Usted administra un expediente del clientetú envías boletínSi tiene empleados y utiliza una cámara en sus instalaciones, entonces está procesando datos personales y el RGPD le es aplicable en su totalidad. Sin embargo, según el Barómetro France Num 2025, Solo el 41% de las microempresas/pymes mantienen un registro de actividades de procesamiento.Esta obligación se aplica a todas las empresas, independientemente de su tamaño. Esta guía explica, sin jerga legal, qué exige el RGPD en términos concretos y cómo cumplirlo paso a paso.
RGPD: Definición y principios fundamentales
El RGPD, o Reglamento General de Protección de Datos, es el Reglamento europeo n.º 2016/679, de 27 de abril de 2016. Entró en vigor el 25 de mayo de 2018 en todos los Estados miembros de la Unión Europea, sustituyendo a la Directiva 95/46/CE de 1995. A diferencia de una directiva, un reglamento se aplica directamente, sin transposición nacional. En Francia, se complementa con la Ley de Protección de Datos de 6 de enero de 1978 (modificada en 2018) y está supervisado por la CNIL (Comisión Nacional de Informática y Libertades).
Su principal objetivo es reforzar los derechos de las personas sobre sus datos personales, armonizando las normas dentro de la UE para crear un marco jurídico único. Asimismo, introduce el principio de responsabilidad, es decir, la obligación de proporcionar información y demostrar el cumplimiento.
Los 7 principios fundamentales del RGPD (Artículo 5)
El artículo 5 del reglamento establece los principios que toda organización debe respetar al procesar datos personales:
Estos principios se aplican a usted, gerente de una empresa muy pequeña o una pequeña o mediana empresa, tan pronto como recopile el nombre de un cliente, la dirección de correo electrónico de un cliente potencial o los datos bancarios de un proveedor.
¿Quiénes se ven afectados y qué datos están protegidos?
Todas las empresas, independientemente de su tamaño.
El factor determinante no es el tamaño de su organización, sino el hecho de que procese datos personales. Una microempresa con un solo empleado que gestiona una base de datos de clientes está sujeta al RGPD al igual que una gran corporación. Las asociaciones, los trabajadores autónomos (médicos, abogados, contables) y los subcontratistas que procesan datos en nombre de un responsable del tratamiento también se ven afectados.
El RGPD también se aplica a las empresas establecidas fuera de la UE cuando se dirigen a residentes europeos. La multa de 150 millones de euros impuesta a SHEIN por la CNIL en 2025 ilustra perfectamente este principio: la marca china utilizaba rastreadores publicitarios antes de cualquier interacción con el usuario, y su ubicación fuera de la UE no la protegía.
¿Qué son los datos personales?
Los datos personales son cualquier información que permita la identificación directa o indirecta de una persona física: nombre, apellidos, dirección de correo electrónico, número de teléfono, dirección IP, datos de localización, número de cliente, fotografía, etc. La definición es amplia: una matrícula, un identificador en línea o incluso una combinación de información aparentemente inocua, tomada de forma aislada, pueden constituir datos personales.
Ejemplos concretos para una empresa muy pequeña/pequeña y mediana empresa (PYME):
Datos sensibles: una categoría aparte
El artículo 9 del RGPD prohíbe, en principio, el tratamiento de determinadas categorías de datos denominados "sensibles", que revelan el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos, los datos de salud o los datos relativos a la vida sexual o la orientación sexual.
Para una pequeña empresa o pyme, estos datos sensibles pueden aparecer en contextos inesperados: bajas por enfermedad de los empleados (datos médicos), información recabada durante una entrevista de trabajo o incluso imágenes de un sistema de reconocimiento facial en la entrada de sus instalaciones. Su tratamiento está sujeto a condiciones estrictamente reguladas y, por lo general, requiere el consentimiento explícito del interesado.
