Protección de datos en una empresa pequeña: por dónde empezar
La protección de datos no empieza con un aviso legal en la web. Empieza sabiendo qué datos se tratan y por qué.
Empieza antes del aviso de la web
La imagen habitual del cumplimiento en protección de datos es un texto legal en el pie de la página y una casilla en el formulario. Eso es el final del proceso, no el principio. El principio es saber qué datos trata la organización, de quién, para qué y durante cuánto tiempo.
Sin ese inventario, cualquier texto que se publique describe algo que nadie ha comprobado.
El registro de actividades de tratamiento
Es el documento del que cuelga todo lo demás. Recoge, para cada tratamiento —clientes, personal, proveedores, videovigilancia, contactos web—, qué datos se tratan, con qué finalidad, con qué base jurídica, quién accede, a quién se comunican y cuánto se conservan.
| Campo | Pregunta que responde |
|---|---|
| Finalidad | ¿Para qué se tratan estos datos? |
| Categorías de interesados | ¿De quién son? |
| Categorías de datos | ¿Qué datos exactamente? |
| Base jurídica | ¿Qué legitima el tratamiento? |
| Destinatarios | ¿Quién más los recibe? |
| Transferencias | ¿Salen del Espacio Económico Europeo? |
| Plazo | ¿Cuánto tiempo se conservan? |
| Medidas de seguridad | ¿Cómo se protegen? |
Los documentos mínimos
- El registro de actividades de tratamiento, actualizado.
- Las cláusulas informativas de cada punto de recogida: formularios, contratos, cámaras.
- Los contratos de encargado del tratamiento con los proveedores que acceden a datos: gestoría, hosting, servicios en la nube.
- El procedimiento de ejercicio de derechos: quién responde y en qué plazo.
- El procedimiento ante brechas de seguridad, con los plazos de notificación previstos.
- La constancia de la formación del personal que trata datos.
Categorías especiales
Los datos de salud, los biométricos utilizados para identificar y otras categorías especiales tienen un régimen más exigente. Cualquier actividad que los implique —una mutua, un control de acceso por huella, un servicio sanitario— requiere análisis específico y, con frecuencia, una evaluación de impacto previa.
Dónde encontrar ayuda gratuita
La Agencia Española de Protección de Datos publica guías y herramientas gratuitas orientadas a pymes, incluido material para elaborar el registro de actividades en tratamientos de riesgo bajo. Es el mejor punto de partida antes de contratar nada, y a menudo suficiente para una organización pequeña con tratamientos sencillos.