¿Se aplica el RGPD también a mi empresa si no tengo personal?
El Reglamento General de Protección de Datos no hace distinción por tamaño de empresa. En ningún lugar de la ley hay un límite mínimo de número de empleados o facturación por debajo del cual no se apliquen las normas. La pregunta determinante es una sola: ¿trata datos personales? Tan pronto como registre un nombre de cliente, una dirección de correo electrónico, una dirección para una factura o datos de un candidato, está realizando un tratamiento en el sentido del RGPD, incluso si usted es el único trabajador de su empresa.
En la práctica, esto significa que casi cualquier empresa, desde un autónomo hasta una gran organización, cae de alguna manera dentro del alcance del RGPD. La diferencia no está en si la ley se aplica o no, sino en el volumen y la naturaleza de lo que trata: un autónomo que factura a tres clientes al año tiene una tarea práctica diferente a la de una tienda en línea con miles de perfiles de clientes. Las obligaciones se vuelven más exigentes en la medida en que el tratamiento es más riesgoso o voluminoso, pero el punto de partida sigue siendo el mismo para todos.
Qué sí determina cuánto pesa el RGPD en su caso
El RGPD contiene una excepción concreta relacionada con el tamaño de la empresa: la obligación de mantener un registro de actividades de tratamiento generalmente no se aplica a las organizaciones con menos de 250 empleados, a menos que el tratamiento no sea ocasional, suponga un riesgo para los derechos de los interesados, o implique categorías especiales de datos personales como datos de salud. En la práctica, la mayoría de las pequeñas y medianas empresas siguen estando sujetas a una de esas excepciones, simplemente porque los datos de clientes se tratan de forma estructurada y por lo tanto no son ocasionales. La excepción es así más estrecha de lo que parece a primera vista.
Más importante que esa única excepción es la naturaleza de lo que trata. Si trata solo datos de contacto comercial de otras empresas, el riesgo es generalmente limitado. Si trata datos de consumidores, personal, candidatos o imágenes de cámaras, se aplican las mismas obligaciones que a una gran empresa: una base jurídica para el tratamiento, claridad hacia los interesados, acuerdos con las partes que tratan datos en su nombre, y un plan para el caso de que algo salga mal.
Situaciones en las que el RGPD claramente se le aplica
Si tiene una tienda en línea, trata datos de clientes, datos de pedidos y a menudo datos a través de un proveedor de pagos o servicio de entrega. Si tiene personal, trata datos salariales, datos de ausencia y a veces un número de identificación nacional. Si trabaja con candidatos, trata currículum vitae y cartas de motivación. Si utiliza vigilancia por cámara en una ubicación, trata material de video de visitantes y empleados. En todos estos casos, el RGPD es claramente aplicable, independientemente de si trabaja solo o con diez personas.
Situaciones en las que pesa menos, pero no desaparece
Un autónomo que factura exclusivamente a clientes empresariales y no tiene personal ni consumidores trata generalmente datos menos sensibles y en volúmenes más pequeños. Eso hace que la tarea práctica sea más manejable, pero no significa que la ley no se aplique. También en ese caso debe poder explicar por qué conserva datos, durante cuánto tiempo, y con quién puede compartirlos eventualmente, por ejemplo a través de un paquete de contabilidad o un servicio en la nube. Las directrices del EDPB y la explicación de la Autoridad de Protección de Datos subrayan constantemente que las obligaciones se mueven con el riesgo, no que desaparezcan en caso de partes pequeñas.
Cómo verifica esto para su propia situación
La pregunta más útil no es "soy lo suficientemente grande para contar", sino "qué datos personales trato, de quién, y por qué". Revise sus principales procesos empresariales: facturación, contacto con clientes, administración de personal, marketing, seguridad. En cada proceso donde aparece un nombre, dirección de correo electrónico u otro dato identificable, el RGPD entra en juego. Quien aún no tiene claro ese panorama, encontrará en el banco de conocimiento con explicación por situación un punto de partida para determinar qué obligaciones corresponden a cada tipo de tratamiento.
Las preguntas más frecuentes de otros empresarios también dan una buena idea de dónde suele estar la duda; están recopiladas en la página con respuestas a preguntas que los empresarios de la PYME suelen hacer. Si desea saber cómo se elabora la información en gdpria.eu y cuál es la fuente de cada respuesta, puede leerlo en la página que explica de dónde procede la información utilizada.
La evaluación final de su propia situación le corresponde a usted, posiblemente con la ayuda de un abogado o con la Autoridad de Protección de Datos como referencia para orientación general. Lo que ofrecemos en estas páginas es una estructura para poder hacer esa evaluación, no el consejo en sí.
Si desea ver rápida y sin compromiso qué obligaciones corresponden a su tipo de empresa, puede crear una cuenta comercial y construir el resumen para su propia situación. La exploración inicial, incluida la fuente de cada respuesta, es y sigue siendo gratuita.