RGPD para despachos de abogados: checklist de cumplimiento

Llevas los expedientes de tus clientes y no sabes si el despacho cumple el RGPD

Tratas a diario datos de clientes, de la parte contraria, de testigos y, en muchos expedientes, datos especialmente sensibles: salud, ideología, orientación sexual o antecedentes penales. La Agencia Española de Protección de Datos (AEPD) ya ha sancionado a despachos de abogados por no tener cláusulas informativas en los contratos de servicios, por ceder datos a terceros sin base legal o por no tener contrato con la gestoría que lleva la nómina del despacho.

El problema no es solo desconocer el RGPD en general. Es no tener claro qué obligaciones concretas afectan a la actividad de un despacho — que trata datos distintos, con matices distintos, a los de cualquier otra pyme.

Este checklist organiza las obligaciones de protección de datos más relevantes para un despacho de abogados español, con las particularidades que introduce el secreto profesional y el tratamiento de datos penales.

Por qué el RGPD de un despacho no es el RGPD genérico de cualquier empresa

Un despacho de abogados no trata datos personales igual que una tienda online o una consultoría. Dos rasgos lo distinguen:

• El secreto profesional no exime del cumplimiento del RGPD, pero sí condiciona cómo se documentan algunas obligaciones (por ejemplo, el registro de actividades de tratamiento no puede desvelar el contenido de la relación abogado-cliente amparado por el secreto).
• El tratamiento de datos penales (condenas, infracciones, medidas cautelares) está limitado con carácter general por el RGPD, pero la Ley Orgánica 3/2018 (LOPDGDD) reserva expresamente a abogados y procuradores la posibilidad de tratar esta categoría de datos cuando proceda de la información facilitada por sus propios clientes para el ejercicio de su función.

Antes de aplicar cualquier checklist genérica de cumplimiento normativo, conviene entender estos dos matices, porque cambian cómo se documenta y se justifica cada tratamiento.

Punto 1: identifica la base de legitimación de cada tratamiento

El RGPD exige que todo tratamiento de datos personales tenga una base legal que lo justifique. En un despacho, las bases habituales son:

• Ejecución del contrato de prestación de servicios jurídicos (artículo 6.1.b RGPD), para los datos del propio cliente.
• Formulación, ejercicio o defensa de reclamaciones (artículo 9.2.f RGPD), que permite tratar incluso categorías especiales de datos —salud, ideología, orientación sexual— cuando resulten necesarias para la defensa del cliente en un procedimiento judicial o extrajudicial.
• Interés legítimo, para determinados tratamientos internos (por ejemplo, la gestión de conflictos de interés entre expedientes).

Punto 2: revisa cómo tratas datos de categorías especiales y datos penales

Los expedientes de un despacho contienen con frecuencia datos que el artículo 9 RGPD clasifica como categorías especiales: datos de salud en un procedimiento de incapacidad o de responsabilidad civil, datos de afiliación sindical en un litigio laboral, o datos de orientación sexual en un procedimiento de familia.

El artículo 9.2.f RGPD legitima este tratamiento cuando es necesario para la formulación, el ejercicio o la defensa de reclamaciones. Para los datos relativos a condenas e infracciones penales, el artículo 10.3 de la LOPDGDD va más allá: reserva expresamente a abogados y procuradores la posibilidad de tratarlos, siempre que procedan de la información que el propio cliente les facilita para el ejercicio de sus funciones.

Esto no elimina el resto de obligaciones —información al cliente, medidas de seguridad, plazos de conservación—, pero sí es la base jurídica que legitima un tratamiento que, en cualquier otra empresa, estaría mucho más restringido.

Punto 3: valora si necesitas un Delegado de Protección de Datos (DPO)

Un despacho, por el mero hecho de serlo, no está obligado por ley a nombrar un DPO. La obligación aparece solo si el despacho encaja en alguno de los tres supuestos del artículo 37.1 RGPD:

• Es una autoridad u organismo público (no aplica a un despacho privado).
• Su actividad principal consiste en la observación habitual y sistemática de interesados a gran escala.
• Su actividad principal consiste en el tratamiento a gran escala de categorías especiales de datos o de datos relativos a condenas e infracciones penales.

Un despacho pequeño o mediano generalizado no suele alcanzar el umbral de "gran escala", pero un despacho especializado en penal, laboral o sanitario, con un volumen alto de expedientes que incluyen sistemáticamente categorías especiales, sí puede entrar dentro de este supuesto. Conviene valorar la actividad concreta, no el tamaño del despacho, antes de descartar esta obligación.

