Si tu empresa usa herramientas de IA, aunque solo sea para cribar currículums, atender a clientes por chatbot o analizar tendencias de ventas, es probable que ya tengas obligaciones que desconoces.

Qué regula el Reglamento de IA y a quién afecta

La norma clasifica los sistemas de inteligencia artificial en función del riesgo que representan. Esa clasificación es la que determina qué obligaciones aplican en cada caso.

Riesgo inaceptable: sistemas directamente prohibidos en la UE. Reconocimiento facial masivo en espacios públicos por fuerzas de seguridad, manipulación subliminal de personas, puntuación social por parte de administraciones. Punto final.

Riesgo alto: sistemas que inciden en derechos fundamentales. Contratación de personal, concesión de crédito, acceso a la educación, servicios esenciales. Aquí las obligaciones técnicas y documentales son estrictas.

Riesgo limitado: chatbots y generadores de contenido. La exigencia principal es la transparencia: quien interactúa con el sistema tiene que saber que hay una IA al otro lado.

Riesgo mínimo: la mayoría de aplicaciones cotidianas. Filtros de spam, recomendaciones de contenido, herramientas de productividad estándar. Sin cargas adicionales.

Dónde se cruzan el Reglamento de IA y el RGPD

Son dos normativas distintas, pero con mucho terreno compartido. Si tu sistema de IA trata datos personales —que es el caso de casi todos— tienes que cumplir con las dos al mismo tiempo.

El punto de fricción más habitual: los sistemas de IA de alto riesgo requieren registros de actividad y supervisión humana. Esos mismos registros son datos personales que el RGPD exige proteger. La evaluación de impacto que ya contempla el RGPD para tratamientos de alto riesgo se vuelve obligatoria también cuando el sistema de IA entra en esa categoría.

Hay otra coincidencia relevante: el artículo 22 del RGPD prohíbe desde 2018 las decisiones totalmente automatizadas que afecten de forma significativa a una persona. El Reglamento de IA no lo repite, pero sí concreta cómo deben documentarse y controlarse esos sistemas para garantizar que existe supervisión humana real.

Obligaciones concretas según cómo uses la IA en 2026

Si usas IA en selección de personal: el sistema cae en la categoría de alto riesgo. Necesitas documentación técnica del sistema, supervisión humana en las decisiones y un procedimiento que permita al candidato impugnar una decisión automatizada. Esto ya venía del RGPD, pero el Reglamento de IA precisa los requisitos técnicos que antes cada empresa interpretaba a su manera.

Si usas un chatbot de atención al cliente: tienes que informar al usuario desde el inicio de que está hablando con una IA. Sin excepciones.

Si usas herramientas generativas para crear contenido, imágenes o vídeos: el material generado por IA debe etiquetarse cuando pueda inducir a confusión al receptor.

Si eres proveedor de sistemas de IA que vende a otras empresas: las obligaciones son bastante más exigentes. Registro en la base de datos de la UE, certificación para sistemas de alto riesgo y documentación técnica detallada antes de poner el sistema en el mercado.

El papel del Delegado de Protección de Datos ante el IA Act

Las empresas que ya tienen un Delegado de Protección de Datos tienen que ampliar su función para cubrir los riesgos del Reglamento de IA en todo lo que afecte a datos personales. En la práctica, el DPD pasa a ser el interlocutor entre la empresa y las autoridades reguladoras cuando un sistema de IA trata datos de personas.

Si tu empresa usa IA en procesos que afectan a trabajadores o clientes y todavía no tienes DPD, vale la pena valorar si deberías contar con uno. No siempre es obligatorio, pero en empresas con tratamientos de datos a escala puede serlo.

Por dónde empezar si no sabes qué herramientas de IA usa tu empresa

Muchas empresas usan IA sin ser conscientes de ello. El algoritmo de un CRM que predice qué clientes van a irse, el filtro automático del email de soporte, el software de contabilidad que detecta facturas duplicadas. Todo eso es inteligencia artificial.

El primer paso es hacer un inventario: qué herramientas usas y con qué finalidad. El segundo, clasificarlas por nivel de riesgo. La documentación que ya tienes si completaste la adaptación RGPD es un buen punto de partida: el registro de actividades de tratamiento describe qué datos usas y para qué, que es exactamente lo que necesitas para clasificar tus sistemas.

Para saber si tu empresa cumple con el RGPD y está preparada para las obligaciones del Reglamento de IA, una auditoría de protección de datos te da ese diagnóstico completo.

