Un despacho de abogados necesita poder utilizar información reservada para asesorar y defender a sus clientes, sin convertir esa necesidad en un acceso indiscriminado a todos los expedientes. El cumplimiento del RGPD consiste en justificar cada uso, limitar quién conoce el asunto y conservar las pruebas que permitan explicar las decisiones. El secreto profesional y la protección de datos se complementan, aunque sus reglas no sean intercambiables.
Esta guía distingue la relación con el cliente, los datos de contrapartes y testigos, los proveedores y las obligaciones de prevención del blanqueo. Parte del RGPD publicado en el BOE, de la LOPDGDD y del Estatuto General de la Abogacía. Una autorización genérica firmada al abrir el expediente no resuelve por sí sola todas esas situaciones.
Identificar al responsable y ordenar los expedientes
Normalmente, el abogado o la sociedad profesional determina los fines y medios esenciales del tratamiento necesario para prestar asesoramiento y actúa como responsable. El cliente no lo convierte automáticamente en encargado por facilitar documentos o instrucciones sobre el encargo profesional. Deben examinarse la independencia jurídica y las decisiones reales sobre información, destinatarios y conservación, además del contenido del contrato.
En un despacho compartido, usar la misma recepción o aplicación no significa que todos los abogados puedan consultar los asuntos ajenos. Conviene identificar quién contrata con cada cliente, quién decide sobre cada expediente y qué servicios comunes existen. Si varios profesionales determinan conjuntamente determinados fines y medios, habrá que analizar la corresponsabilidad; compartir gastos o una dirección postal no basta para establecerla.
La distinción entre responsable y encargado permite separar tres circuitos: documentos del asunto, administración del despacho y herramientas contratadas. Cada circuito necesita usuarios autorizados, finalidades y reglas de salida. En una colaboración puntual puede ser suficiente compartir las piezas necesarias para la actuación concreta, sin abrir todo el archivo histórico del cliente.
El registro de actividades debe reflejar esos tratamientos. La excepción del artículo 30 para organizaciones con menos de doscientas cincuenta personas no libera de documentar actividades no ocasionales, las que puedan entrañar el riesgo previsto por ese artículo o las que incluyan datos de los artículos 9 o 10. La gestión habitual de expedientes no se vuelve ocasional porque el despacho tenga una sola persona.
Base jurídica para clientes, contrapartes y terceros
El artículo 6.1.b permite tratar los datos necesarios para ejecutar un contrato con el interesado o adoptar medidas precontractuales a petición suya. Puede amparar el asesoramiento solicitado por un cliente persona física, pero no cualquier uso de sus datos. Tampoco convierte en partes de ese contrato a los empleados de una sociedad cliente, a un testigo o a la parte contraria.
Para estos terceros debe identificarse la base adecuada según la operación. La defensa de derechos puede justificar un interés legítimo documentado, con análisis de finalidad, necesidad y ponderación. Una obligación legal concreta puede sostener otras actuaciones. La mera comodidad de incorporar todos los documentos disponibles no demuestra que cada dato resulte necesario para el asunto.
Por ejemplo, en una reclamación laboral puede ser pertinente aportar información sobre el horario de trabajo discutido. Incorporar sin selección historiales familiares, conversaciones privadas ajenas al conflicto o documentos de otros empleados exige otra explicación. La revisión debe hacerse antes de entregar el escrito, teniendo en cuenta también las reglas procesales y las posibilidades de ocultar información irrelevante.
El consentimiento no es la solución ordinaria para legitimar toda la defensa. Pedirlo a la contraparte podría hacer inviable una actuación jurídicamente justificada, mientras que exigirlo al cliente para obligaciones fiscales confundiría la información con una opción de rechazo. El despacho debe explicar la base realmente aplicable y reservar las decisiones voluntarias para usos que dependan de una elección libre.
Salud, vida íntima y antecedentes penales
Un expediente puede contener datos de salud, orientación sexual, creencias u otras categorías especiales. Además de una base del artículo 6, su tratamiento necesita una excepción del artículo 9. El artículo 9.2.f contempla la formulación, el ejercicio o la defensa de reclamaciones, pero exige necesidad: no autoriza a reutilizar toda la información para publicidad, formación interna abierta o análisis comerciales.
Los datos sobre condenas e infracciones penales tienen el régimen separado del artículo 10, no son otra categoría enumerada en el artículo 9. El artículo 10.3 de la LOPDGDD permite a abogados y procuradores tratar los datos facilitados por sus clientes para el ejercicio de sus funciones en las condiciones que establece. No es una licencia general para construir bases de antecedentes sobre cualquier persona.
En términos prácticos, el equipo puede separar anexos médicos o penales de documentos administrativos ordinarios y conceder permisos por asunto. Una persona que emite facturas no necesita consultar automáticamente informes periciales de salud. Los nombres de archivos, asuntos de correo y calendarios también pueden revelar información sensible aunque el documento principal esté protegido.
