Política de escritorio limpio y de dispositivos móviles: la base de la confidencialidad en el despacho

La confidencialidad de un despacho de abogados no se juega solo en el cifrado de los servidores o en las contraseñas del sistema de gestión. Se juega, muchas veces, en cosas más pequeñas: un expediente abierto sobre la mesa cuando llega un cliente, un móvil desbloqueado encima del escritorio, una pantalla de ordenador visible desde la sala de espera. La política de escritorio limpio y de dispositivos móviles aborda precisamente ese riesgo cotidiano, el que no aparece en ningún informe de auditoría técnica pero que es responsable de buena parte de las brechas de información en entornos de servicios profesionales.

Qué es la política de escritorio limpio y por qué es obligatoria en la práctica

Una política de escritorio limpio ("clean desk policy") es un conjunto de normas internas que obliga a guardar bajo llave o a destruir de forma segura cualquier documento, nota o soporte con datos de clientes cuando el puesto de trabajo queda sin supervisión, y especialmente al final de la jornada. No es un capricho organizativo: se deriva directamente de las obligaciones que el Reglamento (UE) 2016/679 (RGPD) impone al responsable y al encargado del tratamiento.

El artículo 5.1.f del RGPD establece el principio de integridad y confidencialidad, y el artículo 32 obliga a aplicar medidas técnicas y organizativas apropiadas al riesgo. Un expediente con datos de salud, patrimonio o situación procesal de un cliente dejado a la vista constituye, por definición, una medida organizativa ausente. El artículo 24, sobre responsabilidad proactiva, añade que el despacho debe poder demostrar que ha adoptado estas cautelas, no solo que las conoce.

En el ámbito de la abogacía, esta exigencia se refuerza con el deber de secreto profesional recogido en el Estatuto General de la Abogacía Española (Real Decreto 135/2021), que configura la confidencialidad como un deber esencial del ejercicio profesional, no como una recomendación de buenas prácticas.

El móvil, el punto ciego de la mayoría de despachos

Mientras que el escritorio físico suele estar bajo control visual, el teléfono móvil se ha convertido en la vía de fuga de información menos vigilada. Correo corporativo sincronizado, notas de voz con datos de un cliente, fotografías de documentos tomadas "para salir del paso", acceso al gestor documental desde una red wifi pública: todo esto ocurre fuera del perímetro que el despacho cree controlar.

• Bloqueo automático en menos de un minuto y autenticación reforzada (PIN, biometría o ambas).
• Separación clara entre uso personal y uso profesional del dispositivo, especialmente si es un terminal propio (BYOD).
• Cifrado del almacenamiento y posibilidad de borrado remoto en caso de pérdida o robo.
• Prohibición expresa de guardar documentación de clientes en galerías de fotos o aplicaciones de mensajería no corporativas.
• Actualización obligatoria del sistema operativo y de las aplicaciones corporativas.

Lo que dice la normativa laboral sobre el control de estos dispositivos

Implantar esta política tiene una segunda dimensión: la relación con las personas trabajadoras del despacho. El artículo 20.3 del Estatuto de los Trabajadores permite al empresario adoptar medidas de vigilancia y control, pero exige "la consideración debida" a la dignidad del trabajador. La LOPDGDD 3/2018 concreta este equilibrio en su Título X: el artículo 87 reconoce el derecho a la intimidad en el uso de dispositivos digitales puestos a disposición por el empleador, y exige que existan criterios de utilización establecidos previamente y comunicados a la plantilla; el artículo 88 reconoce el derecho a la desconexión digital, relevante cuando se exige disponibilidad permanente en el móvil corporativo.

En la práctica, esto significa que el despacho no puede limitarse a "pedir" buenas prácticas: necesita una política escrita, conocida y firmada por cada persona, que defina qué puede y qué no puede hacerse con el dispositivo, cuándo puede revisarse su contenido y con qué garantías. Sin ese documento previo, cualquier control posterior sobre el dispositivo puede considerarse una intromisión no amparada.

Cómo implantar la política sin paralizar el trabajo diario

La digitalización impulsada por normas como la Ley 18/2022 de creación y crecimiento de empresas o la Ley 11/2021 de medidas de lucha contra el fraude fiscal ha reducido el papel en circulación, pero ha trasladado el riesgo al soporte digital: pantallas, móviles y portátiles. Por eso la política debe cubrir ambos mundos a la vez, no solo el papel.

Una implantación realista pasa por pocas reglas, claras y exigibles: definir qué se considera "escritorio limpio" (sin expedientes, sin notas con datos identificativos, sin pantallas desbloqueadas), fijar el momento en que se aplica (ausencias breves, fin de jornada, reuniones con terceros en el despacho) y asignar a alguien la responsabilidad de verificarlo periódicamente, sin convertirlo en una vigilancia intrusiva.