La normativa sobre inteligencia artificial no va a suavizarse. Al contrario: 2026 y 2027 traen las obligaciones más exigentes para empresas que usen IA en procesos que afecten a personas. Cuanto antes lo tengas en orden, menos trabajo acumulado cuando lleguen los plazos.

Adaptar mi empresa al IA Act y al RGPD desde 119€

La entrada Qué obliga el Reglamento de IA a tu empresa y cómo afecta al RGPD se publicó primero en Adaptación RGPD.

Si gestionas un colegio, una academia, un club deportivo o cualquier actividad con menores, esto te afecta directamente.

Qué dice el RGPD sobre los datos de menores

En España, la edad de consentimiento digital es 14 años. Por debajo de esa edad, el menor no puede consentir por sí mismo el tratamiento de sus datos personales: debe hacerlo un padre o tutor. A partir de los 14, el menor puede consentir, pero con restricciones que varían según el tipo de servicio.

Las plataformas de redes sociales tienen la obligación de verificar la edad de sus usuarios y de obtener el consentimiento parental para los menores. En la práctica, casi ninguna lo hace de forma efectiva, lo que ha llevado a investigaciones de la AEPD y de otras autoridades europeas contra Instagram, TikTok y YouTube.

La AEPD cuenta con una Guía sobre menores en internet que detalla los requisitos para el tratamiento de sus datos. No es una recomendación orientativa: es el criterio que aplica la agencia cuando investiga un caso relacionado con menores.

El sharenting y sus consecuencias legales

El término sharenting describe el hábito de los padres de compartir fotos y vídeos de sus hijos en redes sociales. Sus implicaciones van más allá de la privacidad familiar.

Publicar una imagen de un menor en una red social implica ceder datos personales —su imagen, en muchos casos su nombre y su ubicación— a una plataforma que los usa con fines comerciales propios. Los menores no pueden consentir esa cesión.

Eso no significa que esté prohibido publicar fotos de los hijos, pero sí existen límites. No se pueden publicar imágenes que identifiquen al menor en contextos sensibles: en el colegio, en actividades médicas, con datos de salud visibles, o en situaciones que puedan afectar su dignidad cuando sea adulto.

La AEPD ha tramitado casos en los que particulares han sido requeridos por publicar imágenes de menores ajenos sin consentimiento de sus padres. El supuesto más frecuente es el de fotos de excursiones escolares o de equipos deportivos infantiles publicadas en redes sin el permiso expreso de todas las familias implicadas.

Obligaciones de colegios, academias y actividades con menores

Los centros educativos y las actividades extraescolares tratan datos de menores de forma sistemática: fichas de matrícula, imágenes de eventos, historial académico, datos de salud relevantes. Todos esos tratamientos requieren base legal específica y documentación RGPD adaptada.

El consentimiento de los padres para el tratamiento de imágenes es el punto donde más fallos se acumulan. Muchos centros utilizan consentimientos genéricos que no cumplen con el RGPD porque no informan sobre qué plataformas se usarán para publicar las fotos, no distinguen entre usos internos y publicación en redes sociales, y no permiten retirar el consentimiento de forma sencilla.

Un consentimiento que solo diga “autorizo el uso de imágenes de mi hijo” no es suficiente. Tiene que especificar la finalidad exacta, los canales de difusión, el plazo de conservación y el procedimiento para revocarlo.

Qué pasa cuando un menor ejerce sus derechos RGPD

A partir de los 14 años, el menor puede ejercer por sí mismo los derechos RGPD: acceso, rectificación, supresión, portabilidad. Eso significa que un alumno de secundaria puede pedir formalmente a un centro que elimine sus datos o que le facilite acceso a su expediente académico.

Los centros tienen que contar con procedimientos claros para atender esas solicitudes en el plazo legal de un mes. Sin ellos, el menor puede presentar una denuncia ante la AEPD directamente, sin necesidad de que intervengan sus padres.

Cómo proteger los datos de menores en tu negocio

Si tu empresa, academia, colegio o actividad trabaja habitualmente con menores, necesitas documentación RGPD específica para ese contexto:

Cláusulas informativas diferenciadas para padres y tutores, adaptadas a cada tipo de tratamiento: matrícula, imágenes, actividades, datos de salud si los hay.

Consentimientos separados por finalidad: uno para el tratamiento de datos del menor dentro de la actividad y otro distinto para publicar imágenes en la web o en redes sociales del centro.

Protocolo para retirar el consentimiento en cualquier momento y eliminar los datos o imágenes correspondientes.

Contratos con proveedores que accedan a datos de menores: plataformas educativas, apps de comunicación con familias, servicios de fotografía escolar.

