Una notaría trata datos para dar fe pública, conservar documentos y cumplir obligaciones legales que no dependen de que cada compareciente autorice libremente el tratamiento. Esa función no elimina el RGPD: exige explicar los usos, limitar los accesos y distinguir el protocolo de los expedientes auxiliares, la facturación y la prevención del blanqueo. Cada conjunto tiene reglas diferentes de consulta y conservación.
La Ley del Notariado define al notario como funcionario público autorizado para dar fe de actos extrajudiciales. Su normativa especial debe leerse junto con el RGPD y la LOPDGDD. Esta guía aborda las decisiones de protección de datos de la oficina; no convierte una solicitud de acceso en un derecho automático a obtener copias de cualquier instrumento notarial.
Separar la función pública de los usos auxiliares
Autorizar una escritura, verificar la identidad y conservar la matriz responden a finalidades distintas de gestionar una candidatura de empleo o enviar información comercial sobre servicios. El primer paso consiste en inventariar esas operaciones con sus destinatarios y usuarios. Una categoría genérica denominada «clientes» oculta diferencias entre otorgantes, representantes, beneficiarios, personas mencionadas y empleados.
En el ejercicio de su función, el notario determina tratamientos sujetos a obligaciones y competencias legales. Las bases de los artículos 6.1.c y 6.1.e del RGPD deben vincularse a las normas y operaciones que las sostienen. No basta con citar ambas de manera indistinta para cualquier actividad de la oficina, ni corresponde solicitar un consentimiento revocable para mantener una matriz cuya conservación exige la ley.
La gestión económica, laboral o de proveedores requiere su propio análisis. Si se ofrece una comunicación opcional ajena al otorgamiento, habrá que identificar su finalidad y su régimen específico. La negativa a recibirla no puede presentarse como impedimento para tramitar una actuación notarial que pueda desarrollarse legítimamente sin ese uso adicional.
Un ejemplo hipotético ayuda a separar los circuitos: para preparar una compraventa pueden necesitarse documentos de identidad y representación; para avisar de una cita quizá baste un teléfono de contacto; para justificar una obligación de prevención del blanqueo harán falta las comprobaciones legalmente pertinentes. Que todos se refieran a la misma persona no autoriza a reutilizar indistintamente cada documento en cualquier proceso.
Información clara y datos estrictamente necesarios
La información de los artículos 13 y 14 del RGPD debe corresponder al origen y al uso de los datos. Resulta útil explicar por capas quién trata la información, con qué finalidad, bajo qué base, a quién se comunica, cómo se conserva y cómo ejercer derechos. Un texto comprensible puede coexistir con las referencias normativas necesarias, sin pedir una aceptación que transforme obligaciones legales en supuestas opciones.
La persona que aporta una escritura previa puede revelar datos de familiares, antiguos titulares o terceros. La notaría debe determinar qué información necesita para la actuación y cómo evitar incorporaciones irrelevantes. La minimización no obliga a mutilar documentos que deban conservarse íntegros por su función jurídica, pero sí a evitar duplicados y difusión innecesaria fuera del circuito que justifica su tratamiento.
La información sobre discapacidad o salud puede estar sujeta al artículo 9. Además de la base del artículo 6, debe identificarse la excepción aplicable y su habilitación cuando sea necesaria. No todo dato económico es una categoría especial, ni la intervención de un notario vuelve ordinarios los datos que sí lo son. La naturaleza del dato determina también los accesos y medidas de seguridad adecuados.
Los colaboradores externos necesitan instrucciones precisas sobre lo que pueden solicitar y remitir. Cuando interviene una asesoría o gestoría, conviene comprobar la representación y el canal de entrega. La relación habitual entre profesionales no acredita por sí sola que cualquiera de sus empleados pueda recibir documentación de todos los comparecientes.
Protocolo y archivo: custodia no equivale a disponibilidad general
El protocolo cumple una función de conservación y autenticidad que no se agota al terminar la operación económica. Por eso no debe incorporarse a un calendario ordinario de borrado de clientes. El Reglamento Notarial regula formación, custodia, acceso y traslado de los protocolos, y obliga a diferenciar estas reglas de las copias de trabajo que mantiene la oficina.
Su artículo 291 prevé el depósito de protocolos de más de veinticinco años en archivos generales, con condiciones y excepciones. Entre ellas, mientras viva el notario autorizante, conserva los protocolos que autorizó, sin perjuicio de la posibilidad de solicitar determinados depósitos conforme al precepto. Presentar veinticinco años como una fecha automática de traslado para todos los casos ya sería inexacto; presentarla como una fecha de destrucción sería todavía más grave.
