondiente. No presentes una salida automática como una revisión personalizada de la autoridad. Una asesoría o consultoría puede aportar capacidad, pero el responsable sigue siendo quien decide y debe comprobar el trabajo recibido.
El primer paso útil es elegir dos procesos reales, por ejemplo facturación y atención a clientes. Recorre datos, finalidad, base, información, proveedor, seguridad, conservación y derechos. Corrige las diferencias observables antes de añadir más formularios. Repite cuando cambies de aplicación, empieces a usar datos de salud, contrates personal o abras un nuevo canal comercial. Esta secuencia produce un expediente manejable y, sobre todo, evita que una actividad pequeña acumule riesgos invisibles bajo plantillas genéricas.