La auditoría de protección de datos para centros que trabajan con menores es especialmente recomendable porque la AEPD ha endurecido los criterios de inspección en este sector. Una revisión externa identifica los puntos débiles antes de que lo haga una denuncia.

La adaptación RGPD para tu centro o actividad garantiza que tienes todos los documentos en regla antes de que llegue una inspección o una denuncia. Si además gestionas datos de salud de los menores —alergias, necesidades especiales— eso requiere documentación adicional que también incluimos.

Adaptar mi centro desde 119€

La entrada Privacidad de menores en internet: sharenting, redes sociales y obligaciones RGPD se publicó primero en Adaptación RGPD.

La AEPD ha sancionado a comunidades de vecinos por motivos que podrían evitarse fácilmente. Conocerlos es el primer paso para no caer en los mismos errores.

Qué datos trata una comunidad de vecinos

Una comunidad de propietarios trata, como mínimo, estos datos de carácter personal:

Datos de propietarios e inquilinos. Nombre, DNI, dirección, cuotas, deudas, votaciones en junta. Todos ellos son datos personales protegidos por el RGPD.

Imágenes de videovigilancia. Si el edificio tiene cámaras en zonas comunes, portal, garaje o ascensor, las imágenes son datos personales. La instalación y el uso de esas cámaras tiene requisitos específicos.

Control de accesos. Si hay llave electrónica, tarjeta o sistema biométrico para entrar al edificio o al garaje, se están tratando datos personales.

Comunicaciones internas. Los grupos de WhatsApp de vecinos, los emails enviados desde la administración de fincas, las circulares con datos de propietarios.

Las infracciones más frecuentes en comunidades de vecinos

Cámaras sin cartel informativo. Es la infracción más denunciada. El RGPD exige que en cualquier zona videovigilada haya un cartel visible que informe de la existencia de las cámaras, quién es el responsable del tratamiento y cómo ejercer los derechos. Sin ese cartel, la instalación incumple la normativa aunque las cámaras sean perfectamente legales.

Actas de junta mal redactadas. Las actas recogen el nombre y el sentido del voto de cada propietario. Esos datos no pueden circular libremente: deben protegerse y solo pueden acceder a ellas quienes tengan derecho. Enviar el acta a un grupo de WhatsApp donde hay personas que no son propietarios puede ser una infracción.

Grupos de WhatsApp sin consentimiento. Añadir a alguien a un grupo de WhatsApp de la comunidad sin su consentimiento, o compartir en ese grupo datos personales de un propietario sin base legal, puede derivar en denuncia.

Administrador de fincas sin contrato de encargado. El administrador accede a datos de todos los propietarios. Es un encargado de tratamiento y debe tener firmado el contrato correspondiente con la comunidad. Sin ese contrato, ambas partes incumplen.

Falta de registro de actividades. La comunidad debe tener documentado qué datos trata, con qué finalidad y durante cuánto tiempo.

Quién responde ante una sanción

El responsable del tratamiento en una comunidad de vecinos es la propia comunidad, representada por el presidente. Eso significa que, en caso de sanción, quien responde jurídicamente es la comunidad como entidad, aunque en la práctica la gestión la lleve el administrador.

Por eso es fundamental que tanto la comunidad como el administrador de fincas tengan sus obligaciones RGPD bien definidas y documentadas. En comunidades con sistemas de videovigilancia extensos o control de accesos biométrico, puede ser necesario designar un Delegado de Protección de Datos.

Cómo regularizar la situación de tu comunidad

La adaptación RGPD para comunidades de vecinos incluye toda la documentación necesaria personalizada: registro de actividades de tratamiento, cartelería para zonas videovigiladas, contrato de encargado con el administrador, cláusulas informativas y política de privacidad si la comunidad tiene web o usa formularios digitales.

Si además la comunidad necesita asesoramiento sobre el uso correcto del WhatsApp de vecinos o la gestión de las actas, nuestro servicio incluye asesoría ilimitada durante un año.

Adaptar mi comunidad de vecinos desde 119€

La entrada RGPD para comunidades de vecinos: obligaciones y sanciones frecuentes se publicó primero en Adaptación RGPD.

Si gestionas la protección de datos de varios clientes, sabes exactamente de qué hablo.

Cada año te enfrentas al mismo escenario: decenas de empresas que necesitan tener su documentación RGPD actualizada, sus registros de actividades de tratamiento revisados, sus contratos con encargados firmados, sus políticas de privacidad adaptadas a cada cambio normativo… y todo eso multiplicado por cada cliente que tienes en cartera.

El problema no es que no sepas hacerlo. El problema es el tiempo. Y el otro problema es que las normativas no paran de crecer.