La limitación del plazo de conservación sigue siendo relevante para correos de coordinación, borradores repetidos, documentos auxiliares y datos de personal. Hay que analizar cuáles integran el archivo sujeto a custodia especial, cuáles responden a otra obligación y cuáles han dejado de ser necesarios. La existencia del protocolo no justifica conservar indefinidamente cualquier archivo de la oficina.
Cuando cambie la titularidad o la organización de la notaría, la entrega debe preservar continuidad, integridad y confidencialidad. Es recomendable identificar qué documentación se transmite, a quién, bajo qué competencia y con qué control de recepción. Las credenciales personales no deben circular como sustituto de un procedimiento de traspaso autorizado y verificable.
Protocolo electrónico e índice único informatizado
El artículo 17 de la Ley del Notariado regula actualmente el protocolo electrónico junto al soporte en papel, la incorporación de matrices y el depósito electrónico en la infraestructura del Consejo General del Notariado. El sistema legal atribuye funciones concretas de integridad, custodia y acceso. No permite interpretar que cualquier usuario de la plataforma pueda consultar todo su contenido por pertenecer al sector notarial.
El mismo artículo establece la formación y remisión de índices informatizados desde las notarías a los colegios y su integración a través del Consejo General del Notariado. La exactitud de los datos remitidos importa: un identificador equivocado puede asociar actos a una persona distinta y propagarse a usos legalmente previstos. Conviene incorporar controles de validación y un cauce para corregir errores sin alterar indebidamente la matriz.
El acceso del Consejo o de las administraciones tiene el alcance de sus competencias y habilitaciones. La ley contempla condiciones para las comunicaciones y el acceso de administraciones, incluida la cobertura legal exigida. La existencia de un índice no lo convierte en un buscador público de patrimonio, vínculos familiares o negocios de cualquier persona.
Para el interesado también deben distinguirse la localización de un documento y la obtención de una copia. Saber ante qué notario se autorizó un instrumento no acredita por sí solo el derecho a recibirlo íntegro. Corresponde aplicar las reglas notariales de copia y valorar la condición y el interés legítimo del solicitante, sin confundir esa valoración con una autorización comercial para explotar los datos.
Prevención del blanqueo: finalidad, acceso y plazos
Los notarios son sujetos obligados conforme al artículo 2.1.n de la Ley 10/2010. Las comprobaciones de diligencia debida y las obligaciones de comunicación responden a ese marco, con intervenciones del órgano centralizado de prevención en los términos legalmente previstos. El tratamiento no se legitima recabando una casilla genérica de consentimiento del compareciente.
Es esencial separar los tratamientos de diligencia debida del capítulo II y los asociados a las obligaciones de información del capítulo III. El artículo 32 bis exige información general sobre el tratamiento de datos antes de establecer la relación de negocios. En cambio, el artículo 32 y la prohibición de revelación del artículo 24 protegen determinadas comunicaciones y actuaciones; no deben divulgarse al interesado datos que puedan frustrar esas obligaciones.
La prohibición de revelación, conocida como prohibición de alertar al afectado, tiene excepciones y destinatarios legalmente delimitados. No autoriza a circular información libremente entre cualquier profesional ni debe extenderse a una prohibición total de explicar cómo funciona la notaría. Las respuestas han de respetar simultáneamente la transparencia general y las restricciones concretas que resulten aplicables.
El artículo 25 fija diez años de conservación para la documentación que contempla, contados desde la terminación de la relación de negocios o la ejecución de la operación ocasional, según el caso. Tras cinco años, el acceso queda limitado a los órganos de control interno, incluidas las unidades técnicas de prevención, y, en su caso, a quienes se ocupen de la defensa legal. No es un permiso para que toda la oficina siga consultando esos documentos ordinariamente.
Al finalizar el plazo se aplica la eliminación prevista para esa documentación. Sin embargo, no cabe trasladar esa regla a una matriz que deba conservarse por la normativa notarial: son deberes y conjuntos documentales distintos. Una política operativa debe poder señalar qué archivo se destruye, cuál permanece bajo custodia legal y por qué ambos resultados son coherentes.
Los artículos 32 y 32 bis exigen evaluaciones de impacto para los respectivos tratamientos que regulan, junto con medidas reforzadas y registro de accesos y comunicaciones. Esta obligación específica no se sustituye por una afirmación genérica de que la oficina es pequeña. El análisis debe identificar cómo se obtiene la información, quién la consulta, cómo se remite y qué consecuencias tendría una exposición o una asociación incorrecta.
