RGPD para pymes: lo mínimo que tienes que tener en orden

El RGPD asusta más de lo que debería. Para la mayoría de pymes, cumplir no es montar un departamento legal: es tener unos básicos en orden y mantenerlos.

Qué te pide, en simple

• Tener tu registro de actividades de tratamiento. La lista de qué datos tratas, para qué, con qué base legal y durante cuánto tiempo: clientes, empleados, proveedores. Es lo primero que te van a pedir. Si tienes menos de 250 empleados existe una excepción sobre el papel, pero decae en cuanto el tratamiento no es ocasional —y una nómina o una cartera de clientes no lo son—, así que en la práctica te toca.
• Tener las bases legales y los textos. Política de privacidad, avisos y consentimientos donde toque, que digan lo que de verdad haces.
• Proteger esos datos. Accesos controlados, cada persona con el suyo, y sentido común técnico.
• Poder atender a quien reclame sus datos. Acceso, rectificación, supresión, portabilidad, oposición. Tienes un mes para responder desde que te lo piden, prorrogable dos meses más si el caso es complejo, avisando dentro de ese primer mes.
• Saber qué hacer si hay una brecha. Tienes 72 horas desde que te enteras para notificarla a la Agencia Española de Protección de Datos por el formulario de su sede electrónica, salvo que sea improbable que suponga un riesgo para las personas, y si el riesgo para los afectados es alto, hay que avisarles también a ellos. Toda brecha se documenta internamente, se notifique o no. Un protocolo escrito de antemano es la diferencia entre cumplir el plazo y no llegar.

La AEPD publica FACILITA_RGPD, una herramienta gratuita que genera el registro de actividades, las cláusulas informativas y las de encargado para tratamientos de bajo riesgo. Para la mayoría de pymes es el punto de partida razonable.

Los errores más comunes

• Copiar una política de privacidad genérica que no refleja lo que haces de verdad.
• No tener claro quién accede a qué.
• Descubrir el tema solo cuando llega un cliente grande que te lo exige en una due diligence.

Cómo encaja Aurora

Aurora no es una herramienta de compliance legal, y aquí conviene ser claro: el RGPD lo aterriza un profesional. Lo que aporta Aurora es la base sobre la que se apoya ese trabajo: un back-office ordenado, con los datos de tu empresa aislados de los del resto, cada persona con el acceso que le corresponde por su rol y cada acción que cambia algo registrada con quién la hizo y qué cambió.

Y la parte que te van a preguntar a ti sobre nosotros, ya publicada: el contrato de encargado del tratamiento y la lista de subencargados, con su histórico de cambios. Cuando llegue el cliente grande con su due diligence, eso es lo que pide, junto con la política de privacidad: los datos se alojan en la Unión Europea y los proveedores de modelos no entrenan con ellos.

Este artículo es orientativo y no sustituye el asesoramiento legal. Para tu caso concreto, consulta con un profesional.