RGPD para autónomos y pymes 2026.

¿Quién debe cumplir el RGPD en España en 2026?

El RGPD obliga a todo responsable del tratamiento que trate datos personales de personas físicas identificadas o identificables, con independencia de su tamaño, facturación o forma jurídica. En España, el Reglamento UE 2016/679 es directamente aplicable desde mayo de 2018, complementado por la Ley Orgánica 3/2018 (LOPDGDD). Esto significa que un autónomo con cinco clientes tiene las mismas obligaciones básicas que una gran empresa, aunque el nivel de exigencia y las sanciones se modulan proporcionalmente.

Están obligados a cumplir el RGPD para autónomos y pymes: cualquier autónomo que guarde una lista de clientes con nombre, teléfono o email; pymes con empleados (datos de nómina, contratos, datos de salud para IT); comercios online (datos de compradores y envíos); profesionales con web y formulario de contacto; despachos de abogados, médicos, fisioterapeutas y psicólogos (categorías especiales de datos); gestorías y asesorías; autónomos que usen email marketing; y prácticamente cualquier negocio que emita facturas a personas físicas.

• Autónomo con lista de clientes personas físicas → obligado RGPD.
• Web con formulario de contacto → política de privacidad + cookies obligatorias.
• Empleados contratados → tratamiento datos laborales + prevención riesgos.
• Newsletter o email marketing → consentimiento documentado obligatorio.
• Datos de salud (médicos, fisios, psicólogos) → categoría especial = obligaciones reforzadas.
• Tienda online → datos comprador, envío, pago → RGPD + comercio electrónico.
• Facturación a personas físicas → datos fiscales protegidos RGPD.
• No existe umbral mínimo de facturación para estar exento del RGPD.

La protección de datos para autónomos no es burocracia opcional: la AEPD ha sancionado a autónomos individuales por formularios web sin política de privacidad y newsletters sin consentimiento válido. El riesgo real existe aunque sea proporcional al tamaño.

Qué datos personales trata un autónomo típico en 2026

Identificar exactamente qué datos personales trata tu negocio es el primer paso del cumplimiento RGPD. Muchos autónomos subestiman la cantidad de datos que manejan porque están dispersos en hojas de cálculo, el CRM, el email, el WhatsApp de empresa o la gestoría. Un autónomo típico en España trata habitualmente estos datos personales:

La base jurídica del tratamiento es fundamental en el RGPD: no todo tratamiento requiere consentimiento. La facturación se basa en obligación legal; el contrato de prestación de servicios, en ejecución contractual; la newsletter, en consentimiento explícito. Mezclar bases jurídicas o usar consentimiento donde la ley ya obliga es un error frecuente.

• Lista de clientes personas físicas → base jurídica: contrato / interés legítimo.
• NIF en facturas → obligación legal fiscal (Ley IVA, IRPF).
• Newsletter → base: consentimiento explícito, documentado y revocable.
• Datos empleados → obligación legal (Estatuto Trabajadores, LGSS).
• Cookies no esenciales (analytics, publicidad) → consentimiento previo informado.
• WhatsApp profesional con datos clientes → también sujeto al RGPD.
• Fotos clientes (p.ej. fotógrafo, coach, médico) → imagen = dato personal.

Registro de Actividades de Tratamiento (RAT): qué es y cómo hacerlo

El RAT documenta los tratamientos de datos de la organización. La excepción del artículo 30.5 del RGPD para entidades con menos de 250 personas no opera cuando el tratamiento no es ocasional, implica riesgos o incluye determinadas categorías de datos. La AEPD ofrece Facilita_RGPD para tratamientos habituales de bajo riesgo; utilizarla no garantiza por sí solo el cumplimiento y no sirve para cualquier tratamiento de alto riesgo.

El registro debe describir las actividades de tratamiento que corresponden al responsable o encargado, con finalidades, categorías de datos e interesados, destinatarios, conservación y medidas de seguridad en los términos del artículo 30. Se mantiene internamente y debe ponerse a disposición de la autoridad cuando proceda.

La excepción para organizaciones pequeñas es limitada. Una actividad habitual de gestión de clientes no se convierte en ocasional solo por tener pocos contactos. Debe revisarse también si hay datos especialmente protegidos o riesgos que excluyan la excepción.

Política de privacidad, aviso legal y cookies en tu web: lo que exige el RGPD

Identifica los tratamientos y su base jurídica, facilita la información de privacidad y aplica medidas de seguridad. El consentimiento no es la única base posible para responder a una consulta o ejecutar un contrato. Cuando sea necesario, debe obtenerse de forma válida y acreditable; el doble opt-in puede ayudar a probarlo, pero no es una obligación universal del RGPD. Las cookies no exentas requieren consentimiento y una opción de rechazo conforme a los criterios de la AEPD.

