RGPD: guia completa per a empreses que encara no ho tenen clar

El Reglament (UE) 2016/679, conegut com a RGPD, és aplicable directament a tota la Unió Europea des del 25 de maig de 2018. A Espanya es complementa amb la Llei orgànica 3/2018 (LOPDGDD). Vuit anys després, continua sent la norma que genera més dubtes entre les pimes i, curiosament, una de les que acumulen més multes contra petits negocis.

Aquesta guia vol ser un mapa clar per saber per on començar, sense tecnicismes innecessaris.

1. A qui s'aplica realment?

A qualsevol persona física o jurídica, pública o privada, que tracti dades personals en el marc d'una activitat. I "tractar" és pràcticament qualsevol cosa: recollir, desar, consultar, enviar, esborrar, creuar…

Exemples habituals en una pime:

• La base de dades de clients en un ERP.
• La llista de correu per als butlletins.
• Els currículums rebuts per correu electrònic.
• El registre de visites a l'oficina.
• Les càmeres de videovigilància.
• Els formularis de contacte del web.

Si fas alguna d'aquestes coses, el RGPD t'afecta.

2. Els principis bàsics

L'article 5 del RGPD enumera els principis que regeixen qualsevol tractament. Val la pena memoritzar-los:

1. Licitud, lleialtat i transparència.
2. Limitació de la finalitat: les dades es recullen per a una finalitat determinada.
3. Minimització: només les dades necessàries.
4. Exactitud: mantenir-les actualitzades.
5. Limitació del termini de conservació: no desar-les indefinidament.
6. Integritat i confidencialitat: seguretat.
7. Responsabilitat proactiva: poder demostrar el compliment.

Aquest últim principi és el que més s'oblida i el que més solen exigir les inspeccions: no n'hi ha prou de complir, cal poder-ho demostrar.

3. Bases legitimadores del tractament

Qualsevol tractament s'ha de basar en una base legal. Les sis del RGPD són:

• El consentiment de la persona interessada.
• L'execució d'un contracte.
• El compliment d'una obligació legal.
• L'interès vital.
• L'interès públic.
• L'interès legítim del responsable.

Un error molt freqüent en les pimes és demanar el consentiment per a tot. En realitat, la majoria de tractaments habituals (facturació, gestió laboral, comptabilitat) es basen en una obligació legal o en l'execució d'un contracte, no en el consentiment.

4. Documentació mínima

Tota empresa hauria de tenir, com a mínim:

4.1. Registre d'activitats de tractament (RAT)

Un document intern on constin tots els tractaments que fas: finalitats, categories de dades, destinataris, terminis de conservació i mesures de seguretat. És obligatori llevat d'excepcions molt limitades.

4.2. Clàusules informatives

Textos que es mostren quan reculls dades: web, formularis, correus, contractes laborals. Han d'explicar qui és el responsable, per a què es tracten les dades, la base legal, els destinataris, els terminis i els drets.

4.3. Contractes amb els encarregats del tractament

Si treballes amb proveïdors que accedeixen a dades personals (gestoria, servei de nòmines, allotjament web, CRM al núvol), necessites un contracte d'encàrrec del tractament (article 28 del RGPD).

4.4. Anàlisi de riscos

Un document raonablement breu on identifiquis els riscos dels teus tractaments i les mesures per mitigar-los.

4.5. Procediment per atendre els drets

Com respons quan algú et demana accedir a les seves dades, rectificar-les, esborrar-les, etc. Tens un mes per respondre.

5. Galetes i llocs web

Aquest és probablement el punt en què més webs de pimes incompleixen. Les regles clau:

• Només es poden instal·lar galetes estrictament necessàries abans del consentiment.
• El bàner ha d'oferir, en el primer nivell, l'opció de rebutjar de manera tan senzilla com acceptar.
• No es permeten els "murs de galetes" (obligar a acceptar per navegar) llevat de casos molt excepcionals.
• La política de galetes ha de ser específica i detallada.

6. Videovigilància laboral

Un altre clàssic de les sancions. Les regles resumides:

• Un cartell informatiu visible a totes les entrades.
• Informació detallada disponible (codi QR o similar).
• Prohibida a les zones de descans, als vestidors i als lavabos.
• Gravació d'àudio: només excepcional i molt justificada.
• Termini màxim de conservació: 30 dies, llevat que hi hagi denúncies.

7. Bretxes de seguretat

Si pateixes un incident de seguretat (per exemple, un atac de ransomware o el robatori d'un portàtil amb dades), tens 72 hores per notificar-ho a l'AEPD, llevat que sigui improbable que comporti un risc. També s'ha de comunicar a les persones afectades si el risc és alt.

Recomanació: tingues un protocol escrit amb els passos, encara que sigui breu.

8. Sancions reals

Les multes del RGPD poden arribar fins a 20 milions d'euros o el 4% de la facturació anual global. A la pràctica, per a les pimes, es veuen sancions des de 900 € (falta lleu, després d'aplicar les reduccions per pagament anticipat i reconeixement) fins a 40.000-60.000 € en casos greus.

Exemples habituals de sancions a pimes el 2025-2026:

• Manca de cartell de videovigilància: 2.000 - 6.000 €.
• Política de privacitat insuficient: 3.000 - 10.000 €.
• No atendre un dret de supressió: 5.000 - 20.000 €.
• Enviament de correus comercials sense consentiment: 1.500 - 30.000 €.

9. Necessito un delegat de protecció de dades (DPD)?

Només és obligatori en casos concrets (autoritats públiques, tractaments a gran escala de dades sensibles, seguiment sistemàtic, determinats sectors regulats). La majoria de pimes no en necessiten, tot i que pot ser útil designar algú responsable de la matèria.

10. Pla d'acció pràctic

Si comences de zero:

1. Fes un inventari de tots els tractaments que fas.
2. Redacta el registre d'activitats.
3. Revisa i adapta les clàusules informatives.
4. Signa els contractes amb els encarregats.
5. Adapta el web (privacitat, galetes, formularis).
6. Forma el personal, encara que sigui amb una sessió breu cada any.
7. Deixa constància de tot per escrit.

Amb això tindràs una base sòlida que resisteix una inspecció estàndard.

Conclusió

El RGPD fa por pel nom i per les xifres de les sancions, però a la pràctica és assumible si s'aborda amb mètode. La clau no és ser perfecte, sinó ser diligent i poder-ho demostrar.

Contingut informatiu. Per a casos concrets, sobretot en tractaments complexos, consulta un professional de la protecció de dades.