RGPD pymes: cumplimiento básico 2026

En una frase. Una pyme española cumple el RGPD con 10 acciones básicas que pueden ejecutarse en 20-40 horas: registro de actividades, política de privacidad, banner de cookies, contratos con proveedores y procedimiento de derechos y brechas.

Puntos clave

• Pyme = menos de 250 empleados. 67% de los expedientes AEPD afectan a pymes/autónomos.
• Sanción media a pyme: 8.000 EUR. Multa máxima posible: 20 M EUR o 4% facturación.
• DPO NO obligatorio en mayoría de pymes salvo tratamientos masivos o categoría especial.
• 10 pasos básicos para cumplimiento mínimo viable.
• Documentación recomendada cabe en una carpeta de 12 archivos.

1. Quién está obligado: toda pyme con datos personales

El RGPD aplica a toda organización que trate datos personales de personas físicas, sin umbral de facturación o empleados. Empresas exentas: ninguna en la práctica. Toda pyme española trata al menos datos de empleados, clientes y proveedores, y los autónomos y freelance están igualmente obligados. Para sectores concretos disponemos de guías específicas: RGPD en hostelería y restauración y RGPD para agencias inmobiliarias.

La Ley Orgánica 3/2018 (LOPDGDD) completa el RGPD en España con reglas propias sobre videovigilancia, datos de empleados y régimen sancionador. Un mito frecuente es que la pyme “es demasiado pequeña para que la sancionen”: los datos de la propia AEPD lo desmienten, ya que la mayoría de sus expedientes recaen sobre pequeñas empresas y autónomos, precisamente por errores básicos de documentación que este plan evita.

2. Análisis inicial: el inventario

Punto de partida: listar todos los tratamientos. Para cada uno:

• Finalidad (ej: gestión laboral, facturación, marketing).
• Categorías de datos (identificativos, financieros, salud).
• Base jurídica (contrato, obligación legal, consentimiento, interés legítimo).
• Plazo de conservación.
• Destinatarios (asesoría, proveedor TIC, plataforma).
• Transferencias internacionales si las hay.

Resultado: registro de actividades obligatorio del art. 30 RGPD.

3. Política de privacidad: documento obligatorio

Toda web o servicio que recoja datos debe tener política de privacidad accesible. Contenido mínimo (art. 13 RGPD):

• Identidad del responsable.
• Datos del DPO si existe.
• Finalidades del tratamiento.
• Base jurídica.
• Destinatarios de los datos.
• Transferencias internacionales si las hay.
• Plazo de conservación.
• Derechos del interesado.
• Derecho a reclamar ante AEPD.

Use plantilla de política de privacidad.

4. Banner de cookies conforme

Toda web con cookies no técnicas necesita banner conforme a la guía AEPD 2026:

• Botón “Aceptar” y “Rechazar” al mismo nivel visual.
• Información granular por categoría (necesarias, analíticas, marketing).
• Posibilidad de revocar consentimiento.
• Registro del consentimiento con timestamp.
• No cookies no necesarias antes del consentimiento.

Sanciones típicas a pymes por banner deficiente: 3.000-30.000 EUR.

5. Contratos con proveedores (art. 28 RGPD)

Por cada empresa que trate datos por cuenta de la pyme se necesita contrato art. 28:

• Asesoría laboral, fiscal, contable.
• Empresa de hosting y email (Google Workspace, Microsoft 365).
• CRM, ERP, plataforma de email marketing.
• Empresa de prevención de riesgos laborales.
• Empresa de telecomunicaciones (si gestionan datos relevantes).
• Plataforma de pagos.

Modelo: contrato art. 28 RGPD.

6. Procedimiento de derechos ARCO

Toda pyme debe poder responder a solicitudes de:

• Acceso (art. 15).
• Rectificación (art. 16).
• Supresión (art. 17).
• Limitación (art. 18).
• Portabilidad (art. 20).
• Oposición (art. 21).

Plazo: 30 días naturales. Prórroga motivada de 60 días en casos complejos. Plantillas básicas y registro de solicitudes con su respuesta.

7. Procedimiento de brechas (art. 33 RGPD)

Plan ante incidente de seguridad:

1. Detección y reporte interno inmediato.
2. Análisis: ¿hay riesgo para los derechos del afectado?
3. Si SÍ: notificación AEPD en 72 horas vía sede electrónica.
4. Si ALTO RIESGO: comunicación al afectado sin dilación.
5. Documentación interna obligatoria aunque no se notifique.

Plantillas de brecha de seguridad preformateadas.

