Se tes un despacho de avogados ou unha asesoría, é fácil pensar que o segredo profesional xa te protexe legalmente e que o RGPD é "cousa doutro tipo de negocios". Non é así. Manexas a diario datos persoais sensibles dos teus clientes —ás veces máis sensibles que os de calquera outro sector— e iso colócate baixo o mesmo marco de obrigas que a calquera empresa que trata datos persoais, con algunhas particularidades propias da túa actividade.
Imos ver que implica isto na práctica, sen rodeos legais.
Que datos manexa un despacho de avogados ou unha asesoría
Un despacho ou unha asesoría non só garda nomes e teléfonos. Manexa expedientes xudiciais, información económica e fiscal de empresas e particulares, nóminas, datos de menores en procesos de familia, antecedentes penais, informes periciais ou correos con detalles moi privados da vida dun cliente. Parte desta información pode entrar nas categorías especiais do artigo 9 do RGPD (saúde, orixe étnica, afiliación sindical, entre outras), o que esixe medidas de protección aínda máis estritas.
Toda esa documentación, física ou dixital, está sometida ao RGPD desde o momento en que identifica ou pode identificar a unha persoa. E non importa si o despacho ten dous socios ou cincuenta empregados: a obriga é a mesma.
O segredo profesional non exime do RGPD
Aquí está o malentendido máis habitual do sector: o segredo profesional (ou o deber de confidencialidade da avogacía) e o RGPD son dúas cousas distintas que conviven, non que se substitúen. O segredo profesional obrígate a non revelar o que sabes dun cliente. O RGPD obrígate, ademais, a ter unha base legal para tratar os seus datos, a informalo de que fas con eles, a protexelos con medidas técnicas adecuadas e a poder demostrar que cumpres se a AEPD te-lo pide.
Cumprir co segredo profesional non te libra dunha sanción por unha filtración de datos, nin da obriga de notificala se ocorre. Son capas de protección distintas e complementarias.
Obrigas prácticas que debes ter en orde
- Rexistro de actividades de tratamento: que expedientes xestionas, con que finalidade, quen ten acceso a eles (incluíndo colaboradores externos, xestorías ou software na nube) e durante canto tempo os conservas.
- Medidas de seguridade técnicas e organizativas: cifrado da documentación sensible, control de acceso aos expedientes dixitais e copias de seguridade. Un ordenador compartido sen contrasinal na recepción da asesoría é un risco real, non un detalle menor.
- Acordos con terceiros: se usas unha xestoría externa, un software de facturación na nube ou un servizo de arquivo dixital, precisas un contrato de encargado do tratamento que regule como tratan eses datos por ti.
- Dereitos dos clientes: acceso, rectificación, supresión e portabilidade dos seus datos, cun procedemento claro para responder en prazo.
Brechas de datos: o prazo de 72 horas coa AEPD
Unha brecha nun despacho pode ser tan sinxela como un correo cun expediente completo enviado á persoa equivocada, un ordenador roubado sen cifrar ou un acceso indebido á base de datos de clientes. Desde que tes constancia do incidente, dispós dun prazo legal de 72 horas para notificala á AEPD, e non facelo pode acarrear unha sanción independente da que corresponda pola brecha en si.
As sancións por incumprir o RGPD poden alcanzar, nos casos máis graves, ata 20 millóns de euros ou o 4% da facturación global anual da empresa, aínda que na práctica as sancións a pemes e despachos pequenos adoitan quedar moi por debaixo dese máximo. Aínda así, dado o tipo de información que manexas, unha filtración nun despacho de avogados ou unha asesoría pode danar a confianza dos teus clientes dun xeito moito máis grave que a propia multa. Podes ler con máis detalle que facer paso a paso na nosa guía sobre a obriga de notificar unha brecha de datos segundo o RGPD.
Monitorización de filtracións: como Alerta Brecha pode axudarche
En Alerta Brecha vixiamos de forma continua se os datos do teu despacho ou asesoría (correos electrónicos, dominios, teléfonos, etc.) aparecen en filtracións coñecidas ou en listados de internet. Ao estar en fase de acceso anticipado, podes apuntarte á lista de espera para acceder ao servizo.
Temos dous plans pensados para pemes e autónomos: o Plan Básico (9€/mes, monitorización semanal) e o Plan Profesional (14,50€/mes o primeiro ano, 29€/mes despois), con monitorización diaria, alerta inmediata e un PDF precargado para facilitar a notificación á AEPD. Ningún servizo de monitorización pode garantir que detecte todas as filtracións existentes nin substitúe a un delegado de protección de datos, pero é unha capa de seguridade asequible cando non dispós dun equipo de cumprimento dedicado. Se queres comparar o custo real de non previr fronte ao dun incumprimento, explicámolo con detalle en o custo de incumprir o RGPD fronte ao de previlo.
---
Lembra que este artigo ten un carácter meramente divulgativo e non substitúe o asesoramento dun profesional legal cualificado. Para resolver dúbidas concretas sobre a túa situación, consulta cun profesional.