Hay un error habitual en cómo los autónomos digitales ubican su riesgo frente al RGPD: creen que el problema empieza si les roban datos. El problema empieza mucho antes, en cómo estaban custodiando esos datos cuando nadie miraba.
Un portátil sin cifrar con exportaciones de clientes. Un acceso a Drive compartido con un excolaborador que sigue activo ocho meses después. Una cuenta de Meta comprometida desde la que se puede extraer una audiencia personalizada con datos personales. Ninguno de estos escenarios requiere un ataque sofisticado. Requieren solo que nadie haya revisado los accesos abiertos con la misma atención con la que se revisan las facturas pendientes.
Dónde nace la responsabilidad bajo el RGPD
El autónomo digital suele pensar que, si le roban datos, el problema principal será técnico: recuperar accesos, cambiar contraseñas, avisar al informático. Bajo el RGPD, ese es solo el primer movimiento. Si en ese acceso hay datos personales de clientes, leads, empleados del cliente o usuarios finales, entran obligaciones de notificación, análisis del incidente, posible comunicación a afectados y una exposición clara a reclamaciones si se aprecia falta de medidas adecuadas.
La responsabilidad no nace solo de perder una base de datos. También nace de cómo se custodiaba antes. Un portátil sin cifrar con exportaciones de clientes, un acceso a Drive compartido con un excolaborador, una hoja de cálculo enviada por correo sin protección, una web con plugin desactualizado que captura formularios, una cuenta de Meta o Google comprometida desde la que se extraen audiencias con datos personales. El robo es el hecho visible. La discusión de fondo será otra: qué medidas había implantadas y si eran razonables para la actividad.
La mayor exposición no siempre está en los datos que recoge el profesional, sino en los datos del cliente a los que le dejaron entrar sin delimitar bien el alcance.
El RGPD no castiga solo la mala fe; castiga también la ligereza operativa. Un autónomo que gestiona campañas para clínicas, academias o despachos puede tocar nombres, teléfonos, correos, historiales de interacción e incluso categorías de datos más sensibles de lo que cree, porque a veces el cliente da acceso completo al CRM para una tarea puntual y ese acceso se queda abierto meses. Esa puerta abierta agrava la reclamación cuando algo falla.
Cómo una incidencia pequeña se convierte en un expediente serio
El momento de giro suele ser muy reconocible. Hay una incidencia aparentemente controlada: una cuenta de correo envía mensajes raros, un cliente avisa de un enlace sospechoso, una carpeta compartida aparece modificada. Se cambia la contraseña y se sigue trabajando. Dos días después llega otra pregunta: qué información había dentro, desde cuándo hubo acceso y a cuántas personas afecta. En ese punto ya no se está gestionando informática. Se está gestionando evidencia, tiempos de notificación, responsabilidad contractual y reputación.
Luego llega la segunda capa, que pesa más en un autónomo que en una empresa grande. Mientras se aclara qué pasó, se paran entregas, se revisan cuentas, se informa a clientes y se responden correos incómodos. Ese tiempo no se factura. Si uno de esos clientes depende del profesional para lanzar campañas, atender leads o mantener una web operativa, puede buscar a otro proveedor por pura urgencia. A veces la factura más alta no la emite la Administración, sino el cliente que no vuelve.
Tres puntos que conviene revisar antes de que ocurra algo
El primero es si se actúa como responsable del tratamiento, encargado del tratamiento o en una mezcla de ambos según el servicio prestado, porque esa diferencia cambia las obligaciones y también lo que pueden exigir los clientes y la autoridad de control.
El segundo es si los servicios han crecido con el tiempo y la protección se quedó anclada en una actividad más simple. Quien empezó haciendo diseño web y hoy administra CRMs, automatizaciones y bases de datos tiene una exposición distinta a la que tenía cuando contrató.
El tercero es si la póliza de RC profesional toca de verdad el frente de protección de datos y ciberincidente o si lo deja fuera, lo limita de forma testimonial o exige condiciones que no encajan con la forma real de trabajar. Hay otro error silencioso: confiar en que, como se usan herramientas conocidas, parte de la responsabilidad recae automáticamente en la plataforma. Que el proveedor tenga sus propias medidas no elimina el deber de configurar accesos, limitar permisos, escoger bien a colaboradores ni firmar los acuerdos de tratamiento cuando corresponden.
La responsabilidad bajo el RGPD no se mide por el tamaño del negocio, sino por el daño que puede causar una gestión descuidada de datos ajenos. Quien trabaja solo no tiene menos exposición; tiene menos margen para absorber el golpe.
Preguntas frecuentes
Si el cliente me dio acceso a su CRM y el fallo viene de una contraseña robada, ¿me pueden reclamar igual?
Sí, si se entiende que las medidas de acceso, custodia o control de permisos eran insuficientes para el tipo de datos tratados. La discusión no se limita a quién era dueño del CRM, sino a si la intervención del profesional aumentó el riesgo o permitió el acceso indebido. El RGPD valora las medidas implantadas, no solo la titularidad del sistema.
¿Una RC profesional estándar suele cubrir una brecha de datos con aviso a afectados y defensa ante reclamación?
No siempre. Algunas pólizas tocan la responsabilidad civil por errores profesionales, pero dejan fuera gastos de gestión del incidente, análisis forense, notificaciones, extorsión digital o sanciones vinculadas a privacidad. Hay que leer el condicionado y las exclusiones, no el nombre comercial del producto.
¿Qué obliga a notificar el RGPD cuando hay un acceso indebido a datos de clientes?
Si la brecha supone un riesgo para los derechos y libertades de las personas afectadas, hay obligación de notificar a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que se tiene conocimiento. Si el riesgo es alto, también hay que comunicarlo a los propios afectados. El incumplimiento de estos plazos puede agravar la sanción independientemente de si el incidente era evitable.
¿Qué diferencia hay entre ser responsable del tratamiento y ser encargado del tratamiento?
El responsable decide los fines y medios del tratamiento; el encargado trata datos por cuenta del responsable siguiendo sus instrucciones. Un autónomo digital puede ser responsable de sus propios datos de contacto y encargado cuando gestiona la base de datos o el CRM del cliente. Esa diferencia cambia qué documentos hay que firmar, qué obligaciones corresponden y quién responde ante la autoridad en caso de incidente.
¿Qué medidas mínimas debería tener implantadas un autónomo digital para reducir su exposición?
Autenticación en dos factores en todas las cuentas con acceso a datos de clientes, control de permisos por colaborador con revisión periódica, registro básico de actividades de tratamiento, cláusula de confidencialidad y protección de datos en contratos con clientes y colaboradores, y política de eliminación de accesos cuando termina una relación. No es una lista exhaustiva, pero cubre los puntos donde más se agravan las reclamaciones cuando algo falla.
Si su actividad toca datos de clientes, su protección necesita una revisión específica
En Molina López analizamos riesgos, estructura aseguradora, carencias y coordinación entre pólizas. Trabajamos con más de 95 aseguradoras para encontrar la protección que encaja con su actividad digital, sus responsabilidades reales y la normativa vigente.
Solicitar análisis de protección Sin compromiso. Respuesta en 24 horas.