Cuando el RGPD entró en vigor en 2018, ya fue un reto. Luego llegó la LOPDGDD. Luego la LSSI y la LGDCU para el ecommerce. Y ahora, en 2025 y 2026, hay que sumar el AI Act (obligatorio desde agosto de 2026 para sistemas de IA de alto riesgo), la Directiva NIS2 transpuesta en España mediante el RDL 7/2025, y la Ley 2/2023 del Canal de Denuncias. Para las empresas con más de 50 empleados, este canal ya no es opcional.

¿Cómo gestiona todo eso una asesoría o gestoría con recursos limitados? La respuesta honesta es: con mucho esfuerzo, muchas horas, y demasiadas veces con herramientas que no fueron diseñadas para esto.

El coste real de gestionar el RGPD a la antigua

Muchos gestores y asesores siguen trabajando con carpetas en la nube, plantillas de Word que se actualizan a mano y recordatorios en el calendario para las revisiones anuales. Es un sistema que funciona… hasta que no funciona.

El coste real no está solo en el tiempo invertido. Está en:

• El riesgo de errores por desactualización: una plantilla que nadie revisó desde 2021 puede contener referencias a legislación derogada o incompleta.
• La dificultad para demostrar cumplimiento: si la AEPD abre una investigación, necesitas trazabilidad, versiones, fechas. No vale un documento Word sin historial.
• La imposibilidad de escalar: si cada nuevo cliente supone horas de trabajo desde cero, el crecimiento de tu cartera tiene un techo muy bajo.
• La exposición a multas ajenas: cuando asesoras a una empresa que luego recibe una sanción, tu reputación también queda en entredicho.

El RGPD no se cumple una vez. Se cumple todos los días. Y eso requiere un sistema, no una carpeta.

Qué cambia con SIGNA360

SIGNA360 es la plataforma de cumplimiento normativo de Adapta RGPD diseñada específicamente para gestionar la protección de datos de forma profesional, escalable y documentada.

No es un generador de documentos. Es un sistema de gestión completo que cubre todo el ciclo de vida del cumplimiento: desde la adaptación inicial hasta el mantenimiento continuo, pasando por la formación, la gestión de incidencias y los módulos normativos adicionales.

Lo que incluye el paquete base (para todos los planes)

Cuando un cliente entra en SIGNA360, obtiene desde el primer día:

• Adaptación completa personalizada según su actividad (RGPD + LSSI + LGDCU)
• Registro de Actividades de Tratamiento (RAT) y análisis de riesgos con informe detallado
• Evaluación de Impacto (EIPD/PIA) conforme al Art. 35 del RGPD
• Políticas de privacidad, aviso legal y política de cookies adaptados
• Cláusulas para formularios web, email y contratos mercantiles
• Contratos de encargo de tratamiento (Art. 28) con todos los proveedores
• Panel de gestión online con historial de versiones y alertas de revisión periódica
• Escáner de cookies automatizado
• Formaciones con test y acta de aprovechamiento
• Asistencia ilimitada durante 12 meses

Y todo esto queda documentado, versionado y disponible para auditoría en cualquier momento.

Los módulos adicionales que marcan la diferencia en 2026

Además del paquete base, SIGNA360 permite activar módulos específicos para las normativas más recientes:

• Módulo AI Act: inventario de sistemas IA, clasificación por nivel de riesgo (inaceptable, alto, limitado, mínimo), documentación técnica Anexo IV, política de uso de IA y autodiagnóstico AESIA con 193 medidas. Obligatorio para empresas que despliegan o usan sistemas de IA de alto riesgo.
• Módulo NIS2: Dashboard de ciberseguridad, gestión de incidentes con plazos legales (24h/72h/1 mes), BCP y DRP, auditorías y 9 informes Word listos para presentar. Afecta a empresas medianas y grandes en sectores esenciales e importantes.
• Canal de Denuncias: canal confidencial y anónimo conforme a la Ley 2/2023, con gestión integral de denuncias y resolución documentada. Obligatorio para empresas con 50 o más empleados desde diciembre de 2023.
• DPO/DPD externo: servicio de Delegado de Protección de Datos acreditado, con atención ARCO+, coordinación con la AEPD, revisión anual e informe mensual.

Por qué SIGNA360 es especialmente interesante para gestores y asesores

Aquí está la clave que diferencia a SIGNA360 para los profesionales que gestionan varios clientes: el modelo de licencias por volumen.

En lugar de contratar cada cliente de forma independiente, las gestorías, asesorías y despachos pueden acceder a tarifas especiales desde 55 € por cliente y año. Eso significa que puedes ofrecer un servicio de cumplimiento RGPD completo, actualizado y documentado a tus clientes, con margen para hacer negocio y sin multiplicar tu carga de trabajo.

