RGPD para pequeños negocios: los 5 errores más comunes

Cuando auditamos un negocio pequeño por primera vez, los problemas casi nunca vienen de una mala intención: vienen de dar por hecho que "como somos pequeños, esto no va con nosotros". El RGPD no exime a nadie por tamaño. Estos son los cinco fallos que más se repiten.

1. No tener registro de actividades de tratamiento

Es el documento base: qué datos tratas, para qué, de quién, dónde se guardan y quién tiene acceso. Muchos negocios no lo tienen porque nadie se lo pidió nunca —hasta que llega una inspección o una reclamación—. Sin este documento, cualquier otra medida de protección de datos se construye sobre arena.

2. Copiar una política de privacidad genérica de internet

Una política de privacidad descargada de una plantilla suele mencionar tratamientos que el negocio no hace, y omitir los que sí hace. Si un cliente reclama y la política no coincide con la realidad, el problema se agrava en vez de protegerte.

3. No tener contrato de encargo de tratamiento con los proveedores

Tu gestoría, tu hosting, tu CRM, tu herramienta de email marketing: si acceden a datos de tus clientes o empleados en tu nombre, necesitas un contrato de encargado de tratamiento (art. 28 RGPD) con cada uno. Es habitual encontrar negocios que llevan años trabajando con varios proveedores de este tipo sin ese contrato firmado.

4. Marketing y cookies sin base legal clara

Añadir a un cliente a una lista de email marketing porque compró algo una vez, sin haber pedido consentimiento explícito para ese uso, es de los motivos de sanción más frecuentes en negocios pequeños. Lo mismo pasa con banners de cookies que no dejan rechazar las no esenciales tan fácilmente como aceptarlas.

5. No tener un plan ante una brecha de seguridad

Un ordenador robado, un email enviado por error con datos de clientes en copia visible, un ataque de ransomware: si ocurre, hay un plazo máximo de 72 horas para notificarlo a la Agencia Española de Protección de Datos si supone un riesgo para los afectados. La mayoría de negocios pequeños no sabe que ese plazo existe hasta que ya lo ha superado.

Ninguno de estos cinco puntos requiere un gran presupuesto para corregirse, pero sí requiere que alguien los revise con criterio. Es exactamente lo que hacemos como Delegado de Protección de Datos externo para nuestros clientes.