RGPD para PYMEs: Multas AEPD y Cómo Cumplir en 2026

El RGPD no es solo cosa de grandes empresas

Uno de los malentendidos más extendidos entre las PYMEs españolas es pensar que el Reglamento General de Protección de Datos solo aplica a grandes corporaciones o a empresas que manejan millones de datos. No es así.

El Reglamento (UE) 2016/679 (RGPD), aplicable desde el 25 de mayo de 2018, obliga a cualquier organización —sea cual sea su tamaño— que trate datos personales desde un establecimiento en la Unión Europea, o de personas que se encuentren en ella si les ofrece bienes o servicios (art. 3). Complementariamente, en España aplica la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), que adapta el RGPD al ordenamiento nacional.

Si tienes clientes, empleados o proveedores cuyos datos almacenas, gestionas o usas para comunicarte con ellos, el RGPD te aplica.

---

Lo que está sancionando la AEPD

La Agencia Española de Protección de Datos (AEPD) es el organismo supervisor en España, y en los últimos años ha dejado claro que actúa con contundencia. Entre las conductas sancionables, en empresas de cualquier tamaño, están:

• Ceder datos a terceros sin consentimiento ni otra base legal.
• Tratar datos de deudores sin base legal suficiente.
• No atender en plazo los derechos de acceso y supresión de los clientes.
• Exponer datos de salud sin las medidas de seguridad adecuadas.

El RGPD establece dos niveles de multa: hasta 10 millones de euros o el 2% del volumen de negocio anual para infracciones menos graves, y hasta 20 millones de euros o el 4% para las más graves (como tratar datos sin base legal o vulnerar los derechos de los interesados), aplicándose en cada caso la cuantía mayor (art. 83.4 y 83.5). Son máximos: la AEPD gradúa cada sanción según las circunstancias.

---

Qué necesita tu PYME para cumplir con el RGPD

Registro de actividades de tratamiento

El artículo 30 del RGPD obliga a llevar un registro interno que documente qué datos se tratan, con qué finalidad, durante cuánto tiempo, y con qué medidas de seguridad. No hay que enviárselo a nadie, pero debe estar disponible si la AEPD lo pide. La exención para empresas de menos de 250 empleados solo opera si el tratamiento es ocasional, no entraña riesgo y no incluye categorías especiales de datos (art. 30.5).

Política de privacidad y avisos legales

Cualquier formulario web, hoja de contacto o recogida de datos debe ir acompañado de información clara sobre quién trata los datos, para qué, durante cuánto tiempo y qué derechos tiene el interesado.

Base legal para cada tratamiento

No basta con recoger datos: necesitas una base legal que lo justifique. Las más habituales son el consentimiento del interesado (art. 6.1.a RGPD), la ejecución de un contrato (art. 6.1.b), el cumplimiento de una obligación legal (art. 6.1.c) o el interés legítimo (art. 6.1.f).

Contratos con encargados del tratamiento

Si usas proveedores externos que tienen acceso a datos de tus clientes —gestoría, software de facturación, plataforma de email marketing— necesitas formalizar un contrato de encargado del tratamiento (art. 28 RGPD) con cada uno de ellos.

Atención de los derechos ARCO-POL

Los interesados pueden ejercer sus derechos de Acceso, Rectificación, Cancelación/Supresión, Oposición, Portabilidad, Limitación del tratamiento y a no ser objeto de decisiones automatizadas. Debes tener un procedimiento para responderlos en el plazo legal (1 mes, prorrogable otros dos en casos complejos: art. 12.3 RGPD).

---

Cuándo es obligatorio el Delegado de Protección de Datos (DPO)

El artículo 37 del RGPD establece que la designación de un Delegado de Protección de Datos es obligatoria en tres supuestos, que el artículo 34 de la LOPD-GDD completa con una lista de entidades obligadas en todo caso:

1. Entidades públicas (salvo tribunales en ejercicio de su función judicial).
2. Empresas cuya actividad principal requiera tratamiento a gran escala de categorías especiales de datos (salud, ideología, origen racial, datos sindicales, etc.).
3. Organizaciones que realicen una observación habitual y sistemática a gran escala de interesados (por ejemplo, empresas de seguridad con cámaras, plataformas de seguimiento de usuarios).

Muchas PYMEs no están obligadas a designar DPO, pero el artículo 34 de la LOPD-GDD lo impone en todo caso a entidades como los centros docentes, los centros sanitarios obligados a llevar historias clínicas (salvo profesionales que ejercen a título individual), las aseguradoras o las empresas de seguridad privada.

---

Brechas de seguridad: tienes 72 horas

El artículo 33 del RGPD establece que, cuando se produzca una violación de seguridad que afecte a datos personales, debes notificarla a la AEPD en el plazo máximo de 72 horas desde que tengas conocimiento de ella, salvo que sea improbable que suponga un riesgo para los afectados.

Si la brecha puede ocasionar daños graves a los afectados (discriminación, pérdidas económicas, robo de identidad), también debes comunicársela directamente a esas personas sin dilación indebida.

No notificar una brecha en plazo es, por sí mismo, una infracción sancionable (art. 73.r LOPD-GDD).

---

Los 5 errores más frecuentes en PYMEs españolas

1. Política de privacidad copiada de internet sin adaptar a la actividad real de la empresa.
2. No tener contratos con los proveedores tecnológicos (el gestor de correo, el CRM, la nube).
3. Consentimiento implícito o genérico: una casilla premarcada o un texto que dice "al usar este formulario aceptas nuestra política" no vale.
4. No tener procedimiento para atender derechos: cuando un cliente pide que borres sus datos y nadie sabe qué hacer.
5. Ignorar a los empleados: los datos de la plantilla también son datos personales y necesitan su propia base legal y sus propios documentos.

---

ALY Abogados: protección de datos para empresas en Las Palmas

Cumplir con el RGPD no tiene por qué ser un laberinto burocrático, pero sí requiere hacerlo bien desde el principio. Una política de privacidad mal redactada o la ausencia de contratos con encargados puede costar mucho más caro que la asesoría preventiva. Nuestra iguala jurídica para pymes desde 99 €/mes cubre la adaptación al RGPD y las consultas del día a día.

En ALY Abogados ayudamos a PYMEs de Gran Canaria y Canarias a adaptar su funcionamiento al RGPD y la LOPD-GDD: desde el registro de actividades hasta los contratos con proveedores, pasando por la formación básica del equipo.

El despacho está liderado por Lázaro Héctor Amable Méndez, abogado colegiado n.º 5.231 del ICALPA. Consulta sin compromiso llamando al 633 572 607 o a través de nuestro formulario. La primera consulta se descuenta de los honorarios si nos encargas el asunto.