Las 6 bases legales para el procesamiento
Todo tratamiento de datos personales debe basarse en uno de los seis fundamentos jurídicos previstos en el artículo 6 del RGPD. Esta lista es exhaustiva: si ninguno de estos fundamentos es aplicable, el tratamiento está prohibido. La elección del fundamento jurídico debe realizarse antes de iniciar el tratamiento y quedar documentada en sus registros.
1. Consentimiento (art. 6.1.a)
El individuo otorgó su consentimiento de forma libre, específica, consciente e inequívoca. El consentimiento debe poder retirarse con la misma facilidad con que se otorgó. Este es el fundamento de los boletines informativos, las cookies no esenciales y el marketing por correo electrónico B2C.
Ejemplo concreto: El formulario de suscripción al boletín informativo debe incluir una casilla de verificación sin marcar, con una declaración clara sobre el uso de los datos.
2. El cumplimiento de un contrato (art. 6.1.b)
El procesamiento de datos es necesario para la ejecución de un contrato del cual la persona es parte. Constituye la base natural para la gestión de la relación con el cliente, la facturación, la entrega o la nómina de sus empleados.
Ejemplo concreto: Usted recopila la dirección de entrega de su cliente para enviarle su pedido. No se requiere ningún consentimiento adicional.
3. La obligación legal (art. 6.1.c)
El procesamiento es obligatorio por ley o reglamento. Constituye la base para la conservación de nóminas, facturas (durante 10 años a efectos contables) y declaraciones de impuestos y seguridad social.
Ejemplo concreto: De conformidad con el Código Laboral, usted debe conservar las nóminas de sus empleados durante un mínimo de 5 años.
4. Salvaguardar los intereses vitales (art. 6.1.d)
Caso de uso excepcional, limitado a situaciones de emergencia médica en las que la persona no puede dar su consentimiento.
5. La misión de interés público (art. 6.1.e)
Reservado para autoridades públicas y organismos responsables de una misión de servicio público. No se aplica a empresas privadas tradicionales.
6. Interés legítimo (art. 6.1.f)
El responsable del tratamiento persigue un interés legítimo, siempre que los derechos y libertades fundamentales del individuo no prevalezcan sobre él. Este fundamento es flexible, pero requiere una "triple prueba" documentada: ¿Es legítimo el interés? ¿Es necesario el tratamiento? ¿Prevalecen los derechos del individuo sobre él?
Ejemplos concretos validados por la CNIL: Prospección de ventas B2B con clientes existentes, prevención de fraudes, seguridad informática, videovigilancia proporcional de las instalaciones.
Atención: La CNIL ha sancionado a varias empresas por haber invocado erróneamente el interés legítimo, en particular para justificar la vigilancia permanente de los empleados o las campañas de prospección basadas en archivos adquiridos a intermediarios de datos.
Los derechos de las personas
El RGPD otorga a las personas ocho derechos fundamentales en relación con sus datos personales (Capítulo III del reglamento). Como responsable del tratamiento de datos, debe respetar estos derechos y responder en el plazo de un mes desde la recepción de la solicitud.
Derecho de acceso (art. 15) Cualquier persona puede solicitar confirmación de que usted procesa sus datos y obtener una copia de los mismos. La respuesta es obligatoria en el plazo de un mes.
Derecho de rectificación (art. 16) La persona puede solicitar la corrección de datos inexactos o incompletos. Actualice su archivo de clientes tan pronto como un cliente le notifique un cambio de domicilio.
Derecho al olvido (“derecho a ser borrado”, art. 17) El usuario puede solicitar la eliminación de sus datos bajo ciertas condiciones (revocación del consentimiento, datos que ya no son necesarios, tratamiento ilícito). Este derecho no es absoluto: no se aplica si existe una obligación legal de conservar los datos.
Derecho a la portabilidad de los datos (art. 20) El usuario puede recuperar sus datos en un formato estructurado y legible por máquina para transmitirlos a otro proveedor de servicios. Este derecho se aplica únicamente al tratamiento de datos basado en el consentimiento o en un contrato.
