Checklist RGPD para pymes: 19 puntos para saber si cumples

Basada en el RGPD y la LOPDGDD, pensada para empresas de 1 a 250 personas. Sin tecnicismos: cada punto explica qué es y por qué importa.

Documentación básica

• Registro de actividades de tratamiento (RAT)
  Lista de qué datos tratas, para qué, con qué base legal, cuánto tiempo y quién accede. Obligatorio en la práctica para casi todas las empresas (art. 30 RGPD).
• Análisis de riesgos
  Evaluación de qué puede salir mal con los datos y qué medidas lo evitan (art. 24 y 32 RGPD).
• Evaluación de impacto (EIPD), si procede
  Necesaria cuando el tratamiento supone alto riesgo: datos de salud a gran escala, videovigilancia sistemática, perfiles… (art. 35 RGPD).
• Política de protección de datos interna
  Reglas claras para la plantilla: qué se puede hacer con los datos y qué no.

Información y consentimiento

• Cláusulas informativas en formularios, contratos y facturas
  Quien te da sus datos debe saber quién eres, para qué los usas y cómo ejercer sus derechos (art. 13 RGPD).
• Consentimientos bien recogidos
  Casillas sin marcar por defecto, separadas por finalidad y con registro de cuándo se aceptó.
• Web legal: aviso legal, privacidad y cookies
  Banner que permita aceptar y rechazar con la misma facilidad, sin cookies de analítica antes de aceptar (LSSI y guía de cookies de la AEPD).
• Carteles de videovigilancia
  Si hay cámaras: cartel informativo visible y registro del tratamiento (art. 22 LOPDGDD).

Proveedores y terceros

• Contratos de encargado del tratamiento
  Con la gestoría, el informático, el hosting, el CRM, la nube… Todos los que acceden a tus datos (art. 28 RGPD).
• Transferencias internacionales controladas
  Revisa qué herramientas guardan datos fuera del Espacio Económico Europeo y con qué garantías.

Plantilla

• Compromisos de confidencialidad firmados
  Cada persona con acceso a datos debe conocer y aceptar sus obligaciones.
• Formación en protección de datos
  Una sesión práctica evita la mayoría de incidentes: correos al destinatario equivocado, contraseñas compartidas, USB perdidos.
• Política de uso de dispositivos, email e IA
  Qué se puede subir a ChatGPT o Copilot y qué no, uso de móviles personales, teletrabajo.

Seguridad

• Copias de seguridad probadas
  No basta con hacerlas: hay que comprobar que se pueden restaurar.
• Control de accesos y contraseñas
  Cada uno accede solo a lo que necesita; doble factor en correo y sistemas críticos.
• Procedimiento de brechas de seguridad
  Saber qué hacer si se pierde o filtra información: hay 72 horas para notificar a la AEPD cuando procede (art. 33 RGPD).

Derechos y responsables

• Procedimiento para atender derechos
  Acceso, rectificación, supresión, oposición, portabilidad… Hay un mes para responder (art. 12 RGPD).
• Delegado de Protección de Datos, si es obligatorio
  Colegios profesionales, centros sanitarios y docentes, aseguradoras, entidades financieras y otros deben nombrarlo (art. 37 RGPD y 34 LOPDGDD).
• Revisión periódica
  El cumplimiento no es un papel de una vez: revisa al menos una vez al año o cuando cambie algo importante.