RGPD en despachos de abogados: obligaciones, riesgos y cómo cumplir en 2026
Guía práctica sobre las obligaciones del RGPD para despachos de abogados: registro de actividades, contratos de encargo, brechas de seguridad y el papel del Delegado de Protección de Datos.
# RGPD en despachos de abogados: obligaciones, riesgos y cómo cumplir en 2026
Los despachos de abogados manejan datos especialmente sensibles: datos de salud en procedimientos de incapacidad, datos penales en causas criminales, situaciones económicas en divorcios. La AEPD ha sancionado a firmas de abogados por incumplimientos del RGPD, y las multas pueden alcanzar el 4% del volumen de negocio anual.
Esta guía repasa las obligaciones específicas del Reglamento (UE) 2016/679 (RGPD) y la LOPDGDD (LO 3/2018) para despachos españoles en 2026.
1. El despacho como responsable del tratamiento
El despacho de abogados es responsable del tratamiento (Art. 4.7 RGPD) de los datos de sus clientes, empleados y terceros que aparecen en los asuntos. Como responsable, debe:
- Definir la finalidad y los medios del tratamiento
- Asegurarse de que existe una base jurídica (Art. 6 RGPD) para cada tratamiento
- Cumplir los principios de minimización, exactitud, limitación del plazo y confidencialidad (Art. 5 RGPD)
Bases jurídicas más comunes en un despacho
| Tratamiento | Base jurídica |
|---|---|
| Gestión de clientes (expedientes) | Ejecución de contrato (Art. 6.1.b) |
| Contabilidad y facturación | Obligación legal (Art. 6.1.c) |
| Marketing y comunicaciones | Consentimiento (Art. 6.1.a) |
| Prevención de blanqueo (PBC) | Obligación legal (Art. 6.1.c) |
2. Registro de Actividades de Tratamiento (RAT)
Obligatorio para despachos con más de 250 empleados y para cualquiera que trate datos de categorías especiales (Art. 30 RGPD). En la práctica, todos los despachos deben tenerlo porque tratan datos penales o de salud.
El RAT debe incluir: denominación del tratamiento, finalidades, categorías de datos, destinatarios, transferencias internacionales, plazos de supresión y medidas de seguridad.
Sanción de referencia: AEPD Resolución R/01360/2022: 10.000 € a despacho por ausencia de RAT y contratos con encargados.
3. Contratos con encargados del tratamiento
Cuando usas proveedores que acceden a datos de clientes (software jurídico, nube, email, contabilidad), debes firmar un contrato de encargo del tratamiento (Art. 28 RGPD) que incluya:
- Instrucciones de tratamiento
- Medidas de seguridad técnicas y organizativas
- Compromiso de confidencialidad
- Subencargos autorizados
- Asistencia en ejercicio de derechos
Importante: Lexiel incluye DPA (Data Processing Agreement) RGPD en todos sus contratos. Datos en servidores UE.
4. Deber de información: cláusulas para clientes
El despacho debe informar al cliente en el momento de recabar sus datos (Art. 13 RGPD). La práctica habitual es incluir la cláusula en la hoja de encargo o contrato de servicios:
"[Nombre despacho], con NIF [X], trata sus datos con la finalidad de gestionar la relación de asesoramiento y representación jurídica, sobre la base del contrato suscrito. Los datos se conservarán durante la vigencia del encargo y los plazos de prescripción de responsabilidades. Puede ejercer sus derechos de acceso, rectificación, supresión y portabilidad dirigiéndose a [dirección/email]. Si considera que el tratamiento no respeta la normativa, puede reclamar ante la AEPD (www.aepd.es)."
5. Categorías especiales de datos
Los despachos de familia, laboral y penal procesan habitualmente datos especiales (Art. 9 RGPD): salud, vida sexual, condenas penales (Art. 10 RGPD). Para estos tratamientos:
- Base jurídica específica del Art. 9.2 (normalmente f: asesoramiento jurídico)
- Deber reforzado de confidencialidad
- Evaluación de Impacto (EIPD) si hay alto riesgo
6. Brechas de seguridad
Cualquier acceso no autorizado a datos de clientes es una brecha de seguridad (Art. 4.12 RGPD) que puede requerir notificación a la AEPD en 72 horas (Art. 33 RGPD) y al afectado si supone alto riesgo (Art. 34 RGPD).
Escenarios frecuentes en despachos:
- Email con expediente enviado al destinatario equivocado
- Robo de portátil con expedientes sin cifrar
- Acceso no autorizado a sistema de gestión
- Ataque ransomware
7. Delegado de Protección de Datos (DPD/DPO)
Los despachos no están obligados por ley a designar DPD, salvo que traten datos penales a gran escala (Art. 37 RGPD). Sin embargo, la AEPD recomienda designarlo cuando el tratamiento de datos especiales es habitual.
8. Lista de verificación RGPD para despachos 2026
- [ ] Registro de Actividades de Tratamiento (RAT) actualizado
- [ ] Cláusulas informativas en contratos/hojas de encargo
- [ ] Contratos DPA con todos los proveedores cloud/software
- [ ] Política de privacidad en web con cookies actualizada (LOPDGDD)
- [ ] Protocolo de brechas de seguridad documentado
- [ ] Medidas técnicas: cifrado de portátiles, contraseñas robustas, 2FA
- [ ] Registro de ejercicios de derechos ARCO-PL
Gestiona tus expedientes con protección de datos integrada en Lexiel →
Prueba Lexiel gratis · 28 días
Usa el código LEX-BLOG para obtener el doble del período de prueba estándar. Cancela cuando quieras, sin compromiso.