RGPD para despachos: las 7 obligaciones que más se incumplen

La Memoria 2025 de la AEPD deja tres cifras que conviene leer seguidas: 30.931 reclamaciones —un 64% más que el año anterior y el máximo histórico de la Agencia—, 48,1 millones de euros en multas, y una multa media de 148.000 euros por procedimiento. Doce expedientes superaron el millón de euros.

Ninguna de esas multas récord fue a un despacho de abogados. Y ese es exactamente el problema: la lectura cómoda («esto va de aerolíneas y teleoperadoras») es la que mantiene a la mayoría de los despachos donde están, con un «pack RGPD» que un consultor les vendió en 2018, una carpeta que nadie ha abierto desde entonces y la convicción de que el asunto está resuelto.

No lo está. Un despacho trata de forma rutinaria datos que el artículo 9 del RGPD llama categorías especiales —salud en un accidente laboral, antecedentes en una defensa penal, situación familiar en un divorcio— y lo hace con la infraestructura de una pyme corriente. La AEPD ya ha sancionado a despachos por falta de cláusulas informativas en sus hojas de encargo, por comunicar datos a terceros sin base legal y por ausencia de medidas de seguridad básicas. Y aquí va la única opinión de este artículo: el RGPD no se incumple en la política de privacidad de la web; se incumple en cómo circulan los expedientes por dentro del despacho. Lo primero se arregla con una plantilla. Lo segundo, no.

Estas son las siete obligaciones donde se concentra el incumplimiento real, con su artículo y con lo que significa cumplirlas de verdad.

1. El registro de actividades de tratamiento (art. 30)

La creencia extendida es que el registro es cosa de grandes empresas. Es falsa para un despacho: la exención del artículo 30.5 para organizaciones de menos de 250 empleados decae cuando el tratamiento incluye categorías especiales de datos, y en un despacho las incluye casi siempre.

El registro no es un trámite ante la AEPD —el viejo registro de ficheros desapareció en 2018— sino un documento interno: qué datos trata, para qué, con qué base jurídica, quién los recibe, cuánto tiempo se conservan y con qué medidas se protegen. Es la primera pieza que un inspector pide, porque su ausencia demuestra que nada de lo demás puede estar en orden. La AEPD ofrece una herramienta gratuita, Facilita RGPD, que genera un registro básico en una tarde.

2. Un contrato de encargo con cada proveedor (art. 28)

Cada tercero que toca datos de sus clientes por cuenta del despacho es un encargado del tratamiento, y el artículo 28 exige un contrato específico con cada uno: el software de gestión, el correo en la nube, la gestoría que lleva las nóminas, el informático que hace el mantenimiento, la herramienta de IA que transcribe reuniones.

La prueba es sencilla y casi ningún despacho la pasa: pida hoy el contrato de encargo firmado con sus tres proveedores principales. Si no aparece en diez minutos, no existe. Firmar con un proveedor que no ofrece este contrato —o que no puede decir dónde aloja los datos— es asumir su incumplimiento como propio, porque la responsabilidad de elegir encargados con garantías es del responsable: del despacho.

3. Informar de verdad (arts. 13 y 14)

El cliente tiene que saber, en el momento de encargar el asunto, quién es el responsable, para qué se usan sus datos, con qué base jurídica, cuánto tiempo se conservarán, a quién se cederán y qué derechos tiene. Eso vive en la hoja de encargo, no en un enlace al pie de la web.

Las cesiones son el punto ciego clásico. Un asunto ordinario implica comunicar datos al procurador, al juzgado, a la contraparte, a veces a un perito o a una aseguradora. Todo eso es tratamiento y todo eso hay que informarlo. También los canales: si el despacho se comunica por WhatsApp con sus clientes —y se comunica—, ese canal tiene que aparecer en la información de privacidad. Un canal que existe de facto pero no figura en ninguna cláusula es el tipo de incoherencia que aflora en el peor momento posible.

4. Seguridad proporcional a lo que se guarda (art. 32)

El artículo 32 no impone medidas concretas: impone medidas «apropiadas al riesgo». Para datos de defensa penal, salud o menores, el listón es alto, y la práctica habitual queda muy por debajo: una contraseña compartida para el gestor de expedientes, sin segundo factor, con copias de seguridad sin cifrar en un disco del despacho y acceso de todo el mundo a todo.