Derechos: analizar la solicitud y el documento solicitado
El derecho de acceso a los datos debe distinguirse de la expedición de una copia notarial. El artículo 224 del Reglamento regula quién puede obtener copias en los supuestos que contempla, incluido el interés legítimo apreciado por el notario. La solicitud basada en el RGPD requiere, por su parte, identificar los datos y la información que corresponde facilitar, protegiendo derechos de terceros.
Una solicitud de supresión tampoco permite destruir documentos que deben conservarse por obligación legal o para una misión de interés público en las condiciones del artículo 17.3. Pero esa excepción debe referirse al tratamiento concreto. Si la notaría mantiene además una lista opcional de comunicaciones, no puede rechazar su eliminación invocando sin más la conservación del protocolo.
El derecho de oposición del artículo 21 depende de la base del tratamiento: su primer apartado se refiere a las bases de interés público e interés legítimo, con sus condiciones, y contiene un régimen propio para marketing directo. No permite oponerse del mismo modo a toda operación sustentada en una obligación legal del artículo 6.1.c. La respuesta debe explicar la razón aplicable, sin afirmar que en las notarías no existen derechos.
En los tratamientos de información del capítulo III de la Ley 10/2010, el artículo 32 establece restricciones específicas a los derechos de los artículos 15 a 22 y exige explicar al interesado la aplicación de ese precepto. No debe revelarse el contenido protegido para justificar la limitación. Esa regla tampoco puede trasladarse automáticamente a todos los tratamientos de diligencia debida o a la gestión de citas.
Las solicitudes se atienden sin dilación indebida y, a más tardar, en un mes, con la prórroga motivada de hasta otros dos meses por complejidad o número de solicitudes e información dentro del primer mes. Si no se actúa, también deben comunicarse los motivos y las posibilidades de reclamación y recurso dentro del mes. El circuito interno necesita distinguir esos plazos de los propios de otras actuaciones notariales.
Delegado, registro y responsabilidad efectiva
La designación del delegado de protección de datos no puede decidirse únicamente por el tamaño de la plantilla. El artículo 37.1.a exige delegado para autoridades y organismos públicos, salvo tribunales cuando actúan en su función judicial. La condición del notario como funcionario que ejerce fe pública es, por tanto, relevante para aplicar esta vía, independiente de las reglas de gran escala.
La propia AEPD incluye a los notarios dentro de las entidades públicas en su registro de delegados, como muestra la página 21 de su informe de actividad del primer semestre de 2025. Esta clasificación respalda que la notaría organice la designación por su función pública y no espere a alcanzar un volumen elevado de expedientes. El informe describe el registro; no crea por sí mismo una nueva obligación.
El delegado puede prestar servicios externos si se cumplen las condiciones aplicables de accesibilidad, conocimientos, recursos e independencia. No debe asumir decisiones sobre fines y medios que generen conflicto de intereses con su supervisión. La notaría sigue siendo responsable de sus decisiones, de implantar las medidas y de atender las observaciones que reciba.
El registro de actividades permite distinguir función notarial, índices, prevención del blanqueo, personal y servicios auxiliares. No debe convertirse en un listado de clientes ni incorporar el contenido reservado de las escrituras. Puede enlazar internamente con normas de conservación, responsables operativos y evaluaciones sin reproducir datos personales innecesarios.
Proveedores y seguridad de los intercambios
Cuando un proveedor trata datos por cuenta de la notaría, el artículo 28 requiere contrato escrito, incluido formato electrónico, u otro acto jurídico vinculante de la Unión o de un Estado miembro. El acuerdo con el encargado debe cubrir instrucciones, confidencialidad, seguridad, asistencia y subencargados. La presencia de un servicio informático no convierte todos sus usos de datos en tratamientos por cuenta ajena.
Deben revisarse especialmente soporte remoto, recuperación de archivos y accesos desde terceros países. Un técnico puede necesitar resolver una incidencia sin descargar íntegramente un expediente a su equipo. Los permisos temporales, el registro de intervención y el control de copias ayudan a limitar esa exposición. Una declaración comercial de almacenamiento europeo no prueba por sí sola dónde se prestan todos los servicios.
Las comunicaciones con entidades financieras, administradores de fincas y corredurías de seguros requieren comprobar destinatario, representación y necesidad. Cada profesional puede tener su propia finalidad y responsabilidad. La urgencia de una firma no justifica remitir a un grupo amplio una escritura o documentación de identidad que solo necesita una parte.
La revisión práctica puede apoyarse en un control de cumplimiento para España, adaptado a estos circuitos. El objetivo es comprobar quién puede acceder, qué evidencia deja cada entrega, cómo se detectan errores y qué ocurre al terminar una relación o cambiar un proveedor. La custodia prolongada exige mantener esas garantías durante toda la vida del documento, no solo durante el otorgamiento.