Protección de datos en la empresa: la documentación RGPD que tienes que tener.

Desde que se aplica el RGPD (25 de mayo de 2018), la ley no te da una lista cerrada de impresos. Te pide que trates los datos con unos principios y que seas capaz de demostrarlo. Es lo que el reglamento llama responsabilidad proactiva.

Ejemplo: una instaladora trata fichas de clientes, nóminas y bajas, la ubicación de sus técnicos, las cámaras de su nave y, a veces, las grabaciones de los sistemas que mantiene a clientes. Cada tratamiento necesita su papel.

Antes del RGPD, la primera obligación era inscribir los ficheros en el Registro General de Protección de Datos de la AEPD. Esa notificación desapareció el 25 de mayo de 2018. En su lugar, cada empresa lleva internamente su registro de actividades de tratamiento y lo enseña a la autoridad si se lo pide.

Tampoco existe ya el documento de seguridad como modelo obligatorio con niveles básico, medio y alto, que venía del reglamento de la antigua ley de 1999. El RGPD no lo pide: ahora eres tú quien analiza los riesgos y decide las medidas de seguridad adecuadas (artículo 32), y las describe en el registro de actividades.

Ejemplo: la «inscripción de ficheros» de 2012 y el documento de seguridad que guarda una empresa de electricidad ya no prueban nada. Toca pasarlos al formato actual.

Es el inventario de lo que haces con los datos. Por cada tratamiento: responsable y contacto, finalidad, de quién son y qué datos, a quién se comunican, si salen de la Unión Europea, plazo de conservación y, cuando sea posible, medidas de seguridad.

El artículo 30.5 exime a las empresas de menos de 250 personas solo si el tratamiento es ocasional, no entraña riesgo y no incluye datos especiales. Como toda empresa trata a diario datos de clientes y plantilla, casi ninguna pyme queda fuera. La LOPDGDD lo recoge en su artículo 31.

Ejemplo de tratamientos tipo de una instaladora: clientes, presupuestos y facturación; personal y nóminas; selección de candidatos; proveedores; videovigilancia de la nave; geolocalización de los vehículos o del móvil de los técnicos; y, si mantienes sistemas de seguridad de clientes, el tratamiento que haces por cuenta de ellos.

Si otra empresa trata datos por tu cuenta, es encargada y necesitáis un contrato según el artículo 28.3: objeto, duración, finalidad, tipo de datos, confidencialidad, seguridad, subencargados, ayuda con derechos y brechas, y qué pasa con los datos al terminar.

Funciona en las dos direcciones. Tú eres responsable y tu gestoría, tu programa de gestión o tu proveedor de nube son encargados. Pero también puedes ser tú el encargado: si mantienes el sistema de cámaras de una comunidad de propietarios y accedes a las grabaciones, tratas datos por cuenta de la comunidad.

Para no redactar desde cero, la Comisión Europea aprobó unas cláusulas contractuales tipo en la Decisión de Ejecución (UE) 2021/915. Tienen cuatro anexos que hay que rellenar: la lista de partes, la descripción del tratamiento, las medidas técnicas y organizativas y la lista de subencargados.

Ejemplo: una empresa de seguridad electrónica que da mantenimiento a las cámaras de un supermercado firma con él un contrato de encargado, porque al revisar el grabador ve imágenes de clientes y empleados.

Cada vez que recoges datos de alguien, tienes que informarle de quién eres, para qué los usas, con qué base legal, a quién los comunicas, cuánto tiempo los guardas y qué derechos tiene. El artículo 13 se aplica cuando los datos te los da la propia persona, y el 14 cuando los obtienes de otra fuente.

La LOPDGDD (artículo 11) permite hacerlo por capas: una información básica en el momento (responsable, finalidad y cómo ejercer los derechos) y un enlace o medio para consultar el resto.

Ejemplo: en el presupuesto de una reforma de baño, al pie, una cláusula breve con la empresa, la finalidad (gestionar el presupuesto y, si se acepta, el trabajo y la factura) y un enlace a la política de privacidad completa. Lo mismo en el formulario de la web, en el contrato de trabajo y en la ficha de alta de proveedores.

Las personas pueden pedirte acceso a sus datos, rectificarlos, suprimirlos, oponerse, limitar el tratamiento o pedir la portabilidad (artículos 15 a 22 del RGPD). Tienes un mes para responder desde que recibes la solicitud, prorrogable dos meses más en casos complejos, avisando dentro del primer mes (artículo 12.3).