Secreto profesional e información a los afectados
Los artículos 21 y 22 del Estatuto General de la Abogacía regulan el secreto sobre hechos y documentos conocidos en la actuación profesional, su extensión a colaboradores y su continuidad tras terminar el encargo. Esta protección exige organizar accesos, conversaciones, archivo y comunicaciones; una cláusula de confidencialidad no compensa una carpeta compartida sin restricciones.
Cuando los datos se recogen del propio cliente, la información del artículo 13 debe explicar responsable, finalidades, bases, destinatarios, conservación y derechos según corresponda. Puede facilitarse de manera comprensible al inicio de la relación, sin obligar al cliente a declarar que consiente todos los tratamientos descritos. La información debe seguir siendo accesible cuando cambien las herramientas o los usos relevantes.
Cuando los datos proceden de otra persona, se aplica el artículo 14, con sus plazos y excepciones. Su apartado 5.d contempla datos que deban seguir siendo confidenciales por una obligación de secreto profesional regulada por el Derecho, incluida una obligación estatutaria. La excepción debe vincularse a los datos y al deber concreto; no elimina de forma general toda transparencia del despacho ni sustituye el artículo 13.
Informar a una contraparte antes de una actuación procesal puede plantear problemas particulares. El análisis debe identificar la excepción aplicable y documentar por qué opera, en lugar de enviar automáticamente una comunicación que revele la estrategia o, en el extremo contrario, omitir toda información sobre cualquier tercero sin evaluación. El secreto protege la función profesional, no usos comerciales independientes.
Responder a solicitudes sin entregar el expediente ajeno
El derecho de acceso versa sobre los datos personales del solicitante y la información exigida por el RGPD. No equivale automáticamente a obtener una copia íntegra del expediente del cliente ni permite rechazar toda solicitud porque el archivo sea confidencial. Es necesario identificar los datos afectados, las excepciones legales y los derechos de otras personas.
El artículo 15.4 exige proteger esos derechos y libertades al facilitar la copia. Según el caso, pueden emplearse extractos, ocultación de datos de terceros o una explicación organizada que haga inteligible el tratamiento. Estas medidas deben preservar el contenido que corresponde comunicar. La motivación de una limitación no debe revelar precisamente el secreto que se intenta proteger.
La respuesta se facilita sin dilación indebida y, como máximo, en un mes desde la recepción, con posible prórroga de otros dos meses por complejidad o número de solicitudes, informada dentro del primer mes. Si no se actúa, deben comunicarse los motivos y las vías de reclamación y recurso dentro de ese mismo mes. Un trámite interno de autorización del socio no suspende el plazo.
Es recomendable centralizar las solicitudes en una persona capaz de localizar expedientes y consultar al profesional responsable. Las comprobaciones de identidad deben ser proporcionadas a las dudas razonables, sin exigir sistemáticamente documentación excesiva. En un asunto con varias partes representadas, comprobar también la representación evita entregar información a quien ya no puede actuar por el interesado.
Conservar después del cierre con una razón concreta
El final del procedimiento no obliga a borrar inmediatamente todo el expediente, pero tampoco permite conservarlo indefinidamente por si algún día resulta útil. Hay que distinguir documentos que deben devolverse, obligaciones fiscales o profesionales, defensa frente a reclamaciones y documentos sujetos a un requerimiento o litigio. Cada finalidad puede necesitar un plazo, acceso y selección documental distintos.
No existe un plazo universal de cinco años para todos los expedientes jurídicos. La materia, la norma aplicable, el inicio del cómputo y posibles interrupciones o actuaciones pendientes pueden alterar el análisis. Una tabla de conservación sirve para registrar ese razonamiento y asignar responsables de revisión; no debe convertirse en un número copiado a todas las carpetas.
La limitación de conservación también afecta a duplicados, correos, dispositivos de trabajo y copias exportadas. Cuando proceda el bloqueo previsto por el artículo 32 de la LOPDGDD, los datos quedan reservados para las responsabilidades y autoridades que ese precepto contempla durante los plazos correspondientes. Bloquear no significa mantener el expediente disponible para consultas ordinarias o nuevas campañas.
En un ejemplo hipotético, tras cerrar una operación societaria el despacho puede devolver originales, restringir el expediente necesario para responsabilidades y eliminar copias de trabajo innecesarias. Si después recibe una reclamación, deberá preservar las piezas relevantes mientras exista la finalidad de defensa, documentando esa decisión. La suspensión de un borrado concreto no justifica congelar sin distinción todo el archivo del despacho.