Lo apropiado al riesgo de un despacho, hoy: cifrado de dispositivos y copias, autenticación en dos factores en todo lo que toque expedientes, y control de acceso por rol y por asunto —que la administrativa que factura no pueda abrir la documentación del penal, y que quede rastro de quién abrió qué. Ese registro de accesos es, además, la única forma de demostrar diligencia si algo sale mal.

5. Sacar los asuntos de los canales personales

El expediente que sale del despacho por el móvil personal de un socio es la brecha más silenciosa: mensajes de clientes mezclados con el grupo de la familia, fotos de requerimientos en el carrete personal, un terminal sin cifrar que se pierde en un taxi. Nada de eso pasa por el registro de actividades, ni por las medidas del artículo 32, ni sobrevive a la salida del socio del despacho.

La solución no es prohibir WhatsApp —el cliente ya decidió que ese es su canal— sino institucionalizarlo: número corporativo, archivado, y aviso en la información de privacidad. Cómo hacerlo, con sus tres variantes y su encaje deontológico, está en la guía de WhatsApp Business para despachos.

6. Conservar con plazo, no para siempre

«Lo guardamos todo por si acaso» incumple el principio de limitación del plazo de conservación (art. 5.1.e), y en un despacho el «todo» incluye datos especialmente sensibles. La supresión no es opcional: es una obligación activa que exige saber cuándo prescribe la responsabilidad de cada tipo de asunto.

El plazo correcto no es único. La documentación de diligencia debida de la Ley 10/2010 se conserva diez años; la fiscal, mientras Hacienda pueda comprobar; el expediente, mientras pueda exigirse responsabilidad profesional. Lo exigible es tener una tabla de plazos por tipo de asunto y aplicarla — bloquear primero, suprimir después. Un expediente de divorcio de 2009 en un servidor accesible no es un archivo histórico: es un pasivo.

7. Un protocolo de brechas que alguien se sepa (arts. 33 y 34)

Los datos de 2025 son elocuentes: los procedimientos sancionadores por brechas de seguridad crecieron un 157% —de 30 a 77 expedientes— y generaron casi 20 millones de euros en multas, el 40% de todo lo sancionado en el año. El patrón dominante es ransomware con exfiltración de datos.

Cuando ocurre, el despacho tiene 72 horas para notificar a la AEPD desde que tiene conocimiento, y debe avisar a los afectados si el riesgo es alto. Ese plazo no da para improvisar: exige saber de antemano quién decide, quién notifica y dónde está documentado lo que se hizo. También las brechas que no se notifican deben quedar registradas, con la valoración de por qué no. Un portátil perdido con expedientes sin cifrar es una brecha; fingir que no lo es convierte un incidente en una infracción.

¿Y el delegado de protección de datos?

Aquí la sorpresa va en la otra dirección: la mayoría de los despachos no está obligada a nombrar DPD. La obligación del artículo 37 se activa con tratamientos a gran escala de categorías especiales o monitorización sistemática, no por el mero hecho de ser despacho. España cerró 2025 con 126.176 DPD registrados ante la AEPD; para un despacho mediano, el DPD externo voluntario es una buena práctica y una vía de resolución temprana que la propia Agencia prioriza — pero es una decisión, no un requisito. Lo exigible es haberla tomado de forma razonada y por escrito.

Qué pedirle a sus herramientas

De las siete obligaciones, cinco dependen directamente del software con el que trabaja el despacho. Un gestor de expedientes serio tiene que ofrecer contrato de encargo conforme al artículo 28, alojamiento en la UE, cifrado, control de acceso por rol y por asunto, registro de accesos y plazos de conservación configurables. Es la lista que aplicamos al construir Mandato, y es la lista que debería exigirle a cualquier proveedor antes de firmar — el precio del que no la cumple lo paga usted, a razón de 148.000 euros de multa media.

Por dónde empezar esta semana

No por la política de privacidad. Pida los contratos de encargo de sus tres proveedores principales de software y guárdelos en una carpeta que pueda encontrar en diez minutos. Si alguno no existe, reclámelo al proveedor: es su obligación tenerlo redactado. Con eso habrá cumplido el artículo 28 donde más duele y habrá descubierto, de paso, qué proveedores se toman su despacho en serio.