Correo electrónico cifrado: la asignatura pendiente de los despachos de abogados

El correo electrónico sigue siendo la herramienta principal de comunicación entre despachos de abogados y sus clientes. Por él circulan documentos contractuales, informes periciales, datos de salud, información financiera y, con frecuencia, datos especialmente protegidos según el artículo 9 del RGPD. Sin embargo, el correo electrónico estándar no fue diseñado pensando en la confidencialidad: viaja por servidores intermedios, puede quedar almacenado en copias de seguridad ajenas al despacho y es vulnerable a interceptaciones si no se aplican medidas adicionales.

Para un despacho de abogados, esto no es solo una cuestión técnica. El artículo 542.3 de la Ley Orgánica del Poder Judicial y el Estatuto General de la Abogacía Española (Real Decreto 135/2021) consagran el secreto profesional como un deber esencial del ejercicio de la abogacía. Enviar información confidencial de un cliente por un canal no cifrado, sin valorar alternativas más seguras, puede entenderse como una falta de diligencia en la protección de esa confidencialidad, además de una posible brecha de seguridad conforme al RGPD y la Ley Orgánica 3/2018 (LOPDGDD).

Qué significa realmente "correo cifrado"

Conviene distinguir entre varios niveles de protección, porque no todos ofrecen lo mismo:

• Cifrado en tránsito (TLS): protege el correo mientras viaja entre servidores, pero el proveedor de correo puede acceder al contenido una vez almacenado.
• Cifrado de extremo a extremo (E2EE): el mensaje se cifra en el dispositivo del emisor y solo puede descifrarse en el del receptor. Ni siquiera el proveedor del servicio tiene acceso al contenido.
• Cifrado en reposo: protege los mensajes almacenados en los servidores frente a accesos no autorizados o robos de datos.

La mayoría de proveedores de correo corporativo (Microsoft 365, Google Workspace) ofrecen cifrado en tránsito y en reposo por defecto, lo cual es un mínimo razonable. Pero para comunicaciones especialmente sensibles (asesoramiento en procedimientos penales, datos de menores, información médica en procedimientos laborales o de incapacidad) conviene valorar soluciones con cifrado de extremo a extremo o, como mínimo, con envío de documentos mediante enlaces cifrados y con contraseña, en lugar de adjuntos directos.

Obligaciones normativas que conviene tener presentes

El RGPD no exige expresamente cifrar todo el correo electrónico, pero su artículo 32 obliga a aplicar medidas técnicas y organizativas "adecuadas al riesgo", y menciona explícitamente el cifrado como ejemplo de medida apropiada. En un despacho de abogados, donde se tratan de forma habitual datos de categoría especial (salud, origen étnico en asilo, ideología en algunos litigios laborales), el nivel de riesgo es alto, lo que refuerza la exigencia de medidas robustas.

La LOPDGDD, en su artículo 5, insiste en el deber de confidencialidad de quienes tratan datos personales, y este deber se mantiene incluso tras finalizar la relación con el cliente. Además, si el despacho emplea personal o colaboradores externos, debe tenerse en cuenta el Estatuto de los Trabajadores en lo relativo al uso de medios digitales y el derecho a la intimidad del trabajador, especialmente si se auditan o revisan correos corporativos.

Por otro lado, la Ley 18/2022 de creación y crecimiento de empresas y la Ley 11/2021 de medidas de prevención del fraude fiscal no regulan directamente el cifrado de correo, pero sí refuerzan el contexto general de digitalización segura de las relaciones comerciales y la trazabilidad documental, algo que debe conciliarse con la protección de datos.

Medidas prácticas para despachos de pequeño y mediano tamaño

No es necesario implantar sistemas complejos de criptografía para dar un salto sustancial en seguridad. Algunas medidas accesibles y proporcionadas incluyen:

• Activar la autenticación multifactor en todas las cuentas de correo del despacho.
• Utilizar plataformas de intercambio de documentos con cifrado y control de acceso, en lugar de adjuntar archivos sensibles directamente al correo.
• Establecer una política interna clara sobre qué tipo de información puede enviarse por correo ordinario y cuál requiere un canal más protegido.
• Formar al personal del despacho en identificación de intentos de phishing, una de las vías más habituales de exposición de correos confidenciales.
• Revisar periódicamente los contratos de encargo del tratamiento con proveedores de correo y de almacenamiento en la nube, conforme al artículo 28 del RGPD.

La elección del proveedor también importa. No es lo mismo contratar un servicio de correo genérico que uno orientado a sectores regulados, con acuerdos de tratamiento de datos claros, servidores en la Unión Europea y funciones de cifrado configurables por defecto. Esta decisión debe documentarse como parte del registro de actividades de tratamiento que exige el artículo 30 del RGPD.

Adoptar correo electrónico cifrado no es una cuestión de aparentar cumplimiento, sino de proteger de forma efectiva la confianza que los clientes depositan en el despacho. Para profundizar en otras medidas de protección de datos aplicables a despachos y pequeñas empresas de servicios profesionales, puede consultarse la sección de Privacidad y Seguridad o revisar los artículos relacionados en el blog.