Hay una conversación que se repite en muchos despachos y muchas asesorías. Alguien pregunta por el RGPD, otro responde que “eso ya lo tenemos hecho”, y nadie sabe decir dónde está el documento que lo demuestra. No es dejadez: el cumplimiento se ha vendido como un proyecto caro y reservado a consultoras.
Nosotros lo vemos distinto. Las obligaciones RGPD para pymes y despachos son concretas, se explican sin tecnicismos y se pueden autoevaluar. Y si trabajas en una estructura pequeña, donde nadie tiene «el sombrero de compliance», esta es la vía práctica: te dejamos también nuestra guía de IA para despachos de abogados pequeños por si el problema de fondo es de horas.
Obligaciones RGPD para pymes y despachos: qué impone realmente la norma
El RGPD (Reglamento UE 2016/679), desarrollado en España por la LOPDGDD (Ley Orgánica 3/2018), no exige un manual de mil páginas. Exige responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo con documentos.
En la práctica, el núcleo del cumplimiento RGPD en pymes y despachos son seis obligaciones:
| Obligación | Qué significa en la práctica | Evidencia que te pedirían |
| Registro de actividades de tratamiento (RAT) | Inventario de qué datos tratas, para qué y cuánto tiempo | El documento RAT actualizado |
| Base jurídica de cada tratamiento | Contrato, consentimiento, obligación legal o interés legítimo | El RAT con la base identificada |
| Información al interesado (art. 13 y 14) | Contarle cómo usas sus datos cuando los recoges | Cláusulas en hojas de encargo, web y formularios |
| Contrato de encargado del tratamiento (art. 28) | Regular por escrito con cada proveedor que accede a tus datos | Contratos firmados con gestoría, hosting, CRM |
| Medidas de seguridad proporcionales al riesgo | Contraseñas, control de accesos, cifrado, copias de seguridad | Política de seguridad y registro de accesos |
| Derechos y brechas | Atender derechos en un mes (art. 12.3) y notificar brechas en 72 horas (art. 33) | Procedimiento escrito y registro de incidencias |
Fíjate en la tercera columna. Ahí está la clave que casi nadie explica: cumplir el RGPD no es tener buena intención, es tener el papel.
Lo que no estás obligado a hacer (aunque te lo vendan como obligatorio)
Buena parte de la sensación de “esto es carísimo” no nace de la norma, sino de cómo se comercializa.
- La auditoría de protección de datos no es obligatoria. Desapareció como deber formal al derogarse el reglamento de desarrollo de la antigua LOPD. Debes poder demostrar que cumples, no encargar un informe con sello.
- El DPD no es obligatorio para la mayoría. El art. 37 del RGPD y el 34 de la LOPDGDD lo exigen en supuestos concretos: sector público, tratamiento a gran escala de datos sensibles u observación sistemática. Un despacho pequeño de mercantil y laboral, con carácter general, no entra ahí.
- Ninguna certificación es obligatoria. Ni ISO 27001 ni sellos de cumplimiento. Ayudan comercialmente, pero la AEPD no sanciona por no tenerlos.
- El RAT sí lo es, casi siempre. El art. 30.5 exime a organizaciones de menos de 250 empleados, pero con excepciones tan amplias (tratamiento no ocasional, riesgo para los derechos, datos sensibles) que un despacho o una asesoría rara vez encaja en la exención.
Cómo autoauditar tu nivel de cumplimiento en una tarde
Una autoauditoría no sustituye a un dictamen, pero te dice dónde estás. Estas ocho preguntas se responden con un documento sobre la mesa o con un “no lo tengo”:
- ¿Existe un RAT revisado en los últimos doce meses?
- ¿Cada tratamiento tiene base jurídica y plazo de conservación identificados?
- ¿Las hojas de encargo, contratos laborales y formularios web llevan cláusula informativa actualizada?
- ¿Hay contrato de encargado firmado con todos los proveedores que ven datos: gestoría, hosting, correo, CRM?
- ¿Sabes quién accede a cada expediente y podrías demostrarlo?
- ¿Hay procedimiento escrito para atender un derecho de acceso o supresión en un mes?
- ¿Hay procedimiento para notificar una brecha en 72 horas y un registro de incidencias?
- ¿El equipo ha recibido formación documentada?
En un despacho el estándar es más exigente, porque lleváis doble sombrero: sois responsables de vuestros propios datos y tratáis los de terceros por cuenta de vuestros clientes. Además, una filtración no es solo una brecha: roza el secreto profesional del art. 542.3 de la LOPJ.
Si respondes “no” a tres o más preguntas, no tienes un problema insalvable. Tienes una lista de tareas priorizada.
Dónde entra la IA jurídica: auditar el cumplimiento sin presupuesto de consultora
Lo tedioso de una revisión RGPD no es decidir: es leer. Contrastar veinte contratos de proveedor con el art. 28, con la misma lógica con la que se revisa cualquier contrato buscando cláusulas de riesgo. Comprobar si una cláusula informativa cubre todos los extremos del art. 13. Ver si el RAT refleja lo que de verdad hace el despacho.
Eso es análisis documental y comparación normativa, y ahí una IA jurídica como Maite.ai ahorra tiempo real. Puedes subir tu RAT, tus cláusulas y tus contratos de encargado y pedirle que señale qué falta respecto al RGPD y la LOPDGDD, con enlace directo al artículo aplicable. Nuestra base de conocimiento se nutre del BOE actualizado cada 24 horas y de las resoluciones de la AEPD, así que la referencia es la norma vigente.
Dicho con honestidad: la IA te da el mapa del cumplimiento, la decisión jurídica sigue siendo tuya. Valorar si un interés legítimo prevalece o si un tratamiento exige evaluación de impacto es criterio profesional.
Y una advertencia que vemos a menudo. Pegar el expediente de un cliente en un chatbot de consumo puede convertir una tarea de eficiencia en una cesión de datos no consentida. La pregunta a cualquier proveedor de IA es simple: ¿usas mis datos para entrenar tus modelos? En Maite.ai la respuesta es no, nunca, porque es la única forma de trabajar con expedientes reales. Lo desarrollamos en detalle en alternativas a ChatGPT para abogados: privacidad y secreto profesional.
Que esto ya no sea teórico lo explican las cifras: en 2025 la AEPD registró 30.931 reclamaciones, un 64% más que el año anterior, y sanciones por 48,1 millones de euros, casi 20 de ellos por brechas de seguridad.
Conclusión
Cumplir el RGPD en una pyme o un despacho no es un proyecto de seis cifras: es un inventario, unas cláusulas bien redactadas, unos contratos firmados, medidas de seguridad razonables y dos procedimientos escritos. Lo pesado no es la complejidad jurídica, es el volumen de lectura.
Empieza por las ocho preguntas de este artículo, apoya la revisión documental en una IA que cite sus fuentes y reserva tu tiempo para lo que solo tú puedes hacer: decidir. Si quieres ver antes cómo encaja este enfoque en el día a día, aquí explicamos qué es un copiloto jurídico y en qué se diferencia de una IA generalista. Y si prefieres probarlo con tus propios documentos, en un entorno privado y sin que nada entrene ningún modelo, en Maite.ai te acompañamos desde el primer expediente.