RGPD para pymes y asociaciones — checklist práctica 2026

El RGPD se aplica a todos — desde el autónomo hasta la asociación con quinientos socios. El mayor malentendido es: «somos tan pequeños que no nos afecta». Sí afecta. Pero para las pequeñas estructuras, las reglas suelen ser más simples de lo que parecen.

Qué exige realmente el RGPD — la versión corta

1. Solo puedes recoger datos para los que tengas una base jurídica
2. Tienes que poder decir qué tienes, por qué, dónde se guarda y quién tiene acceso
3. Las personas tienen derechos sobre sus datos — copia, rectificación, supresión
4. Debes proteger los datos técnicamente — cifrado, control de acceso, autenticación fuerte
5. En caso de brecha de seguridad tienes 72 horas para notificar a la AEPD

La checklist — 12 puntos

1. Registro de actividades de tratamiento (art. 30 RGPD)

Obligatorio para organizaciones de más de 250 empleados y para cualquier tratamiento de riesgo. En la práctica: mantenlo también si eres pequeño — la AEPD lo pide en inspecciones. Una tabla: qué / por qué / dónde / cuánto tiempo.

2. Base jurídica para cada tratamiento

Antes de tratar datos pregúntate: ¿por qué tengo derecho? Las seis bases (art. 6 RGPD): consentimiento, contrato, obligación legal, interés vital, interés público, interés legítimo. Las pymes y asociaciones usan sobre todo contrato (clientes, socios), obligación legal (facturación) y consentimiento (boletines).

3. Política de privacidad publicada y comprensible

En el pie de tu sitio. Texto plano: qué recopilas, por qué, durante cuánto tiempo, con quién compartes, derechos del interesado y cómo ejercerlos. Sin jerga.

4. Banner de cookies — solo si usas cookies no esenciales

Si solo tienes cookies de sesión (login) no necesitas banner. Si usas Analytics, AdSense o píxeles de Facebook sí — y debe permitir rechazar tan fácilmente como aceptar (criterio CNIL/AEPD).

5. Contratos de encargado del tratamiento (DPA, art. 28)

¿Usas Stripe, Mailchimp, Google Workspace? Son encargados del tratamiento y necesitas un DPA firmado. Los grandes proveedores publican uno estándar que basta con aceptar.

6. Solicitudes de acceso del interesado (DSAR)

Tienes un mes (art. 12.3 RGPD). Prepara un proceso: quién recibe la petición, cómo se exporta, plantilla de respuesta.

7. Derecho de supresión («derecho al olvido», art. 17)

Si alguien pide borrado: hazlo en 30 días, salvo retención obligatoria (las facturas se conservan por ley aunque la persona pida supresión).

8. Seguridad técnica (art. 32)

• HTTPS en todo el sitio
• Datos cifrados en reposo
• Backups en zona UE
• Acceso limitado por roles
• Autenticación fuerte (preferible sin contraseña o con 2FA)

9. Plan de gestión de incidentes

Si hay brecha: notificar a la AEPD en 72 h y, si hay alto riesgo, también a los afectados. Ten un plan escrito de antemano — buscarlo en pánico cuesta horas.

10. Datos solo en la UE/EEE (preferiblemente)

Tras la sentencia Schrems II, transferir a EE. UU. requiere cláusulas contractuales tipo (SCC) + evaluación. Lo más sencillo: elegir proveedores con hosting en la UE.

11. Minimización de datos

No recojas lo que no necesites. ¿Hace falta el número de teléfono del socio? ¿La dirección postal? Pregúntate por cada campo.

12. ¿Delegado de Protección de Datos (DPO)?

En España: obligatorio para autoridades públicas, vigilancia sistemática a gran escala o tratamiento a gran escala de datos sensibles. Para la mayoría de pymes y asociaciones: no obligatorio.

Cómo ayuda 1invoice.online

• Hospedaje UE (Supabase Fráncfort)
• Almacenamiento cifrado + TLS 1.3
• Row-level security
• Exportación con un clic a ZIP CSV+JSON
• Login magic-link — sin contraseñas que filtrar

Crea una cuenta gratis y marca varios puntos hoy mismo.