RGPD pyme 2026: práctico, sin teoría innecesaria.
Lo que una pyme tiene que cumplir en 2026: registro tratamientos, base legal, derechos ARSULIPO, gestión brechas, transferencias internacionales y el solapamiento con AI Act. Aplicable mañana mismo.
Actualizado mayo 2026
RGPD no es burocracia: es protección legal de la empresa.
El RGPD y la LOPDGDD son el marco legal de tratamiento de datos personales en España. Mucha pyme lo vive como burocracia o teatro. La realidad: cumplir bien protege de multas (10-20M€ o 4% facturación), pero sobre todo protege del cliente que reclama, del competidor que denuncia y del exempleado que se va con datos.
La AEPD en España es una de las autoridades europeas más activas. En 2024-2025 ha sancionado a centenares de pymes por: registro de tratamientos inexistente o desactualizado, brechas no notificadas, base legal incorrecta (sobre todo cookies y marketing), gestión deficiente derechos de los interesados, contratos encargado tratamiento ausentes.
En 2026 el RGPD se solapa cada vez más con el AI Act (datos personales tratados por IA), el Data Act (datos no personales y compartición), y la NIS2 (ciberseguridad). La pyme con compliance básico bien hecho está cubierta para casi todo. Ver también AI Act por sector y GDPR LLMs.
Las cuatro obligaciones que toda pyme tiene que cumplir
Registro de actividades de tratamiento
Documento interno con todos los tratamientos: empleados, clientes, proveedores, candidatos, marketing, web. Por cada uno: finalidad, base legal, categorías datos, plazo conservación, destinatarios. Sin esto, presunción de incumplimiento.
Base legal documentada
Cada tratamiento bajo una de las 6 bases legales RGPD: consentimiento, contrato, obligación legal, interés vital, misión interés público, interés legítimo. Marketing necesita consentimiento o interés legítimo justificado.
Política privacidad accesible y completa
Política privacidad en web actualizada con: identidad responsable, finalidades, bases legales, plazo conservación, destinatarios, transferencias internacionales, derechos del interesado. Vínculo desde formularios. Sin esto, base legal cae.
Gestión derechos ARSULIPO en plazo
Acceso, Rectificación, Supresión, Limitación, Portabilidad, Oposición. Plazo 1 mes (ampliable 2 más si complejidad justificada). Procedimiento interno claro. No responder o responder mal genera sanción casi automática si reclaman.
Lo que sí complica en RGPD de pyme.
1. Marketing y cold email B2B. Base legal: interés legítimo si destinatario en rol profesional + oferta relevante + opt-out fácil. Marketing a particulares: consentimiento previo expreso. Mezclar criterios es la mayor causa de sanción AEPD en marketing. Ver cold mailing B2B legal.
2. Cookies y tracking web. Política cookies actualizada, banner cookies con opciones reales (no solo "aceptar todo"), bloqueo cookies analítica/marketing antes de consentimiento. Plausible/Fathom resuelven la analítica sin cookies. AEPD muy activa sancionando aquí.
3. Transferencias internacionales (USA). Usar Google Analytics, HubSpot, ChatGPT, Salesforce implica transferencia datos UE-USA. Base legal: DPF (Data Privacy Framework, 2023) si proveedor adherido + cláusulas contractuales tipo. Documentar evaluación impacto si datos sensibles.
4. Encargados tratamiento (proveedores SaaS). Contrato encargado tratamiento (28 RGPD) con cada SaaS que trata datos por ti: CRM, email marketing, atención cliente, ERP, RRHH. Casi todos lo tienen estandarizado. Pyme que no los firma se expone.
5. Brechas de seguridad. Si tienes brecha (ataque ransomware, fuga datos, error humano que filtra), tienes 72 horas para notificar AEPD (si riesgo). Si afecta a interesados con riesgo alto, también notificarles. No notificar bien es agravante en sanción posterior. Ver consultoría IA pymes.
Cómo poner RGPD en orden si lo tienes flojo
Semana 1-2 · Auditoría inicial
Inventario tratamientos actuales (clientes, empleados, marketing, web, RRHH, proveedores). Estado registro actividades, política privacidad, cookies, contratos encargado. Identificar gaps críticos.
Semana 3-4 · Registro actividades actualizado
Documento Registro de Actividades de Tratamiento (RAT) por cada tratamiento. Plantilla AEPD si pyme estándar. Asignar base legal coherente con uso real.
Semana 5-6 · Política privacidad, cookies, contratos
Política privacidad reescrita y publicada. Banner cookies bien configurado con preferencias reales. Solicitar contratos encargado tratamiento a SaaS sin firmar. Actualizar avisos legales web.
Semana 7-9 · Procedimientos internos
Procedimiento ARSULIPO documentado y operativo (cómo se recibe solicitud, quién responde, plazo, formato). Procedimiento brechas (detección, notificación 72h, comunicación afectados). Formación equipo.
Semana 10-12 · DPIA y residuos
Evaluación impacto (DPIA) en tratamientos de alto riesgo (IA, vigilancia, scoring). Revisión cuentas SaaS proveedores con datos personales. Política conservación y borrado documentada.
Lo que más sanciona AEPD a pymes
Registro de actividades inexistente o desactualizado
Pyme con RAT de hace 5 años o sin él. Cuando inspecciona AEPD, pide RAT en 24h. Si no existe o no refleja realidad: sanción casi automática.
Banner cookies que no permite rechazar
Banner con "aceptar todo" como única opción real (el "rechazar" requiere 4 clics). Hasta 2026 AEPD multa esto cada vez más. Cookiebot, Iubenda, Onetrust resuelven con compliance real.
Cold email B2C disfrazado de B2B
Email a autónomo o profesional liberal en su rol personal sin consentimiento previo. Si la oferta no es claramente B2B profesional, no vale interés legítimo. Sanción típica 6K-50K.
Brecha sin notificar en plazo
Ataque ransomware o fuga datos no notificada AEPD en 72h. Cuando AEPD se entera por otra vía (denuncia, prensa, autoridad), el incumplimiento de notificación agrava la sanción del incidente original.
Contratos encargado no firmados
Pyme con 12 SaaS que tratan datos clientes y ningún contrato encargado firmado. Cuando inspecciona AEPD, pide contratos. La mayoría SaaS los tiene digital, pero si no firmaste, no estás cubierto.
Dudas que nos hacéis llegar
¿Tienes el RGPD en orden o llevas años con la documentación a medias?
Diagnóstico + plan compliance realista pyme + soporte continuo. Sin teoría, sin papelorio inútil. Lo que realmente protege a tu empresa.