Un despacho pequeño trata a diario informes médicos, antecedentes penales, nóminas y conflictos familiares. Es decir, casi todo lo que el RGPD considera sensible. Esto es lo que hay que tener hecho, en qué orden, y qué documentos pide la Agencia cuando llama.
La protección de datos llegó a los despachos como un trámite: un cartel en la sala de espera, una cláusula al pie del correo y una carpeta con documentos que nadie volvió a abrir. Ocho años después de que el RGPD fuera aplicable, esa foto sigue siendo la de muchos despachos de dos a diez abogados, y es una foto peligrosa por una razón concreta: el despacho de abogados no es una empresa cualquiera en materia de datos.
Un despacho medio maneja, en la misma semana, partes de lesiones, informes psicológicos de un procedimiento de familia, antecedentes penales de un cliente, nóminas de un despido y datos económicos de terceros que jamás firmaron nada. Todo eso son categorías de datos que el reglamento somete a un régimen reforzado. La buena noticia es que el marco legal contempla expresamente el trabajo del abogado y ofrece encaje para casi todo lo que hace un despacho; la mala es que ese encaje hay que documentarlo, y el papel es lo que casi nunca está.
Tres rasgos hacen que la normativa pese más aquí que en un comercio o una consultora:
Ese tercer punto es el que más sorprende y el que más reclamaciones genera ante la Agencia Española de Protección de Datos: la parte contraria que descubre que su informe médico circula en un grupo de correo, o el trabajador que recibe una carta con datos que no debían salir del expediente.
Antes de redactar un solo documento hay que resolver una pregunta que decide todo lo demás: en cada tratamiento concreto, ¿el despacho decide los fines y los medios, o actúa por cuenta de otro?
Es la situación normal en la defensa jurídica. Cuando asumes la dirección letrada de un asunto, decides tú qué datos recabas, cómo los tratas y durante cuánto tiempo los conservas, con independencia de las instrucciones del cliente. Eres responsable del tratamiento, y lo eres también respecto de los datos de la parte contraria que incorporas al expediente. Esta es la posición mayoritaria y la que asumen los criterios profesionales del sector.
Hay servicios en los que sí actúas siguiendo instrucciones de un cliente empresa sin decidir tú los fines: gestionar su canal interno de denuncias, llevar la revisión de contratos con datos de sus empleados, o prestar servicios de compliance integrados en su organización. En esos casos hace falta el contrato de encargo del artículo 28 del RGPD, firmado, con el objeto, la duración, la naturaleza del tratamiento y las medidas de seguridad.
Para datos ordinarios (identificativos, de contacto, económicos) del propio cliente, la base natural es la ejecución del contrato de prestación de servicios, complementada por el cumplimiento de obligaciones legales en lo que toca a facturación, obligaciones fiscales o prevención del blanqueo.
Para los datos de terceros que entran en el expediente, la base habitual es el interés legítimo en el ejercicio del derecho de defensa, que es un interés reconocido y de peso considerable en la ponderación.
Y para las categorías especiales —salud, ideología, vida sexual— el reglamento ofrece una vía específica y hecha a medida de la abogacía: el tratamiento necesario para la formulación, el ejercicio o la defensa de reclamaciones. Esa excepción es la columna vertebral de la licitud en un despacho, y conviene tenerla citada expresamente en el registro de actividades y en la información que se entrega al cliente.
Muchos despachos dan por resuelta la protección de datos porque «ya estamos sujetos al secreto profesional». Son obligaciones que se solapan pero que protegen cosas distintas y ante instancias distintas.
El secreto profesional es un deber deontológico y penal que protege la confianza del cliente y se exige ante el colegio y los tribunales. La normativa de protección de datos protege el derecho fundamental de cualquier persona cuyos datos trates —incluida la parte contraria, que no es tu cliente y a la que no debes secreto profesional alguno— y se exige ante la Agencia. Cumplir uno no acredita el otro.
La diferencia se ve con claridad en un caso típico: enviar por error un escrito con datos del demandante a un destinatario equivocado no vulnera tu deber de secreto hacia tu cliente, pero es una brecha de seguridad con obligaciones concretas y plazos que corren.
Es el documento central y el primero que se solicita en cualquier actuación de la Agencia. La exención para organizaciones de menos de 250 empleados no salva a los despachos, porque decae —entre otros supuestos— cuando el tratamiento no es ocasional y cuando incluye categorías especiales de datos o datos penales. En un despacho se dan las dos cosas todos los días.
Un registro útil no es un formulario genérico descargado de internet: es un inventario real de lo que hace el despacho. Como mínimo, una ficha por cada uno de estos tratamientos:
Cada ficha necesita fines, base jurídica, categorías de interesados y de datos, destinatarios, transferencias internacionales, plazos de supresión y una descripción general de las medidas de seguridad. Es un trabajo de una tarde bien hecho, y es la diferencia entre un expediente sancionador que se archiva y uno que sigue adelante.
Con LexIAGest cada asunto lleva su cliente, sus documentos, sus accesos y su plazo de conservación en el mismo sitio, con trazabilidad de quién ha visto qué. El registro de tratamientos deja de ser un papel aparte y pasa a describir lo que el despacho realmente hace.