El modelo es sencillo:

• Tú contratas las licencias.
• Tus clientes obtienen su cumplimiento normativo completo.
• Tú tienes el control y la visibilidad sobre el estado de cada expediente desde un único panel.
• Cuando hay una novedad normativa (como el AI Act o NIS2), la plataforma se actualiza y tus clientes están cubiertos.

Es la diferencia entre ser el asesor que avisa de los problemas después de que ocurren, y ser el asesor que los previene con sistemas.

El momento es ahora

El calendario normativo de 2026 no da tregua. El AI Act ya está aplicándose de forma progresiva. La NIS2 está en vigor. El Canal de Denuncias lleva más de un año siendo obligatorio. Y la AEPD está incrementando su actividad inspectora.

Las empresas que aún no tienen todo en orden van a necesitar a alguien que les ayude a ponerse al día rápido y bien. Y los gestores y asesores que tengan las herramientas adecuadas van a poder atender esa demanda de forma rentable.

SIGNA360 no es un gasto. Es la infraestructura que hace posible escalar un servicio de cumplimiento normativo con garantías.

Si gestionas la protección de datos de varios clientes y quieres conocer las condiciones para gestorías y despachos, en Adapta RGPD podemos ayudarte a encontrar el modelo que mejor se adapta a tu cartera.

Consultar tarifas para gestorías →

La entrada SIGNA360: La plataforma que los gestores y asesores estaban esperando para cumplir con el RGPD sin morir en el intento se publicó primero en Adaptación RGPD.

Si tienes una clínica dental, un consultorio odontológico o trabajas como odontólogo autónomo, esto es lo que necesitas tener en orden.

Por qué las clínicas dentales tienen obligaciones reforzadas

El artículo 9 del RGPD establece que los datos de salud solo pueden tratarse bajo condiciones muy concretas. En el caso de una clínica dental, la base legal principal es la necesidad de tratamiento médico: tratas datos de tus pacientes porque es imprescindible para prestarles el servicio sanitario. Pero eso no te libera de cumplir con el resto de obligaciones.

Además, la LOPDGDD española establece que los centros sanitarios, incluidas las clínicas dentales, deben conservar la historia clínica durante un mínimo de 5 años desde la última asistencia (aunque algunas comunidades autónomas amplían este plazo). Esa conservación también debe estar documentada y protegida.

Qué documentación necesita una clínica dental

Registro de actividades de tratamiento. Debes tener documentado qué datos tratas (identificativos, de salud, de facturación), con qué finalidad, durante cuánto tiempo y con qué medidas de seguridad. Para una clínica dental, esto incluye al menos tres tratamientos diferenciados: gestión de pacientes, facturación y recursos humanos si tienes empleados.

Cláusulas informativas para pacientes. Cuando un paciente rellena su ficha por primera vez, debe recibir información clara sobre quién trata sus datos, para qué, cuánto tiempo y qué derechos tiene. Eso no puede ser un texto genérico copiado de internet; tiene que adaptarse a tu clínica concreta.

Política de privacidad en la web. Si tienes web con formulario de contacto o de solicitud de cita, necesitas una política de privacidad que cumpla con el artículo 13 del RGPD.

Contratos con proveedores. Tu software de gestión clínica, tu gestor fiscal, tu empresa de destrucción de documentos, el laboratorio dental que recibe datos de pacientes para fabricar prótesis… todos ellos son encargados de tratamiento y necesitas tener firmado el contrato correspondiente con cada uno.

Medidas de seguridad documentadas. Acceso restringido a la historia clínica, cifrado si usas almacenamiento en la nube, política de contraseñas, protocolo ante brechas de seguridad.

Evaluación de Impacto si tratas datos a gran escala. Si tu clínica tiene un volumen alto de pacientes o usas tecnología especial de análisis de datos de salud, puede ser necesaria una EIPD.

Qué pasa si la AEPD inspecciona tu clínica

Las clínicas dentales son uno de los sectores que más expedientes acumula en la AEPD, precisamente porque manejan datos de categoría especial y muchos no tienen la documentación en regla. Las denuncias suelen venir de pacientes que no fueron informados correctamente o que solicitaron acceso a su historia clínica y no lo recibieron en plazo.

Una inspección de la AEPD puede derivar en multas que van desde 2.000 euros para infracciones formales hasta cantidades muy superiores si hay vulneración de derechos de los pacientes o fuga de datos de salud. Si quieres conocer el nivel de cumplimiento de tu clínica antes de que llegue una inspección, una auditoría de protección de datos te da ese diagnóstico en 24 horas.

