Normativa de protección de datos y ciberseguridad para pymes: qué te obliga de verdad en España

Si tienes una empresa pequeña en España y llevas meses recibiendo correos que te dicen que estás incumpliendo el RGPD, que NIS2 te obliga y que necesitas un delegado de protección de datos, esta guía es para poner orden. La mayoría de esos mensajes son argumentario comercial. Pero debajo hay un núcleo de obligaciones que sí te aplican, que son menos de las que te venden y más concretas de lo que parecen, y que puedes tener resueltas en un par de tardes.

Aquí vas a encontrar qué leyes te tocan según lo que hace tu empresa, qué tienes que poder enseñar si alguien te reclama, qué plazos corren cuando algo sale mal, y qué es directamente falso de lo que te han contado. Aviso desde el principio: esto es orientación práctica escrita por gente de seguridad, no asesoramiento jurídico. Al final del artículo insisto en ello.

Qué leyes te aplican realmente según lo que hace tu empresa

El mapa rápido. Busca tu caso y quédate con lo que te toca:

• Tienes una web, aunque solo sea informativa, y un formulario de contacto. Te aplican el RGPD y la LOPDGDD, y te aplica la LSSI-CE en lo referente a la información que debes publicar y a las cookies. Esto es el suelo mínimo: no hay empresa con web que se libre.
• Vendes online o tienes área de clientes. Todo lo anterior más las obligaciones de contratación electrónica, más un nivel de exigencia superior en seguridad, porque manejas más datos y datos más delicados.
• Envías comunicaciones comerciales por correo o mensajería. Añade el artículo 21 de la LSSI-CE, que es donde más sanciones se llevan las pymes por pura desconocimiento.
• Tienes cámaras, control horario o datos de salud de empleados. Sube el nivel: son tratamientos que la AEPD mira con lupa.
• Trabajas para la administración pública. Entra en juego el Esquema Nacional de Seguridad, y ahí sí hay certificaciones de por medio.
• Operas en un sector como energía, sanidad, transporte, agua, banca, infraestructura digital o gestión de servicios TIC, y superas cierto tamaño. Entonces sí hay que mirar NIS2 en serio.
• Emites facturas. La normativa antifraude y los requisitos de los sistemas de facturación te afectan aunque no lo veas como «ciberseguridad», porque hablan de integridad e inalterabilidad de registros.

Si tu empresa está en las dos primeras líneas y en ninguna de las demás, que es el caso más habitual, tu trabajo de cumplimiento es muchísimo más corto de lo que te han hecho creer. El detalle completo para ese escenario está en RGPD para una web pequeña: qué te obliga de verdad y qué no.

RGPD y LOPDGDD: las cinco obligaciones que sí tiene una pyme

El Reglamento europeo 2016/679 y la Ley Orgánica 3/2018 son la base. De todo su contenido, cinco cosas concentran lo que de verdad te van a pedir.

1. Tener una base legal para cada tratamiento

No puedes tratar datos «porque sí». Cada uso necesita apoyarse en una de las bases del artículo 6, y en una pyme normal se reducen a estas cuatro:

• Ejecución de un contrato: los datos del cliente al que vendes o prestas un servicio. No necesitas su consentimiento para facturarle.
• Obligación legal: conservar facturas, cumplir con Hacienda o con la Seguridad Social.
• Interés legítimo: prevenir el fraude o proteger tus sistemas, por ejemplo. Exige que hayas valorado y anotado que tu interés no aplasta los derechos del afectado.
• Consentimiento: newsletter, cookies no necesarias, cesiones a terceros. Libre, específico, informado y con acción afirmativa: una casilla premarcada no vale.

El error clásico es pedir consentimiento para todo, incluso para lo que ya cubría el contrato. No es más garantista: es peor, porque el consentimiento se retira y te quedas sin base para algo que necesitabas hacer.

2. Informar antes de recoger los datos

Quien te da sus datos tiene que saber quién eres, para qué los usas, con qué base legal, a quién se los vas a ceder, cuánto los conservas y cómo ejercer sus derechos. En la práctica esto se resuelve con una política de privacidad completa y con una información breve junto a cada formulario que enlace a ella. Qué textos son obligatorios y qué debe decir cada uno lo tienes en aviso legal, privacidad y cookies: qué textos son obligatorios.

3. Llevar el registro de actividades de tratamiento

Es el documento que más se ignora y el primero que te piden. Existe una exención teórica para empresas de menos de 250 empleados, pero está tan llena de excepciones que en la práctica casi ninguna pyme queda fuera: basta con que el tratamiento no sea ocasional, y gestionar clientes y nóminas no tiene nada de ocasional.

