Datos de clientes y el RGPD: qué hace falta de verdad

El artículo 19: una presunción que solo tienes en España

Aquí el derecho español juega claramente a tu favor, y es la razón por la que este artículo no se parece al mismo texto escrito para los Países Bajos o para Alemania.

El artículo 19 de la Ley Orgánica 3/2018 presume, salvo prueba en contrario, que tratar los datos de contacto —y en su caso el puesto— de las personas físicas que prestan servicios en una persona jurídica se ampara en el interés legítimo del artículo 6.1.f del RGPD. Con dos requisitos, y los dos importan: que sean únicamente los datos necesarios para su localización profesional, y que la única finalidad sea mantener relaciones con la empresa en la que esa persona trabaja.

El apartado 2 extiende la misma presunción a empresarios individuales y profesionales liberales, cuando los tratas solo en esa condición y no para entablar una relación con ellos como personas físicas. Es decir: el autónomo al que llamas para que te instale una máquina entra, el vecino al que le pides el móvil no.

Eso es, casi literalmente, para lo que sirve un CRM. En los Países Bajos no existe nada parecido y el responsable tiene que razonar y documentar la ponderación por su cuenta.

Dos límites, porque esta presunción se lee mal con mucha facilidad.

El primero: no cubre lo que no sirve para localizar a alguien en su trabajo. Un móvil personal, la dirección de su casa, una nota sobre la persona y no sobre su función — eso se sale de la presunción y vuelve a necesitar su propia justificación.

El segundo es el importante, y es el que convierte este artículo en una trampa: el artículo 19 habla de tratar datos, no de poder enviar publicidad. Son dos permisos distintos y uno no implica el otro. Enviar correo comercial en España lo rige el artículo 21 de la Ley 34/2002, y ahí el régimen es de consentimiento previo, también hacia direcciones de empresa. Si has llegado hasta aquí pensando que el artículo 19 te abre la captación en frío, lo tienes explicado en ¿puedo enviar este correo?.

Apunta lo que usas, no lo que quizá algún día uses

El principio se llama minimización de datos y está en el artículo 5.1.c del RGPD: adecuados, pertinentes y limitados a lo necesario en relación con los fines. Suena a carga y en la práctica es un filtro útil.

La pregunta no es «¿puedo guardar esto?» sino «¿lo uso?». Un nombre, un correo profesional, un teléfono y lo que quedó acordado: eso lo necesitas. Una fecha de nacimiento «por si algún día hacemos algo con los cumpleaños», no. Y un campo que nadie ha leído en dos años ya no tiene finalidad, solo inercia.

Hay una categoría en la que conviene ser estricto y no prudente. Salud, opiniones políticas, convicciones religiosas, afiliación sindical, vida sexual: son categorías especiales del artículo 9.1 del RGPD, su tratamiento está prohibido salvo excepciones tasadas, y no tienen absolutamente nada que hacer en una nota de venta. Tampoco de pasada, en plan «estuvo tres semanas fuera por la operación de espalda».

Para el resto de las notas hay una prueba más sencilla que cualquier norma: ¿lo escribirías si el cliente estuviera leyendo por encima de tu hombro? No es una metáfora. Tiene derecho de acceso (artículo 15 del RGPD) y ese acceso incluye tus notas sobre él, así que la situación es perfectamente real.

Tres plazos, y solo uno es una obligación de conservar

Aquí es donde un texto traducido se equivoca, porque España no tiene un número sino tres, y no son de la misma naturaleza.

Seis años, y es la única obligación de conservar de las tres. El artículo 30.1 del Código de Comercio: los empresarios conservarán los libros, correspondencia, documentación y justificantes de su negocio durante seis años. Fíjate en desde cuándo cuentan: a partir del último asiento realizado en los libros, no desde la fecha del documento. Un justificante de 2026 en una contabilidad que sigue viva no empieza a contar en 2026.

Cuatro años, y es prescripción, no conservación. El artículo 66 de la Ley 58/2003, General Tributaria: prescriben a los cuatro años el derecho de la Administración a liquidar la deuda tributaria y a exigir su pago. Nadie te obliga por esa vía a guardar nada, pero mientras ese plazo corra te conviene poder probar lo que declaraste — y sin el documento no puedes.

