La mayoría de los despachos de abogados y firmas de servicios profesionales invierten en cifrado, copias de seguridad y contraseñas robustas, pero olvidan un riesgo tan sencillo como habitual: el expediente abierto sobre la mesa, la pantalla desbloqueada durante una pausa para el café o el móvil personal con el correo corporativo sincronizado y sin ningún control. La política de escritorio limpio y dispositivos móviles no es un capricho organizativo, es una medida de seguridad exigida, de forma más o menos directa, por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Qué exige realmente la normativa
El artículo 32 del RGPD obliga al responsable y al encargado del tratamiento a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. No detalla el mobiliario ni los procedimientos de escritorio, pero sí establece el principio: si el riesgo de acceso no autorizado existe, la organización debe mitigarlo. Un expediente con datos de un cliente, una demanda, un informe pericial o una nómina dejado a la vista de terceros (limpieza, visitas, otros clientes en sala de espera) constituye precisamente ese riesgo.
La LOPDGDD refuerza este enfoque en su artículo 5, que regula el deber de confidencialidad, y en el conjunto de disposiciones relativas a los derechos digitales en el ámbito laboral (artículos 87 a 91), que reconocen el derecho de los trabajadores a la protección de su intimidad frente al uso de dispositivos digitales, pero también habilitan al empleador para establecer políticas de uso, siempre que se informe previamente al trabajador. Esto es relevante porque una política de escritorio limpio y dispositivos móviles no solo protege al cliente: también delimita qué puede y no puede hacer el empleado con su propio dispositivo cuando accede a sistemas del despacho.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
El deber de secreto profesional del abogado
Para los despachos de abogados, la cuestión tiene una capa adicional. El Estatuto General de la Abogacía Española (Real Decreto 135/2021) establece en su articulado el deber de secreto profesional como elemento esencial de la relación con el cliente, un deber que no se limita a no divulgar información, sino que exige adoptar medidas activas para evitar accesos indebidos. Un documento confidencial visible en una pantalla compartida durante una videollamada, o un expediente físico sobre la mesa cuando entra un cliente ajeno al asunto, puede suponer una vulneración de ese deber con consecuencias deontológicas, además de las que correspondan en materia de protección de datos.
Qué debe incluir una política de escritorio limpio
No hace falta un documento extenso ni burocrático. Una política eficaz suele contemplar lo siguiente:
- Bloqueo automático de pantalla tras un breve periodo de inactividad en todos los equipos.
- Prohibición de dejar documentación física con datos de clientes sobre mesas o zonas comunes al finalizar la jornada o al ausentarse.
- Uso de armarios o cajones con llave para expedientes en papel, especialmente en despachos con visitas frecuentes.
- Destrucción segura (trituración) de documentos que ya no sean necesarios, en lugar de depositarlos en la papelera común.
- Restricción de impresiones innecesarias y retirada inmediata de documentos de la impresora compartida.
Dispositivos móviles: el punto ciego más habitual
El teletrabajo y el acceso remoto al correo y a los expedientes desde el móvil personal se han normalizado sin que, en muchos despachos pequeños, exista una política formal al respecto. Aquí conviene distinguir entre dispositivos corporativos y modelos BYOD (bring your own device), cada uno con implicaciones distintas.
La Ley 11/2021, de 9 de julio, de medidas de prevención y lucha contra el fraude fiscal, y la Ley 18/2022, de 28 de septiembre, de creación y crecimiento de empresas (Ley Crea y Crece), no regulan directamente esta materia, pero sí refuerzan el marco general de digitalización y trazabilidad documental en el que operan los despachos, lo que hace aún más necesario que el acceso a esos documentos digitales esté protegido en cualquier dispositivo desde el que se consulten.
En la práctica, una política mínima de dispositivos móviles debería exigir bloqueo con PIN o biometría, cifrado del almacenamiento, posibilidad de borrado remoto en caso de pérdida o robo, y separación clara entre datos personales y datos profesionales cuando el dispositivo es propiedad del empleado.
Cómo implantarla sin generar resistencia
La política solo funciona si se comunica con claridad y se predica desde la dirección del despacho. No basta con un correo enviado una vez al año: conviene incluirla en el proceso de incorporación de nuevos empleados, revisarla periódicamente y, sobre todo, aplicarla de forma coherente en todos los niveles, incluidos los socios. Un despacho que exige escritorio limpio a sus administrativos pero permite expedientes abiertos en el despacho del socio director pierde toda credibilidad interna.
Puntos clave
- El RGPD (artículo 32) y la LOPDGDD (artículo 5) exigen medidas organizativas frente a accesos no autorizados, no solo medidas técnicas.
- El Estatuto General de la Abogacía (RD 135/2021) vincula el escritorio limpio al deber de secreto profesional.
- Los artículos 87 a 91 de la LOPDGDD permiten al despacho regular el uso de dispositivos, siempre con información previa al trabajador.
- La política debe cubrir tanto documentación física como dispositivos móviles, incluidos los personales usados en modo BYOD.
- Una política sin aplicación uniforme, incluida la dirección del despacho, pierde su valor práctico.
Adoptar una política de escritorio limpio y dispositivos móviles no requiere grandes inversiones, sino disciplina organizativa. Es, probablemente, una de las medidas de protección de datos con mejor relación entre esfuerzo y reducción de riesgo disponibles para cualquier despacho de abogados o empresa de servicios profesionales. Puede ampliar esta cuestión en otros artículos de nuestra sección de Privacidad y Seguridad o consultar más contenido práctico en el blog de gestionempresa.org.