Cómo adaptarse sin complicaciones

La adaptación RGPD para tu clínica dental incluye toda la documentación personalizada para el sector sanitario: registro de actividades, cláusulas informativas para pacientes, contratos con proveedores y políticas de seguridad. Todo listo en menos de 24 horas, con acceso al panel de gestión SIGNA360 y asesoría legal durante un año.

Si además necesitas un Delegado de Protección de Datos, las clínicas dentales de cierto tamaño pueden estar obligadas a designar uno: te ayudamos a determinarlo y a cubrirlo si es necesario.

Adaptar mi clínica dental desde 119€

La entrada RGPD para clínicas dentales: obligaciones y documentación necesaria se publicó primero en Adaptación RGPD.

Estos son algunos de los patrones que se repiten con más frecuencia, con resoluciones reales como referencia.

Casos habituales de sanción a pequeños negocios

Clínica dental multada por no informar correctamente

Una clínica dental fue sancionada por no incluir en sus formularios de recogida de datos toda la información exigida por el artículo 13 del RGPD. El paciente firmaba papeles, sí, pero esos papeles no indicaban la base jurídica del tratamiento ni el plazo de conservación de los datos. Resultado: expediente abierto por denuncia de un paciente, sanción de 2.000 euros.

Autónomo de servicios multado por publicidad sin consentimiento

Un profesional que prestaba servicios de asesoría enviaba correos comerciales a una base de datos de contactos que había construido a lo largo de los años. Ninguno de esos contactos había dado consentimiento explícito para recibir comunicaciones comerciales. Un destinatario presentó reclamación ante la AEPD. Sanción: 1.500 euros más el coste de adaptarse a LSSI y RGPD.

Comunidad de vecinos sancionada por videovigilancia

Una comunidad de vecinos instaló cámaras en zonas comunes sin colocar los carteles informativos obligatorios y sin registrar el sistema en su documentación RGPD. La sanción llegó por denuncia de un vecino disconforme. Importe: 1.200 euros.

Gestoría sin contrato de encargado de tratamiento

Una pequeña gestoría que gestionaba nóminas y datos fiscales de varias empresas clientes no tenía firmado con ninguna de ellas el contrato de encargado de tratamiento que exige el artículo 28 del RGPD. Cuando una de esas empresas sufrió un incidente de seguridad, la investigación destapó la ausencia de ese contrato. Sanción para ambas partes.

Lo que tienen en común todos estos casos

Ninguno de los negocios sancionados actuaba de mala fe. En la mayoría de los casos, simplemente no sabían lo que tenían que hacer o pensaban que con tener “algo” de política de privacidad ya era suficiente.

El problema es que el RGPD exige cumplimiento real y documentado, no intenciones. Y cuando la AEPD pide documentación, o la tienes o no la tienes.

Cómo protegerse antes de que llegue la denuncia

La clave está en tener la documentación en orden antes de que alguien presente una reclamación. Una vez iniciado el expediente, adaptarse puede ayudar a reducir la sanción, pero no a evitarla.

Lo que necesita cualquier autónomo o pyme para cumplir con el RGPD es concreto:

Registro de actividades de tratamiento. Un documento que describe qué datos tratas, con qué finalidad, durante cuánto tiempo y con qué base legal.

Política de privacidad actualizada. En tu web, en tus formularios físicos y digitales, en los contratos con clientes.

Contratos de encargado de tratamiento. Con tu gestor, tu software de facturación, tu proveedor de email, quien procese datos de tus clientes en tu nombre.

Consentimiento documentado para comunicaciones comerciales. Si mandas newsletters o publicidad, necesitas poder demostrar que la persona te dio permiso.

Cartelería de videovigilancia. Si tienes cámaras, los carteles son obligatorios.

Todo eso es lo que incluye la adaptación RGPD que ofrecemos: documentación completa y personalizada para tu tipo de negocio, lista en menos de 24 horas, con asesoría legal ilimitada durante un año y acceso al panel de gestión SIGNA360.

Qué hacer si recibes una notificación de la AEPD

Si ya has recibido un escrito de la AEPD, no ignores los plazos. Tienes derecho a presentar alegaciones y a aportar documentación que acredite que has tomado medidas correctoras. Contacta con un especialista en protección de datos antes de responder.

Y si no has recibido nada todavía, es el mejor momento para actuar. Si no tienes claro tu nivel de cumplimiento actual, una auditoría de protección de datos te dice exactamente qué tienes bien y qué necesitas corregir. La protección de datos no es una carga burocrática, es simplemente una responsabilidad que viene con tener datos de otras personas.

