Como otras muchas empresas y negocios, también tratan con los datos personales de sus clientes, trabajadores y colaboradores, por lo que están obligados a cumplir con la normativa vigente.
También a los despachos profesionales, tales como bufetes de Abogados o despachos de abogados pueden ser: abogados penalistas, abogados civiles, abogados laboralistas, abogados fiscalistas, abogados de extranjería, abogados administrativos, abogados de propiedad intelectual o industrial, abogados mercantilistas, abogados de familia, abogados inmobiliario, etc, les aplica la normativa de protección de datos.
En esta guía vamos a explicar los aspectos y obligaciones fundamentales de la protección de datos para abogados.
- ¿Qué tipos de datos personales se tratan habitualmente en los despachos de abogados?
- Pasos para que un despacho de abogados cumpla adecuadamente con la protección de datos
- 1. Registro de actividades de tratamiento
- 2. Análisis de riesgos
- 3. Evaluación de impacto
- 4. Contratos con Encargados de tratamiento
- 5. Consentimiento de clientes
- 6. Acuerdos de confidencialidad de los empleados
- 7. Si tienes una Página web
- 8. Notificación de posibles violaciones de seguridad
- 9. Designación de un Delegado de Protección de Datos
- 10. Elaboración del documento de Seguridad
- Sanciones a las que se expone un despacho de abogados si no se ajusta debidamente a ley
- Ejemplos de sanciones impuestas.
- Plazo de conservación de los datos
- ¿Necesitas ayuda?
¿Qué tipos de datos personales se tratan habitualmente en los despachos de abogados?
Los despachos de abogados pueden tratar con una amplia variedad de datos personales de sus clientes, en función de la especialización o áreas del derecho sobre las que ofrezcan sus servicios; por ejemplo, un despacho especializado en derecho penal podrá tener acceso a datos sobre delitos o infracciones pasadas de sus clientes.
De manera que los despachos de abogados pueden tratar datos personales de carácter general (identificativos, profesionales, educativos, financieros, propiedades, familiares…) y datos personales especialmente protegidos (relativos a la salud, de naturaleza penal, de orientación sexual, origen étnico…).
- Clientes
- Empleados
- Proveedores
- Contabilidad
- Videovigilancia, en su caso
- Expedientes de los clientes
- Candidatos
- Contacto Web y Redes Sociales
Por este motivo, es fundamental que los abogados cumplan con la Ley de Protección de Datos y observen todas las obligaciones recogidas en ella.
Pasos para que un despacho de abogados cumpla adecuadamente con la protección de datos
Debes saber que para cumplir con la normativa vigente de protección de datos los despachos de abogados (y en realidad, cualquier empresa o profesional que trate con datos personales de otros) deben llevar a cabo una serie de actuaciones principales:
- Realizar un Registro de actividades de tratamiento
- Realizar un Análisis de riesgos
- Evaluación de Impacto
- Firmar los contratos con terceros
- Firmar las cláusulas legales con los empleados
- Solicitar el consentimiento a los clientes
- Incluir los textos legales en la página web
- Notificar brechas de seguridad
- Elaboración del documento de seguridad
Veamos en detalle alguna de estas actuaciones, para despejar todas tus dudas.
1. Registro de actividades de tratamiento
El Reglamento de protección de datos introdujo la obligación de elaborar un registro de actividades de tratamiento, donde se deben recoger todos los tratamientos de datos personales realizados por una entidad.
El registro de actividades de tratamiento debe ofrecer la siguiente información concisa, pero detallada:
- Nombre y datos de contacto del responsable del tratamiento y, en su caso, del encargado del tratamiento y del DPO
- Descripción de las categorías de datos personales e interesados
- Descripción de las categorías de destinatarios de los datos (existentes y previstos)
- Legitimación del tratamiento
- Plazos de conservación de los datos
- Descripción de las medidas de seguridad implantadas
- Fines del tratamiento
- Si se producirán transferencias internacionales de datos fuera de la UE
El registro de actividades de tratamiento es un documento interno, que siempre debe estar actualizado, y que puede mantenerse tanto en formato impreso como en formato digital. En caso de que la Agencia Española de Protección de Datos lo solicite, hay que facilitarlo.
