Si tens un despatx d'advocats o una assessoria, és fàcil pensar que el secret professional ja et protegeix legalment i que el RGPD és "cosa d'un altre tipus de negoci". No és així. Manejes cada dia dades personals sensibles dels teus clients —de vegades més sensibles que les de qualsevol altre sector— i això et col·loca sota el mateix marc d'obligacions que qualsevol empresa que tracta dades personals, amb algunes particularitats pròpies de la teva activitat.
Anem a veure què implica això a la pràctica, sense embuts legals.
Quines dades maneja un despatx d'advocats o una assessoria
Un despatx o una assessoria no només guarda noms i telèfons. Maneja expedients judicials, informació econòmica i fiscal d'empreses i particulars, nòmines, dades de menors en processos de família, antecedents penals, informes pericials o correus amb detalls molt privats de la vida d'un client. Part d'aquesta informació pot entrar en les categories especials de l'article 9 del RGPD (salut, origen ètnic, afiliació sindical, entre altres), la qual cosa exigeix mesures de protecció encara més estrictes.
Tota aquesta documentació, física o digital, està subjecta al RGPD des del moment en què identifica o pot identificar una persona. I no importa si el despatx té dos socis o cinquanta empleats: l'obligació és la mateixa.
El secret professional no eximeix del RGPD
Aquí hi ha el malentès més habitual del sector: el secret professional (o el deure de confidencialitat de l'advocacia) i el RGPD són dues coses diferents que conviuen, no que se substitueixen. El secret professional t'obliga a no revelar el que saps d'un client. El RGPD t'obliga, a més, a tenir una base legal per tractar les seves dades, a informar-lo de què fas amb elles, a protegir-les amb mesures tècniques adequades i a poder demostrar que compleixes si l'AEPD t'ho demana.
Complir amb el secret professional no t'allibera d'una sanció per una filtració de dades, ni de l'obligació de notificar-la si passa. Són capes de protecció diferents i complementàries.
Obligacions pràctiques que has de tenir en ordre
- Registre d'activitats de tractament: quins expedients gestiones, amb quina finalitat, qui hi té accés (incloent-hi col·laboradors externs, gestories o programari al núvol) i durant quant de temps els conserves.
- Mesures de seguretat tècniques i organitzatives: xifratge de la documentació sensible, control d'accés als expedients digitals i còpies de seguretat. Un ordinador compartit sense contrasenya a la recepció de l'assessoria és un risc real, no un detall menor.
- Acords amb tercers: si utilitzes una gestoria externa, un programari de facturació al núvol o un servei d'arxiu digital, necessites un contracte d'encarregat del tractament que reguli com tracten aquestes dades per tu.
- Drets dels clients: accés, rectificació, supressió i portabilitat de les seves dades, amb un procediment clar per respondre dins del termini.
Breixes de dades: el termini de 72 hores amb l'AEPD
Una breixa en un despatx pot ser tan senzilla com un correu amb un expedient complet enviat a la persona equivocada, un ordinador robat sense xifrar o un accés indegut a la base de dades de clients. Des que en tens constància, disposes d'un termini legal de 72 hores per notificar-la a l'AEPD, i no fer-ho pot comportar una sanció independent de la que correspongui per la breixa en si.
Les sancions per incomplir el RGPD poden arribar, en els casos més greus, fins a 20 milions d'euros o el 4% de la facturació global anual de l'empresa, encara que a la pràctica les sancions a pimes i despatxos petits solen quedar molt per sota d'aquest màxim. Tot i això, donat el tipus d'informació que maneges, una filtració en un despatx d'advocats o una assessoria pot danyar la confiança dels teus clients d'una manera molt més greu que la pròpia multa. Pots llegir amb més detall què fer pas a pas a la nostra guia sobre l'obligació de notificar una breixa de dades segons el RGPD.
Monitorització de filtracions: com Alerta Brecha et pot ajudar
A Alerta Brecha vigilem de manera contínua si les dades del teu despatx o assessoria (correus electrònics, dominis, telèfons, etc.) apareixen en filtracions conegudes o en llistats d'internet. En estar en fase d'accés anticipat, pots apuntar-te a la llista d'espera per accedir al servei.
Tenim dos plans pensats per a pimes i autònoms: el Pla Bàsic (9€/mes, monitorització setmanal) i el Pla Professional (14,50€/mes el primer any, 29€/mes després), amb monitorització diària, alerta immediata i un PDF precarregat per facilitar la notificació a l'AEPD. Cap servei de monitorització pot garantir que detecti totes les filtracions existents ni substitueix un delegat de protecció de dades, però és una capa de seguretat assequible quan no disposes d'un equip de compliment dedicat. Si vols comparar el cost real de no prevenir davant el d'un incompliment, ho expliquem amb detall a el cost d'incomplir el RGPD davant el de prevenir-lo.
---
Recorda que aquest article té un caràcter merament divulgatiu i no substitueix l'assessorament d'un professional legal qualificat. Per resoldre dubtes concrets sobre la teva situació, consulta amb un professional.