Protección de datos siendo autónomo: lo que tienes que cumplir aunque trabajes solo

Si eres autónomo y tienes clientes con nombre, email o teléfono guardados en algún sitio — un Excel, un CRM, tu correo, tu WhatsApp Business — ya estás tratando datos personales, y el RGPD y la LOPDGDD te aplican exactamente igual que a una empresa con cien empleados. La diferencia está en el volumen de obligaciones, no en si te afecta o no.

El error más común: "soy muy pequeño para que me afecte"

El tamaño del negocio no exime de cumplir la normativa. Sí influye en algunas obligaciones concretas (por ejemplo, el Registro de Actividades de Tratamiento tiene una excepción para organizaciones de menos de 250 empleados, salvo que el tratamiento sea habitual o de riesgo — algo que en la práctica afecta a la mayoría de autónomos igualmente). Pero el deber general de tratar los datos con base legítima, informar a tus clientes y protegerlos con medidas adecuadas, sí te corresponde desde el primer cliente.

Qué datos manejas sin darte cuenta

• Nombre, email y teléfono de clientes en tu agenda o CRM
• Datos bancarios en facturas y presupuestos
• Fotografías de clientes (si eres fotógrafo, entrenador personal, esteticista...)
• Conversaciones de WhatsApp o email con información personal
• Datos de salud, si tu actividad los requiere (fisioterapia, nutrición, entrenamiento personal)

Tus obligaciones básicas

• Informar a tus clientes de qué datos tratas, con qué finalidad y durante cuánto tiempo — normalmente con una cláusula de privacidad en tu web o en el propio presupuesto/contrato
• Tener base legítima para el tratamiento — en la mayoría de los casos, la ejecución del propio contrato con el cliente
• Aplicar medidas de seguridad razonables: contraseñas, copias de seguridad, no dejar documentos con datos personales accesibles a terceros
• Firmar contrato de encargado de tratamiento con cualquier herramienta que use datos de tus clientes en tu nombre (tu gestoría, tu programa de facturación, tu CRM, tu proveedor de hosting)
• Facilitar el ejercicio de derechos — acceso, rectificación, supresión — si un cliente te lo solicita

Herramientas que usas cada día y que también son "tratamiento de datos"

Un detalle que muchos autónomos pasan por alto: Gmail, WhatsApp Business, tu programa de facturación online, tu CRM — todos ellos son encargados de tratamiento cuando gestionan datos de tus clientes en tu nombre. Deberías tener (o poder acreditar) un contrato de encargado de tratamiento con cada uno de estos proveedores, algo que la mayoría de plataformas ya incluyen en sus condiciones, pero conviene verificarlo.

¿Cuándo necesitas un Delegado de Protección de Datos (DPD)?

La mayoría de autónomos no están obligados a nombrar un DPD. Es obligatorio principalmente cuando tu actividad principal implica el tratamiento a gran escala de datos sensibles (salud, ideología, orientación sexual...) o la observación sistemática y a gran escala de personas. Un autónomo con una cartera de clientes habitual, sin ese perfil, normalmente no lo necesita — pero sí debe cumplir el resto de obligaciones igualmente.

Qué pasa si no cumples

Las sanciones del RGPD pueden llegar hasta los 20 millones de euros o el 4% de la facturación anual, aunque en la práctica las sanciones a autónomos suelen ser mucho más moderadas — pero siguen siendo un riesgo real, sobre todo si un cliente presenta una reclamación ante la Agencia Española de Protección de Datos.

Por dónde empezar

Un diagnóstico rápido de qué datos tratas realmente, con qué finalidad y dónde los guardas, es el primer paso antes de adaptar tu cláusula de privacidad, tus contratos con proveedores y tus medidas de seguridad. Si quieres que lo revisemos para tu actividad concreta, contacta con nosotros.

Preguntas frecuentes