La protecci贸n de datos en las empresas incorpora ahora una exigencia espec铆fica que numerosas pymes a煤n no han identificado. La Ley 10/2025 actualiz贸 el art铆culo 23 de la LOPDGDD y estableci贸 un periodo de adecuaci贸n cuyo l铆mite llega a finales de 2026. Pasarlo por alto no es una alternativa sin consecuencias.
En este art铆culo se detalla esa actualizaci贸n, se revisan los deberes de documentaci贸n que casi ninguna pyme mantiene al d铆a y se incluye un checklist 煤til. La visi贸n es preventiva: adelantarse y cumplir antes de la primera reclamaci贸n resulta mucho m谩s econ贸mico.
La novedad que cambia la atenci贸n al cliente en 2026
La mayor铆a de las gu铆as sobre protecci贸n de datos vuelven una y otra vez a los mismos principios del RGPD desde 2018. Sin embargo, a finales de 2025 se aprob贸 una modificaci贸n espec铆fica que impacta de forma directa en c贸mo las empresas gestionan los datos de sus clientes.
Qu茅 modific贸 la Ley 10/2025 en el art铆culo 23 de la LOPDGDD
La disposici贸n final cuarta de la Ley 10/2025, de 26 de diciembre, ha modificado el art铆culo 23 de la LOPDGDD en el marco de la nueva regulaci贸n de los servicios de atenci贸n al cliente.
Entre las principales novedades, destaca que algunas comunicaciones y reclamaciones podr谩n tramitarse de forma an贸nima. Esto hace necesario revisar c贸mo se identifican esos casos y c贸mo se almacenan los datos relacionados.
Plazo hasta el 28 de diciembre de 2026: qui茅n debe adaptarse
Las empresas afectadas por esta norma tienen hasta el 28 de diciembre de 2026 para poner al d铆a sus sistemas y procesos de atenci贸n al cliente y cumplir con los nuevos requisitos.
Aunque a primera vista parece que hay tiempo de sobra, actualizar la atenci贸n al cliente suele llevar trabajo: revisar formularios, canales de contacto y procedimientos internos. Si empiezas con margen, te ahorras prisas y contratiempos de 煤ltima hora.
Esta norma impacta especialmente a quienes atienden por tel茅fono, usan formularios web o gestionan reclamaciones. Y pendiente con esto: muchas pymes lo tienen subcontratado y no siempre comprueban si su proveedor ya est谩 cumpliendo con lo que se exige ahora.
Marco legal vigente de la protecci贸n de datos para empresas
Antes de analizar cualquier cambio, es recomendable comprender bien el contexto global. Coexisten dos normativas que se apoyan entre s铆, y mezclarlas suele ser un fallo habitual, especialmente en peque帽as empresas.
Este marco se aplica independientemente de la dimensi贸n de la organizaci贸n. No hay una exenci贸n general para aut贸nomos o microempresas, aunque ciertas obligaciones se suavizan seg煤n el volumen de tratamientos efectuados.
RGPD: el reglamento europeo de aplicaci贸n directa
El Reglamento General de Protecci贸n de Datos (RGPD) se aplica de forma directa y uniforme en todos los pa铆ses de la Uni贸n Europea, sin que sea necesario transponerlo a las legislaciones nacionales.聽
Este marco com煤n establece los principios clave que deben guiar cualquier tratamiento de datos personales, como la licitud y la transparencia, as铆 como la minimizaci贸n de datos y la limitaci贸n de la finalidad, garantizando un uso responsable y proporcional.
LOPDGDD: c贸mo lo desarrolla Espa帽a
La聽Ley聽Org谩nica 3/2018 act煤a como complemento del RGPD en Espa帽a, estableciendo reglas espec铆ficas sobre cuestiones como los derechos digitales, el consentimiento de los menores o el uso de sistemas de videovigilancia y de canales internos de denuncia.
Las dos normativas operan de manera conjunta y se aplican a la vez. Cumplir 煤nicamente una deja a la empresa vulnerable ante la otra, aunque genere la enga帽osa impresi贸n de estar plenamente al d铆a.
Bases legales para tratar datos de clientes, empleados y proveedores
Todo tratamiento de informaci贸n personal debe apoyarse en una base jur铆dica v谩lida. No es suficiente contar con una finalidad razonable si no se integra en alguno de los supuestos previstos por el art铆culo 6 del RGPD.
En el contexto empresarial, las m谩s frecuentes son el consentimiento, la ejecuci贸n de un contrato, el cumplimiento de una obligaci贸n legal y el inter茅s leg铆timo. Cada una implica requisitos y evidencias documentales diferentes.
