Sí, como autónomo o freelancer estás obligado a cumplir el RGPD en cuanto trates datos personales de clientes, leads o usuarios de tu web, aunque trabajes solo y tengas pocos clientes. En España se aplican el Reglamento (UE) 2016/679 (RGPD), la LOPDGDD (Ley Orgánica 3/2018) y, si tienes web, la LSSI-CE.
El RGPD te aplica si eres un diseñador freelance porque guardas el nombre, el email o el teléfono de una persona y entonces estás tratando datos personales. Además, seguro que tienes una factura con datos de un cliente, un formulario de contacto, una agenda para programar citas o envías una newsletter por correo electrónico. Todo esto son tratamientos de datos personales que se encuentran protegidos por la normativa.
Además, tienes que cumplir aunque no tengas empleados. Aún así, un autónomo con tratamientos sencillos tiene menos obligaciones formales que una empresa que trata datos masivos o sensibles:
Pero sí que necesitas informar y poder demostrar que cumples. El principio de responsabilidad proactiva del RGPD te obliga a documentar lo básico.
La AEPD gradúa la sanción según el tamaño del negocio, la intencionalidad y el daño causado, y en la práctica a los autónomos suelen imponerse importes mucho menores, a menudo por faltas de información, falta de atención de derechos o cookies sin consentimiento. Pero incluso una sanción de unos pocos miles de euros pesa mucho en un negocio unipersonal.
Si tu web usa cookies, la LSSI-CE añade multas de hasta 30.000 € (leves), 150.000 € (graves) y 600.000 € (muy graves).
Para evitar todos estos problemas, es clave poder demostrar que informaste, que tenías base legal y que atendiste los derechos en plazo. Más detalle en nuestra guía sobre cómo evitar las multas de la AEPD en tu web.
Esto es lo que necesitas según tu actividad:
| Situación | Documentos / acciones necesarias |
|---|---|
| Tienes clientes y facturas | Cláusula informativa en presupuestos, contratos y facturas (art. 13 RGPD) |
| Tienes web con formulario de contacto | Política de privacidad, aviso legal y casilla de aceptación no premarcada |
| Tu web usa analítica, publicidad o redes sociales | Política de cookies y cookie banner conforme a la guía de la AEPD |
| Usas herramientas de terceros (gestor de email, CRM, hosting, gestoría) | Contrato de encargado del tratamiento (art. 28 RGPD) con cada proveedor |
| Envías newsletters o ofertas | Consentimiento previo o interés legítimo en clientes (art. 21 LSSI-CE) y baja en cada envío |
| Tratas datos de salud, menores o videovigilancia | Análisis de riesgos adicional y, en su caso, registro de actividades |
El registro de actividades de tratamiento (art. 30 RGPD) tiene una excepción para organizaciones de menos de 250 empleados, pero no se aplica si el tratamiento no es ocasional o puede entrañar riesgo para los derechos de los interesados, o incluye datos sensibles. Un fisioterapeuta, un psicólogo o una asesoría tratan datos de forma habitual, así que casi siempre lo necesitan. Un diseñador con pocos clientes empresa a menudo no.
La propia AEPD ofrece Facilita RGPD, una herramienta gratuita para tratamientos de bajo riesgo, útil como primer paso.
Desde Lawwwing te generamos de forma automatizada tu aviso legal, la política de privacidad y la política de cookies a partir de los datos de tu actividad, y además, los actualizamos cuando cambia la normativa. Y no solo esto, sino que gestionamos el banner de cookies con Google Consent Mode v2 y lo puedes integrar con WordPress, Shopify, Wix y WooCommerce.
Sí. La obligación depende de que trates datos personales, no del tamaño del negocio. Si guardas datos de clientes, recibes mensajes por un formulario web o envías emails, estás tratando datos y debes cumplir el RGPD y la LOPDGDD.
Sí, siempre que la web recoja datos personales, ya sea mediante formularios, comentarios, suscripciones o cookies de analítica. Debe informar de quién es el responsable, para qué usa los datos, la base legal, los plazos de conservación y cómo ejercer los derechos (art. 13 RGPD).
No. Desde que se aplica el RGPD (25 de mayo de 2018) ya no existe la inscripción de ficheros en la AEPD. En su lugar, la responsabilidad proactiva exige que puedas demostrar tu cumplimiento con documentación propia.
Los máximos del RGPD son 10 millones de euros o el 2 % de la facturación, y 20 millones o el 4 % según la gravedad. En la práctica, la sanción se gradúa por tamaño, intención y daño, y en los autónomos suele ser muy inferior a esos techos, pero no se puede descartar.
Normalmente no. Solo es obligatorio si tratas datos a gran escala, haces seguimiento sistemático de personas a gran escala o tratas datos sensibles a gran escala (art. 37 RGPD). Un autónomo con una cartera de clientes normal no cumple esos supuestos.
No es recomendable. Los textos deben reflejar tu actividad real: qué datos recoges, con qué herramientas y con qué finalidad. Un texto copiado suele contener datos erróneos y puede ser considerado un incumplimiento del deber de información.
