RGPD para startups: lo mínimo que necesitas cumplir desde el día uno

Tienes una startup. Tienes usuarios. Tienes un formulario de contacto, probablemente un CRM, quizás una herramienta de email marketing, y casi con toda seguridad usas Google Analytics. Alguien te ha dicho que "hay que mirar lo del RGPD" pero llevas tres meses aplazándolo porque parece una cosa de abogados y no de founders.

El problema es que no lo es. O no del todo.

Lo que vas a aprender en este artículo:

• Por qué el RGPD es un requisito operativo antes que legal, y por qué importa desde el día uno

• Los 5 mínimos concretos que necesitas tener en marcha antes de lanzar (o de escalar)

• Qué herramientas existen para cumplirlos sin contratar un despacho desde el minuto uno

• Cuándo sí necesitas un abogado especializado o un Delegado de Protección de Datos

• Qué sanciones reales ha impuesto la AEPD a empresas pequeñas en España

El RGPD no es un problema legal. Es un problema operativo.

La mayoría de founders trata el RGPD como una tarea del departamento jurídico. El problema es que en una startup de 8 personas no hay departamento jurídico. Y mientras decides si subcontratas eso a un despacho o esperas a tener más runway, sigues recopilando emails, guardando datos de clientes en Notion, procesando pagos con Stripe y enviando newsletters con Brevo.

Cada una de esas acciones implica tratamiento de datos personales. Y cada tratamiento sin base legal documentada, sin aviso al usuario y sin registro es una infracción potencial del Reglamento General de Protección de Datos (el RGPD, o GDPR por sus siglas en inglés).

"El RGPD no es una casilla que marcar antes de levantar una ronda. Es el primer proceso de datos que deberías montar antes de tener usuarios."

Esto no es alarmismo. La Agencia Española de Protección de Datos (AEPD) ha sancionado a empresas con menos de 50 empleados. Las multas no son siempre millonarias, pero una sanción de 3.000 € a una startup seed con 18 meses de runway es un problema real, sobre todo si aparece en un proceso de due diligence.

Y hay algo más práctico que las multas: los inversores lo miran. Cuando K Fund, Seaya o cualquier VC de referencia hace due diligence sobre tu startup, el compliance de datos forma parte del checklist operativo. Una startup que llega a una Serie A sin haber tocado el RGPD es una startup que llega con deuda operativa visible.

Si quieres entender mejor qué es la deuda operativa y cómo se acumula en startups early-stage, la guía de operaciones para startups de 2 a 50 personas cubre exactamente ese momento de inflexión.

Los 5 mínimos del día uno

Esto no es una lista exhaustiva de todo lo que exige el RGPD. Es la lista de lo que necesitas tener operativo antes de recoger el primer dato de un usuario real. Nada más, nada menos.

1. Política de privacidad publicada y real

La política de privacidad es el documento que le explica a tu usuario qué datos recopilas, para qué, con qué base legal, durante cuánto tiempo y con quién los compartes. Tiene que estar publicada en tu web y ser accesible desde cualquier formulario o punto de recogida de datos.

Lo que no vale: copiar la política de privacidad de otra startup, meter el nombre de tu empresa y publicarla. El regulador identifica estas políticas genéricas y no tienen valor jurídico real. Tampoco vale una política que menciona finalidades que no son las tuyas o que no incluye los datos de contacto del responsable del tratamiento (tú, o tu empresa).

Lo mínimo que debe incluir:

• Identidad y datos de contacto del responsable del tratamiento

• Qué datos recopilas y con qué finalidad

• Base legal de cada tratamiento (consentimiento, contrato, interés legítimo)

• Tiempo de conservación de los datos

• Si cedes datos a terceros (y cuáles)

• Cómo puede ejercer el usuario sus derechos

Una herramienta como Iubenda (desde 27 €/año para el plan básico) genera políticas de privacidad legalmente revisadas y actualizadas automáticamente cuando cambias de herramientas. Para una startup en fase pre-seed o seed, es suficiente. Cuando tengas modelo de negocio más complejo, tratamientos especiales o escales en mercados distintos, querrás que un abogado la revise.

2. Banner de cookies con consentimiento real

Si usas cookies de seguimiento en tu web (Google Analytics, Hotjar, Meta Pixel, LinkedIn Insight Tag...), necesitas un banner de cookies que cumpla con la normativa. No el banner que dice "al seguir navegando aceptas el uso de cookies" con un botón de "OK". Ese modelo lleva años siendo ilegal en España.

