¿Se aplica el RGPD también a mi empresa?
Sí, en casi todos los casos. El Reglamento General de Protección de Datos no tiene umbral de facturación, personal o sector. En cuanto su empresa procesa datos personales, como nombres, direcciones de correo electrónico o datos salariales, la norma se aplica a ese tratamiento. Esto se aplica tanto a un empresario individual con un cliente como a una empresa de instalación con cincuenta empleados.
La diferencia con regulaciones como NIS2, la CSRD o el estándar VSME es que estas sí funcionan con umbrales para el tamaño de la empresa o el sector. El RGPD funciona de forma diferente: no es el tamaño de su empresa lo que es determinante, sino la pregunta de si se procesan datos personales y de qué manera. Por eso el RGPD afecta en la práctica a casi todas las empresas, aunque no siempre se perciba de esa forma.
Qué entiende la norma por datos personales
El RGPD define los datos personales como toda información sobre una persona física identificada o identificable. Esto es más amplio de lo que muchos empresarios piensan. Una lista de direcciones de clientes, un expediente de personal, una carta de solicitud que aún está en el buzón, o grabaciones de cámaras en la entrada: todo entra en esta definición. Incluso un trabajador autónomo que solo envía facturas con nombre y dirección ya está tratando datos personales.
La norma distingue entre el responsable del tratamiento, que determina por qué y cómo se tratan los datos, y el encargado del tratamiento, que lo hace en nombre de otro. Por ejemplo, una empresa de administración de nóminas es encargada del tratamiento de los datos salariales de su personal, mientras que usted es responsable del tratamiento. Qué función se aplica a su empresa y qué obligaciones conlleva es algo que varía según la situación y sobre lo que la autoridad de control y un abogado pueden dar orientación definitiva.
Por qué este tema aparece en la lista de preguntas de su cliente
Los clientes preguntan cada vez más a sus proveedores no solo sobre sostenibilidad o ciberseguridad, sino también sobre el tratamiento de datos personales. Esto ocurre, por ejemplo, cuando usted trata datos de los empleados o clientes finales de su cliente en nombre de este, o cuando tiene acceso a sistemas que contienen este tipo de datos. En este caso, el cliente quiere saber si existe un contrato de encargado del tratamiento, si se mantiene un registro de tratamientos y cómo se notifica una brecha de datos.
Estas preguntas a menudo se solapan con la lista de preguntas sobre ciberseguridad, porque la seguridad de la información y la protección de datos están estrechamente relacionadas en la práctica. Una empresa que proporciona software o servicios administrativos a clientes recibe estas preguntas antes que una empresa de instalación que principalmente realiza trabajo físico. Quienes encuentran repetidamente este tipo de preguntas en diferentes formatos de diferentes clientes pueden consultar en la base de conocimientos por tema cuál es la base de una pregunta de este tipo y dónde encontrar el texto oficial.
Qué significa esto en la práctica
Si el RGPD impone obligaciones específicas como un delegado de protección de datos, un contrato de encargado del tratamiento o un registro de tratamientos, depende de la naturaleza y alcance del tratamiento dentro de su empresa. Esta no es una pregunta que pueda responderse de forma general; la norma misma y las directrices de la autoridad de control nacional proporcionan los criterios para esto. Para la mayoría de las pymes, el punto de partida es simple: hacer un inventario de qué datos personales se tratan, de quién y con qué fin.
Este resumen también es útil cuando un cliente pregunta sobre él. Guarde documentos como un contrato de encargado del tratamiento o una declaración de privacidad en un lugar fijo, para que no tenga que buscarlos cada vez de nuevo. Cómo funciona esto dentro de un único expediente de cadena y cómo se protegen los datos contenidos en él, puede leerlo en la página sobre cómo se protegen los datos y la privacidad.
¿Desea ver primero qué cuestionarios y temas son relevantes para su empresa, incluida la cuestión de si la protección de datos juega un papel? Haga la verificación gratuita en algunas preguntas para una primera indicación, o lea en el respuestas a preguntas frecuentes cómo otros empresarios lo abordan. Para la situación propia, sigue siendo recomendable consultar con la autoridad supervisora competente o un abogado en caso de duda.