El secreto profesional del abogado nació pensando en conversaciones a puerta cerrada y en expedientes guardados bajo llave. Hoy el mismo deber se proyecta sobre buzones de correo alojados en servidores de terceros, carpetas compartidas, aplicaciones de mensajería instantánea y teléfonos móviles que salen del despacho todos los días. La norma no ha cambiado su fundamento; ha cambiado radicalmente la superficie que hay que proteger.
El artículo 542.3 de la Ley Orgánica del Poder Judicial establece que los abogados deben guardar secreto de todos los hechos o noticias de que conozcan por razón de cualquiera de las modalidades de su actuación profesional, sin que puedan ser obligados a declarar sobre ellos. El Estatuto General de la Abogacía Española, aprobado por el Real Decreto 135/2021, desarrolla ese deber y lo configura como un derecho y un deber de carácter indefinido en el tiempo, que se extiende a toda la organización del despacho.
Un deber que va más allá del propio abogado
El secreto no se agota en el letrado que firma los escritos. Alcanza al personal administrativo, a los pasantes, a los colaboradores externos y, en la práctica, a cualquier persona que tenga acceso material a la información. De ahí que la obligación tenga una dimensión organizativa: el titular del despacho debe adoptar medidas para que ese acceso esté controlado y para que quien acceda conozca el alcance de su deber de reserva.
En términos prácticos, eso significa acuerdos de confidencialidad firmados con todo el equipo, cláusulas específicas en los contratos laborales y de prestación de servicios, y una política interna que se explique, no solo que se firme. También significa que los accesos deben ser nominativos: un usuario compartido para toda la oficina hace imposible saber quién consultó qué expediente y cuándo.
Protección de datos: dónde suelen fallar los despachos
La mayoría de sanciones no llegan por un ataque informático, sino por no tener el registro de actividades de tratamiento o por guardar expedientes sin control de accesos. Un programa que registre quién consulta cada expediente resuelve buena parte del problema: así funcionan el software médico DriCloud y software dental en el ámbito dental. Si ya ha recibido un requerimiento, conviene hablar con abogados de protección de datos.
Correo electrónico: el punto más débil
La mayor parte de la información sensible de un despacho circula por correo. Es también el vector de ataque preferido, mediante suplantación de identidad, fraude del CEO o interceptación de comunicaciones para desviar transferencias en operaciones inmobiliarias. Un despacho que no ha revisado nunca la configuración de su correo tiene un problema latente.
- Autenticación multifactor obligatoria en todas las cuentas, sin excepciones para socios.
- Registros de autenticación de dominio correctamente configurados para dificultar la suplantación.
- Cifrado o protección con contraseña de los adjuntos con datos especialmente sensibles, con la clave enviada por un canal distinto.
- Verificación telefónica de cualquier cambio de número de cuenta bancaria comunicado por correo.
- Revisión periódica de reglas de reenvío automático, un rastro típico de cuentas comprometidas.
- Uso de copia oculta cuando se escribe a varios destinatarios que no deben conocerse entre sí.
La nube no es incompatible con el secreto, pero exige diligencia
Alojar expedientes en servicios en la nube es hoy la norma y no vulnera por sí mismo el secreto profesional. Lo que sí resulta exigible es elegir el proveedor con criterio y documentar esa elección. Desde la perspectiva del RGPD, el proveedor es un encargado del tratamiento y necesita el contrato del artículo 28. Desde la perspectiva deontológica, lo relevante es que el despacho conserve el control efectivo sobre la información.
Merece la pena revisar dónde se ubican físicamente los datos, qué garantías se aplican a las transferencias internacionales, si el proveedor puede acceder al contenido, qué ocurre con la información al terminar el contrato y con qué plazo se devuelve o se destruye. Las herramientas de inteligencia artificial merecen una atención específica: introducir el contenido de un expediente en un servicio que reutiliza esa información para entrenar modelos es, sencillamente, una comunicación de datos no consentida.
Móviles y mensajería: el despacho que viaja en el bolsillo
El teléfono personal del abogado suele contener conversaciones con clientes, documentos descargados y acceso permanente al correo. Si se pierde sin cifrado ni bloqueo, la brecha es inmediata. La solución no pasa por prohibir el uso del móvil, sino por establecer condiciones mínimas: bloqueo biométrico o con código robusto, cifrado del dispositivo, actualizaciones al día, capacidad de borrado remoto y separación, cuando sea posible, entre el perfil personal y el profesional.
La mensajería instantánea plantea un problema añadido: la información queda fuera del expediente y fuera del control del despacho, con copias de seguridad en servicios de terceros. Es razonable admitirla para coordinación logística y trasladar al canal formal todo lo que tenga contenido jurídico, dejando constancia en el sistema de gestión.
Reglas mínimas de higiene digital
- Accesos nominativos y perfiles de permisos por rol, con revisión al menos anual.
- Cifrado de disco en todos los portátiles y bloqueo automático de pantalla.
- Compromiso de confidencialidad firmado por todo el personal, incluidos becarios y externos.
- Copias de seguridad cifradas, con una copia fuera de línea y restauraciones probadas.
- Protocolo de baja de personal: revocación inmediata de credenciales y devolución de dispositivos.
- Destrucción certificada del papel y borrado seguro de equipos retirados.
Cuando el secreto se enfrenta a otras obligaciones
Existen supuestos en los que el deber de reserva convive con obligaciones legales, señaladamente en materia de prevención del blanqueo de capitales, donde la normativa prevé exenciones para la información obtenida al determinar la posición jurídica del cliente o en el ejercicio de la defensa. También hay tensiones conocidas en los registros de despachos y en la intervención de comunicaciones, donde la jurisprudencia ha exigido garantías reforzadas.
Ante una diligencia de entrada o un requerimiento que afecte a material amparado por el secreto, lo prudente es solicitar la presencia de un representante del colegio de abogados y dejar constancia expresa de la protesta en el acta. La protección del secreto es, en último término, una garantía del derecho de defensa del cliente, no un privilegio del profesional. Puede consultar más artículos en privacidad y seguridad.