La buena noticia es que no es un documento complicado. Es una tabla donde, por cada actividad (clientes, proveedores, empleados, currículums recibidos, newsletter, videovigilancia), anotas finalidad, base legal, categorías de datos, destinatarios, plazo de conservación y medidas de seguridad. Cómo montarlo desde cero está en el registro de actividades de tratamiento de una pyme.

4. Atender los derechos de las personas

Acceso, rectificación, supresión, limitación, portabilidad y oposición. Tienes un mes para responder, prorrogable dos meses más si el caso es complejo, avisando de la prórroga. Lo importante operativamente: necesitas un procedimiento, aunque sea de media página, que diga quién recibe la solicitud, cómo se verifica la identidad, quién la resuelve y dónde se archiva la respuesta. Sin eso, la primera solicitud te pilla improvisando y se pasa el plazo.

5. Aplicar medidas de seguridad apropiadas

El artículo 32 no da una lista cerrada, y ahí está la trampa: te obliga a decidir tú qué es apropiado según el riesgo, el estado de la técnica y el coste. Traducido a una empresa pequeña, hay un conjunto de medidas que sí son defendibles y otras cuya ausencia es difícil de justificar hoy: copias de seguridad probadas, control de accesos con contraseñas únicas y segundo factor, actualizaciones al día, cifrado en tránsito y registro de quién accede a qué. Cómo se aterriza esto y cómo se documenta la decisión está en qué son las medidas de seguridad apropiadas del RGPD.

Y una que probablemente no te aplica: el delegado de protección de datos solo es obligatorio en supuestos concretos (tratamiento a gran escala, categorías especiales, y la lista de casos del artículo 34 de la LOPDGDD, como centros educativos, entidades financieras o aseguradoras). Una asesoría de seis personas o un taller no necesitan uno. Si te lo venden como obligatorio sin preguntarte a qué te dedicas, ya sabes qué te están vendiendo.

LSSI-CE: lo que obliga a tu web, tus cookies y tus correos comerciales

La Ley 34/2002 es la otra pata, y la que más se olvida porque no lleva la etiqueta de «protección de datos».

Información obligatoria en tu web (artículo 10): denominación social, NIF, domicilio, correo electrónico de contacto, datos de inscripción en el Registro Mercantil si estás inscrito, y los datos del colegio profesional y el título académico si ejerces una profesión regulada. Sí, también si eres autónomo. Sí, aunque no vendas nada online. Y no, poner solo un formulario de contacto no cumple: hace falta un medio de contacto directo y efectivo.

Comunicaciones comerciales (artículo 21): no puedes enviar publicidad por correo electrónico o equivalente sin consentimiento previo, con una excepción importante: si obtuviste el correo en el marco de una relación contractual previa y le ofreces productos o servicios similares a los contratados. En todos los casos debes ofrecer una forma sencilla y gratuita de oponerse, en cada envío. El detalle de qué se puede y qué no, incluida la parte de comprar bases de datos (que en la práctica es donde nace la mayoría de los problemas), está en email marketing y LSSI: cuándo necesitas consentimiento. Y el resto de obligaciones de la ley, en las obligaciones de la LSSI-CE para la web de una empresa.

Cookies: el punto donde más pymes incumplen sin saberlo

Aquí la clave no es tener un banner, es que el banner haga lo que dice. Lo que exige la guía de la AEPD, resumido:

• Rechazar tiene que ser tan fácil como aceptar. Un «Aceptar» destacado y un enlace pequeño de «Configurar» no cumple: ambos botones deben estar en la primera capa y con visibilidad equivalente.
• Nada se carga antes del consentimiento. Es la parte técnica que casi nadie implementa y la que invalida todo lo demás. Si tu web ya cargó la analítica o el píxel de la red social mientras el banner está en pantalla, el banner es decorativo.
• Los muros de cookies (o aceptas o no entras) solo son admisibles si ofreces una alternativa real y equivalente a quien rechaza.
• Solo están exentas las cookies estrictamente necesarias: sesión, seguridad, equilibrio de carga y personalización elegida por el usuario. La analítica de terceros no está exenta con carácter general en España, por mucho que veas lo contrario en webs grandes.
• El consentimiento caduca. Hay que renovarlo en plazos razonables y poder demostrar que se obtuvo: guarda qué se aceptó, cuándo y con qué versión del banner.