Cinco años, también prescripción. El artículo 1964.2 del Código Civil: las acciones personales que no tengan plazo especial prescriben a los cinco años desde que pueda exigirse el cumplimiento de la obligación. Ese es el plazo en el que un cliente, o tú, todavía podéis reclamaros algo por un contrato. Es el que hace que un presupuesto aceptado valga más que un correo suelto.

Dos aclaraciones para que esto sea utilizable.

La obligación de conservar es un mínimo; el plazo de conservación del RGPD es un máximo. El artículo 5.1.e dice que no mantienes los datos identificables más tiempo del necesario para la finalidad. No hay ningún número en el reglamento: el número lo pones tú y lo que tienes que poder hacer es explicarlo. En la práctica son dos regímenes conviviendo — la documentación de tu negocio se queda seis años porque toca, y la ficha de un contacto que nunca contestó se va mucho antes porque ya no justifica nada.

Y una advertencia sobre las facturas, porque son el ejemplo que todo el mundo usa: hacer facturas en Nermio todavía no es posible en España, y la razón es el Real Decreto 1007/2023, que exige que sea el propio programa el que encadene cada registro de facturación y le añada una huella o «hash» (artículo 12 de su reglamento). Hasta que eso esté construido, tus facturas viven en tu programa de facturación, y los seis años del Código de Comercio se cumplen allí y no aquí.

Cuando tienes que borrar, el derecho español dice bloquear

Esta es la pieza española que más sorprende, y afecta directamente a cómo usas cualquier herramienta.

El artículo 32 de la Ley Orgánica 3/2018 obliga al responsable del tratamiento a bloquear los datos cuando procede a su rectificación o supresión. Bloquear no es archivar: es identificarlos y reservarlos con medidas técnicas y organizativas que impidan su tratamiento, incluida su simple visualización, salvo para ponerlos a disposición de jueces y tribunales, del Ministerio Fiscal o de las administraciones competentes —en particular las autoridades de protección de datos— y solo durante el plazo de prescripción de las posibles responsabilidades. Pasado ese plazo, hay que destruirlos.

Lee el apartado 1 con calma, porque es más amplio de lo que parece: la obligación no nace solo cuando alguien ejerce su derecho de supresión. Nace cada vez que rectificas o suprimes. En Alemania la figura equivalente (el § 35 de la BDSG) solo aparece cuando una obligación legal de conservación choca con el deber de borrar; aquí es la regla general.

Y aquí viene lo honesto: Nermio no bloquea, Nermio borra. Cuando eliminas una empresa o un contacto, se va. En tu CRM el responsable del tratamiento eres tú, así que si necesitas una copia bloqueada tienes que organizarla fuera. El propio apartado 4 del artículo 32 contempla esa salida cuando el sistema no permite el bloqueo: una copia segura con evidencia que acredite su autenticidad, la fecha del bloqueo y la no manipulación de los datos. Cómo encaja eso con una limpieza periódica está en limpiar tu base de clientes.

Qué puede pedirte tu cliente, y cómo tienes que atenderlo

Cinco derechos que en una pyme aparecen de verdad:

• Acceso (artículo 15 del RGPD): qué datos tienes sobre él. Esto supone que puedas encontrarlos; «estará en algún correo» no es una respuesta. E incluye tus notas.
• Rectificación (artículo 16): si algo está mal, lo corriges.
• Supresión (artículo 17): con el límite de lo que estás obligado a conservar, y con el bloqueo del apartado anterior.
• Portabilidad (artículo 20): sus datos en un formato estructurado, de uso común y lectura mecánica. Es la misma capacidad que te conviene a ti — ver sacar tus datos.
• Oposición a la mercadotecnia directa (artículo 21.2 y 21.3): aquí no hay ponderación ninguna. Si se opone, dejas de tratar sus datos con ese fin, sin motivos y sin discusión.

El plazo para responder es un mes desde la recepción de la solicitud, prorrogable dos meses más si es compleja, y la prórroga se comunica dentro de ese primer mes con los motivos (artículo 12.3 del RGPD).