Prevención del blanqueo: delimitar actividad e información
La Ley 10/2010 incluye a los abogados en su artículo 2.1.ñ para determinadas operaciones, como la compraventa de inmuebles o entidades, la gestión de fondos y cuentas, ciertas estructuras societarias y operaciones financieras o inmobiliarias realizadas por cuenta del cliente. No toda consulta jurídica ni toda factura profesional activa automáticamente el mismo régimen de diligencia debida.
El artículo 22 contiene excepciones para la información recibida u obtenida al determinar la posición jurídica del cliente o defenderlo en procedimientos o en relación con ellos, con el alcance allí previsto. Afecta a obligaciones concretas de los artículos 7.3, 18 y 21; no debe resumirse como una exención completa de la ley para cualquier abogado que invoque secreto profesional.
Los documentos sujetos al artículo 25 se conservan durante diez años desde la terminación de la relación de negocios o la operación ocasional, según corresponda. Transcurridos cinco años, el acceso queda restringido a los órganos de control interno, incluidas las unidades técnicas de prevención, y, en su caso, a quienes se ocupen de la defensa legal. Ese régimen no fija por sí solo la conservación de todo expediente judicial.
Los artículos 32 y 32 bis diferencian tratamientos para obligaciones de información y diligencia debida. No debe confundirse la prohibición de revelar determinadas comunicaciones o investigaciones con una prohibición absoluta de informar al cliente sobre prevención del blanqueo. El artículo 32 bis exige información general antes de establecer la relación. Ambos preceptos contemplan evaluaciones de impacto en sus respectivos tratamientos, además de medidas reforzadas y trazabilidad.
Proveedores, trabajo remoto y transferencias
Un alojamiento documental que trata datos por cuenta del despacho necesita las garantías del artículo 28, mediante contrato escrito, incluido formato electrónico, u otro acto jurídico vinculante de la Unión o de un Estado miembro. El contrato con el encargado debe reflejar instrucciones, confidencialidad, seguridad, asistencia, subencargados y final del servicio. No basta con que el proveedor anuncie cumplimiento europeo.
Al terminar, corresponde devolver o suprimir los datos según la elección del responsable y borrar las copias existentes, salvo obligación de conservación del Derecho de la Unión o de un Estado miembro. Las instrucciones también admiten la excepción legal vinculante al encargado, que debe informar previamente salvo prohibición por importantes razones de interés público. Las copias de seguridad requieren una ejecución documentada, no una promesa técnicamente imposible.
No todo destinatario es encargado. Una asesoría o gestoría puede desempeñar funciones propias, y las comunicaciones con tribunales o plataformas procesales obedecen a su régimen legal. Al coordinarse con notarías, administradores de fincas o corredurías, deben identificarse la función y la información necesaria para cada intervención, evitando adjuntar indiscriminadamente el expediente completo.
Las transferencias internacionales incluyen accesos desde terceros países, no solo la ubicación declarada del servidor. Debe verificarse si existe una decisión de adecuación aplicable o si hacen falta otras garantías del capítulo V. No toda transferencia exige idéntico análisis complementario: el mecanismo, su alcance y las condiciones reales determinan la evaluación necesaria.
Seguridad, delegado y organización diaria
Permisos por expediente, autenticación reforzada, cifrado apropiado, copias recuperables y retirada de accesos al terminar una colaboración reducen riesgos concretos. Antes de enviar documentos, comprobar destinatario y adjuntos evita exposiciones que ninguna política corrige después. Toda brecha de datos personales debe documentarse. Su notificación a la autoridad competente es obligatoria sin dilación indebida y, cuando sea posible, dentro de setenta y dos horas desde que se tiene constancia, salvo que sea improbable el riesgo para las personas. Si se notifica después, deben explicarse los motivos del retraso.
La comunicación a los afectados depende del alto riesgo y de las condiciones del artículo 34. El secreto profesional refuerza la necesidad de contener la exposición, pero no elimina esas obligaciones. Una equivocación de envío puede requerir acciones aunque el destinatario prometa borrar el mensaje; la evaluación debe considerar contenido, acceso efectivo y consecuencias previsibles.
La obligación de designar delegado de protección de datos no nace simplemente de ejercer la abogacía. Entre los supuestos relevantes están actividades principales de observación habitual y sistemática a gran escala o de tratamiento a gran escala de datos de los artículos 9 o 10. El considerando 91 indica que el tratamiento por un abogado individual no se considera gran escala; los despachos deben valorar su realidad sin extrapolar esa referencia a cualquier estructura.
Un programa de gestión del cumplimiento puede evaluarse por sus permisos, historial de decisiones, exportación y control de vencimientos. La elección debe partir de los procesos del despacho: quién valida una entrega, revisa un proveedor o decide una conservación. La herramienta ayuda a sostener esas decisiones, mientras la responsabilidad y el juicio profesional permanecen en quienes dirigen el tratamiento.