Comprobarlo tú mismo es fácil: abre tu web en una ventana nueva, pulsa F12, ve a la pestaña Aplicación o Almacenamiento y mira las cookies existentes antes de tocar el banner. Si hay algo más que la cookie de sesión y la del propio consentimiento, tienes el problema. El procedimiento completo, incluido cómo configurar el bloqueo previo sin cargarte la analítica, está en cómo poner el banner de cookies conforme a la guía de la AEPD, y la parte específica de analítica en Google Analytics y RGPD en España.

Tu cadena de proveedores: hosting, agencia y encargados del tratamiento

Tú eres el responsable del tratamiento. Tu hosting, tu agencia, tu gestoría, tu herramienta de facturación y tu plataforma de correo son encargados: tratan datos por cuenta tuya. Eso significa dos cosas que casi nunca se cumplen.

La primera: el artículo 28 exige un contrato con cada uno, con contenido mínimo tasado (objeto, duración, instrucciones, confidencialidad, seguridad, subencargados, devolución o borrado al terminar, auditorías). No vale un acuerdo verbal ni una factura. Los proveedores serios ya lo tienen redactado; el problema aparece con el freelance o la agencia pequeña que no tiene ninguno.

La segunda: si tu proveedor la lía, tú sigues respondiendo ante la AEPD. Puedes repetir contra él después, pero la persona cuyos datos se han filtrado te reclama a ti. Por eso importa tanto haber elegido proveedores que ofrezcan garantías suficientes y poder demostrar que lo comprobaste. Quién es quién en esa cadena y qué documentación pedirle a cada uno está en tu hosting y tu agencia son encargados del tratamiento.

Y si el que te lleva la web es un proveedor de mantenimiento, hay un puñado de cláusulas concretas que deberían estar en el contrato y casi nunca están: frecuencia y retención de copias, ventana de parcheo por escrito, quién limpia y quién paga si te atacan, y en cuánto tiempo te avisan a ti de un incidente (dato crítico, porque de eso depende que puedas cumplir tus 72 horas). Las tienes desglosadas en las cláusulas de seguridad que faltan en tu contrato de mantenimiento web.

Transferencias internacionales: las herramientas que ya usas envían datos fuera de la UE

Aunque nunca hayas pensado en ello, es muy probable que estés transfiriendo datos fuera del Espacio Económico Europeo: tu proveedor de correo, tu CRM, tu analítica, tu plataforma de newsletter o tu sistema de videollamadas.

El capítulo V del RGPD exige que esa transferencia tenga cobertura: una decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo con evaluación del país de destino, o alguna excepción tasada. Para Estados Unidos existe un marco de adecuación para las entidades certificadas, pero la lección de los últimos años es clara: estos marcos se recurren, así que no des por eterno el vigente.

Lo práctico: lista tus herramientas, mira en la documentación de cada una dónde aloja los datos y qué mecanismo declara, y anótalo en tu registro de tratamientos. Lo desarrollamos en transferencias internacionales de datos a Estados Unidos.

Cuando algo sale mal: brecha, plazo de 72 horas y comunicación a los afectados

Una brecha no es solo que te roben datos. El RGPD habla de tres dimensiones: confidencialidad (alguien accede a lo que no debe), integridad (los datos se alteran) y disponibilidad (los pierdes o no puedes acceder a ellos). Un ransomware que te cifra la contabilidad es una brecha aunque nadie se lleve nada. Un correo enviado con todos los destinatarios en copia visible también lo es.

El reloj de las 72 horas arranca desde que tienes constancia razonable de que ha ocurrido, no desde que terminas de investigar ni desde que arreglas la web. Esto es lo que más gente entiende mal y lo que más plazos hace saltar.

La decisión tiene tres salidas posibles:

1. No es probable que haya riesgo para los derechos de las personas: no notificas a la AEPD, pero sí lo anotas en tu registro interno de brechas, con el razonamiento por el que decidiste eso. El registro es obligatorio siempre.
2. Hay riesgo: notificas a la AEPD por su sede electrónica dentro de las 72 horas. Si no tienes toda la información, notificas lo que sabes y amplías después, que está expresamente previsto y es mucho mejor que llegar tarde con un informe perfecto.
3. Hay riesgo alto para los afectados: además comunicas a las personas afectadas sin dilación indebida, en lenguaje claro y con recomendaciones concretas.

El paso a paso de la notificación, campo por campo del formulario, está en notificar una brecha de datos a la AEPD en 72 horas, y cuándo toca avisar a los clientes y cómo redactarlo sin generar pánico ni asumir culpas de más, en cómo comunicar una brecha a los afectados. Si lo que ha pasado es concretamente un ataque a la web, el orden completo de actuación (contener sin destruir pruebas, medir alcance, cumplir plazos) está en qué obligaciones legales tienes si te atacan la web.

