Si tienes una pyme o eres autónomo, seguramente has oído hablar del RGPD mil veces, pero pocas veces te lo han explicado sin siglas ni artículos entre paréntesis. Vamos a hacerlo de forma sencilla: qué es, qué te obliga a hacer en el día a día y qué pasa si no lo cumples. Como abogado y Gestor Administrativo, esto es justo lo que trabajo con mis clientes: traducir la norma a decisiones concretas para su negocio.
¿Qué es realmente el RGPD?
El RGPD es la norma europea que protege los datos personales de cualquier persona: clientes, empleados, proveedores o simples visitantes de tu web. No importa si tienes 3 empleados o 300: si manejas nombres, teléfonos, correos electrónicos, DNI o cualquier dato que identifique a una persona, el RGPD te afecta. En España convive además con la LOPDGDD, que completa y adapta esa norma europea a nuestro país.
La idea de fondo es simple: los datos de una persona no son tuyos, son de esa persona. Tú solo los «tienes prestados» para una finalidad concreta, y debes cuidarlos como tal.
Los 5 puntos que de verdad importan a una pyme
Olvídate de memorizar principios legales. En la práctica, todo se reduce a esto:
- Saber qué datos tienes y para qué los usas. Es lo que la ley llama «registro de actividades de tratamiento». No necesita ser complicado: una tabla con qué datos guardas (clientes, nóminas, currículums…), para qué los usas, dónde los guardas y quién tiene acceso, ya es un buen punto de partida.
- Pedir permiso de forma clara. Si envías comunicaciones comerciales, usas fotos de clientes en redes sociales o instalas cookies de analítica en tu web, necesitas un consentimiento explícito, no una casilla premarcada ni un «por defecto entiendo que aceptas». Este es uno de los focos donde la Agencia Española de Protección de Datos está sancionando con más frecuencia en 2026, especialmente en marketing sin consentimiento y en configuraciones de cookies mal hechas.
- Informar, aunque sea brevemente. Cada vez que pidas datos a alguien ―un formulario, un contrato, una ficha de empleado― debes decirle, de forma breve y accesible, quién eres, para qué usarás sus datos y qué derechos tiene. Una cláusula clara de un párrafo, bien redactada, es mejor que un texto legal de tres páginas que nadie lee.
- Proteger lo que guardas. No hace falta ser una empresa tecnológica para tomar medidas básicas: contraseñas seguras, copias de seguridad, acceso restringido a nóminas o historiales médicos, y cuidado especial con el correo electrónico, que sigue siendo la vía de entrada de la mayoría de las brechas de seguridad en pymes.
- Saber reaccionar si algo falla. Si sufres una brecha de seguridad —un ataque informático, un email con datos enviado por error, un dispositivo robado- tienes solo 72 horas para notificarlo a la AEPD si existe riesgo para los afectados. No tener un protocolo preparado de antemano es, en la práctica, el motivo por el que muchas pymes llegan tarde.
Lo nuevo en 2026 que debes conocer
Dos frentes están cobrando fuerza este año y conviene que los tengas en el radar empresa sea pequeña:
Inteligencia artificial: si usas herramientas de IA para seleccionar personal, gestionar citas o tomar decisiones automatizadas sobre clientes o empleados, debes poder explicar cómo funciona esa decisión y garantizar que una persona pueda revisarla. No puedes delegar una decisión importante en un algoritmo sin control humano.
Videovigilancia y control laboral: cámaras, geolocalización de vehículos o supervisión de dispositivos de trabajo siguen generando sanciones por falta de proporcionalidad, ausencia de carteles informativos o grabación de zonas no permitidas.
¿Y si no cumplo?
Las sanciones del RGPD pueden llegar hasta 20 millones de euros o el 4% de la facturación anual, aunque para la inmensa mayoría de las pymes las multas reales son muy inferiores. El verdadero riesgo no suele ser la multa, sino algo más cotidiano: perder la confianza de un cliente, quedar expuesto ante una denuncia de un empleado, o descubrir en plena inspección que no tienes ni un solo documento en regla.
No necesitas ser un experto, necesitas tenerlo resuelto
El objetivo no es que te conviertas en especialista en protección de datos, sino que tu negocio funcione tranquilo, con lo esencial bien hecho y sin sorpresas. Eso es exactamente lo que hago con mis clientes: una auditoría inicial clara, la documentación imprescindible adaptada a tu actividad real, y acompañamiento si la AEPD llama a tu puerta.
Si no sabes por dónde empezar o simplemente quieres confirmar que tu pyme está en regla, hablemos. Como abogado colegiado (ICAS, Col. n.o 15.817) y Gestor Administrativo (Col. n.o 1391 C.G.A. Sevilla), reviso tu situación actual y te digo, sin rodeos, qué falta y qué prioridad tiene.
josecarlos@jpaabogados.legal 672 974 494 Solicitar consulta
Col. no 15.817 ICAS Gestor Adm. no 1391 · josecarlos.perezarias@icasevilla.org · josecarlos@jpaabogados.legal