2. Análisis de riesgos
La normativa de protección de datos obliga al despacho de abogados a llevar a cabo un análisis de riesgos.
Este análisis de riesgos debe realizarlo el responsable del tratamiento (que es el propio despacho de abogados) y sirve para evaluar los riesgos que pueden derivarse de los tratamientos de datos personales para los derechos y libertades de los interesados. Es decir, sirve para determinar las posibilidades de que una amenaza se materialice y el impacto negativo que pueda tener sobre los interesados.
De sus conclusiones, se pueden determinar las medidas o soluciones de seguridad que es necesario implantar para minimizar o eliminar la posibilidad de que ocurra el riesgo o, en caso de producirse, reducir su impacto y consecuencias.
3. Evaluación de impacto
Cuando del análisis de riesgos del punto anterior se concluye que puede existir un nivel de riesgo alto para los derechos y libertades de los interesados, es necesario realizar una evaluación de impacto.
La evaluación de impacto es un nuevo análisis de riesgos, pero más centrado en el impacto negativo que el tratamiento de datos personales puede tener sobre las libertades y derechos de los interesados. El objetivo sigue siendo minimizar las posibilidades de que un riesgo se materialice, para lo que se deberán determinar las medidas de seguridad que ayuden a ello y a garantizar la confidencialidad de la información.
4. Contratos con Encargados de tratamiento
Cuando se van a ceder datos de carácter personal a terceros, es necesario firmar un contrato de encargo de tratamiento. Esto ocurre, por ejemplo, cuando el abogado recurre a un perito para preparar un caso y este perito tendrá acceso a los datos personales del cliente. O, si hablamos de un despacho de abogados, cuando se tiene contratado un servicio de prevención de riesgos laborales y vigilancia de la salud, puesto que tendrán acceso a datos personales de los empleados. También ocurre cuando se contrate externamente a una asesoría fiscal y laboral, para la gestión contable y las nóminas de los trabajadores.
Es necesario que por cada cesión de datos a terceros, el responsable del tratamiento firme un contrato con el encargado del tratamiento (en el primer ejemplo anterior, es el perito, si es un profesional por cuenta propia, o la empresa en la que trabaje).
En el contrato de encargo se especificarán todas las obligaciones en materia de protección de datos que debe contemplar el encargado del tratamiento.
5. Consentimiento de clientes
Para cumplir con la normativa de protección de datos, el abogado o el despacho debe recabar siempre el consentimiento expreso de sus clientes para recabar y tratar sus datos personales.
Este consentimiento siempre debe darse mediante una acción afirmativa, puede ser la firma del documento en el que se informa sobre el tratamiento de sus datos o mediante un botón «acepto» en un formulario en línea, siempre que cuenta con un enlace a la información correspondiente sobre el tratamiento de los datos.
Cuando se solicite el consentimiento, se debe informar a los interesados de:
- Quién es el responsable del tratamiento
- Si sus datos se cederán a terceros
- Cómo y dónde ejercer sus derechos ARCO, de portabilidad y olvido
- Finalidad del tratamiento
6. Acuerdos de confidencialidad de los empleados
Con aquellos empleados, incluidos los pasantes, del despacho de abogados que puedan acceder a la información personal de los clientes, será necesario firmar un acuerdo de confidencialidad o incluir unas cláusulas de confidencialidad en sus concretos, para evitar que esa información sea revelada a personas no autorizadas. En él se establecerán las consecuencias de infringirlas.
Los empleados también deben cumplir las medidas de seguridad que se hayan establecido, para garantizar en el despacho de abogados la protección de los datos personales.
7. Si tienes una Página web
Si el despacho de abogados cuenta con página web, esta debe tener enlazados los correspondientes textos legales:
- Política de privacidad (es toda la información referente a la protección de datos):
- Existencia de un tratamiento de los datos que se están solicitando
- Finalidad
- Destinatario o destinatarios de aquella información
- Identidad y dirección del responsable del tratamiento de los datos
- Posibilidad de ejercer sus derechos
- Aviso legal (donde se identifica al propietario de la página web):
- Nombre del propietario
- NIF
- Dirección
- N.º de colegiado
- Política de cookies (se informa de las cookies que se generan en la web, su finalidad, duración y si pertenecen a terceros)
8. Notificación de posibles violaciones de seguridad
La actual normativa de protección de datos obliga a las entidades que hayan sufrido brechas de seguridad, a notificar a la autoridad competente de las mismas.
