Desde la aplicación del Reglamento (UE) 2016/679 (RGPD) y de la Ley Orgánica 3/2018 (LOPDGDD), cualquier empresa o profesional que trate datos personales (clientes, leads, empleados, proveedores, etc.) está sujeta a obligaciones claras: informar, limitar el uso de los datos, garantizar su seguridad y acreditar ese cumplimiento.
Algunos datos clave para aterrizar el riesgo:
- La AEPD tramitó casi 19.000 reclamaciones en 2024, siendo la videovigilancia, servicios de internet y comercio/hostelería algunos de los sectores más afectados.
- En 2024 se impusieron 242 multas por más de 27 millones de euros, con un endurecimiento de las sanciones, especialmente por malas prácticas en privacidad y seguridad.
- Un elevado porcentaje de las sanciones afecta a pequeños negocios y pymes, muchas veces por cuestiones aparentemente “menores”: carteles de cámara mal puestos, webs sin textos legales, cookies mal configuradas, etc.
La conclusión es clara: no cumplir con la normativa sale caro, incluso para empresas de pocos empleados.
Errores típicos de pymes que acaban en sanción
1) Web corporativa sin información clara ni textos legales adaptados
Errores frecuentes:
- Formularios de contacto o suscripción sin cláusula de privacidad ni mención a los derechos del usuario.
- Textos copiados de otra web o desactualizados (pre-RGPD).
- Política de privacidad oculta o difícil de encontrar.
En un caso real, una pyme de organización de eventos fue sancionada por no proporcionar la información exigida por el RGPD en su página web, incluyendo la falta de información sobre derechos y bases de legitimación.
Otro foco de sanciones frecuentes: cookies. Todavía hay muchas webs que:
- Muestran banners con solo el botón de “Aceptar” en grande y ocultan o dificultan el rechazo.
- Cargan cookies de analítica o publicidad antes de que el usuario consienta.
- No ofrecen panel de configuración real.
La AEPD está persiguiendo estas prácticas, con multas que pueden alcanzar los 30.000 € incluso para pymes y autónomos.
2) Videovigilancia “de andar por casa”
La videovigilancia es uno de los motivos recurrentes de reclamación.
Errores típicos:
- Cámaras enfocando a la vía pública más de lo permitido.
- Falta de carteles informativos correctos.
- No poder acreditar la base legitimadora y la finalidad (seguridad, control de accesos, etc.).
- Guardar imágenes más tiempo del necesario.
La AEPD ha sancionado a pequeños negocios (cafeterías, comercios, etc.) por usos inadecuados e incluso por difundir imágenes o datos de empleados sin base legal, con multas de varios cientos o miles de euros.
3) Datos laborales y “confidencialidad” de empleados
En el ámbito laboral se manejan datos especialmente sensibles: nóminas, bajas médicas, evaluaciones o sanciones disciplinarias. La AEPD ha publicado guías específicas sobre protección de datos en las relaciones laborales que recuerdan la necesidad de limitar accesos, informar correctamente y evitar tratamientos innecesarios.
Errores habituales:
- Ficheros de nóminas accesibles a personal que no debería verlos.
- Enviar listados de empleados por correo sin cifrado.
- Compartir datos de un empleado con terceros sin base legal.
- Publicar comentarios o reseñas en internet donde se identifican empleados concretos (por ejemplo, revelando datos en Google o redes sociales), lo que ya ha dado lugar a sanciones.
4) Email marketing y bases de datos “heredadas”
El RGPD exige una base legitimadora clara para enviar comunicaciones comerciales (consentimiento, relación contractual previa, interés legítimo bien ponderado, etc.).
Errores típicos:
- Enviar newsletters a listas antiguas sin haber recabado un consentimiento válido.
- Comprar bases de datos sin verificar su origen ni la información de privacidad.
- No ofrecer un mecanismo de baja sencillo y efectivo.
En algunos casos recientes se han impuesto sanciones importantes (de miles de euros) por contratación o comunicaciones comerciales sin el consentimiento claro de los usuarios o sin verificar la licitud del tratamiento.
5) No notificar brechas de seguridad
Muchas empresas desconocen que, ante un incidente que afecte a datos personales (pérdida de un portátil, robo de documentación, ataque de ransomware, envío masivo de correos con destinatarios visibles, etc.), puede existir obligación de notificar a la AEPD en un plazo máximo de 72 horas.
No hacerlo agrava la sanción y demuestra falta de diligencia.
Exigencias del RGPD y la LOPDGDD a una pyme
Aunque la normativa es extensa, para una pequeña empresa los pilares son:
1) Principio de licitud, lealtad y transparencia. Informar claramente a clientes, empleados y contactos sobre para qué se usan sus datos, durante cuánto tiempo y cuáles son sus derechos.
