Sí, el RGPD se aplica incluso si trabaja exclusivamente con otras empresas. El Reglamento no mira quién es su cliente, sino qué procesa: en cuanto registra el nombre, la dirección de correo electrónico, el número de teléfono o la función de una persona de contacto, está procesando un dato personal. El hecho de que esa persona de contacto se comunique o envíe correos en nombre de una empresa no supone diferencia alguna para la ley.
La confusión surge porque la gente asocia el RGPD con datos de consumidores: pedidos, cuentas de cliente, boletines. Pero una dirección de facturación con el nombre de un comprador, un registro en un CRM con el número móvil de una persona de contacto, o un intercambio de correos con un proveedor se rigen por las mismas normas. Se trata de datos de una persona física, no del tipo de relación que tiene con esa empresa.
Qué cambia y qué no en el entorno B2B
El hecho de que trabaje en un entorno B2B no altera la esencia del RGPD, pero sí sus implicaciones prácticas. Muchas de las obligaciones que resultan gravosas con datos de consumidores, como solicitar consentimiento para marketing o explicar por qué recopila datos, tienen a menudo un alcance diferente y más ligero con datos de contacto comerciales. Por ejemplo, hay más frecuentemente un interés legítimo en contactar a una persona de contacto sobre un encargo en curso que en el caso de un consumidor aleatorio. Esto no quita que deba poder explicar por qué retiene esos datos y durante cuánto tiempo.
Lo que tampoco cambia: la obligación de salvaguardar estos datos y el derecho de la propia persona de contacto a solicitar qué información ha registrado sobre él o ella. Un comprador en una empresa cliente puede teóricamente formular una solicitud de acceso, al igual que un cliente particular. El RGPD no hace distinciones sobre quién formula la solicitud.
Ejemplos prácticos
Una empresa instaladora que solo trabaja con otras empresas suele tener, sin embargo, un CRM lleno de nombres, números de teléfono y direcciones de correo electrónico de personas de contacto en clientes y proveedores. Un responsable de recursos humanos que conserva currículums de solicitantes procesa datos personales, incluso si la vacante es para un puesto técnico dentro de una empresa B2B. Un gestor de oficina que pide a los visitantes que se registren a la entrada también registra nombres de personas que vienen en nombre de otra empresa.
En ninguno de estos casos se trata de datos de consumidores en el sentido clásico, pero aun así caen bajo la misma normativa. La distinción que en la práctica sí importa no es B2B frente a B2C, sino: ¿se trata de una persona física identificable, o de datos completamente anonimizados o puramente comerciales como un número de registro mercantil o una dirección de correo genérica como info@ sin nombre.
Qué significa esto para su registro de actividades de tratamiento
Debido a que los datos de contacto comerciales están cubiertos por el Reglamento, también deben incluirse en su registro de actividades de tratamiento: de dónde proceden, por qué los conserva, quién tiene acceso a ellos y cuánto tiempo los conserva. En muchas empresas medianas y pequeñas, esta resulta ser precisamente la categoría que se pasa por alto, porque la atención se centra en expedientes de personal o datos de clientes de consumidores finales. En la base de conocimientos con explicaciones por situación encontrará más información sobre cuándo los datos se consideran datos personales y cuándo no.
Si utiliza herramientas SaaS para su CRM, correo electrónico o facturación, esas herramientas a menudo también procesan estos datos de contacto comerciales. Esto es relevante para los acuerdos de tratamiento de datos que tiene o debería tener con esos proveedores, y para la cuestión de qué herramienta procesa exactamente qué datos. A través de las preguntas más frecuentes sobre el Reglamento en la práctica puede leer cómo se relaciona esto con sus obligaciones más amplias.
Si su situación específica se ajusta a ciertas excepciones, o cuál es exactamente la base legal aplicable a su forma de trabajar, es algo que varía según la empresa y sobre lo cual, en caso de duda, lo mejor es consultar con un abogado o con la Autoridad de Protección de Datos. Lo que sí se aplica a casi todas las empresas: si registra datos personales de personas de contacto sin saber exactamente cuáles son y por qué, ese es un buen punto de partida para poner en orden.
Verifique su propia situación
¿Desea ver rápidamente qué flujos de datos en su empresa cuentan, incluyendo los datos de contacto comerciales de clientes y proveedores? Realice el escaneo rápido gratuito o lea primero cómo gdpria.eu estructura la información de la RGPD y las autoridades de supervisión, y crear una cuenta de negocios si desea que su registro se cree a partir de las herramientas que ya utiliza.