La información debe explicar quién trata los datos, con qué finalidad y base jurídica, durante cuánto tiempo, a quién se comunican y cómo ejercer derechos, según corresponda. Publicar una política genérica no corrige un tratamiento que se realiza de otra forma.

Para cookies, distingue las exentas de las que requieren consentimiento. El usuario debe poder rechazar las no necesarias conforme a los criterios de la AEPD. Las comunicaciones comerciales tienen además su regulación específica: no toda base válida para atender una consulta autoriza una campaña publicitaria.

Cláusulas informativas de protección de datos en contratos y presupuestos

El art. 13 del RGPD exige informar al interesado en el momento de recoger sus datos personales. En la práctica, para un autónomo esto significa incluir una cláusula informativa de protección de datos en todos los documentos donde recojas datos: contratos de prestación de servicios, presupuestos firmados, pedidos, hojas de encargo, etc.

La cláusula no necesita ser larga. Un párrafo bien redactado que incluya los elementos del art. 13 RGPD es suficiente. Los elementos mínimos son:

1. Identidad del responsable: tu nombre o razón social, NIF y datos de contacto.
2. Finalidad del tratamiento: "los datos facilitados se tratarán para la gestión del contrato de prestación de servicios y la facturación".
3. Base jurídica: "la base legal es la ejecución del contrato (art. 6.1.b RGPD)".
4. Destinatarios: "los datos podrán comunicarse a la asesoría fiscal, a la Agencia Tributaria y a entidades bancarias cuando sea necesario para la prestación del servicio".
5. Derechos del interesado: acceso, rectificación, supresión, limitación, portabilidad y oposición, y cómo ejercerlos (email de contacto).
6. Derecho a reclamar ante la AEPD: mención de que el interesado puede presentar reclamación ante la AEPD (www.aepd.es).

Para contratos con clientes empresas (B2B), la protección de datos de las personas de contacto (nombre, email corporativo, teléfono) también está sujeta al RGPD aunque la empresa en sí no sea persona física. Es buena práctica incluir la cláusula igualmente.

Billeo, como gestoría, también firma el Acuerdo de Encargado de Tratamiento correspondiente con sus clientes, garantizando el tratamiento correcto de los datos fiscales y contables que gestionamos.

Acuerdos de Encargado de Tratamiento: gestoría, cloud y proveedores

El artículo 28 del RGPD exige regular por contrato u otro acto jurídico vinculante la relación con quien trata datos por cuenta del responsable. No todo proveedor es automáticamente un encargado: depende de su función real. El contrato puede constar electrónicamente y debe recoger las garantías exigidas; si hay acceso desde terceros países, también hay que revisar las normas sobre transferencias internacionales.

Inventaría los servicios que reciben datos y comprueba si cada proveedor actúa como encargado, responsable independiente u otra figura. Revisa instrucciones, confidencialidad, seguridad, subencargados, asistencia y destino de los datos al terminar. Un contrato estándar no sustituye la comprobación de las garantías del servicio real.

Medidas técnicas básicas de seguridad que exige el RGPD a autónomos

El RGPD no define un catálogo cerrado de medidas técnicas de seguridad, sino que exige medidas "apropiadas al riesgo" (art. 32 RGPD). Para un autónomo o pyme con tratamientos estándar (clientes, facturación, empleados), estas son las medidas técnicas básicas recomendadas por la AEPD:

• Contraseñas únicas y robustas (mínimo 12 caracteres, mayúsculas, números, caracteres especiales) para cada servicio.
• Gestor de contraseñas (1Password, Bitwarden, LastPass) para no reutilizar contraseñas.
• Doble factor de autenticación (2FA) en email, banca, gestoría online, CRM y software crítico.
• Antivirus actualizado en todos los dispositivos con acceso a datos personales.
• Actualizaciones de sistema operativo y software al día (parches de seguridad).
• Copias de seguridad periódicas (mínimo semanal) en lugar externo al dispositivo principal (cloud cifrado o disco externo cifrado).
• Cifrado de dispositivos móviles y portátiles (FileVault en Mac, BitLocker en Windows).
• Wifi segura con contraseña WPA3 o WPA2; no usar wifi pública sin VPN para acceder a datos de clientes.
• Destrucción segura de documentos en papel con datos personales (trituradora).
• Control de acceso: solo las personas necesarias acceden a datos de clientes o empleados.

En caso de brecha de seguridad —pérdida de un portátil con datos de clientes, hackeo del email, robo de un archivo con DNIs— el autónomo tiene la obligación de notificar a la AEPD en menos de 72 horas (art. 33 RGPD) si la brecha supone riesgo para los derechos y libertades de las personas afectadas. Si el riesgo es alto, además debe notificarse a los propios afectados (art. 34 RGPD).

