La respuesta breve
El RGPD se aplica a casi cualquier organización que procesa datos personales, independientemente de su tamaño. Esto significa que también una empresa de instalación con cuatro empleados, un trabajador autónomo con clientes, o una fundación con voluntarios está sujeta en principio a la normativa desde el momento en que se registren nombres, direcciones de correo electrónico, datos salariales u otros datos personales. Para mantener un registro de actividades de tratamiento, el RGPD establece una excepción para organizaciones con menos de 250 empleados, pero esta excepción solo se aplica si se cumplen simultáneamente una serie de condiciones.
En la práctica, pocas pymes cumplen todas esas condiciones, simplemente porque una administración de personal, un base de datos de clientes o una grabación de cámara se consideran rápidamente como un tratamiento estructurado. Si la excepción se aplica exactamente a su organización es algo que puede comprobar mejor consultando el texto legal en sí o con un abogado; este artículo describe cuándo la pregunta es relevante y en qué puede fijarse.
Qué significa exactamente la excepción
El RGPD establece en el artículo 30, apartado 5, que la obligación de mantener un registro de actividades de tratamiento no se aplica a las organizaciones con menos de 250 empleados, a menos que el tratamiento que realicen suponga un riesgo para los derechos y libertades de los interesados, no sea ocasional, o afecte a categorías especiales de datos personales como datos de salud. Todas estas excepciones a la excepción tienen una razón: el legislador quería eximir a las pequeñas organizaciones de la obligación de mantener un registro, solo de la obligación de registro formal en casos específicos y limitados.
La palabra "ocasional" es probablemente la más determinante. Una administración de nóminas que se ejecuta cada mes, una base de datos de clientes que actualiza diariamente, o cámaras que graban continuamente imágenes, no son tratamientos ocasionales. Una vez que un tratamiento es parte estructural de las operaciones empresariales, la excepción está fuera del alcance.
Cuándo la pregunta es relevante para usted
La pregunta "¿se aplica esto a mí?" es especialmente relevante para trabajadores autónomos sin empleados y sin base de datos de clientes fija, que envían de vez en cuando una factura y no registran muchos datos personales. Para ellos, la excepción puede aplicarse en teoría. Una vez que hay empleados, se utiliza un sistema CRM, se conservan solicitudes, o un sitio web recopila datos de visitantes a través de cookies o un formulario de contacto, casi siempre hay un tratamiento estructurado y la excepción ya no se aplica.
Una empresa de instalación con administración de personal, un sistema de planificación con datos de clientes y posiblemente una cámara en el taller, queda por tanto fuera de la excepción. Un gerente de recursos humanos que gestiona datos de solicitudes, expedientes de ausencias y datos salariales, definitivamente realiza un tratamiento estructural. Para estas empresas, un registro de actividades de tratamiento no es solo una cuestión legal, sino también prácticamente útil: da una visión general de qué sistemas contienen qué datos, quién puede acceder a ellos, y cuánto tiempo se conservan los datos.
Por qué el registro es útil incluso sin obligación
Independientemente de si la excepción se aplica exactamente, los clientes, aseguradoras y contratantes cada vez piden más a menudo demostrar que una organización tiene control sobre sus datos personales. Un registro de actividades de tratamiento es el primer documento que se solicita. Quienes tienen que explicar qué herramientas SaaS se utilizan, qué acuerdos de procesamiento de datos corresponden y quién es responsable de qué, se benefician de tener un registro ya elaborado en lugar de tener que elaborar uno en el último momento.
Esta visión general no tiene por qué ser complicada. Se trata de registrar por cada tratamiento qué datos se incluyen, con qué propósito se procesan, quién tiene acceso a ellos, si está involucrada una tercera parte, y cuánto tiempo se conservan los datos. En la base de conocimientos con temas del RGPD por situación especifica qué debe incluir cada tipo de tratamiento de datos en concreto, con la referencia en el texto oficial correspondiente.
Cómo evalúa esto para su propia situación
Si su empresa se beneficia de la excepción depende de la naturaleza exacta y la frecuencia de los tratamientos que realiza, y es una evaluación que varía según la organización. La Autoridad de Protección de Datos publica directrices sobre el alcance de la obligación de registro, y para una evaluación de su situación específica se recomienda consultarlas o solicitar asesoramiento jurídico. Lo que hacemos en gdpria.eu es aportar estructura: explicar qué significa la norma, con su origen, para que pueda evaluar dónde se encuentra. En la página sobre de dónde procede nuestra información verá cómo funciona exactamente esa conexión con el texto legal y las directrices.
Casos problemáticos frecuentes, como un trabajador autónomo con un único cliente fijo o una fundación con solo voluntarios, aparecen en las preguntas frecuentes sobre el RGPD en la práctica. A menudo resulta que el debate sobre la excepción es menos importante de lo que se pensaba, porque un registro claro ayuda de todas formas a responder preguntas de clientes o a tramitar una solicitud de un interesado.
En resumen
El RGPD se aplica a casi cualquier organización que trate datos personales. La excepción de la obligación de registro es reducida y solo se aplica si el tratamiento es ocasional, no conlleva riesgo y no afecta a categorías especiales de datos. Para la mayoría de pequeñas y medianas empresas con personal, clientes o un sitio web, esa excepción está fuera del alcance, y una visión general de los tratamientos propios es principalmente de utilidad práctica.
¿Desea ver rápidamente dónde se encuentra su situación? Realice el escaneo rápido gratuito u hojee los temas en crear una cuenta profesional y comenzar.