Derecho a la limitación (art. 18) : la persona puede solicitar la suspensión temporal del tratamiento de sus datos, por ejemplo, mientras se verifica su exactitud.
Derecho de oposición (art. 21) El interesado tiene derecho a oponerse al tratamiento de sus datos, especialmente con fines de marketing. Este derecho es absoluto en lo que respecta al marketing: debe cesar inmediatamente.
Ley relativa a las decisiones automatizadas (art. 22) Una persona no puede ser objeto de una decisión basada únicamente en el procesamiento automatizado (puntuación, elaboración de perfiles) que produzca efectos jurídicos significativos, sin intervención humana.
Derecho a la información (artículos 13-14) : toda persona debe ser informada sobre la recopilación y el uso de sus datos, en el momento de la recopilación.
¿Cómo se pueden gestionar estas solicitudes en la práctica? Designe una dirección de correo electrónico específica (p. ej., rgpd@yourcompany.fr), registre cada solicitud con su fecha de recepción y documente su respuesta. En 2026, la CNIL (Autoridad Nacional de Informática y Libertades de Francia) sancionó a microempresas y consultorios médicos no por la infracción inicial, sino por no haber respondido a las solicitudes de los interesados. El silencio constituye una infracción independiente.
Sus obligaciones específicas: procesamiento de registros, información, seguridad, subcontratistas
El registro de actividades de tratamiento (art. 30)
Este es su documento central de cumplimiento normativo. Todas las empresas, independientemente de su tamaño, están obligadas a mantener este registro. La creencia errónea de que las empresas con menos de 250 empleados están exentas es falsa: la exención solo se aplica a algunos casos muy específicos de procesamiento ocasional y de bajo riesgo, no a la obligación general.
Para una empresa muy pequeña/pequeña y mediana empresa (PYME), este registro puede adoptar la forma de una tabla simple que enumere, para cada actividad de procesamiento:
La CNIL proporciona una Plantilla de registro simplificada adecuada para pequeñas organizaciones..
La obligación de proporcionar información
Debe informar a las personas afectadas en el momento en que se recopilen sus datos. Esta información puede incluirse en:
La información debe ser clara, accesible y estar escrita en francés. La CNIL (Autoridad Nacional de Informática y Libertades de Francia) sancionó a una empresa por publicar su política de privacidad únicamente en inglés.
La obligación de seguridad (art. 32)
Debe implementar medidas técnicas y organizativas adecuadas para proteger los datos. Para una empresa muy pequeña o una pequeña y mediana empresa (PYME), esto significa, en términos concretos:
Regulación de subcontratistas (art. 28)
Cualquier proveedor de servicios que procese datos en su nombre (proveedor de alojamiento web, software de facturación, contable, agencia de marketing) es un encargado del tratamiento de datos según el RGPD. Debe suscribir un contrato por escrito con ellos que contenga cláusulas específicas sobre protección de datos: finalidades del tratamiento, medidas de seguridad, obligaciones de confidencialidad y qué sucede con los datos al finalizar el contrato.
Ejemplo concreto: Si utiliza software CRM En el modo SaaS para gestionar a sus clientes, compruebe que el editor ofrece un acuerdo de procesamiento de datos (APD) que cumpla con el RGPD.
Responsable de Protección de Datos (RPD), evaluación de impacto (EPI): ¿en qué casos?
El Responsable de Protección de Datos (RPD)
El nombramiento de un DPO es obligatorio en tres casos específicos (Artículo 37 del RGPD):
Por lo tanto, para una microempresa o PYME, el DPO no es obligatorio si no se cumple ninguna de estas condiciones. Sin embargo, se recomienda encarecidamente designar un «responsable interno del RGPD», es decir, una persona encargada de supervisar el cumplimiento, aunque no tenga un cargo oficial. Esta persona podría ser usted mismo, un empleado o un proveedor de servicios externo.