El plazo para comunicar las brechas de seguridad que pueda poner en riesgo los datos personales de sus clientes, tendrá un plazo de 72 horas máximo para informar a la Agencia Española de Protección de Datos. Además, también deberá notificar el hecho a todos los interesados cuyos datos hayan podido verse afectados.
No notificar de una brecha de seguridad que haya expuesto los datos personales de los usuarios, es motivo de sanción.
9. Designación de un Delegado de Protección de Datos
Con carácter general, un abogado o despacho de abogados no va a necesitar contratar un DPO. Pero puede ser necesario que, si tratan un gran volumen de datos, tengan que designar a un profesional con la cualificación necesaria en esta materia para que salvaguarde los procesos y políticas internas del tratamiento de datos personales. Este profesional será el Delegado de Protección de Datos (DPO).
Además, para cumplir con el principio de información del RGPD, la designación del DPO y sus datos de contacto deben publicarse y comunicarse a la Agencia Española de Protección de Datos. El Delegado de Protección de Datos podrá ser tanto una persona en plantilla de la empresa como una externa y el cargo podrá ser desempeñado también por una empresa que ofrezca el servicio.
Hay que destacar que los Colegios profesionales, en este caso los Colegios de Abogados, sí tienen obligación de nombrar un Delegado de Protección de Datos.
10. Elaboración del documento de Seguridad
Nuestra entidad redactará un documento de seguridad, en el que se incluya toda la información aquí indicada en la guía. Es decir, las actividades de tratamiento, el análisis de riesgos, las evaluaciones de impacto, las medidas técnicas y organizativas, las cláusulas legales para los clientes, proveedores, trabajadores, páginas webs, los contratos con terceros, etc.
Sanciones a las que se expone un despacho de abogados si no se ajusta debidamente a ley
Los despachos de abogados que no se adapten de la manera debida a la normativa de protección de datos pueden enfrentar sanciones económicas importantes.
El Reglamento de Protección de datos contempla una sanción de hasta 10 millones de euros o el 2% de la facturación anual del despacho o profesional (la cuantía que sea mayor) para las infracciones graves. Y una sanción de hasta 20 millones de euros o el 4% de la facturación anual para las infracciones muy graves.
La normativa española concreta un poco más, recogiendo en su articulado qué infracciones se consideran leves, graves y muy graves, pero la horquilla de cuantías para las sanciones en la LOPD es la misma que se recoge en el Reglamento de Protección de datos.
Ejemplos de sanciones impuestas.
No atender debidamente el ejercicio del derecho de cancelación
El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de 10 días. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.
Plazo de conservación de los datos
Otras de las obligaciones del Reglamento de protección de datos para los abogados es la de establecer un plazo de conservación para los datos personales recogidos.
Ahora, ni el RGPD ni la LOPDGDD indican cuál es ese plazo concreto, sino que dejan en manos del responsable del tratamiento decidir qué plazo adecuado en función de la finalidad para la que fueron recogidos los datos y el tipo de datos personales. Con carácter general, el plazo de conservación debe ser el mínimo posible o necesario para alcanzar la finalidad para la que se recabaron los datos.
Si bien, hay que tener en cuenta que hay documentación que contiene datos personales, cuya conservación depende de otras leyes (por ejemplo, las empresas están obligadas a conservar las facturas durante un período de 5 años).
¿Necesitas ayuda?
Como abogado puede que tengas los conocimientos suficientes para adaptarte a la normativa de protección de datos, ¿pero tienes el tiempo para ello? La Ley exige tener los documentos correspondientes actualizados, además de estar pendiente de los cambios normativos que puedan producirse. Por ello, lo mejor es contar con la ayuda de un servicio externo de protección de datos.
Escríbenos a info@legalglobal.es
Más información de nuestros servicios en materia de la Ley Orgánica de Protección de Datos y de Garantía de Derechos Digitales (LOPDGDD): https://www.legalglobal.es/proteccion-de-datos/