El env铆o de correos masivos a contactos profesionales sin una base legal bien definida es un fallo muy habitual. El denominado marco B2B no elimina, por s铆 solo, la necesidad de consentimiento en Espa帽a.
En el entorno laboral, el uso de datos de empleados suele justificarse por el contrato de trabajo, pero tambi茅n exige informar de forma transparente sobre cada finalidad espec铆fica, incluida la videovigilancia cuando se utilice.
Obligaciones documentales m铆nimas
Cumplir con la protecci贸n de datos no depende solo de buenas intenciones ni de mensajes gen茅ricos. Requiere documentos concretos, claros y verificables que respalden c贸mo se gestionan los datos en la pr谩ctica.聽
Adem谩s, estos documentos deben revisarse y mantenerse actualizados de forma peri贸dica: no basta con redactarlos una vez, archivarlos y olvidarse.
Registro de Actividades de Tratamiento (RAT)
El RAT tiene que reflejar todos los tratamientos reales que realiza la empresa: datos de clientes, gesti贸n de n贸minas, candidatos, proveedores, formulario web y newsletter, entre otros. Contar con un registro parcial o desactualizado es una de las infracciones graves que m谩s se detectan en las inspecciones.
Tenerlo al d铆a no es opcional para pymes de determinado tama帽o. Solo est谩n exentas las empresas con menos de 250 empleados cuando el tratamiento no implica riesgo para los derechos de las personas.
Contrato de encargado de tratamiento con gestor铆as y proveedores
Cualquier proveedor externo que acceda a datos personales por cuenta de la empresa, como una gestor铆a o un servicio de hosting, debe tener firmado un contrato de encargado conforme al art铆culo 28 del RGPD.
Este contrato debe detallar el objeto, la duraci贸n, la naturaleza del tratamiento y las medidas de seguridad exigidas al proveedor. Un simple correo de confirmaci贸n no sustituye a este documento formal.
Pol铆tica de privacidad y banner de cookies, m谩s all谩 del texto gen茅rico
Copiar la pol铆tica de privacidad de otra web no es un atajo, es meterse en un l铆o. El texto tiene que reflejar de verdad c贸mo trata los datos tu empresa, no una plantilla gen茅rica que no encaja con tu actividad.
Y con el banner de cookies, pendiente: debe ser igual de f谩cil aceptar que rechazar. Si pones trabas para rechazar y lo haces m谩s simple para aceptar, es una pr谩ctica que la AEPD est谩 sancionando cada vez m谩s.
Coste real de un incumplimiento
Las sanciones se organizan en tres niveles, definidos en funci贸n de su gravedad y del impacto de la infracci贸n. Para facilitar su comprensi贸n, la tabla que aparece a continuaci贸n recoge de forma clara los importes m谩ximos aplicables, as铆 como ejemplos habituales y situaciones t铆picas que suelen encuadrarse en cada categor铆a.
| Tipo de infracci贸n | Ejemplo habitual | Cuant铆a m谩xima |
| Leve | Falta de actualizaci贸n del registro de actividades | Hasta 40.000 euros |
| Grave | No tener contrato de encargado con un proveedor | Hasta 300.000 euros |
| Muy grave | Tratamiento sin base legal o brecha no notificada | Hasta 20 millones o el 4% de la facturaci贸n |
Una consultora fiscal de doce personas en Valencia recibi贸 una notificaci贸n de inspecci贸n tras la queja de un cliente que solicitaba ejercer su derecho de acceso a sus datos. No contaba con una pol铆tica de privacidad visible, ni con el RAT debidamente registrado, ni con un contrato formalizado con su gestor铆a externa.
El asunto termin贸 sin multa al demostrar que subsan贸 las carencias durante el tr谩mite, pero el procedimiento se alarg贸 meses y provoc贸 gastos de asesor铆a que pod铆an haberse evitado.
Checklist de protecci贸n de datos para empresas antes de que acabe 2026
Es recomendable consultar estos aspectos con el equipo legal o el encargado de protecci贸n de datos antes de que concluya el per铆odo de adaptaci贸n.
- Verificar si el sistema de atenci贸n al cliente se ajusta al nuevo art铆culo 23 LOPDGDD.
- Modificar el Registro de Actividades de Tratamiento con los tratamientos actuales de la empresa.
- Establecer contrato con el encargado del tratamiento, incluyendo gestor铆a, hosting y otros proveedores.
- Verificar que la pol铆tica de privacidad del sitio web detalla tratamientos espec铆ficos, no un contenido general.
- Verificar el banner de cookies: aceptar y rechazar deben ser igual de accesibles.
- Registrar el proceso interno para informar sobre una violaci贸n de seguridad en 72 horas.
