Qué datos de clientes puedes guardar — y cuáles necesitan una base propia

Un negocio pequeño no reúne datos de clientes por curiosidad, sino porque sin ellos no funciona. Una cita necesita nombre y teléfono, una factura necesita domicilio, el segundo tratamiento necesita el resultado del primero. El RGPD no prohíbe nada de eso. Solo exige que para cada apunte puedas decir para qué está ahí.

De ahí cuelga lo demás: la finalidad decide la base jurídica, la base decide la conservación, y las dos juntas deciden si una nota es una ayuda de memoria inofensiva o una categoría de datos con reglas más estrictas. Este artículo lo ordena en tres cajones y enseña dónde pasa la frontera. Es una orientación; sobre tu caso concreto deciden la autoridad de control competente —en España, la Agencia Española de Protección de Datos— o un asesoramiento jurídico.

El art. 5 del RGPD abre con seis principios, y tres te afectan cada día. Limitación de la finalidad: los datos se recogen con fines determinados y explícitos y no se tratan después de manera incompatible con ellos. Minimización de datos: solo lo necesario para esa finalidad. Limitación del plazo de conservación: solo mientras la finalidad lo sostenga.

A eso se suma el art. 6.1, con la lista de motivos por los que un tratamiento es lícito. Para un negocio de servicios hay cuatro relevantes: la ejecución de un contrato, incluidas medidas precontractuales (letra b); una obligación legal (letra c); el interés legítimo (letra f); y el consentimiento (letra a). El consentimiento es el que más aparece justo donde no haría ninguna falta.

Esto es más que sistemática. Quien guarda una cita solo porque hubo consentimiento se queda sin base en cuanto ese consentimiento se retira, aunque la cita haga falta para prestar el servicio. Y al revés: el contrato no sostiene la newsletter, por cordial que sea la relación. La base jurídica sigue a la finalidad, no a la comodidad. Y no se cambia después, cuando la primera resulta no encajar.

Reparte una vez tu fichero en tres cajones. El ejercicio dura media hora y luego resuelve solo la mayoría de las dudas. El segundo no lo decides tú: manda el plazo de conservación de cada documento.

El tercer cajón da trabajo, no porque esté prohibido, sino porque se llena sin que nadie lo decida. Se crea un campo «cumpleaños» porque el software lo ofrece; tres años después nadie sabe si era para felicitar o para comprobar la edad. Ambas son lícitas, con base y plazo distintos.

La tercera fila trae una particularidad que ahorra decisiones: contra el tratamiento con fines de mercadotecnia directa, cualquier persona puede oponerse cuando quiera (art. 21.2 RGPD). Sin motivo y sin ponderación. Esa oposición no es una petición que resuelvas, sino el final del tratamiento.

Aquí se decide la teoría. Escribes una nota junto a la cita; tres variantes, tres situaciones distintas:

• «Color 7.3, 40 minutos de exposición»: un dato sobre el servicio. Contrato, sin problema.
• «Revisar frenos traseros en la próxima cita»: un dato sobre la cosa, no sobre la persona. También sin problema.
• «Cuero cabelludo irritado, intolerancia al amoniaco»: un dato sobre la salud. Y por tanto otro artículo del Reglamento.

El art. 9.1 del RGPD prohíbe con carácter general el tratamiento de categorías especiales de datos personales, y los datos de salud están nombrados expresamente. El art. 4.15 los define como datos de los que se deduzca información sobre el estado de salud, y el considerando 35 lo entiende de forma amplia, incluidos los que surgen con ocasión de prestar un servicio.

La prohibición no es el final, sino el principio. El art. 9.2 a) la levanta cuando la persona interesada ha dado su consentimiento explícito. «Explícito» exige aquí más que de costumbre: una conformidad consciente y nombrada para ese dato, no una casilla bajo unas condiciones generales. En la práctica no es gran cosa: una línea en la ficha de admisión que diga que el dato es voluntario, para qué se usa y que puede retirarse cuando se quiera.

La misma frontera alcanza a la nota sobre un menor («no tolera el látex»), al dato alimentario de una celebración y al aviso sobre movilidad reducida. La pregunta de control es siempre la misma: ¿dice algo sobre el estado de la persona o sobre el servicio? Si no puedes responder con seguridad, trátalo como dato de salud. Ese es el lado barato del error.

La minimización suena a renuncia y en realidad es una descarga de trabajo. Todo campo que existe acaba llenándose; todo apunte lleno hay que mantenerlo, nombrarlo en un derecho de acceso y suprimirlo algún día. El momento más barato para deshacerte de un dato es antes de que exista.

Tres preguntas antes de cada campo nuevo:

1. ¿Qué hago distinto si aquí pone algo? Si la respuesta es «nada», no necesitas el campo.
2. ¿Basta un dato más grueso? «Mayor de edad: sí» en vez de la fecha de nacimiento. «Prefiere mañanas» en vez del horario laboral.
3. ¿Quién dentro del negocio tiene que verlo? Una nota de tratamiento pertenece a quien atiende, no a una pantalla en la caja donde lee de reojo la siguiente persona.

La tercera pregunta la responde el software, no la disciplina. Donde citas, notas y facturas están en un mismo sistema, la separación por roles es un ajuste; donde están repartidas entre papelitos, calendario de pared y hoja de cálculo, sigue siendo un propósito. Cómo se ve en un salón lo enseña el software para salones, y en un taller el software de taller. La pregunta no cambia, sea cual sea la herramienta.

De los tres cajones sale un cuadro, y ese cuadro ya es el núcleo de lo que el art. 30 del RGPD exige como registro de las actividades de tratamiento: fines, categorías de datos y de interesados, destinatarios, plazos previstos de supresión y una descripción general de las medidas técnicas y organizativas.

El art. 30.5 contiene una excepción para empresas de menos de 250 personas empleadas que casi nunca se aplica. Decae en cuanto el tratamiento entraña un riesgo para los derechos y libertades de las personas, en cuanto no es ocasional o en cuanto se tratan categorías especiales del art. 9. Un fichero de clientes en uso no es ocasional. Quien invoca la excepción invoca casi siempre un criterio que su negocio no cumple.

La buena noticia: el registro no es un dictamen. Una tabla con una fila por tratamiento —citas, facturación, newsletter, candidaturas, videovigilancia si la hay— cumple la exigencia. Se lleva por escrito, basta el formato electrónico (art. 30.3), y solo se entrega a la autoridad de control si esta lo pide (art. 30.4).

De ahí no se sigue un delegado de protección de datos. El art. 37.1 lo exige en tres casos que no suelen darse en un negocio pequeño: autoridad u organismo público, observación habitual y sistemática a gran escala como actividad principal, o tratamiento a gran escala de categorías especiales como actividad principal. A eso pueden sumarse reglas nacionales, y aquí España se separa de otros Estados miembros: el artículo 34 de la Ley Orgánica 3/2018 no fija umbral alguno por número de personas empleadas, sino una lista cerrada de actividades —colegios profesionales, centros docentes, entidades de crédito, aseguradoras, centros sanitarios obligados a mantener historias clínicas, operadores de juego, seguridad privada y algunas más—. Un salón, un taller o una consultoría no aparecen ahí. Sí entra quien elabore perfiles a gran escala con fines de publicidad y prospección comercial. Y un detalle que sorprende: si designas un delegado, aunque sea voluntariamente, hay que comunicárselo a la AEPD en diez días.