Un despacho de abogados trata, casi por definición, datos especialmente sensibles: salud en reclamaciones por daños, condenas e infracciones penales, situación económica, vida familiar, orientación política o sindical. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) no contienen un régimen especial para la abogacía, y eso es justo lo que suele sorprender: las mismas obligaciones que se exigen a cualquier responsable del tratamiento se exigen a un despacho unipersonal con doscientos expedientes abiertos.
La experiencia de los procedimientos sancionadores y de las inspecciones muestra que la Agencia Española de Protección de Datos (AEPD) no empieza por lo sofisticado. Empieza por lo documental. Si el despacho no puede acreditar en papel (o en PDF) lo que hace con los datos, el resto de la defensa se complica mucho.
El registro de actividades de tratamiento: el primer documento que se pide
El artículo 30 del RGPD obliga a llevar un registro de actividades de tratamiento. La exención para organizaciones de menos de 250 empleados es prácticamente inaplicable en la abogacía, porque decae cuando el tratamiento no es ocasional o cuando afecta a categorías especiales de datos o a datos relativos a condenas e infracciones penales. Un despacho está casi siempre en ese supuesto.
El registro no es un formulario que se rellena una vez. Debe reflejar de verdad la actividad del despacho, actividad por actividad: gestión de expedientes de clientes, facturación, recursos humanos, videovigilancia si la hay, comunicaciones comerciales o newsletter, procesos de selección. De cada una conviene identificar finalidad, categorías de interesados y de datos, base de licitud, destinatarios, transferencias internacionales, plazos de supresión y una descripción general de las medidas de seguridad.
- Actividad, finalidad y base jurídica de cada tratamiento.
- Categorías de datos, incluyendo la mención expresa a datos de salud o penales cuando existan.
- Encargados de tratamiento y proveedores tecnológicos con acceso a la información.
- Plazos de conservación, ligados a los deberes de custodia del expediente y a la prescripción de acciones.
- Fecha de actualización, porque un registro de hace cinco años es un indicio de que nadie lo revisa.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
La base de licitud casi nunca es el consentimiento
Es un error frecuente pedir al cliente que firme un consentimiento genérico para tratar sus datos. Para la prestación del servicio jurídico, la base natural es la ejecución del contrato (artículo 6.1.b) y, en buena parte de las actuaciones, el cumplimiento de obligaciones legales (artículo 6.1.c), por ejemplo en materia fiscal o de prevención del blanqueo de capitales.
El tratamiento de datos de terceros que aparecen en el expediente (la parte contraria, testigos, familiares) suele ampararse en el interés legítimo o en la formulación y defensa de reclamaciones, que es además una de las excepciones del artículo 9.2.f para las categorías especiales de datos. Distinguir bien esas bases evita el escenario incómodo de un cliente que retira el consentimiento y pretende que el despacho borre un expediente que debe conservarse.
Contratos con encargados: la nube también es un tratamiento
Cada proveedor que accede a datos personales por cuenta del despacho es un encargado del tratamiento y requiere el contrato del artículo 28: el software de gestión, el proveedor de correo, la copia de seguridad, la asesoría laboral, el servicio de destrucción de documentación, el perito externo cuando actúa por cuenta del despacho. Conviene revisar dónde se alojan los servidores y qué garantías existen para las transferencias internacionales, especialmente con proveedores estadounidenses.
Tampoco hay que confundir figuras. Cuando el despacho colabora con otro letrado que actúa con criterio propio y responsabilidad profesional independiente, lo razonable es una cesión entre responsables, no un encargo. La calificación importa porque determina quién responde de qué.
Medidas de seguridad y deber de información
El artículo 32 exige medidas apropiadas al riesgo, y en un despacho el riesgo es alto por la naturaleza de los datos. No hace falta un despliegue de gran empresa, pero sí un conjunto coherente: cifrado de discos en portátiles, autenticación multifactor en el correo, copias de seguridad probadas (una copia que nunca se ha restaurado no es una copia), control de accesos por usuario, política de dispositivos móviles y borrado seguro de equipos que se retiran.
En cuanto al deber de información de los artículos 13 y 14, la hoja de encargo debe incorporar una cláusula informativa completa, y la web necesita política de privacidad, política de cookies y formularios con información en capas. Es donde primero mira cualquier reclamante, porque está a la vista de todos.
Puntos clave para el despacho
- El registro del artículo 30 es obligatorio en la práctica para cualquier despacho, sin importar su tamaño.
- La base de licitud del servicio jurídico es el contrato y la obligación legal, no el consentimiento.
- Todo proveedor con acceso a datos necesita contrato de encargo conforme al artículo 28.
- Un delegado de protección de datos no siempre es obligatorio, pero conviene analizar si hay tratamiento a gran escala de categorías especiales.
- La evaluación de impacto se valora cuando se implantan herramientas nuevas de perfilado o analítica sobre datos de clientes.
Cómo ordenar el cumplimiento sin paralizar el despacho
Lo eficaz es trabajar por fases. Primero, un inventario honesto de dónde están los datos: servidor local, nube, correo, móviles, archivo físico. Segundo, la documentación mínima viable, es decir, registro de tratamientos, cláusulas informativas, contratos de encargo y política de conservación. Tercero, las medidas técnicas prioritarias y un protocolo de brechas por escrito. Cuarto, formación breve pero periódica del equipo, incluido el personal administrativo y los pasantes.
El cumplimiento del RGPD en un despacho de abogados no es un proyecto que se cierra, sino una rutina que se mantiene. Quien puede acreditar decisiones razonadas y documentadas parte de una posición muy distinta ante una inspección. Puede ampliar información en privacidad y seguridad o consultar los recursos sobre software para abogados.
Contratar y despedir sin sustos
Las decisiones de plantilla son el punto donde más despachos acaban en el juzgado por no haber documentado bien el proceso. Antes de formalizar un despido o una modificación sustancial de condiciones, merece la pena una consulta con abogados laboralistas. Galindo & Barrio son abogados en Madrid y la primera consulta es gratuita.