Realizar esta revisi贸n anualmente, y no solo al detectar un problema, disminuye considerablemente el riesgo de sanci贸n y el efecto de una queja sorpresiva.
Designar a un encargado interno de esta lista de verificaci贸n, aunque la empresa no tenga la obligaci贸n de designar un delegado de protecci贸n de datos, ayuda a que la evaluaci贸n se lleve a cabo de manera sistem谩tica.
Errores m谩s frecuentes que detecta la AEPD en pymes
La AEPD s贸lo inspecciona a grandes empresas. La mayor铆a de sus actuaciones recientes parten de denuncias de particulares contra peque帽os negocios y despachos profesionales.
Los fallos m谩s repetidos son la falta de una pol铆tica de privacidad accesible, bases de datos con informaci贸n de clientes de m谩s de diez a帽os sin justificaci贸n de su conservaci贸n y ausencia de contratos de encargado con proveedores tecnol贸gicos.
Tambi茅n es frecuente recoger datos por si acaso, sin una finalidad concreta. Esta pr谩ctica vulnera directamente el principio de minimizaci贸n exigido por el RGPD.
Un error com煤n consiste en no responder a tiempo a la solicitud de derechos por parte de un trabajador o cliente. El tiempo habitual para la respuesta es de un mes, extensible en situaciones justificadas.聽
La inteligencia artificial a帽ade una capa adicional de riesgo
Usar inteligencia artificial generativa para tareas administrativas crea nuevos desaf铆os de seguridad para los datos, sobre todo al subir informaci贸n de clientes a sistemas ajenos. El Comit茅 Europeo de Protecci贸n de Datos est谩 muy pendiente de c贸mo se entrenan los modelos con datos privados y de las decisiones autom谩ticas que toman sobre los usuarios.聽
Es crucial tener una regla clara en la empresa sobre qu茅 informaci贸n se puede poner en estas herramientas. Tener unas normas internas claras, aunque la empresa sea peque帽a, evita que cada empleado decida por su cuenta qu茅 datos comparte con un ayudante de inteligencia artificial externo.
Documentaci贸n necesaria seg煤n el tama帽o de la empresa
El grado de requerimientos en cuanto a documentos no es el mismo para todas las peque帽as y medianas empresas. Una microempresa que no maneja muchos riesgos tiene menos responsabilidades que una compa帽铆a con muchos trabajadores y clientes.
Sin embargo, ninguna empresa est谩 totalmente libre de la obligaci贸n de llevar un registro fundamental de los tratamientos y de comunicar de manera clara c贸mo utiliza la informaci贸n que obtiene.
Brechas de seguridad: qu茅 hacer en las primeras 72 horas
Una falla de seguridad ocurre cuando la informaci贸n privada se ve comprometida en su secreto, exactitud o acceso, ya sea por un email enviado por error o por un ciberataque.
Si esta falla pone en peligro los derechos de quienes resultan afectados, la compa帽铆a tiene que informar a la AEPD en un lapso de no m谩s de 72 horas despu茅s de enterarse.
Contar con un plan interno ya preparado, con las personas encargadas se帽aladas, ayuda a no malgastar tiempo valioso decidiendo qui茅n debe intervenir cuando surge el problema.
La protecci贸n de datos como ventaja competitiva
Cumplir con la protecci贸n de datos ayuda a prevenir multas, pero su importancia va m谩s all谩 de eso. Los clientes est谩n dando cada vez m谩s importancia a las empresas que manejan su informaci贸n de manera responsable.
La introducci贸n del art铆culo 23 de la LOPDGDD presenta una gran ocasi贸n para examinar todo el sistema, no solo el aspecto espec铆fico que la ley requiere. Ajustar un proceso a menudo revela otros asuntos que requieren atenci贸n.
Muchas empresas se dan cuenta, al analizar su sistema de atenci贸n al cliente, de que tampoco tienen al d铆a el registro de tratamientos ni los acuerdos con sus proveedores tecnol贸gicos de confianza.
Esta clase de an谩lisis se relaciona directamente con la seguridad jur铆dica cuando se externalizan servicios, tal como detallamos en nuestro estudio sobre externalizar la gesti贸n empresarial con seguridad en Espa帽a.
Contar con el apoyo de una asesor铆a聽jur铆dica聽especializada, adem谩s de una asesor铆a mercantil聽 que examine los acuerdos con los proveedores, posibilitar谩 finalizar el a帽o 2026 sin dejar este asunto sin resolver.
Iniciar la evaluaci贸n ahora, en vez de esperar hasta diciembre de 2026, evita que la adecuaci贸n se convierta en una labor apremiante que coincida con el cierre financiero y contable del ejercicio.