Y tres reglas sobre el cómo que vienen del artículo 12 de la Ley Orgánica 3/2018 y que no tienen equivalente en otros países:

1. La prueba de que has cumplido recae sobre ti (apartado 4). No sobre quien reclama. Si no queda rastro de tu respuesta, a efectos prácticos no respondiste.
2. Las actuaciones son gratuitas (apartado 7). No puedes cobrar por buscar los datos de alguien.
3. No puedes denegar un derecho por el solo motivo de que la persona eligió otro canal (apartado 2). Un formulario propio está muy bien, pero no puede ser la única puerta: si te lo piden por correo, vale.

Un caso que en otros países no está resuelto: el cliente que fallece

Pasa, y pasa sobre todo con autónomos y empresas familiares. El derecho español lo tiene escrito, y el neerlandés y el alemán no.

Artículo 3 de la Ley Orgánica 3/2018: las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos, pueden dirigirse al responsable del tratamiento para solicitar el acceso a sus datos personales y, en su caso, su rectificación o supresión. La excepción es que el fallecido lo hubiese prohibido expresamente o lo establezca una ley — y esa prohibición no afecta al derecho de los herederos a acceder a los datos de carácter patrimonial.

Artículo 96, el llamado testamento digital, hace lo mismo con los contenidos que gestiona un prestador de servicios de la sociedad de la información. Es decir: para los datos que tienes tú en tu CRM te aplica el artículo 3, y para los que están en manos de un proveedor, el 96.

Lo práctico es corto: si te escribe un hijo o un heredero, no es una petición rara que puedas ignorar. Tiene una base legal concreta, y el plazo de respuesta es el mismo mes de siempre.

¿Necesitas un delegado de protección de datos? Casi seguro que no

Pero la razón no es tu tamaño, y conviene saber cuál es, porque en España esto no es un umbral sino una lista.

El artículo 34.1 de la Ley Orgánica 3/2018 enumera quince tipos de entidades que deben designar un delegado en todo caso, además de los supuestos del artículo 37.1 del RGPD. Colegios profesionales, centros docentes, bancos, aseguradoras, operadores de juego, empresas de seguridad privada, centros sanitarios. Dos letras se acercan a cualquiera que venda con un CRM, y las dos se quedan cerca sin llegar:

• La letra d) obliga a los prestadores de servicios de la sociedad de la información «cuando elaboren a gran escala perfiles de los usuarios del servicio».
• La letra k) obliga a quien desarrolla actividades de publicidad y prospección comercial «cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos».

Las dos giran sobre lo mismo: perfiles. Guardar a quién llamaste y qué te dijo no es elaborar un perfil. Puntuar automáticamente a las personas, segmentarlas por preferencias inferidas o decidir a quién llamas en función de una clasificación que calcula un programa, sí empieza a serlo. Si tu CRM no hace nada de eso, te quedas fuera de las dos letras — y esa es la respuesta, no «somos pequeños». Alemania, para que se vea el contraste, sí tiene un número: a partir de veinte personas trabajando habitualmente con datos personales, delegado obligatorio.

Lo que probablemente sí te toca es el registro de actividades de tratamiento. El artículo 30.5 del RGPD exime a las organizaciones de menos de 250 personas, pero la exención cae en cuanto el tratamiento no sea ocasional — y una base de clientes nunca lo es, por definición: es permanente. En la práctica, pues, el registro va, esté tu información en un CRM o en una hoja de cálculo.

La buena noticia es que aquí la AEPD hace la mitad del trabajo. En su apartado de modelos y formularios publica un modelo de Registro de Actividades de Tratamiento para responsables privados, y modelos de cláusula informativa para clientes, potenciales clientes, proveedores, empleados y candidatos. Es rellenar, no redactar.

Cuando usas el software de otro

Si guardas datos de clientes en una herramienta ajena —un CRM, el correo, la contabilidad, la gestoría— ese proveedor es encargado del tratamiento y tú el responsable. El artículo 28.3 del RGPD exige que esa relación se rija por un contrato que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados, y que el encargado trate los datos únicamente siguiendo tus instrucciones documentadas.