Probar LexIAGest gratis| Documento | ¿Necesario en un despacho de 2-10 abogados? | Qué debe contener | Riesgo si falta |
|---|---|---|---|
| Registro de actividades de tratamiento | Sí, prácticamente siempre | Una ficha por tratamiento con fines, base, categorías, plazos y medidas | Es el primer documento que se requiere; su ausencia agrava cualquier expediente |
| Información al interesado (capa 1 y capa 2) | Sí | Identidad del responsable, fines, base, destinatarios, plazos, derechos y reclamación ante la AEPD | Infracción autónoma, con independencia de que el tratamiento sea lícito |
| Cláusula en la hoja de encargo | Sí | Remisión a la información completa y, si procede, autorizaciones específicas | Dificulta acreditar que se informó y cuándo |
| Contratos de encargo con proveedores | Sí, uno por proveedor que accede a datos | Contenido del artículo 28: objeto, duración, instrucciones, confidencialidad, subencargados, devolución o supresión | Responsabilidad directa del despacho por lo que haga el proveedor |
| Análisis de riesgos | Sí | Identificación de riesgos por tratamiento y medidas adoptadas | Sin él no se puede justificar la proporcionalidad de las medidas |
| Evaluación de impacto (EIPD) | Solo en tratamientos de alto riesgo | Descripción, necesidad, riesgos y medidas mitigadoras | Obligatoria en supuestos tasados; su omisión es infracción |
| Registro de brechas de seguridad | Sí, aunque esté vacío | Hechos, efectos, medidas correctoras y decisión de notificar o no | Debe existir incluso para incidentes que no se notifican |
| Deberes de confidencialidad del personal | Sí | Compromiso firmado por cada trabajador y colaborador | Deja al despacho sin defensa frente a una filtración interna |
| Política de conservación y supresión | Muy recomendable | Plazos por tipo de expediente y procedimiento de destrucción | Conservación indefinida contraria al principio de limitación del plazo |
| Nombramiento de DPD y comunicación a la AEPD | Solo si es obligatorio o se designa voluntariamente | Datos de contacto y comunicación a la Agencia | Designar y no comunicar es un incumplimiento formal fácil de detectar |
Todo proveedor que accede a datos personales por cuenta del despacho es un encargado de tratamiento y necesita contrato. La lista real de un despacho pequeño suele ser más larga de lo que sus socios imaginan:
En cambio, no son encargados quienes tratan los datos en ejercicio de su propia función profesional: el procurador, el perito, el notario o el propio juzgado son responsables independientes. A ellos no se les firma un contrato de encargo; a ellos se les comunican datos, y esa comunicación necesita su propia base jurídica y debe figurar como destinatario en la información y en el registro.
Con carácter general, un despacho pequeño no está obligado a designar delegado de protección de datos. La obligación surge cuando la actividad principal implica un tratamiento a gran escala de categorías especiales de datos o una observación habitual y sistemática de interesados a gran escala, y un despacho de dos a diez abogados no alcanza ese umbral por su volumen ordinario de asuntos.
Dos matices importantes. El primero: los despachos grandes o los que concentran su actividad en materias con tratamiento masivo de datos sensibles sí pueden quedar dentro. El segundo: se puede designar un delegado de forma voluntaria, pero entonces se aplican todas las obligaciones asociadas —posición independiente, participación en todos los asuntos de datos, comunicación a la Agencia— y no vale designarlo como argumento comercial y olvidarlo.
Lo que sí conviene siempre es asignar internamente la responsabilidad a una persona concreta del despacho. Sin dueño, ningún registro se actualiza.
El reglamento no impone una lista cerrada: exige medidas apropiadas al riesgo. Para un despacho con datos sensibles, este es el suelo razonable, y todo él está al alcance de una firma pequeña:
Una brecha no es solo un ataque informático. Es cualquier violación de la seguridad que ocasione destrucción, pérdida, alteración, comunicación o acceso no autorizado a datos personales. En un despacho, las tres más frecuentes son mucho más prosaicas que un ransomware: un correo enviado a la persona equivocada, un expediente en papel extraviado y un dispositivo perdido.
El procedimiento, cuando ocurre:
Aquí chocan dos lógicas legítimas. El principio de limitación del plazo de conservación empuja a suprimir cuanto antes; el deber de custodia del expediente, la prescripción de las acciones de responsabilidad civil del abogado, las obligaciones fiscales y, cuando aplica, la normativa de prevención del blanqueo empujan a conservar durante años.