Punto 4: formaliza los contratos con tus encargados de tratamiento

La AEPD ha sancionado repetidamente a despachos por no tener un contrato de encargado de tratamiento con proveedores que acceden a datos de clientes por cuenta del despacho: la gestoría que lleva la contabilidad, el software de gestión de expedientes en la nube, el servicio de mensajería o el proveedor de backups.

El artículo 28 RGPD exige que ese contrato regule, como mínimo, el objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos y categorías de interesados, y las obligaciones y derechos del responsable (el despacho) frente al encargado (el proveedor).

Punto 5: documenta el registro de actividades de tratamiento respetando el secreto profesional

Todo despacho, con independencia de su tamaño, debe mantener un registro de actividades de tratamiento con la finalidad de cada tratamiento, las categorías de interesados y de datos, los destinatarios, las transferencias internacionales si las hay, los plazos de supresión previstos y una descripción general de las medidas de seguridad.

El secreto profesional no exime de este registro, pero sí condiciona su redacción: debe describir categorías de tratamiento (por ejemplo, "gestión de expedientes de derecho penal") sin desvelar el contenido concreto de asuntos cubiertos por el secreto profesional del abogado.

Punto 6: aplica medidas de seguridad proporcionadas a la confidencialidad exigida

El artículo 32 RGPD convierte la confidencialidad —que en la abogacía es también un deber deontológico— en una obligación de seguridad exigible. En la práctica de un despacho, esto suele traducirse en:

• Control de acceso por usuario, de forma que cada profesional solo vea los expedientes que lleva.
• Cifrado de portátiles, dispositivos móviles y soportes extraíbles que contengan documentación de clientes.
• Copias de seguridad periódicas y probadas, no solo programadas.
• Una política clara sobre el uso del correo electrónico y la mensajería para el envío de documentación sensible.

Checklist RGPD para despachos de abogados

Punto	Obligación	Qué revisar
Base de legitimación	Justificar cada tratamiento (contrato, defensa de reclamaciones, interés legítimo)	Cláusula informativa en la hoja de encargo
Categorías especiales y datos penales	Art. 9.2.f RGPD y art. 10.3 LOPDGDD	Solo abogados/procuradores pueden tratar datos penales de sus clientes
DPO	Solo obligatorio si hay tratamiento a gran escala (art. 37.1 RGPD)	Volumen y tipo de expedientes del despacho
Encargados de tratamiento	Contrato art. 28 RGPD con gestoría, software, proveedores cloud	Revisar si existe contrato firmado con cada proveedor
Registro de actividades	Obligatorio para todo despacho	Redactado sin desvelar contenido amparado por secreto profesional
Medidas de seguridad	Art. 32 RGPD	Control de acceso, cifrado, copias de seguridad, política de correo

Esta tabla resume las obligaciones habituales a fecha de publicación de este artículo. La interpretación de la AEPD y la jurisprudencia sobre estos puntos pueden evolucionar: conviene verificar el estado normativo actualizado antes de dar cualquier punto por cerrado.

Qué hacer si tu despacho detecta una brecha de seguridad

Si se produce un acceso no autorizado, una pérdida de dispositivo o un envío erróneo de documentación de un cliente, el RGPD exige notificar a la AEPD en un plazo máximo de 72 horas desde que se tenga constancia del incidente, cuando exista riesgo para los derechos de los afectados. Si el riesgo es alto, además hay que comunicarlo a los propios interesados. Tener un protocolo interno ya redactado —quién decide, qué se documenta, en qué plazo— evita perder horas críticas en ese primer día.

Cómo mantener el checklist actualizado sin dedicarle un día a la semana

Un checklist de cumplimiento normativo pierde valor si no se revisa. La normativa de protección de datos cambia por vía de resoluciones de la AEPD, sentencias del Tribunal Supremo y desarrollos reglamentarios que se publican en el Boletín Oficial del Estado (BOE) de forma constante.

Si tu despacho lleva además otras obligaciones de cumplimiento normativo —más allá de la protección de datos—, el checklist de cumplimiento normativo para pymes repasa las áreas que suelen solaparse con la actividad de un despacho: registro de jornada, prevención de riesgos laborales o facturación electrónica.

En BOE Hoy puedes consultar el catálogo de herramientas legaltech para el BOE — alertas normativas por sector y resúmenes generados con IA — para seguir los cambios en protección de datos y normativa profesional sin depender de revisar el BOE cada mañana.

Los resúmenes son orientativos. Para efectos legales, consulta siempre el texto íntegro del Reglamento (UE) 2016/679 y de la LOPDGDD en boe.es. Este artículo no sustituye la asesoría legal profesional: ante cualquier duda sobre el caso concreto de tu despacho, conviene consultar con un especialista en protección de datos.

Preguntas frecuentes sobre RGPD en despachos de abogados