Cumplir desde 119€ antes de que llegue la denuncia

La entrada Sanciones AEPD a autónomos y pymes: casos reales y cómo evitarlos se publicó primero en Adaptación RGPD.

Las multas por incumplimiento del RGPD no son anecdóticas ni se limitan a las grandes empresas. La Agencia Española de Protección de Datos ha sancionado a clínicas, academias, inmobiliarias, autónomos de todo tipo y comunidades de vecinos. El tamaño del negocio no es un escudo.

Cuánto puede ser la multa

El RGPD establece dos niveles de sanción:

Infracciones leves y graves: hasta 10 millones de euros o el 2% de la facturación global anual, la cantidad que sea mayor.

Infracciones muy graves: hasta 20 millones de euros o el 4% de la facturación global anual.

Para un autónomo o una pyme, estos números parecen alejados de la realidad. Pero la AEPD también aplica sanciones reducidas para pequeños negocios, y ahí es donde el dato se vuelve relevante: las multas reales a autónomos en España oscilan habitualmente entre 1.000 y 10.000 euros, con una media que ronda los 2.000 euros para infracciones de tipo medio.

Dos mil euros por no tener un aviso de privacidad correcto en el formulario de contacto de tu web. O por no firmar el contrato de encargado de tratamiento con tu gestor. O por usar un sistema de videovigilancia sin cartel informativo.

Por qué sancionan más de lo que parece

La AEPD no sale a buscar autónomos para multarles. El 90% de los expedientes sancionadores se abren por denuncia de un particular: un cliente que no fue informado correctamente de cómo se usarían sus datos, un ex empleado, un competidor.

Y ahí está el problema. Cualquier persona puede presentar una reclamación ante la AEPD de forma gratuita y en pocos minutos. Si tienes un cliente insatisfecho, un empleado con quien terminas mal, o simplemente alguien que conoce sus derechos, puede ser suficiente para abrir un expediente contra tu negocio.

Una vez abierto, la AEPD solicita documentación. Si no puedes acreditar que cumples con la normativa, la sanción llega. Para saber exactamente qué tienes en orden antes de que eso ocurra, puedes pedir una auditoría de protección de datos.

Qué infracciones son las más comunes

Las que más aparecen en las resoluciones publicadas por la AEPD para pequeños negocios son estas:

No informar correctamente a los clientes. La política de privacidad de tu web o el texto del formulario no menciona quién es el responsable del tratamiento, con qué base legal se tratan los datos o cuánto tiempo se conservan.

No tener contrato con proveedores que acceden a datos. Tu gestor fiscal, tu asesoría, la empresa que gestiona tu email marketing o tu software de facturación acceden a datos de tus clientes. Con todos ellos debes tener firmado un contrato de encargado de tratamiento.

Videovigilancia sin cartel. Si tienes cámaras en tu local o negocio y no hay cartel informativo visible, incumples el RGPD aunque las cámaras sean solo de seguridad.

Envío de publicidad sin consentimiento. Mandar emails comerciales a clientes sin que hayan dado su consentimiento explícito o sin darles opción a darse de baja es una de las infracciones que más denuncias genera.

No atender las solicitudes de derechos. Si alguien te pide que elimines sus datos y no lo haces en el plazo legal (un mes), estás incumpliendo.

La documentación que te protege

En un expediente sancionador, lo único que cuenta es lo que puedes acreditar por escrito. La AEPD no acepta “siempre lo hemos hecho así” ni “somos un negocio pequeño”. Necesitas poder presentar el registro de actividades de tratamiento, las políticas de privacidad, los contratos con proveedores y el consentimiento de quien recibe tus comunicaciones comerciales.

Eso es exactamente lo que incluye la adaptación RGPD completa: toda la documentación personalizada para tu tipo de negocio, lista en menos de 24 horas.

Qué hacer si ya has recibido una notificación de la AEPD

Si la AEPD ya te ha notificado el inicio de un expediente, tienes un plazo para presentar alegaciones. Adaptarte en ese momento sigue siendo útil, porque demuestra voluntad de cumplimiento y puede reducir la sanción. Pero lo ideal es no llegar a ese punto.

La normativa de protección de datos no desaparece ni se relaja. Cumplirla desde el principio es lo más barato, lo más rápido y lo que mejor duerme.

Adaptar mi negocio desde 119€

La entrada Multas RGPD para autónomos y pymes: cuánto te puede costar no cumplir se publicó primero en Adaptación RGPD.