NIS2: a quién obliga en España y por qué te puede llegar por rebote

La Directiva (UE) 2022/2555 es la norma que más se está usando como argumento de venta y la que menos empresas pequeñas obliga directamente. Los dos filtros que tienes que aplicar, en este orden:

1. Sector. ¿Estás en alguno de los listados (energía, transporte, banca, infraestructuras de mercado financiero, sanidad, agua potable y residuales, infraestructura digital, gestión de servicios TIC, administración pública, espacio, y el segundo grupo con postal, residuos, química, alimentación, fabricación, proveedores digitales e investigación)? Si no, se acabó el análisis.
2. Tamaño. Como regla general, la directiva se dirige a empresas medianas y grandes. Las micro y pequeñas quedan fuera del ámbito directo salvo excepciones concretas (proveedores de servicios de confianza, registros de nombres de dominio, proveedores de DNS, telecomunicaciones, administración pública, o cuando eres el único prestador de un servicio esencial en un territorio).

Si estás dentro, lo que se te exige es gestión de riesgos, medidas técnicas y organizativas, y notificación de incidentes con un esquema escalonado: alerta temprana en 24 horas, notificación en 72 horas e informe final en un mes. Y algo que cambia el juego respecto al RGPD: la responsabilidad recae expresamente en el órgano de dirección, con obligación de formación.

Sobre la transposición en España, sé prudente: comprueba el estado actual antes de tomar decisiones, porque el calendario se ha ido moviendo y lo que leas en un artículo de hace meses puede haber cambiado.

El motivo por el que esto te importa aunque estés fuera del ámbito es el rebote por cadena de suministro. Las entidades obligadas deben gestionar el riesgo de sus proveedores, así que si vendes software, servicios TIC o mantenimiento a una empresa grande de un sector regulado, tu cliente te va a trasladar requisitos por contrato. No te obliga la ley: te obliga tu cliente. Lo tratamos en NIS2 y la cadena de suministro, y el análisis de aplicabilidad completo en NIS2 en España: a quién obliga de verdad.

ENS: solo si trabajas con la administración pública, pero entonces en serio

El Esquema Nacional de Seguridad (Real Decreto 311/2022) aplica al sector público y, por extensión, a las empresas que le prestan servicios que tratan información pública. Si vas a presentarte a una licitación, mira el pliego: te dirá la categoría exigida (básica, media o alta) y si necesitas declaración de conformidad o certificación por una entidad acreditada.

Es un marco exigente, con un catálogo de medidas y auditorías periódicas. No es algo que se resuelva en un mes ni con una plantilla descargada. Si tu plan de negocio pasa por vender a administraciones, es una inversión que hay que planificar con antelación. Lo aterrizamos para empresas pequeñas en ENS para una pyme que trabaja con la administración pública.

Ley antifraude y facturación verificable: la parte fiscal que también es seguridad

La normativa antifraude introdujo requisitos sobre los sistemas informáticos de facturación para garantizar la integridad, conservación, trazabilidad e inalterabilidad de los registros. Traducido: tu programa de facturación no puede permitir borrar o modificar facturas sin dejar rastro.

Dos consejos honestos. Esto lo resuelve tu proveedor de software, no tú; lo que te toca es exigirle por escrito que su versión cumple. Y el calendario de entrada en vigor se ha movido varias veces, así que confirma las fechas vigentes con tu asesor fiscal, no con un artículo, ni con este.

Sanciones reales: qué se está multando y por qué

Los importes máximos teóricos del RGPD son muy altos (hasta 20 millones de euros o el 4 % del volumen de negocio anual global, el que sea mayor), y por eso se usan tanto para asustar. La realidad para una pyme española es otra y conviene conocerla porque es la que te dice dónde poner el esfuerzo:

• Casi ninguna sanción nace de una inspección de oficio. Nacen de una reclamación: un cliente enfadado, un exempleado, un competidor.
• Los bloques que más se repiten en pequeñas empresas: cookies y banners mal implementados, videovigilancia mal señalizada, comunicaciones comerciales sin base, formularios sin información y falta de medidas de seguridad cuando ha habido una brecha.
• La LSSI tiene su propio régimen sancionador, con infracciones leves, graves y muy graves y horquillas propias, independiente del RGPD.
• La multa se puede reducir por reconocimiento de responsabilidad y por pago voluntario, y ambas reducciones son acumulables.

