Política de escritorio limpio y dispositivos móviles: protección real del dato en el despacho

La mayoría de las medidas de seguridad en un despacho de abogados se concentran en el software: cifrado, copias de seguridad, control de accesos. Sin embargo, buena parte de las fugas de información se producen por descuidos físicos y cotidianos: un expediente sobre la mesa, una pantalla desbloqueada, un móvil con el correo del despacho abierto sobre la barra de un bar. La política de escritorio limpio y de dispositivos móviles aborda precisamente ese riesgo, el más humano y el más habitual.

Qué es una política de escritorio limpio y por qué es una medida técnica y organizativa exigible

El artículo 32 del Reglamento General de Protección de Datos (RGPD) obliga al responsable y al encargado del tratamiento a aplicar medidas técnicas y organizativas apropiadas para garantizar la confidencialidad de los datos personales. La LOPDGDD 3/2018 refuerza esta idea al vincular la protección de datos con el análisis de riesgos y la adopción de protocolos internos. Una política de escritorio limpio no es un capricho de orden, es una medida organizativa exigida por la propia normativa cuando se tratan datos especialmente protegidos, como suele ocurrir en el ejercicio de la abogacía (salud, situación económica, antecedentes penales, menores, violencia de género).

El Estatuto General de la Abogacía Española (Real Decreto 135/2021) añade una capa adicional: el deber de secreto profesional del abogado no se limita a lo que se dice, también alcanza a lo que se deja visible. Un expediente abierto sobre la mesa durante una reunión con otro cliente, o una pantalla con un correo electrónico confidencial visible desde la sala de espera, puede constituir una vulneración de ese deber, con independencia de que exista o no intención de divulgar nada.

Elementos concretos de una política de escritorio limpio

La política debe traducirse en hábitos observables, no en un documento que nadie lee. Algunos elementos imprescindibles:

• Ningún expediente, escrito o nota con datos de clientes debe quedar sobre la mesa al finalizar la jornada o al ausentarse del puesto por tiempo prolongado.
• Los documentos en papel que ya no sean necesarios deben destruirse mediante destructora de documentos, nunca depositarse en la papelera común.
• Los equipos informáticos deben bloquearse automáticamente tras un breve periodo de inactividad y siempre de forma manual al abandonar el puesto.
• Las salas de reuniones deben revisarse tras cada cita para retirar cualquier documentación olvidada.
• Los armarios y archivadores con expedientes físicos deben permanecer cerrados con llave fuera del horario de uso.

El dispositivo móvil como punto ciego de la seguridad del despacho

El correo electrónico del despacho, las aplicaciones de gestión de expedientes y las comunicaciones con clientes se consultan cada vez con más frecuencia desde el móvil personal. Esto plantea un problema jurídico y práctico: ¿quién es responsable de la seguridad de un dispositivo que no es propiedad del despacho pero que contiene datos de clientes?

La Ley 10/2021, de trabajo a distancia, y el propio Estatuto de los Trabajadores obligan a las empresas a establecer criterios claros sobre el uso de dispositivos digitales, especialmente cuando existe modalidad de teletrabajo. Si el despacho permite el acceso desde dispositivos personales (modelo conocido como BYOD, bring your own device), debe existir una política escrita que regule, como mínimo, el cifrado del dispositivo, el bloqueo con contraseña o biometría, la posibilidad de borrado remoto en caso de pérdida o robo, y la prohibición de guardar copias locales de documentación sensible fuera de las aplicaciones autorizadas por el despacho.

La ausencia de esta política no exime de responsabilidad al despacho ante una brecha de seguridad originada en un móvil personal: si el despacho permitió ese acceso sin establecer garantías, el riesgo recae igualmente sobre él como responsable del tratamiento.

Formación y evidencia documental frente a la Agencia Española de Protección de Datos

Tener una política de escritorio limpio redactada no basta. Debe existir constancia de que se ha comunicado a todo el personal, que se ha impartido formación específica y que se revisa periódicamente. Esta documentación es la primera línea de defensa en caso de inspección o de investigación tras un incidente: demuestra diligencia, y la diligencia es precisamente lo que valora la Agencia Española de Protección de Datos al analizar si un incidente fue evitable o inevitable.

Conviene además coordinar esta política con la normativa sobre firma electrónica y confianza digital, Ley 6/2020, en aquellos despachos que gestionan documentación firmada digitalmente, ya que el acceso a certificados y claves desde dispositivos no controlados multiplica el riesgo de suplantación o alteración documental.

Aplicación práctica en despachos pequeños y en modelos de teletrabajo

En estructuras reducidas, donde uno o dos profesionales gestionan la totalidad de los expedientes, la tentación de relajar estas normas es mayor porque parece que "todos ya saben" cómo comportarse. Precisamente por eso conviene formalizarlas: la informalidad es el terreno donde se producen los descuidos. La Ley 18/2022 de creación y crecimiento de empresas, orientada a simplificar trámites, no exime de estas obligaciones de protección de datos, que son transversales a cualquier tamaño de despacho.

Puede consultar más contenidos sobre esta materia en la sección de privacidad y seguridad y en el blog de gestionempresa.org.