La forma de resolverlo no es elegir un bando, sino escribir una política de conservación por tipo de dato, con plazos distintos y justificados:
| Tipo de información | Criterio de conservación | Qué hacer al vencer |
|---|---|---|
| Expediente del asunto | Plazo de custodia profesional tras la finalización, ampliado hasta la prescripción de posibles acciones de responsabilidad | Devolución al cliente o destrucción certificada |
| Documentación contable y facturas | Plazos mercantiles y fiscales aplicables | Archivo cerrado con acceso restringido |
| Documentación de prevención del blanqueo | El plazo específico que fija su normativa, más largo que el general | Bloqueo y supresión al vencer |
| Datos de contactos y marketing | Hasta la baja o la falta de interacción durante un periodo definido | Supresión efectiva, no simple marcado como inactivo |
| Currículums recibidos | Periodo corto y anunciado en la información al candidato | Destrucción o consentimiento expreso para conservar |
| Grabaciones de videovigilancia | Plazo máximo legalmente previsto, muy breve | Borrado automático programado |
Dos precisiones que evitan disgustos. Primera: la devolución del expediente al cliente al finalizar el asunto es la vía más limpia, y conviene documentarla con acuse. Segunda: «conservar» no significa «tener accesible para todo el despacho». Un expediente cerrado debe pasar a un archivo con acceso restringido, no seguir en la carpeta activa del equipo.
Cualquier persona cuyos datos trates puede ejercer acceso, rectificación, supresión, oposición, limitación y portabilidad. El despacho debe responder en el plazo de un mes, prorrogable en supuestos justificados, y debe hacerlo también cuando la respuesta es una negativa motivada.
La pregunta difícil llega cuando el solicitante es la parte contraria y pide la supresión de sus datos del expediente. La respuesta habitual es negativa y está bien fundada: el derecho de supresión no procede cuando el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones. Pero hay que responder, motivar esa excepción e informar de la posibilidad de reclamar ante la Agencia. El silencio es lo único que no cabe.
Conviene tener preparados tres modelos de respuesta —acceso, supresión y oposición— y un procedimiento sencillo para verificar la identidad del solicitante antes de contestar. Facilitar datos a quien dice ser alguien sin comprobarlo es, en sí mismo, una brecha. Un flujo de comunicación estructurada con el cliente ayuda a que estas solicitudes no se pierdan entre correos.
Sí, en la práctica siempre. La exención prevista para organizaciones de menos de 250 empleados decae cuando el tratamiento no es ocasional o cuando incluye categorías especiales de datos o datos relativos a condenas e infracciones penales. Un despacho cumple esas condiciones a diario, así que la exención no le resulta aplicable y el registro es exigible.
No como base principal. El reglamento habilita el tratamiento de categorías especiales cuando es necesario para la formulación, el ejercicio o la defensa de reclamaciones, que es exactamente la función del abogado. Apoyarse en el consentimiento es más frágil, porque puede retirarse en cualquier momento y dejaría al despacho sin base para seguir defendiendo al propio cliente.
No. El procurador, el perito, el notario y el órgano judicial tratan los datos en ejercicio de su propia función profesional y son responsables independientes, no encargados del despacho. Lo que sí procede es identificarlos como destinatarios de comunicaciones de datos en el registro de actividades y en la información que se entrega a los interesados.
Es una brecha de seguridad. Hay que contenerla —solicitar la eliminación y confirmar que se ha producido—, documentarla en el registro interno de brechas y valorar el riesgo para los afectados. Si existe riesgo, se notifica a la Agencia dentro de las 72 horas siguientes a tener conocimiento del incidente, y si el riesgo es alto se comunica además a las personas afectadas.
Puede solicitarlo, y el despacho debe responder en el plazo de un mes, pero la respuesta será normalmente denegatoria y motivada: el derecho de supresión no procede cuando el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones. Lo que no cabe es ignorar la solicitud; hay que contestar por escrito e informar de la vía de reclamación ante la Agencia.
Depende del proveedor y de sus condiciones. Hay que comprobar si los datos se usan para entrenar modelos, dónde se alojan, si hay transferencia internacional y con qué garantías, y firmar el contrato de encargo correspondiente. Además, la herramienta debe quedar reflejada en el registro de actividades y en la información al interesado. Subir un expediente a un servicio gratuito sin contrato ni garantías es una comunicación de datos no amparada.
La protección de datos en un despacho no se resuelve con una carpeta de plantillas, sino con cuatro decisiones bien documentadas: qué papel juegas en cada tratamiento, en qué base jurídica te apoyas, quién accede a los datos y durante cuánto tiempo los conservas. Con esas cuatro respuestas escritas, el resto de documentos casi se redacta solo.
El orden de trabajo que funciona en un despacho pequeño es este: inventariar los tratamientos y levantar el registro, revisar la información que se entrega al cliente, firmar los encargos con los proveedores que acceden a datos, subir el suelo técnico —doble factor, cifrado, copias, control de accesos— y escribir la política de conservación. Un par de semanas de trabajo repartido, y a partir de ahí una revisión anual.
Lo que no compensa es el escenario alternativo: descubrir el día de la brecha que el registro de tratamientos no existe, que el contrato con el proveedor de la nube nunca se firmó y que nadie sabe cuándo empezaron a contar las 72 horas.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico para un caso concreto. Las obligaciones concretas de cada despacho dependen de su volumen y tipo de tratamientos, y la normativa, los criterios de la autoridad de control y los plazos aplicables pueden modificarse: verifica siempre la regulación vigente y, cuando el caso lo requiera, recaba asesoramiento especializado.