RGPD para despachos de abogados: guía práctica

Un cliente nuevo firma la hoja de encargo y, en cuestión de minutos, su nombre, su DNI, su situación familiar y los detalles más íntimos de su conflicto están en tu sistema. Multiplícalo por cada asunto abierto y por cada tercero implicado en ellos. Un despacho no maneja datos personales "de vez en cuando": vive de ellos, y buena parte son de categorías especialmente sensibles. El RGPD no es papeleo opcional que puedas dejar para más adelante; es parte de tu responsabilidad profesional. Esta es la versión práctica de lo que no puedes descuidar.

1. Ten clara tu base jurídica

Tratas datos porque tienes un encargo profesional y obligaciones legales asociadas a él. Documenta cuál es la base de cada tratamiento (art. 6 del RGPD): normalmente la ejecución del contrato con tu cliente y el cumplimiento de obligaciones legales, y en algún supuesto el interés legítimo. Ten presente que los asuntos suelen incluir categorías especiales de datos (salud, ideología, vida sexual, antecedentes penales), sujetas al art. 9, que exige un cuidado reforzado. Y aplica minimización: trata solo lo necesario para el asunto, ni un dato de más.

2. Encargados de tratamiento

Cada proveedor que accede a datos de tus clientes es un encargado de tratamiento: tu software de gestión, tu proveedor de correo, tu almacenamiento en la nube, tu copia de seguridad. Con cada uno necesitas un contrato de encargo (art. 28 RGPD) que regule qué hacen con esos datos, para qué, dónde y con qué garantías, y que les prohíba usarlos para fines propios. Sin ese contrato, la cesión es irregular y la responsabilidad recae sobre ti, que sigues siendo el responsable del tratamiento.

3. Secreto profesional + RGPD

Como abogado tienes, además, secreto profesional. Esto añade una capa por encima del cumplimiento general: no basta con "cumplir el RGPD en abstracto", porque hay información especialmente protegida que exige cuidado extra, sobre todo al usar herramientas de terceros —incluida la IA—. Lo desarrollamos en la guía sobre secreto profesional e IA. Secreto y protección de datos no compiten: se refuerzan.

4. Registro de actividades y deber de información

• Registro de actividades de tratamiento (art. 30): un inventario de qué datos tratas, con qué fin, durante cuánto tiempo y a quién se ceden. Es de los primeros documentos que pide la autoridad de control en una inspección.
• Información a los interesados (arts. 13 y 14): tu cliente debe saber qué haces con sus datos, con qué base y qué derechos tiene. La cláusula informativa y, cuando proceda, el consentimiento, van en la hoja de encargo.
• Plazos de conservación: define cuánto tiempo guardas cada expediente y aplica el criterio, en lugar de acumular datos indefinidamente.

5. Seguridad razonable

El art. 32 exige medidas de seguridad adecuadas al riesgo. En un despacho, el mínimo sensato incluye:

• Cifrado en tránsito y en reposo.
• Control de acceso: que solo quien deba acceda a cada expediente, con credenciales individuales.
• Tratamiento en la UE siempre que sea posible; si hay transferencia fuera, con garantías documentadas.
• Copias de seguridad y trazabilidad de quién accede a qué.
• Un plan para notificar brechas (arts. 33 y 34): si hay un incidente, hay 72 horas para comunicarlo a la autoridad cuando proceda.

6. Qué exigir a tu software

Antes de meter datos de clientes en cualquier herramienta, pregunta:

• ¿Hay DPA / contrato de encargado firmable?
• ¿Dónde se alojan y procesan los datos?
• ¿Se usan para entrenar modelos de terceros? (debe ser un no rotundo)
• ¿Cómo se aísla mi información de la de otros clientes?

Estas preguntas son las mismas que aplican a cualquier herramienta de IA; las tienes desarrolladas en la guía sobre si la IA es segura con datos de clientes.

Elegir proveedor no es solo funcionalidad y precio: es también con quién compartes datos que no son tuyos. La responsabilidad de esa elección se queda en tu despacho.

Cómo lo aborda pleitox

pleitox está diseñado teniendo presente esta realidad: aislamiento por espacio de trabajo (los datos de un despacho no son accesibles desde otra cuenta), tratamiento orientado a la UE y cifrado, compromiso de no entrenar modelos públicos con tu información y DPA disponible. Además, puedes marcar pruebas como privilegiadas para excluirlas del tratamiento por IA. La idea de fondo: los datos del despacho son del despacho, y el control sobre qué se trata y cómo lo mantienes tú.

(Esto es orientación práctica, no asesoramiento jurídico: adapta tu cumplimiento a tu caso concreto y, si lo necesitas, apóyate en un especialista en protección de datos.)

Trabaja con una herramienta pensada para el RGPD desde el diseño. Empieza gratis — 1 mes, sin tarjeta, con tus propios casos.