Evaluación de Impacto en la Protección de Datos (EIPD)
La Evaluación de Impacto en la Protección de Datos (EIPD) es obligatoria antes de cualquier tratamiento de datos que pueda suponer un alto riesgo para los derechos y libertades de las personas (Artículo 35 del RGPD). La CNIL (Autoridad Francesa de Protección de Datos) ha publicado una lista de nueve categorías de tratamiento para las que se requiere sistemáticamente una EIPD.
Casos específicos en los que una microempresa o una pequeña o mediana empresa (PYME) puede verse afectada:
Si no se encuentra dentro de estas categorías, la Evaluación de Impacto en la Protección de Datos (EIPD) no es obligatoria. Sin embargo, una evaluación de riesgos proporcional sigue siendo una buena práctica.
Cumplimiento normativo en 7 pasos para pequeñas y medianas empresas (PYMES)
Aquí tienes un plan de acción concreto, sin jerga técnica, para ayudarte a cumplir con la normativa.
Paso 1: Designar un representante del RGPD
Designa a una persona (tú mismo o un empleado) para que supervise el cumplimiento. Esta persona será el punto de contacto para las solicitudes de ejercicio de derechos y para cualquier posible auditoría por parte de la CNIL (Autoridad Francesa de Protección de Datos).
Paso 2: Planifique sus tratamientos y cree su registro.
Enumere todas las actividades para las que recopila datos: archivo de clientes, gestión de empleados, boletín informativo, formulario de contacto, videovigilancia, contabilidad. Para cada una, proporcione la información requerida por el artículo 30. Utilice la plantilla simplificada de la CNIL disponible en [dirección web]. cnil.fr.
Paso 3: Verificar y documentar su fundamento legal.
Para cada actividad de procesamiento que figure en su registro, identifique la base jurídica aplicable. Documente esta elección. Si no puede identificar una base jurídica válida, deberá cesar dicha actividad.
Paso 4: Implemente sus obligaciones de información
Redacte o actualice su política de privacidad, los avisos informativos de sus formularios y las cláusulas del RGPD en sus contratos laborales. Instale un banner de cookies que cumpla con la normativa en su sitio web si utiliza tecnologías de seguimiento.
Paso 5: Protege tus datos
Realice una auditoría rápida de sus prácticas de seguridad: contraseñas, acceso a archivos, copias de seguridad y actualizaciones. Corrija cualquier vulnerabilidad detectada. Capacite a sus empleados en las mejores prácticas.
Paso 6: Supervise a sus subcontratistas
Enumere a todos sus proveedores de servicios que procesan datos en su nombre. Verifique que haya suscrito con cada uno de ellos un acuerdo de procesamiento de datos que cumpla con el artículo 28 del RGPD.
Paso 7: Establecer un procedimiento de gestión de derechos y violaciones
Crea una dirección de correo electrónico específica para las solicitudes relacionadas con el RGPD. Mantén un registro de las solicitudes recibidas y las respuestas proporcionadas. Prepara un procedimiento de notificación de violación de datos: dispones de 72 horas para notificar a la CNIL (Autoridad Nacional de Informática y Libertades de Francia) y, si el riesgo es alto, informar a las personas afectadas.
Filtraciones de datos y sanciones: ¿qué riesgos reales corre?
Notificación de violaciones de datos (Artículos 33-34)
En caso de una violación de datos (piratería informática, pérdida de un ordenador, envío de un correo electrónico a la persona equivocada, acceso no autorizado a su archivo de clientes), deberá notificarlo a la CNIL (Autoridad Francesa de Protección de Datos) en un plazo de 72 horas desde que tenga conocimiento del incidente. Si la violación supone un alto riesgo para las personas afectadas, también deberá informarles directamente.
La notificación se realiza en el portal de la CNIL (notificaciones.cnil.frAunque no esté seguro de la gravedad del incidente, lo mejor es informar y documentar su análisis.
Las sanciones: dos niveles de multas
El RGPD prevé un régimen de sanciones de dos niveles:
Nivel 1 (art. 83.4): hasta 10 millones de euros o el 2% de la facturación anual global por deficiencias técnicas (registro incompleto, notificación tardía, incumplimiento de la evaluación de impacto sobre la protección de datos).