El consentimiento válido requiere:

• Que sea libre (el usuario puede rechazar sin consecuencias)

• Que sea específico (sabe exactamente para qué acepta)

• Que sea informado (tiene acceso a la política completa)

• Que sea activo (no vale el consentimiento por omisión)

CookieBot (Usercentrics) tiene un plan gratuito para webs con menos de 150 páginas. Para la mayoría de startups en fase inicial, es suficiente. Genera un banner conforme, escanea automáticamente las cookies de tu web y mantiene un registro de consentimientos. El plan de pago parte de 9 €/mes.

Alternativa gratuita: Complianz (para WordPress) o configurar manualmente Google Tag Manager para cargar scripts de analítica solo después del consentimiento. Esta segunda opción requiere tiempo técnico, pero elimina la dependencia de una herramienta de terceros.

3. Registro de actividades de tratamiento

El Registro de Actividades de Tratamiento (RAT) es el documento interno donde documentas todos los tratamientos de datos que hace tu startup. Es obligatorio para la mayoría de organizaciones bajo el RGPD y es lo primero que te pedirá la AEPD en caso de inspección o reclamación.

No es un documento público. Es tu mapa interno de datos.

Para cada tratamiento (gestión de clientes, envío de newsletters, analítica web, nóminas, videovigilancia si aplica...) debes documentar:

• Nombre del tratamiento

• Responsable

• Finalidad

• Categorías de datos tratados

• Destinatarios y terceros con acceso

• Transferencias internacionales (si las hay)

• Plazo de conservación

• Medidas de seguridad

La AEPD tiene disponible una herramienta gratuita llamada Facilita RGPD (disponible en aepd.es) pensada específicamente para pymes y autónomos con tratamientos de bajo riesgo. Para la mayoría de startups en fase inicial, genera un RAT básico válido en menos de 30 minutos. Sin coste.

Si tus tratamientos implican datos sensibles (salud, orientación sexual, datos biométricos), menores de edad o vigilancia masiva, Facilita no es suficiente. Necesitas análisis de impacto y, probablemente, asesoramiento especializado.

4. Contratos con proveedores cloud (DPA)

Cuando usas Notion, Google Workspace, HubSpot, Stripe, Brevo o cualquier herramienta que procese datos de tus usuarios o empleados, ese proveedor es un encargado del tratamiento bajo el RGPD. Y el RGPD obliga a que exista un contrato específico entre tú (responsable) y él (encargado): el Data Processing Agreement o DPA.

La buena noticia: la mayoría de proveedores SaaS grandes ya tienen su DPA disponible y solo tienes que aceptarlo (a veces es automático, a veces hay que solicitarlo o activarlo en los ajustes de la cuenta).

Lo que tienes que hacer:

• Hacer un inventario de todos los proveedores que tocan datos personales de tu startup

• Verificar que tienes DPA firmado o aceptado con cada uno

• Guardar evidencia de esa aceptación (una captura, un email, el PDF descargado)

Los proveedores más habituales en el stack español tienen DPA disponible: Google (Workspace y Analytics), HubSpot, Notion, Stripe, Brevo (antes Sendinblue), Slack, Intercom. Para los proveedores más pequeños o menos conocidos, si no tienen DPA disponible, es una señal de alerta.

Ojo con los proveedores americanos: el RGPD exige garantías adicionales para transferencias de datos fuera del Espacio Económico Europeo. El mecanismo principal actualmente es el EU-US Data Privacy Framework (en vigor desde julio 2023), y los principales proveedores americanos deberían estar certificados. Compruébalo.

5. Proceso para atender derechos de los usuarios

El RGPD reconoce a los usuarios una serie de derechos sobre sus datos: acceso, rectificación, supresión (el "derecho al olvido"), portabilidad, oposición y limitación del tratamiento. Tienes obligación de responder en un plazo máximo de un mes.

No necesitas un sistema complejo. Necesitas tres cosas:

Primero, un canal claro para recibir solicitudes. Puede ser un email específico (como privacidad@tuempresa.com) o un formulario en tu política de privacidad. Lo importante es que esté visible y funcional.

Segundo, un proceso interno mínimo: quién recibe la solicitud, quién la verifica, quién la ejecuta técnicamente (borrar o exportar datos de la base de datos, del CRM, del email marketing...) y en qué plazo.

Tercero, una plantilla de respuesta. No hace falta que sea elaborada, pero sí que confirme la recepción, identifique la solicitud y comunique el plazo de resolución.

En startups con las que trabajamos, este proceso tarda más de lo esperado la primera vez porque nadie sabe exactamente dónde están los datos de un usuario específico. Ese descubrimiento es valioso: te obliga a mapear tus sistemas de datos antes de que alguien externo te obligue a hacerlo.

Cuándo necesitas un abogado o un DPO

Esto no es asesoramiento legal. Es sentido común operativo.

