Por Marketing Creación (Gabriela y Raúl) · Revisado el 19 de octubre de 2026
En cuanto guardas el teléfono de un cliente, envías un presupuesto por correo o tienes un formulario en tu web, estás tratando datos personales y te aplica el Reglamento General de Protección de Datos (RGPD). No hace falta ser una gran empresa: las obligaciones existen igual, aunque adaptadas al tamaño y al riesgo de tu actividad.
En resumen
- Informa a tus clientes de qué datos tratas, para qué y con qué base legal.
- Firma un contrato de encargado del tratamiento con los proveedores que acceden a datos (hosting, gestoría, CRM, email marketing).
- Protege los datos con medidas razonables y avisa a la AEPD de una brecha grave en 72 horas.
- Atiende los derechos de acceso, rectificación o supresión en el plazo de un mes.
¿Me afecta el RGPD si soy autónomo?
Sí, si tratas datos de personas físicas en tu actividad: clientes, proveedores autónomos, empleados o visitantes de tu web. Solo quedan fuera los usos puramente personales o domésticos. La normativa aplicable es el RGPD (Reglamento UE 2016/679) y la Ley Orgánica 3/2018 (LOPDGDD).
Las obligaciones principales
1. Informar con transparencia
Cuando recoges datos, debes explicar quién eres, para qué los usas, con qué base legal, cuánto tiempo los guardas, a quién se los comunicas y cómo ejercer los derechos. En la web se hace con la política de privacidad y una primera capa informativa en cada formulario. Lo explicamos en textos legales de una web.
2. Tener una base legal para cada tratamiento
| Tratamiento | Base legal habitual |
|---|---|
| Hacer un presupuesto o prestar el servicio contratado | Ejecución de un contrato o medidas precontractuales |
| Facturar y guardar facturas | Obligación legal |
| Enviar newsletter o publicidad | Consentimiento (o interés legítimo con clientes, en condiciones concretas) |
| Videovigilancia del local | Interés legítimo, con cartel informativo |
3. Contratos con tus proveedores
Si un proveedor accede a datos por tu cuenta (hosting, gestoría, programa de facturación, CRM, herramienta de newsletter), necesitas un contrato de encargado del tratamiento. Muchos proveedores lo incluyen en sus condiciones: búscalo y guárdalo.
4. Medidas de seguridad
Contraseñas fuertes, verificación en dos pasos, copias de seguridad, equipos actualizados y acceso solo a quien lo necesite. Tienes una guía práctica en ciberseguridad para autónomos en 10 pasos.
5. Brechas de seguridad
Si pierdes datos, te roban el portátil o te hackean el correo y puede haber riesgo para las personas afectadas, debes notificarlo a la AEPD en un máximo de 72 horas y, si el riesgo es alto, avisar también a los afectados.
6. Derechos de las personas
Tus clientes pueden pedirte acceso a sus datos, rectificarlos, suprimirlos, oponerse a ciertos usos, limitarlos o portarlos. Tienes un mes para responder.
7. Registro de actividades de tratamiento
Las organizaciones con menos de 250 empleados están exentas salvo que el tratamiento sea habitual, implique riesgos o afecte a datos sensibles. En la práctica, muchos autónomos tratan datos de clientes de forma habitual, así que es recomendable tener un registro sencillo. La herramienta gratuita Facilita RGPD de la AEPD te ayuda a generarlo.
Casos habituales
- WhatsApp con clientes: usa WhatsApp Business, no compartas datos en grupos y no reenvíes conversaciones a terceros.
- Datos de salud (fisioterapeutas, psicólogos, centros de estética): son datos especialmente protegidos; necesitas medidas reforzadas y, normalmente, consentimiento explícito o base legal específica.
- Fotos de trabajos con personas reconocibles: pide consentimiento antes de publicarlas.
- Listas de correo: solo a quien se haya suscrito o sea cliente con las condiciones legales, con enlace de baja en cada envío.
Checklist rápida
- Política de privacidad actualizada y primera capa en formularios.
- Banner de cookies con aceptar, rechazar y configurar.
- Contratos de encargado con tus proveedores guardados.
- Registro de actividades hecho con Facilita RGPD.
- Contraseñas fuertes y verificación en dos pasos.
- Copias de seguridad automáticas.
- Procedimiento para responder derechos en un mes.
- Plan de actuación ante brechas.
Sanciones
La AEPD puede imponer apercibimientos y multas. En pequeños negocios, las sanciones suelen venir de reclamaciones de clientes: envíos publicitarios sin consentimiento, datos expuestos o cámaras mal señalizadas.
Preguntas frecuentes
¿Necesito un delegado de protección de datos?
Normalmente no, salvo en actividades concretas que la ley enumera (por ejemplo, centros sanitarios con historias clínicas a gran escala o centros educativos).
¿Puedo guardar los datos de clientes para siempre?
No. Guárdalos mientras dure la relación y, después, solo durante los plazos legales (por ejemplo, los fiscales para las facturas).
Sigue leyendo
- Ciberseguridad para autónomos: guía básica en 10 pasos (guía principal)
- Textos legales de una web: aviso legal, privacidad y cookies explicados para autónomos
- Qué es un CRM y si lo necesitas siendo autónomo
- Estafas que suplantan a Hacienda y a la Seguridad Social: cómo detectarlas y qué hacer
Fuentes oficiales
- Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD)
- AEPD: Facilita RGPD y guías para pymes
Aviso: contenido informativo, no es asesoramiento jurídico. Si tratas datos sensibles o a gran escala, consulta con un profesional de protección de datos.