Nivel 2 (art. 83.5): hasta 20 millones de euros o el 4% de la facturación anual global por violaciones de derechos fundamentales, consentimiento o transferencias internacionales.
La realidad de las sanciones para las microempresas y las pequeñas empresas.
Las multas cuantiosas acaparan los titulares, pero la realidad estadística también afecta a las pequeñas empresas. En 2025, la CNIL (Autoridad Nacional de Informática y Libertades de Francia) impuso 83 sanciones por un total de 486,8 millones de euros, y más del 60 % de estas sanciones se dirigieron a pymes. En 2026, casi todas las primeras 23 sanciones impuestas mediante procedimientos simplificados afectaron a microempresas, consultorios médicos y bufetes de abogados.
El procedimiento simplificado, creado en 2022, permite a la CNIL (Autoridad Nacional de Informática y Libertades de Francia) sancionar rápidamente las infracciones comunes con multas de hasta 20 000 €, sin necesidad de una audiencia pública. Para una empresa de cinco personas, 10 000 € suelen representar el margen de beneficio de todo un trimestre.
Las infracciones más frecuentemente sancionadas en microempresas y pequeñas empresas:
Este último punto merece especial atención: el silencio ante la CNIL constituye una infracción independiente prevista en el artículo 31 del RGPD, y a menudo es esto lo que transforma un caso banal en una sanción agravada.
Preguntas frecuentes: Sus preguntas sobre el RGPD
Mi empresa tiene menos de 10 empleados, ¿realmente me afecta el RGPD?
Sí, sin excepción. El RGPD se aplica a cualquier organización que procese datos personales, independientemente de su tamaño. En cuanto gestione una base de datos de clientes, tenga empleados o utilice un formulario de contacto en su sitio web, estará sujeto al RGPD. El procedimiento simplificado de la CNIL está diseñado específicamente para pequeñas empresas, y las resoluciones de 2026 se refieren principalmente a microempresas y autónomos.
¿Tengo que nombrar un responsable de protección de datos (DPO)?
No, salvo en los casos previstos por el RGPD. La designación de un Delegado de Protección de Datos (DPD) solo es obligatoria para organismos públicos, aquellos que procesan datos sensibles a gran escala o cuya actividad principal consiste en el seguimiento sistemático y exhaustivo de personas. No obstante, se recomienda encarecidamente designar una persona de contacto interna para el RGPD, aunque sea de forma informal.
¿Cuánto tiempo debo conservar los datos de mis clientes?
No existe un periodo de conservación universal: depende de la finalidad del tratamiento. Para la gestión empresarial, la CNIL (Autoridad Nacional de Informática y Libertades de Francia) recomienda conservar los datos de los clientes activos durante la vigencia de la relación comercial y, posteriormente, durante tres años con fines de marketing una vez finalizada dicha relación. Las facturas deben conservarse durante 10 años por motivos contables y fiscales. Los datos de los candidatos no seleccionados no deben conservarse durante más de dos años. Documente estos periodos de conservación en sus registros.
¿Qué debo hacer si recibo una solicitud de eliminación de un cliente?
Debe responder en el plazo de un mes. Si la solicitud es legítima (el cliente retira su consentimiento, los datos ya no son necesarios), debe eliminar sus datos de sus archivos activos. Nota: si tiene la obligación legal de conservar los datos (por ejemplo, las facturas deben guardarse durante 10 años), puede negarse a eliminar esa parte de los datos, pero debe informar claramente al cliente. Documente siempre su respuesta.
Gestionar el cumplimiento del RGPD implica centralizar y proteger los datos de tus clientes, potenciales clientes y equipos. Djaboo, el software CRM integral diseñado para pymes francesas, te ayuda a organizar tus relaciones con los clientes, la facturación y los proyectos en un único lugar seguro, con acceso controlado y fácil trazabilidad de los datos. Para obtener más información, visita [djaboo.com](https://djaboo.com).