Lo relevante no es el importe: es el patrón. Los casos concretos están en sanciones de la AEPD a pymes: casos reales. Y para ver si hay ayudas que cubran parte del trabajo técnico, revisa qué financia de verdad el Kit Digital en ciberseguridad.

Calendario de cumplimiento: qué hacer este mes, este trimestre y este año

Este mes (lo que más te expone y menos cuesta)

1. Revisar que tu aviso legal tiene todos los datos identificativos que exige la LSSI.
2. Comprobar con F12 si tu web carga cookies antes del consentimiento, y arreglar el banner si es así.
3. Añadir la información básica de protección de datos junto a cada formulario, con enlace a la política de privacidad.
4. Activar segundo factor en el correo, el hosting y el gestor de la web.
5. Comprobar que tienes copias de seguridad y restaurar una para verificar que sirven.

Este trimestre

1. Montar el registro de actividades de tratamiento.
2. Hacer la lista de proveedores que tratan datos por ti y reclamar a cada uno el contrato del artículo 28.
3. Escribir el procedimiento de derechos y el de gestión de brechas, con nombres y plazos. Dos páginas bastan.
4. Anotar dónde aloja los datos cada herramienta que usas y con qué mecanismo de transferencia.

Este año

1. Revisar el contrato con quien te lleva la web e incorporar las cláusulas de seguridad que falten.
2. Documentar tu análisis del artículo 32: qué medidas tienes, por qué son apropiadas para tu riesgo y qué descartaste.
3. Comprobar si NIS2 te aplica, directamente o por rebote de un cliente.
4. Formar a tu equipo en lo mínimo: phishing, contraseñas y qué hacer si sospechan de algo.
5. Repasar el registro de tratamientos y actualizarlo con lo que haya cambiado.

Preguntas frecuentes de un gerente sin departamento jurídico

¿Necesito un delegado de protección de datos?

Casi con total seguridad, no, salvo que estés en uno de los supuestos tasados. Lo que sí necesitas es alguien identificado dentro de la empresa que sepa qué hacer cuando llegue una solicitud o una brecha.

¿Me sirve copiar los textos legales de otra web?

No, y además se nota inmediatamente: los datos identificativos no son los tuyos y la política de cookies describe cookies que tú no tienes. Es una de las cosas más fáciles de detectar en dos minutos.

Si me hackean, ¿me van a multar?

Sufrir un ataque no es en sí una infracción. Lo que se sanciona es no haber tenido medidas apropiadas, no haber notificado cuando tocaba o no poder demostrar nada de lo anterior. Por eso la documentación importa tanto como la técnica.

¿Es obligatorio tener certificado SSL por ley?

No hay un artículo que diga «pon HTTPS». Pero si recoges datos personales por un formulario sin cifrar el tránsito, hoy es muy difícil sostener que has aplicado medidas apropiadas. En la práctica, sí.

¿Cuánto de esto puedo hacer yo mismo?

Bastante más de lo que te dicen. Los textos legales, el registro de tratamientos, los procedimientos y el banner de cookies son abordables con tiempo y criterio. Conviene ayuda en tratamientos delicados (salud, menores, videovigilancia laboral), en evaluaciones de impacto y si ya tienes un procedimiento sancionador abierto.

Aviso importante

Todo lo anterior es orientación práctica desde el lado técnico, no asesoramiento jurídico. Las normas se modifican, los criterios de la AEPD se actualizan y tu caso concreto puede tener particularidades que cambien la respuesta. Antes de tomar una decisión con consecuencias, contrástala con un profesional del derecho.

Dicho eso, buena parte del cumplimiento se juega en cosas que se ven desde fuera: si tu web carga cookies antes de que nadie acepte nada, si tus formularios viajan cifrados, si tus textos legales están enlazados donde deben, si tu correo permite que cualquiera escriba en nombre de tu empresa. Puedes analizar tu web gratis con PathScan y ver ese estado en un minuto, sin registrarte y sin instalar nada. Es el punto de partida más barato que hay para saber por dónde te reclamarían a ti.

Seguir leyendo en esta sección

• Formulario de contacto y RGPD: qué casilla, qué texto y qué tienes que guardar
• Tu hosting y tu agencia son encargados del tratamiento: qué significa eso para ti
• RGPD para una web pequeña: qué te obliga de verdad y qué no
• Google Analytics 4 y RGPD en España: cómo usarlo sin quedarte expuesto
• Qué son las medidas de seguridad apropiadas del RGPD, traducidas a una pyme

Ver todo en RGPD y protección de datos → · Mapa completo del sitio