8. Información a empleados

Todo empleado debe recibir información de tratamiento en momento de contratación:

• Finalidades (gestión laboral, prevención, control horario, evaluación).
• Base jurídica (contrato, obligación legal).
• Conservación (durante relación + plazos legales prescripción).
• Destinatarios (asesoría, seguridad social, Hacienda).
• Derechos del trabajador.

Ver RGPD recursos humanos.

9. CCTV en el negocio

Si hay cámaras:

• Cartel informativo conforme al modelo AEPD.
• Conservación máxima 30 días.
• Acceso controlado a las grabaciones.
• Información laboral específica si vigila empleados (art. 89 LOPDGDD).
• No grabar vía pública ni propiedades vecinas.

10. Lista de comprobación 10 pasos

Paso	Documento	Tiempo
1	Registro de actividades	8h
2	Política de privacidad web	2h
3	Banner de cookies	2h
4	Cláusula contratos clientes	1h
5	Cláusula contratos empleados	1h
6	Contratos art. 28 con proveedores	4h
7	Procedimiento derechos ARCO	3h
8	Procedimiento brechas	3h
9	Cartel CCTV (si aplica)	1h
10	Formación básica al personal	2h

Total: 27 horas. Coste si externalizado: 1.500-4.000 EUR + mantenimiento anual.

11. ¿Necesito DPO?

DPO obligatorio solo si (art. 37 RGPD):

• Tratamiento masivo y sistemático de datos.
• Tratamiento masivo de categorías especiales.
• Autoridad u organismo público.
• Actividades principales que requieren observación habitual y sistemática a gran escala.

La mayoría de pymes NO necesita DPO. Pueden designar voluntariamente o contratar asesoramiento externo puntual. Ver DPO cuándo obligatorio.

Cuidado con la ambigüedad: un e-commerce que hace perfilado de clientes, una clínica dental o una gestoría que trata datos de miles de terceros pueden caer dentro de la obligación aunque tengan pocos empleados. El criterio no es el tamaño de la plantilla, sino la escala y sensibilidad del tratamiento. En caso de duda, documente el análisis que justifica no designar DPO: esa evaluación forma parte de la responsabilidad proactiva del art. 5.2 RGPD y es lo primero que la AEPD pregunta en una inspección.

12. Mantenimiento del cumplimiento

Revisión anual mínima:

• Checklist RGPD trimestral.
• Actualización del registro al cambiar tratamientos.
• Revisión de cláusulas con nuevos proveedores.
• Formación al nuevo personal.
• Revisión del banner de cookies cada actualización web.

El principio de responsabilidad proactiva (art. 5.2 RGPD) no exige un cumplimiento perfecto, sino demostrable: ante una reclamación, la pyme que puede enseñar su registro de actividades, sus contratos de encargado y su procedimiento de brechas parte de una posición mucho más sólida que la que improvisa. La mayor parte del riesgo real de sanción para una pyme no viene de un ciberataque sofisticado, sino de no poder documentar decisiones básicas. Mantener esa documentación viva es un trabajo recurrente que herramientas como Legiscope permiten centralizar y actualizar sin rehacer los archivos cada año.

Véase también: software RGPD para pymes.

FAQ

¿Cuánto cuesta cumplir RGPD a una pyme?

Implantación inicial: 1.500-4.000 EUR si se externaliza. Mantenimiento anual: 500-1.500 EUR. Internamente: 20-40 horas iniciales + 10 horas anuales.

¿Cuánto puedo ser multado siendo pyme?

Hasta 20 M EUR o 4% facturación anual mundial. En la práctica, sanciones a pymes: 3.000-50.000 EUR según gravedad y colaboración.

¿Mi asesoría laboral necesita contrato art. 28?

Sí. La asesoría es encargado del tratamiento conforme al art. 28 RGPD. Contrato escrito obligatorio.

¿Puedo usar Google Workspace siendo pyme?

Sí. Activando el Addendum de tratamiento de datos disponible en la consola de administración y revisando la configuración de servicios opcionales. Estos proveedores ofrecen cláusulas de transferencia internacional (marco Data Privacy Framework o cláusulas contractuales tipo), pero la responsabilidad de verificar que están activadas es del responsable, no del proveedor.

¿Por dónde empiezo si no tengo nada documentado?

Por el registro de actividades del art. 30 RGPD: es la base de la que derivan todos los demás documentos. Una vez que sabe qué datos trata, para qué y con qué base jurídica, la política de privacidad, los contratos de encargado y los procedimientos de derechos y brechas se redactan casi solos. Reserve una jornada completa para ese inventario inicial.