2) Limitación de la finalidad y minimización de datos. Pedir solo los datos necesarios para la finalidad declarada y no usarlos para cosas diferentes sin una nueva base legal.
3) Base jurídica adecuada. Contrato, obligación legal, interés legítimo ponderado, consentimiento, etc.
4) Responsabilidad proactiva (accountability). No basta con cumplir; hay que poder demostrar que se cumple: políticas, registros de actividades, contratos con encargados, protocolos de seguridad y evidencias documentadas.
5) Medidas de seguridad técnicas y organizativas. Contraseñas robustas, cifrado, copias de seguridad, control de accesos, formación interna… ajustados al riesgo y al tipo de datos tratados.
Medidas básicas para pymes: checklist práctica
Si tu empresa quiere reducir de verdad el riesgo de sanción, estos son los mínimos recomendables:
1) Mapeo de tratamientos y registro de actividades
- Identifica qué datos recoges (clientes, leads, empleados, proveedores).
- Para qué los usas (facturación, marketing, selección de personal…).
- Con quién los compartes (asesoría, plataforma de email marketing, hosting…).
- Durante cuánto tiempo los conservas.
Plasma todo en un registro de actividades de tratamiento.
2) Revisar textos legales y formularios
- Política de privacidad clara, en lenguaje comprensible y actualizada a RGPD + LOPDGDD.
- Aviso legal y política de cookies adaptados.
- Formularios (web y papel) con cláusulas de información completas y casillas de consentimiento cuando sea necesario.
- Emails comerciales con pie informativo y enlace de baja.
3) Cookies: banner y configuración real
- Banner que permita aceptar, rechazar y configurar cookies de forma clara y simétrica.
- No cargar cookies no técnicas hasta que el usuario no acepte.
- Registro de los consentimientos obtenidos.
4) Videovigilancia y control laboral
- Verifica que las cámaras solo capten lo necesario y que hay carteles informativos adecuados.
- Revisa protocolos de acceso a datos de empleados (quién ve qué).
- Evita difundir información de empleados en reseñas, redes o webs corporativas sin base legal.
5) Contratos con proveedores (encargados del tratamiento)
- Firma contratos de encargo del tratamiento con:
- Asesoría laboral/fiscal.
- Hosting y proveedores cloud.
- Plataformas de CRM o email marketing.
- Empresas de mantenimiento informático, etc.
- Asegúrate de que recogen obligaciones de confidencialidad, seguridad y subcontratación.
6) Seguridad: más allá del antivirus
- Cifrado en dispositivos portátiles (portátiles, móviles de empresa) y documentos sensibles.
- Copias de seguridad periódicas y probadas.
- Políticas de contraseña robustas y autenticación de doble factor donde sea posible.
- Control de accesos: cada empleado solo debe ver lo estrictamente necesario para su trabajo.
7) Protocolo de brechas de seguridad
- Define qué es una brecha (pérdida, robo, acceso no autorizado, destrucción accidental…).
- Establece un circuito interno: quién recibe el aviso, quién evalúa y quién decide si se notifica a la AEPD.
- Documenta cualquier incidente, aunque decidas que no requiere notificación formal.
8) Formación y cultura interna
- Explica a tu equipo, de forma sencilla:
- Qué datos maneja.
- Qué puede y no puede hacer con ellos.
- Cómo evitar errores típicos (usar direcciones CCO en correos masivos, no llevar documentación sensible en el bolso, bloquear la pantalla al ausentarse, etc.).
- Repite la formación periódicamente y deja registro.
Conclusión: menos papeleo del que parece, más riesgo del que crees
Cumplir con el RGPD y la LOPDGDD no significa convertir tu pyme en un despacho jurídico, pero sí permite poner en orden la información tratada y corregir algunos hábitos peligrosos de privacidad.
Además de evitar sanciones, una buena gestión de protección de datos transmite confianza y se está convirtiendo en un factor competitivo en licitaciones, grandes contratos y relaciones B2B.
Si en tu empresa todavía no habéis dado este paso, el camino razonable es: diagnóstico básico, plan de acción sencillo y formación del equipo. A partir de ahí, revisar y mejorar periódicamente antes de que lo haga la AEPD por ti.
En EANE te ayudamos con tu formación en Protección de Datos. Contacta con nosotros en el 932.995.011 en info(arroba)eane.es o a través del formulario del curso https://www.eane.es/curso-255-experto-lopd-en-el-nuevo-reglamento-europeo-de-proteccion-de-datos-gdpr-rgpd.html