IMPORTANTE

El artículo 5 del RGPD establece principios esenciales para el tratamiento de datos personales, cuya observancia es obligatoria y su incumplimiento puede resultar en sanciones graves

La entrada Principios fundamentales de protección de datos (I) se publicó primero en Adaptación RGPD.

En primer lugar, es crucial reconocer que tanto franquiciadores como franquiciados actúan como entidades independientes con sus propias responsabilidades legales. Según la Ley 3/2018, de Protección de Datos y el Reglamento General de Protección de Datos (RGPD), cada parte debe cumplir con sus obligaciones respectivas, lo que incluye la gestión adecuada de los datos personales de clientes y empleados.

El contrato de franquicia debe reflejar claramente estas responsabilidades, especialmente en situaciones donde exista una corresponsabilidad en el tratamiento de datos. En tales casos, es necesario delimitar las actividades de procesamiento de datos que realiza cada parte y establecer un acuerdo de corresponsabilidad que defina los servicios prestados por cada uno.

Además, los franquiciados deben registrar sus ficheros, elaborar documentos de seguridad, firmar contratos de encargado de tratamiento y adaptar sus documentos a la normativa vigente. También deben establecer las funciones y obligaciones del personal y tomar las medidas de seguridad que establece el RD 1720/2007.

En cuanto al cumplimiento y control, es esencial que las franquicias implementen procedimientos estandarizados para supervisar y auditar sus operaciones. Esto incluye la creación de listas de verificación detalladas y la realización de auditorías periódicas para garantizar que se respeten los estándares de la marca y se cumplan los objetivos establecidos.

Los franquiciados, por su parte, tienen una serie de obligaciones que deben cumplir para mantener la integridad del modelo de franquicia. Estas obligaciones incluyen la confidencialidad, el respeto y aplicación de los métodos y procedimientos del franquiciador, y el cumplimiento de los requisitos de calidad mínimos. Además, deben abastecerse de proveedores homologados y seguir las indicaciones en materia de acondicionamiento de local y su imagen corporativa.

A modo de resumen, la protección de datos y el cumplimiento en negocios franquiciados requieren una atención meticulosa a la legislación vigente, así como una colaboración estrecha entre franquiciador y franquiciado para garantizar que ambos cumplan con sus obligaciones legales y contractuales. Esto no solo protege la privacidad de los individuos, sino que también salvaguarda la reputación y la viabilidad a largo plazo del negocio franquiciado y por ende la confianza de los clientes.

La entrada Protección de datos en negocios franquiciados se publicó primero en Adaptación RGPD.

Esto supone un grave riesgo tanto para las empresas como para los consumidores, ya que el incumplimiento del RGPD puede acarrear sanciones económicas de hasta el 4% del volumen de negocio anual o 20 millones de euros, lo que sea mayor. Además, las empresas que no respeten el RGPD pueden perder la confianza y la fidelidad de sus clientes, que cada vez están más concienciados sobre la importancia de proteger sus datos personales.

Por eso, es fundamental que las empresas españolas se pongan al día con el RGPD y adopten las medidas necesarias para cumplir con esta normativa. Algunas de estas medidas son:

– Realizar un análisis de riesgo y un registro de actividades de tratamiento de datos personales.
– Designar un delegado de protección de datos (DPO) si se trata de una entidad pública, si se realizan operaciones que requieren una observación regular y sistemática a gran escala o si se tratan datos sensibles o relativos a condenas e infracciones penales.
– Obtener el consentimiento expreso e informado de los usuarios para recabar y tratar sus datos personales, así como facilitarles el ejercicio de sus derechos de acceso, rectificación, supresión, limitación, oposición y portabilidad.
– Implementar medidas técnicas y organizativas adecuadas para garantizar la seguridad y la confidencialidad de los datos personales, así como notificar las posibles brechas de seguridad a la autoridad competente y a los afectados en un plazo máximo de 72 horas.
– Establecer cláusulas contractuales específicas con los proveedores que accedan o traten datos personales por cuenta de la empresa.
– Realizar evaluaciones de impacto sobre la protección de datos cuando se vayan a introducir nuevas tecnologías o procesos que puedan suponer un alto riesgo para los derechos y libertades de los usuarios.

Como ves, el RGPD es una normativa compleja pero necesaria para garantizar el derecho fundamental a la protección de datos personales. Si quieres saber más sobre el RGPD o necesitas ayuda para adaptar tu empresa a esta normativa, no dudes en contactar con nosotros. Somos expertos en protección de datos y te ofrecemos un servicio personalizado y profesional.

La entrada El 51% de las empresas españolas desconoce el RGPD se publicó primero en Adaptación RGPD.