En la práctica el contrato lo pone el proveedor y lo que te toca es firmarlo y guardarlo. Pregúntalo antes de meter datos, no después. Un proveedor decente lo tiene preparado y no hay nada que negociar; si tienes que pedirlo y la respuesta es vaga, eso ya es información.

Quién ve qué dentro de tu propia empresa es otra pregunta, y está en quién puede hacer qué en tu CRM.

Si algo se rompe: a quién avisas y en cuánto tiempo

Una brecha de datos personales no es solo un hackeo. Un portátil perdido, una copia de seguridad accesible desde internet o un correo con cien direcciones en el «para» en lugar del CCO también lo son.

Setenta y dos horas. La AEPD lo dice así: el plazo para notificar a la autoridad de control es de 72 horas desde que la organización tiene constancia de la brecha, y la obligación la impone el artículo 33 del RGPD al responsable del tratamiento — no a tu proveedor, que te avisa a ti, y no a tu gestor. Si además el riesgo para los derechos de las personas es alto, tienes que comunicárselo también a los afectados (artículo 34).

La notificación es electrónica. Se hace con el formulario de brechas de la Sede Electrónica de la AEPD, y para presentarlo hay que identificarse por medios electrónicos: no es un correo que mandas desde el móvil a las once de la noche. Qué identificación admite exactamente conviene comprobarlo con calma algún martes, porque es justo lo que no quieres descubrir el día que te hace falta.

¿Y a qué autoridad? La AEPD responde a esa pregunta sin rodeos, y para la mayoría de los lectores de este texto el resultado es el mismo: en el ámbito privado notificas a la AEPD cuando tu único establecimiento está en España; si tienes varios en la Unión Europea, cuando el principal está en España; y si no tienes ninguno en la Unión, solo si hay afectados en España.

Con los proveedores pasa otra cosa, y conviene no confundirla con la tuya. La autoridad principal de un proveedor es la de su establecimiento principal (artículo 56 del RGPD), así que la de un proveedor neerlandés —Nermio entre ellos— es la Autoriteit Persoonsgegevens neerlandesa, no la AEPD. Eso no te quita nada: el artículo 77 del RGPD te deja presentar una reclamación ante la autoridad de control de tu propio Estado miembro, y para ti esa es la AEPD. Las dos vías están abiertas y eliges tú.

Qué puedes hacer hoy

No hace falta montar un proyecto. Cinco cosas se llevan casi todo el riesgo, y la primera te ahorra las otras cuatro a medias:

1. Pasa por Facilita RGPD, la herramienta gratuita de la AEPD para empresas con tratamientos de escaso riesgo —clientes, proveedores, recursos humanos—. Son tres pantallas de preguntas y te genera el registro de actividades, las cláusulas informativas para tus formularios, las cláusulas para los contratos de encargado y un anexo de medidas de seguridad mínimas. No vale para datos de salud ni para tratamientos masivos.
2. Repasa tus campos de notas y quita lo que no usas. Sobre todo lo viejo que se ha vuelto personal con el tiempo.
3. Escribe cuánto guardas de cada cosa, y por qué. Tres líneas por categoría bastan. Separa los seis años del Código de Comercio para tu documentación del plazo del RGPD para el resto: son dos cosas distintas y mezclarlas es el error habitual.
4. Reúne los contratos de encargado de cada servicio donde haya datos de clientes y guárdalos en una carpeta. Si falta alguno, pídelo.
5. Pruébalo una vez con una ficha de prueba: sacar todos los datos de una persona, borrarla, y anotar una oposición a la publicidad de forma que un compañero también la vea. Si tu herramienta no puede hacer las tres, eso no es un problema teórico.

Una advertencia sobre textos como este

Esto es una explicación, no asesoramiento jurídico, y lo escribe un proveedor de software: nos conviene que no te parezca complicado. Si hay datos sensibles, volúmenes grandes, o algo de lo que de verdad no estés seguro, mira directamente en la AEPD o pregunta a un abogado.

Y desconfía de todo lo que te venda la protección de datos como producto — sellos, certificados, paquetes. Para una empresa de cinco personas el trabajo son los cinco puntos de arriba, y ninguno cuesta dinero.