Casi todos los despachos de abogados y empresas de servicios profesionales trabajan con proveedores externos que acceden, de una forma u otra, a datos personales de clientes: gestorías, plataformas de facturación, servicios de hosting, herramientas de firma electrónica o programas de gestión de expedientes. Cada vez que esto ocurre, surge la misma pregunta: ¿hace falta firmar un contrato de encargado del tratamiento? La respuesta, en la mayoría de los casos, es sí, y no hacerlo supone un incumplimiento directo del Reglamento General de Protección de Datos.
Qué es el contrato de encargado del tratamiento
El artículo 28 del RGPD regula la figura del encargado del tratamiento: la persona física o jurídica que trata datos personales por cuenta del responsable, es decir, de quien decide los fines y medios del tratamiento. En un despacho de abogados, el responsable suele ser el propio despacho (o el profesional individual), y los encargados son los terceros que prestan un servicio que implica tratar esos datos en su nombre.
La ley exige que esta relación se formalice mediante un contrato u otro acto jurídico vinculante, por escrito, que detalle las condiciones del tratamiento. No basta con un acuerdo verbal ni con una cláusula genérica incluida de pasada en las condiciones de un servicio. La LOPDGDD 3/2018 completa el marco español del RGPD, pero en lo relativo al encargo del tratamiento no modifica esta exigencia: el régimen aplicable sigue siendo el del artículo 28.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
Cuándo es obligatorio en un despacho o empresa de servicios profesionales
El contrato de encargado del tratamiento hace falta siempre que un tercero trate datos personales por cuenta del despacho, no para sus propios fines. La clave está en distinguir entre quien decide qué se hace con los datos (responsable) y quien simplemente ejecuta instrucciones (encargado). Algunos ejemplos habituales:
- Software de gestión de expedientes o CRM alojado en la nube.
- Proveedores de hosting, correo corporativo o copias de seguridad.
- Plataformas de firma electrónica o de videoconferencia utilizadas para reuniones con clientes.
- Gestorías o asesorías externas que procesan nóminas o facturación del despacho.
- Servicios de envío de comunicaciones o marketing que gestionan listas de contactos de clientes.
No hace falta este contrato, en cambio, cuando el tercero actúa como responsable independiente, con sus propios fines de tratamiento (por ejemplo, un colaborador externo que recibe datos para elaborar un informe pericial y decide por sí mismo cómo tratarlos), ni cuando se trata de empleados del propio despacho, cuya relación se rige por el Estatuto de los Trabajadores y por las instrucciones internas de confidencialidad, no por un contrato de encargo.
El caso particular de los despachos de abogados
En el ejercicio de la abogacía entra en juego, además, el deber de secreto profesional, reforzado por el Estatuto General de la Abogacía Española (Real Decreto 135/2021). Cuando un despacho subcontrata un servicio que implica acceso a información de clientes amparada por este deber, el contrato de encargado del tratamiento debe reflejar también las garantías de confidencialidad exigibles, y es recomendable valorar con especial cuidado la ubicación de los servidores, el acceso del proveedor al contenido de los expedientes y las medidas de seguridad aplicadas. El cumplimiento del RGPD no sustituye al secreto profesional, pero ambos marcos deben ser coherentes entre sí.
Qué debe incluir el contrato
El artículo 28.3 del RGPD fija un contenido mínimo que debe recogerse por escrito. Entre otros elementos, el contrato debe especificar el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos y categorías de interesados afectados, y las obligaciones del encargado. En particular, debe constar que el encargado:
- Trata los datos únicamente siguiendo instrucciones documentad
Seguir leyendo
- Copias de seguridad en el despacho: la regla 3-2-1 explicada
- Correo electrónico cifrado: la asignatura pendiente de los despachos de abogados
- Política de escritorio limpio y de dispositivos móviles: la base de la confidencialidad en el despacho
- Contrato de encargado del tratamiento: cuando hace falta en un despacho o empresa de servicios