El Delegado de Protección de Datos (DPO) es obligatorio en tres supuestos concretos bajo el RGPD: autoridades públicas, organizaciones que realizan tratamientos a gran escala de datos sensibles, y organizaciones que monitorean sistemáticamente a personas a gran escala. La mayoría de startups early-stage no entra en ninguno de los tres.

Dicho esto, hay situaciones en las que pagar por asesoramiento especializado es una decisión operativa inteligente, no un gasto:

• Tu modelo de negocio trata datos de salud, financieros, de menores o categorías especiales

• Tienes usuarios en mercados fuera de España con regulaciones adicionales (UK, Alemania, Francia)

• Estás preparando una ronda y el inversor te va a hacer due diligence sobre compliance

• Tienes más de 50 empleados y procesas datos de RR.HH. a escala

• Has recibido una reclamación o notificación de la AEPD

Para el resto: los 5 mínimos del apartado anterior, implementados correctamente, te dan una base sólida. No perfecta, pero sólida.

Las sanciones de la AEPD que nadie enseña en los blogs de startups

La AEPD publica sus resoluciones sancionadoras en aepd.es. Valen más que cualquier ejemplo hipotético.

Algunos datos reales de los últimos ejercicios: la AEPD tramitó más de 14.000 reclamaciones en 2022 (fuente: Memoria Anual AEPD 2022). Las sanciones no siempre son millonarias: el 70% de los expedientes sancionadores se resuelven con multas de entre 1.000 € y 50.000 €. Esas cifras son perfectamente alcanzables para una startup pequeña.

Los motivos más frecuentes en pymes y empresas pequeñas:

• No atender solicitudes de derechos de usuarios en plazo

• Banners de cookies que no recogen consentimiento válido

• Envío de comunicaciones comerciales sin consentimiento previo (spam)

• Falta de medidas de seguridad básicas tras una brecha de datos

• Cesión de datos a terceros sin base legal

"Una multa de 5.000 € no cierra una startup. Pero una multa de 5.000 € en un proceso de due diligence puede retrasar o complicar una ronda. Y eso sí puede doler de verdad."

El riesgo no es solo económico. Una resolución de la AEPD contra tu startup es pública. Aparece en Google. Y los inversores hacen búsquedas.

Herramientas concretas y cuándo usarlas

Un resumen rápido de lo que puedes poner en marcha sin depender de un despacho:

Iubenda — generador de políticas de privacidad y cookies con mantenimiento legal. Desde 27 €/año. Funciona para startups en fase pre-seed y seed con tratamientos estándar. Cuando el modelo de negocio se complique, necesitarás complementarla con revisión jurídica.

CookieBot (Usercentrics) — gestor de consentimiento de cookies. Gratuito hasta 150 páginas. Plan básico desde 9 €/mes. Suficiente para la mayoría de webs de startups en fase inicial. Si generas mucho tráfico o necesitas cumplimiento en múltiples países, valora el plan de pago.

Facilita RGPD (AEPD) — gratuita, oficial, genera un Registro de Actividades de Tratamiento básico. Solo para tratamientos de bajo riesgo. Disponible en aepd.es.

Plantillas de DPA — no tienes que crear nada. Descarga el DPA de cada proveedor de tu stack y guarda constancia de la aceptación. Es lo único que necesitas en esta fase.

Notion o Google Docs — para documentar tu proceso de gestión de derechos y tu registro de actividades si decides no usar Facilita. Sin coste adicional si ya los usas.

Cuándo este artículo deja de ser suficiente

Los 5 mínimos descritos aquí son la base. Son lo que necesitas tener antes de crecer. Pero hay un punto en el que el RGPD escala en complejidad junto con tu startup.

Cuando llegas a la fase de Series A, cuando tienes +30 empleados, cuando empiezas a operar en mercados fuera de España o cuando tu producto toca datos sensibles, la aproximación de "mínimos del día uno" ya no es suficiente. En ese momento, la inversión en un abogado especializado en datos o en un DPO externo pasa de ser opcional a necesaria.

La deuda operativa en protección de datos, como cualquier deuda operativa, se paga: con tiempo, con multas o con oportunidades perdidas en due diligence. Mejor pagarla antes de que sea urgente.

Si tu startup ya tiene usuarios y todavía no has tocado el RGPD, el momento de revisarlo es ahora. En Ebägurin, el diagnóstico operativo que hacemos al entrar en una startup siempre incluye un mapa de los sistemas de datos y los huecos de compliance más urgentes. No somos abogados, pero sabemos identificar dónde está el riesgo antes de que aparezca en un audit externo.

Agendar una llamada →