La notificación de brechas no es opcional ni voluntaria. No notificar una brecha significativa es en sí misma una infracción sancionable. La AEPD tiene formulario online para la notificación de brechas (canal seguro en su sede electrónica).

Sanciones reales de la AEPD a autónomos y pymes en 2026

No existe una tabla de multas habituales garantizada para autónomos. El artículo 83 del RGPD establece máximos y criterios como gravedad, duración, intención, medidas adoptadas y cooperación; la AEPD puede imponer distintas medidas correctivas. Una pequeña facturación no exime y un apercibimiento no está asegurado por subsanar rápidamente. La consecuencia depende del caso concreto.

La respuesta administrativa puede incluir órdenes de adecuación, limitación del tratamiento y otras medidas, además de multas. Los máximos del RGPD no son una estimación de lo que pagará cualquier autónomo. La graduación exige atender a los criterios legales y al expediente.

Una brecha de datos debe evaluarse. La notificación a la autoridad procede salvo que sea improbable que constituya un riesgo para los derechos y libertades; cuando es exigible, el artículo 33 fija sin dilación indebida y, de ser posible, dentro de 72 horas desde que se tenga constancia. La comunicación a afectados tiene condiciones propias en el artículo 34.

Facilita_RGPD: la herramienta gratuita de la AEPD para pymes y autónomos

El RAT documenta los tratamientos de datos de la organización. La excepción del artículo 30.5 del RGPD para entidades con menos de 250 personas no opera cuando el tratamiento no es ocasional, implica riesgos o incluye determinadas categorías de datos. La AEPD ofrece Facilita_RGPD para tratamientos habituales de bajo riesgo; utilizarla no garantiza por sí solo el cumplimiento y no sirve para cualquier tratamiento de alto riesgo.

La herramienta oficial relevante se llama Facilita_RGPD. Está pensada para tratamientos habituales de bajo riesgo en pymes y microempresas y proporciona documentos de apoyo. Debe comprobarse que la organización encaja en su ámbito y adaptar los documentos a la realidad.

No equivale a una certificación ni garantiza el cumplimiento íntegro. Para tratamientos de mayor riesgo, datos de salud o seguimiento complejo deben evaluarse las medidas, la necesidad de una evaluación de impacto y las obligaciones adicionales.

¿Necesita un autónomo o pyme un Delegado de Protección de Datos (DPO)?

Debe revisarse tanto el artículo 37 del RGPD como los supuestos adicionales del artículo 34 de la LOPDGDD. No todos los autónomos necesitan DPD, pero tampoco basta con mirar el tamaño de la empresa: importan la actividad, el seguimiento sistemático, la escala y los datos tratados. La LOPDGDD contempla casos sectoriales y excepciones específicas, por ejemplo para profesionales sanitarios que ejercen individualmente.

La designación y la comunicación del DPD deben ajustarse a los supuestos legales. Un profesional individual puede quedar exceptuado de un supuesto sectorial y seguir sujeto a las demás obligaciones de protección de datos. Si la actividad cambia, debe revisarse de nuevo la necesidad de designación.

Billeo y la gestión fiscal del autónomo: cumplimiento y confianza

Billeo es una gestoría online especializada en autónomos y pymes con sede en España. Gestionamos la parte fiscal y contable de tu negocio —impuestos, IVA, IRPF, nóminas, altas, bajas— desde 65 €/mes más IVA hasta 15 facturas por trimestre y desde 160 €/mes más IVA para sociedades con operativa sencilla. Como encargado del tratamiento de tus datos fiscales y contables, Billeo firma el correspondiente Acuerdo de Encargado de Tratamiento (AET) con todos nuestros clientes, garantizando el cumplimiento del RGPD en la gestión de sus datos.

Si eres autónomo y quieres optimizar tu gestión fiscal mientras mantienes el cumplimiento legal, Billeo ofrece:

• Gestión completa de impuestos trimestrales y anuales (Modelos 303, 130, 100, 390, 347, 349).
• Asesor fiscal personal por WhatsApp incluido en el plan.
• Alta de autónomo gratuita incluida en el primer mes.
• software adaptado al RRSIF para facturación electrónica desde julio de 2027.
• Gestión de nóminas 20 €/nómina al mes más IVA (desde 15 € por volumen).
• Acuerdo de Encargado de Tratamiento (RGPD) firmado con todos los clientes.
• Sin letra pequeña. Baja cuando quieras.

Para el cumplimiento específico del RGPD (política de privacidad, RAT, AET con otros proveedores, DPO), Billeo puede orientarte y derivarte a consultores especializados en protección de datos. La fiscalidad y la protección de datos son complementarias: un negocio bien gestionado debe tener ambas en orden.