Si tienes un despacho de abogados o una asesoría, es fácil pensar que el secreto profesional ya te protege legalmente y que el RGPD es "cosa de otro tipo de negocios". No es así. Manejas a diario datos personales sensibles de tus clientes —a veces más sensibles que los de cualquier otro sector— y eso te coloca bajo el mismo marco de obligaciones que a cualquier empresa que trata datos personales, con algunas particularidades propias de tu actividad.
Vamos a ver qué implica esto en la práctica, sin rodeos legales.
Qué datos maneja un despacho de abogados o una asesoría
Un despacho o una asesoría no solo guarda nombres y teléfonos. Maneja expedientes judiciales, información económica y fiscal de empresas y particulares, nóminas, datos de menores en procesos de familia, antecedentes penales, informes periciales o correos con detalles muy privados de la vida de un cliente. Parte de esta información puede entrar en las categorías especiales del artículo 9 del RGPD (salud, origen étnico, afiliación sindical, entre otras), lo que exige medidas de protección todavía más estrictas.
Toda esa documentación, física o digital, está sujeta al RGPD desde el momento en que identifica o puede identificar a una persona. Y no importa si el despacho tiene dos socios o cincuenta empleados: la obligación es la misma.
El secreto profesional no exime del RGPD
Aquí está el malentendido más habitual del sector: el secreto profesional (o el deber de confidencialidad de la abogacía) y el RGPD son dos cosas distintas que conviven, no que se sustituyen. El secreto profesional te obliga a no revelar lo que sabes de un cliente. El RGPD te obliga, además, a tener una base legal para tratar sus datos, a informarle de qué haces con ellos, a protegerlos con medidas técnicas adecuadas y a poder demostrar que cumples si la AEPD te lo pide.
Cumplir con el secreto profesional no te libra de una sanción por una filtración de datos, ni de la obligación de notificarla si ocurre. Son capas de protección distintas y complementarias.
Obligaciones prácticas que debes tener en orden
- Registro de actividades de tratamiento: qué expedientes gestionas, con qué finalidad, quién accede a ellos (incluyendo colaboradores externos, gestorías o software en la nube) y cuánto tiempo los conservas.
- Medidas de seguridad técnicas y organizativas: cifrado de la documentación sensible, control de acceso a los expedientes digitales y copias de seguridad. Un ordenador compartido sin contraseña en la recepción de la asesoría es un riesgo real, no un detalle menor.
- Acuerdos con terceros: si usas una gestoría externa, un software de facturación en la nube o un servicio de archivo digital, necesitas un contrato de encargado de tratamiento que regule cómo tratan esos datos por ti.
- Derechos de los clientes: acceso, rectificación, supresión y portabilidad de sus datos, con un procedimiento claro para responder dentro de plazo.
Brechas de datos: el plazo de 72 horas con la AEPD
Una brecha en un despacho puede ser tan sencilla como un correo con un expediente completo enviado a la persona equivocada, un ordenador robado sin cifrar o un acceso indebido a la base de datos de clientes. Desde que tienes constancia del incidente, dispones de un plazo legal de 72 horas para notificarlo a la AEPD, y no hacerlo puede acarrear una sanción independiente de la que corresponda por la brecha en sí.
Las sanciones por incumplir el RGPD pueden alcanzar, en los casos más graves, hasta 20 millones de euros o el 4% de la facturación global anual de la empresa, aunque en la práctica las sanciones a pymes y despachos pequeños suelen quedar muy por debajo de ese máximo. Aun así, dado el tipo de información que manejas, una filtración en un despacho de abogados o una asesoría puede dañar la confianza de tus clientes de forma mucho más grave que la propia multa. Puedes leer con más detalle qué hacer paso a paso en nuestra guía sobre la obligación de notificar una brecha de datos según el RGPD.
Monitorización de filtraciones: cómo Alerta Brecha puede ayudarte
En Alerta Brecha vigilamos de forma continua si los datos de tu despacho o asesoría (correos electrónicos, dominios, teléfonos, etc.) aparecen en filtraciones conocidas o en listados de internet. Al estar en fase de acceso anticipado, puedes apuntarte a la lista de espera para acceder al servicio.
Tenemos dos planes pensados para pymes y autónomos: el Plan Básico (9€/mes, monitorización semanal) y el Plan Profesional (14,50€/mes el primer año, 29€/mes después), con monitorización diaria, alerta inmediata y un PDF precargado para facilitar la notificación a la AEPD. Ningún servicio de monitorización puede garantizar que detecte todas las filtraciones existentes ni sustituye a un delegado de protección de datos, pero es una capa de seguridad asequible cuando no dispones de un equipo de cumplimiento dedicado. Si quieres comparar el coste real de no prevenir frente al de un incumplimiento, lo explicamos en detalle en el coste de incumplir el RGPD frente al de prevenirlo.
---
Recuerda que este artículo tiene un carácter meramente divulgativo y no sustituye el asesoramiento de un profesional legal cualificado. Para resolver dudas concretas sobre tu situación, consulta con un profesional.