Casi cualquier despacho de abogados o consultora que use software de gestion, un servicio de hosting, una gestoria externa o una herramienta de email marketing esta, en la practica, entregando datos personales de clientes a un tercero. Esa cesion no es libre: el Reglamento General de Proteccion de Datos (RGPD) exige que exista un contrato de encargado del tratamiento siempre que un proveedor trate datos personales por cuenta del despacho. No firmarlo, o firmarlo mal, es uno de los incumplimientos mas frecuentes y mas faciles de detectar en una inspeccion o auditoria.
Que es exactamente un contrato de encargado del tratamiento
El articulo 28 del RGPD distingue dos figuras: el responsable del tratamiento (quien decide para que y como se usan los datos, normalmente el propio despacho) y el encargado del tratamiento (el proveedor que trata esos datos siguiendo instrucciones del responsable, sin decidir sobre ellos). Cuando existe esa relacion, la norma obliga a formalizarla mediante un contrato u otro acto juridico vinculante que fije derechos y obligaciones de ambas partes.
La LOPDGDD 3/2018 completa el marco espanol del RGPD y refuerza la idea de que la mera contratacion de un servicio no exime de responsabilidad al despacho: la seleccion del proveedor, sus garantias de seguridad y la existencia del contrato correspondiente forman parte del deber de diligencia del responsable.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
Cuando hace falta en un despacho de abogados o una pyme de servicios
En la practica diaria, un despacho suele encargar el tratamiento de datos a varios proveedores sin ser plenamente consciente de ello. Algunos ejemplos habituales:
- Software de gestion de expedientes o clientes alojado en la nube.
- Servicios de hosting, correo electronico corporativo o copias de seguridad externas.
- Gestorias o asesorias que llevan la nomina o la contabilidad del despacho.
- Plataformas de firma electronica o de envio de comunicaciones a clientes.
- Herramientas de marketing, newsletters o CRM con datos de contactos y clientes.
- Servicios de mantenimiento informatico con acceso remoto a los sistemas.
Si el proveedor solo accede a datos personales de forma incidental y sin capacidad real de tratarlos (por ejemplo, un tecnico que repara un router sin acceder a bases de datos), no siempre es necesario. Pero en la mayoria de los casos anteriores, si hay tratamiento por cuenta del despacho, el contrato es obligatorio, con independencia del tamano del proveedor o de que el servicio sea gratuito.
Que debe incluir el contrato segun el articulo 28.3 RGPD
No basta con una clausula generica de confidencialidad en las condiciones de uso del software. El contrato de encargado debe recoger, como minimo:
- El objeto, duracion, naturaleza y finalidad del tratamiento, y el tipo de datos y categorias de interesados.
- La obligacion del encargado de tratar los datos solo siguiendo instrucciones documentadas del responsable.
- El compromiso de confidencialidad del personal autorizado a acceder a los datos.
- Las medidas de seguridad tecnicas y organizativas aplicadas (articulo 32 RGPD).
- Las condiciones para subcontratar a otros encargados (subencargados), que requieren autorizacion previa.
- La asistencia al responsable para atender derechos de los interesados y notificar violaciones de seguridad.
- El destino de los datos al finalizar el servicio: devolucion o supresion, salvo obligacion legal de conservacion.
- La puesta a disposicion de la informacion necesaria para acreditar el cumplimiento, incluyendo auditorias.
Muchos proveedores de software de gestion ya ofrecen un contrato tipo o un anexo de proteccion de datos junto al contrato de servicio. Conviene revisarlo con calma antes de aceptar: la firma automatica al darse de alta no exime al despacho de comprobar que el contenido cumple con el articulo 28.
Encargado, responsable o corresponsable: no confundir las figuras
El error mas habitual es asumir que, por tratarse de un proveedor externo, este siempre actua como encargado. No es asi cuando el proveedor decide con que finalidad usa los datos o los reutiliza para fines propios (por ejemplo, estadisticos o comerciales ajenos al servicio contratado): en ese caso pasa a ser responsable independiente o corresponsable, y el regimen aplicable cambia. En un despacho de abogados esta distincion tiene ademas una capa adicional: el Estatuto General de la Abogacia Espanola (Real Decreto 135/2021) impone un deber de secreto profesional reforzado que obliga a extremar la cautela al elegir proveedores tecnologicos y a limitar el acceso de terceros a los expedientes y comunicaciones con clientes, mas alla de lo que exige la normativa general de proteccion de datos.
Puntos clave para revisar antes de firmar
- Identificar todos los proveedores que tratan datos personales por cuenta del despacho, no solo el software principal.
- Exigir el contrato de encargado (o anexo de proteccion de datos) antes de dar de alta cualquier servicio nuevo.
- Comprobar que incluye las obligaciones minimas del articulo 28.3 RGPD, no solo una clausula de confidencialidad.
- Verificar si el proveedor subcontrata a su vez otros servicios (por ejemplo, servidores en otro pais) y si eso implica una transferencia internacional.
- Guardar constancia fir