Basta un procedimiento corto (quién recibe, cómo se comprueba la identidad, quién responde) y un registro de solicitudes y respuestas.

Ejemplo: un antiguo cliente pide que borréis sus datos. Las facturas se conservan por obligación fiscal, pero su teléfono deja de usarse para campañas. La respuesta lo explica.

Una brecha es cualquier pérdida, robo, acceso indebido o destrucción de datos personales. Si supone un riesgo para las personas, hay que notificarla a la AEPD sin dilación y, si es posible, antes de 72 horas desde que la conoces. Si el riesgo es alto, también hay que comunicarla a los afectados (artículo 34).

Todas las brechas se documentan, también las que no se notifican. Si eres encargado, avisas a tu cliente sin dilación.

Ejemplo: a un técnico le roban la furgoneta con el móvil de empresa, que tiene las fichas de clientes y los códigos de alarma de varias viviendas. Es una brecha con riesgo alto: hay que valorar en horas si se notifica, bloquear el dispositivo y avisar a los clientes afectados.

Todas las empresas analizan los riesgos para elegir sus medidas de seguridad. La evaluación de impacto (EIPD) es más profunda y solo es obligatoria cuando hay probable alto riesgo.

La AEPD publica una lista de tratamientos que requieren EIPD: en la mayoría de los casos hay que hacerla cuando se cumplen dos o más de sus criterios. Uno de ellos es la observación, monitorización, supervisión, geolocalización o control sistemático y exhaustivo de las personas.

Ejemplo: geolocalizar a los técnicos en horario de trabajo para asignar avisos es posible, pero el artículo 90 de la LOPDGDD obliga a informarles antes y de forma clara. Si además ese dato se cruza con la productividad para evaluar a cada técnico, se suman criterios de la lista y conviene hacer la EIPD.

El artículo 37 del RGPD obliga a nombrar delegado de protección de datos (DPD) cuando la actividad principal consiste en observar de forma habitual y sistemática a personas a gran escala, o en tratar a gran escala datos especiales. La mayoría de instaladoras no están en esos casos.

La LOPDGDD (artículo 34) añade una lista de entidades que siempre deben tenerlo. Entre ellas están las empresas de seguridad privada. Según la Ley 5/2014 de Seguridad Privada, instalar y mantener sistemas de seguridad conectados a centrales receptoras de alarmas o a centros de control o videovigilancia es actividad de seguridad privada; instalar equipos que no se conectan a esas centrales queda fuera.

Si nombras DPD, aunque sea voluntario, lo comunicas a la AEPD en diez días.

Ejemplo: una instaladora que solo monta cámaras con grabador local no es empresa de seguridad privada por ello. Si conecta alarmas a una central receptora, necesita autorización como empresa de seguridad y un DPD.

Las cámaras de seguridad están permitidas, pero solo graban la vía pública en lo imprescindible. Las imágenes se borran en un mes como máximo, salvo que acrediten un delito: entonces se entregan a la autoridad en 72 horas desde que se conoce la grabación.

La información se da con un cartel visible que identifique la existencia del tratamiento, el responsable y cómo ejercer los derechos, y puede incluir un código o una dirección web con el resto. Si las cámaras sirven también para controlar a los trabajadores, hay que informarles antes y nunca se pueden poner en vestuarios, aseos o comedores (artículo 89).

Ejemplo: tu empresa instala ocho cámaras en un taller mecánico. El responsable del tratamiento es el taller, no tú. Pero si después haces el mantenimiento con acceso a las grabaciones, eres su encargado. Y para el cliente es muy útil que le entregues el cartel y un registro de la instalación con qué graba cada cámara.

Facilita RGPD es una herramienta gratuita de la AEPD para tratamientos de escaso riesgo, como clientes, proveedores o personal. Con tres pantallas de preguntas te dice si encajas o si necesitas un análisis de riesgos.

Genera cláusulas informativas, cláusulas para los contratos de encargado, el registro de actividades de tratamiento y un anexo con medidas de seguridad mínimas orientativas. No sirve para tratamientos de alto riesgo, como datos de salud o tratamientos masivos.

La propia AEPD advierte de que obtener esos documentos no supone cumplir automáticamente: hay que adaptarlos y mantenerlos al día. Ejemplo: el día que una instaladora contrata un programa nuevo o pone geolocalización a los técnicos, el documento de la plantilla se queda viejo.

Información consultada en noviembre de 2026. Las URL van en texto plano: