Actualizado: 2026 · Lectura: 12 minutos
Un despacho de abogados es, en términos de protección de datos, uno de los entornos más delicados que existen fuera del sector sanitario. No solo tratáis datos identificativos: tratáis datos de salud en incapacidades y accidentes, datos de vida familiar en divorcios y guardas, datos económicos en concursales, y datos relativos a condenas e infracciones penales cada vez que se abre un asunto penal. Todo ello, además, sobre personas que muchas veces no son vuestro cliente sino la parte contraria, un testigo o un menor.
Y sin embargo, el cumplimiento en la mayoría de despachos pequeños se reduce a dos cosas: una cláusula al pie de los correos y un texto legal en la web que copió el sobrino informático en 2019. Eso no es cumplimiento; es decoración. Lo que exige el RGPD es responsabilidad proactiva: no basta con cumplir, hay que poder demostrarlo con documentos.
La buena noticia es que un despacho de dos a diez abogados puede tener su cumplimiento razonablemente ordenado con un fin de semana de trabajo y una revisión anual. Esta guía recorre exactamente qué documentos hacen falta, qué decisiones hay que tomar y qué parte de todo esto puede sostener tu software de gestión en lugar de tu memoria.
Índice de contenidos
Cuando un despacho dice «cumplimos el RGPD» suele estar pensando en una sola norma. En realidad conviven varias capas, y confundirlas es la causa de la mitad de los errores:
La idea que ordena todo lo demás: el RGPD no te pide que no trates datos sensibles. Un despacho tiene que tratarlos para trabajar. Te pide que sepas exactamente cuáles tratas, por qué estás legitimado, cuánto tiempo los conservas, quién más los ve y qué haces si se pierden. Y que puedas enseñarlo por escrito.
Es el documento central y el primero que pide la Agencia Española de Protección de Datos si alguna vez llama a tu puerta. No es un formulario oficial: es un inventario. En un despacho tipo, las actividades a registrar suelen ser estas seis:
De cada una hay que anotar: finalidad, categorías de interesados, categorías de datos, base jurídica, destinatarios, transferencias internacionales, plazo de supresión y una descripción general de las medidas de seguridad. Ocupa cinco o seis páginas y se revisa una vez al año.
Este es el punto donde más despachos se equivocan, y el error tiene consecuencias prácticas serias. Muchos hacen firmar al cliente un «consentimiento para el tratamiento de sus datos» y creen que con eso está resuelto. No lo está, por dos motivos.
El primero es que el consentimiento es revocable en cualquier momento. Si esa fuera tu base jurídica para llevar el asunto, el día que el cliente la retire tendrías que dejar de tratar sus datos en mitad de un procedimiento. Evidentemente eso no puede ser.
El segundo es que no hace falta. Para llevar el asunto de tu cliente, la base correcta es la ejecución del contrato —la hoja de encargo— y, para conservar documentación, el cumplimiento de obligaciones legales. Para los datos de terceros que aparecen en el expediente (parte contraria, testigos, peritos), la base habitual es el interés legítimo o el ejercicio del derecho de defensa, no un consentimiento que sería imposible recabar.
El consentimiento sí es la base correcta para una cosa muy concreta: enviarle al cliente comunicaciones comerciales o el boletín del despacho. Ahí sí, con casilla separada, sin premarcar, y con posibilidad real de retirarlo.
El artículo 9 del RGPD prohíbe con carácter general tratar datos de salud, ideología, religión, afiliación sindical, vida sexual, origen racial o datos biométricos y genéticos, y después abre excepciones. La que sostiene el trabajo de un despacho es la de formulación, ejercicio o defensa de reclamaciones: es precisamente para eso para lo que existe.
Los datos relativos a condenas e infracciones penales van por una vía distinta (artículo 10), más restrictiva. La práctica correcta en un despacho penalista es documentar expresamente en el registro de actividades que se tratan al amparo del ejercicio del derecho de defensa, y aplicarles medidas de seguridad reforzadas: acceso restringido por asunto, no por «toda la carpeta del despacho».
De ahí sale la regla de oro operativa: el acceso a los expedientes debe ser por necesidad, no por defecto. Que un pasante que lleva mercantil pueda abrir el expediente de un divorcio con datos de salud de un menor no es un problema teórico; es exactamente el tipo de hallazgo que convierte una inspección en una sanción. Un buen sistema de gestión de expedientes permite definir esos permisos por asunto.
Cualquier tercero que acceda a datos personales por cuenta del despacho es un encargado del tratamiento y necesita un contrato del artículo 28. En un despacho pequeño la lista es más larga de lo que parece:
Con el procurador, en cambio, no procede contrato de encargo: actúa con su propia habilitación y sus propios deberes, de modo que se le considera responsable independiente. Lo mismo ocurre con los peritos designados judicialmente o con un abogado de otro despacho que interviene con su propia relación con el cliente.
Y hay una comprobación que casi nadie hace: dónde están los servidores. Si tu proveedor de software o de correo aloja los datos fuera del Espacio Económico Europeo, existe una transferencia internacional que debe estar amparada por una decisión de adecuación o por cláusulas contractuales tipo, y debe figurar en tu registro de actividades. Preguntarlo antes de contratar es más barato que descubrirlo después.
| Elemento | Despacho improvisado | Despacho documentado |
|---|---|---|
| Registro de actividades | No existe o es una plantilla sin rellenar | Seis actividades descritas y revisadas cada año |
| Base jurídica | «Consentimiento» para todo | Contrato, obligación legal e interés legítimo, cada uno donde toca |
| Acceso a expedientes | Carpeta compartida abierta a todo el despacho | Permisos por asunto y registro de accesos |
| Envío de documentación | Adjuntos por correo y WhatsApp | Portal de cliente con trazabilidad |
| Proveedores | Sin contratos de encargo | Contrato firmado y ubicación de servidores verificada |
| Conservación | Todo guardado para siempre «por si acaso» | Plazo definido por tipo de asunto, con bloqueo y supresión |
| Brechas | Se resuelven «internamente» y no se anotan | Registro de incidencias y protocolo de 72 horas |
| Ante una inspección | Se improvisa en 48 horas | Se entrega la carpeta de cumplimiento |
Aquí chocan dos lógicas. El RGPD dice «suprime cuando ya no lo necesites». La práctica jurídica dice «guarda por si mañana te reclaman». Ambas se reconcilian con una decisión escrita.
La forma correcta de hacerlo es fijar, por tipo de asunto, el plazo resultante de sumar: el tiempo en que puede ejercitarse una reclamación de responsabilidad civil profesional, el plazo de conservación que imponga la normativa de prevención del blanqueo cuando la operación esté sujeta, y los plazos fiscales y mercantiles de la documentación económica. El más largo manda.
Y una distinción que evita muchos disgustos: bloquear no es borrar. Cerrado el asunto, el expediente debe pasar a un estado en el que solo sea accesible para atender posibles responsabilidades, no para el trabajo diario. Solo cuando vencen todos los plazos concurrentes procede la supresión efectiva, incluidas las copias de seguridad.
El RGPD no publica una lista cerrada: exige medidas «apropiadas al riesgo». Para un despacho que trata categorías especiales, el suelo razonable es este:
Toda brecha se documenta internamente, siempre, aunque no se notifique. Si hay riesgo para los derechos de los afectados, se notifica a la autoridad de control sin dilación indebida y, como máximo, en 72 horas desde que se tuvo conocimiento. Si el riesgo es alto, además se comunica a los afectados.
En un despacho, las brechas reales rara vez son un ataque sofisticado. Son estas cuatro:
Tener un protocolo de una página —a quién se avisa, quién valora el riesgo, dónde se anota— es la diferencia entre resolverlo en dos horas y descubrir a los cuatro meses que nadie hizo nada.
Cualquier persona cuyos datos trates puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, y tienes un plazo de un mes para responder, prorrogable dos meses más en casos complejos si lo comunicas.
La particularidad del despacho aparece cuando quien lo ejerce no es tu cliente sino la parte contraria. Ahí conviene tener claro que el derecho de acceso da derecho a conocer qué datos suyos se tratan y con qué finalidad, no a obtener copia del expediente de tu cliente ni de tu estrategia procesal. El secreto profesional y los derechos de terceros limitan el alcance de la respuesta, pero no permiten ignorar la solicitud: hay que contestar en plazo, motivando qué se facilita y qué no.
Lo mismo con la supresión: no procede borrar datos necesarios para la formulación o defensa de reclamaciones, ni los que una norma obliga a conservar. Pero eso debe explicarse en la respuesta, no resolverse con el silencio.
Buena parte de lo anterior no se resuelve con documentos, sino con herramientas que hagan que lo correcto sea también lo cómodo. Al evaluar un software de gestión para despachos, estas son las preguntas que importan desde el punto de vista de protección de datos:
Esa última pregunta es la que más se olvida y la que más caro sale. Si tus datos no se pueden sacar, no eres tú quien controla el tratamiento.
LexIAGest organiza expedientes, permisos por asunto, portal de cliente y trazabilidad de accesos en una sola herramienta pensada para despachos pequeños.
Probar LexIAGest gratisCon carácter general, no. La designación obligatoria se reserva a autoridades públicas, a quienes observan sistemáticamente a personas a gran escala y a quienes tratan a gran escala datos de categorías especiales o penales. Un despacho pequeño que lleva asuntos de sus propios clientes no encaja en ese supuesto. Ahora bien, conviene dejar por escrito el análisis que llevó a esa conclusión, y designar uno voluntariamente es una opción válida si manejas mucho penal, laboral o sanitario.
No. Actúa en virtud de su propia relación de representación y con sus propios deberes profesionales, por lo que se le considera responsable independiente y no procede firmar con él un contrato de encargo. Distinto es el caso del proveedor de software, la custodia documental o la asesoría laboral externa: esos sí son encargados y sí requieren contrato.
No hay un plazo único, sino la suma de varios: el de posible reclamación de responsabilidad civil profesional, el que impone la normativa de prevención del blanqueo en las operaciones sujetas y los plazos fiscales y mercantiles de la documentación económica. Lo sensato es fijar por escrito un plazo por tipo de asunto, bloquear el expediente al cerrarlo y suprimir de verdad cuando vencen todos.
No está prohibido, pero es la vía que más problemas genera: la información queda replicada en el móvil personal del abogado, no hay trazabilidad ni control de acceso, y cuando esa persona deja el despacho el historial se va con ella. Lo recomendable es un portal de cliente donde las comunicaciones queden dentro del expediente, y reservar la mensajería para avisos sin contenido sensible.
Documentarla siempre en un registro interno y valorar el riesgo. Si existe riesgo, notificarla a la autoridad de control sin dilación indebida y como máximo en 72 horas; si el riesgo es alto, comunicarlo también a los afectados. El escenario típico en un despacho no es un ataque sofisticado, sino un correo enviado a la dirección equivocada o un portátil sin cifrar extraviado.
No, se suman. El secreto protege la confidencialidad de lo que el cliente confía; el RGPD regula el tratamiento de datos de cualquier persona afectada por el asunto, incluida la parte contraria. Cumplir uno no acredita el otro, aunque el deber de secreto sí limita el alcance de ciertas obligaciones de información y acceso.
La conclusión práctica es la de siempre en cumplimiento: lo que no está escrito, no existe. Un despacho pequeño no necesita un programa de compliance de multinacional; necesita seis actividades registradas, las bases jurídicas bien elegidas, los contratos de encargo firmados, unos plazos de conservación decididos y un protocolo de brechas de una página. Con eso, una inspección se responde entregando una carpeta. Sin eso, se responde improvisando, que es exactamente cuando aparecen los problemas.
Si quieres seguir profundizando, te interesan nuestras guías sobre gestión de expedientes, cómo digitalizar el despacho, la comunicación con el cliente y la agenda jurídica digital.
Esta guía tiene fines informativos y no constituye asesoramiento jurídico para un caso concreto. La normativa de protección de datos, los criterios de la Agencia Española de Protección de Datos y los plazos de conservación aplicables pueden haber cambiado después de la fecha de publicación. Consulta la normativa vigente y, en su caso, a un especialista antes de tomar decisiones.
Primera auditoría SEO gratuita — sin compromiso, en 24 horas
Solicitar auditoría gratis →