Protección de datos para el abogado que ejerce solo: información, registro y delegado
Un abogado que ejerce por su cuenta trata a diario datos personales de clientes, contrarios y testigos. La Ley Orgánica de Protección de Datos fija obligaciones concretas para cualquier responsable del tratamiento, y aclara que los abogados no están en la lista de quienes deben nombrar un delegado de protección de datos.
El abogado que ejerce por su cuenta es, a efectos de protección de datos, responsable del tratamiento de los datos de sus clientes y de las demás personas que aparecen en sus expedientes. La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, publicada en el BOE núm. 294, de 6 de diciembre de 2018, completa el Reglamento general de protección de datos con reglas que afectan directamente al despacho unipersonal.
Repasamos cuatro de ellas: la información al cliente, las medidas del responsable, el registro de actividades y el delegado de protección de datos.
1. Informar al cliente
El artículo 11 de la ley orgánica permite cumplir el deber de información facilitando una información básica y remitiendo al resto. Según su apartado 2, esa información básica debe incluir, al menos:
- La identidad del responsable del tratamiento y, en su caso, de su representante.
- La finalidad del tratamiento.
- La posibilidad de ejercer los derechos de los artículos 15 a 22 del Reglamento general de protección de datos.
En la práctica, el lugar natural para esta información es la hoja de encargo. La Ley Orgánica del Derecho de Defensa incluye entre sus contenidos el tratamiento de los datos del cliente, como explicamos en el resumen de la Ley Orgánica del Derecho de Defensa.
2. Medidas técnicas y organizativas
El artículo 28 de la ley orgánica obliga a los responsables y encargados a determinar las medidas técnicas y organizativas apropiadas para garantizar y acreditar que el tratamiento es conforme con la normativa.
Para un abogado que trabaja solo, eso se traduce en decisiones concretas: cómo se guardan los expedientes, quién tiene acceso al ordenador y al correo, cómo se hacen las copias de seguridad y qué herramientas se usan. La clave está en la palabra acreditar: no basta con hacerlo bien, hay que poder demostrarlo.
Las herramientas de inteligencia artificial son un buen ejemplo. Antes de introducir datos de un cliente en una herramienta externa, conviene revisar dónde se tratan y para qué. Lo tratamos en el editorial sobre la política de IA en el despacho.
3. El registro de actividades de tratamiento
El artículo 31.1 de la ley orgánica establece que los responsables y encargados deben mantener el registro de actividades de tratamiento al que se refiere el artículo 30 del Reglamento general de protección de datos.
Un registro sencillo para un despacho unipersonal puede organizarse por actividades:
| Actividad | Ejemplos de datos que se tratan |
|---|---|
| Gestión de clientes y expedientes | Datos del cliente, de la parte contraria y de testigos |
| Facturación y contabilidad | Datos de facturación de los clientes |
| Personal, si lo hay | Datos de la persona contratada |
| Comunicaciones y web | Datos de contacto recibidos por correo o formularios |
El contenido que debe figurar en el registro lo fija el artículo 30 del Reglamento general de protección de datos, al que remite la ley orgánica, y conviene revisarlo en su texto. La tabla solo sugiere una forma de ordenar las actividades de un despacho pequeño.
4. ¿Hace falta un delegado de protección de datos?
El artículo 34.1 de la ley orgánica enumera las entidades que deben designar un delegado de protección de datos, además de los casos del artículo 37.1 del Reglamento general. En esa lista figuran los colegios profesionales y sus consejos generales, pero no aparecen los abogados ni los despachos.
Eso no excluye que un despacho deba nombrarlo si se encuentra en alguno de los supuestos del Reglamento general, que hay que analizar caso por caso. Y el artículo 34.2 permite designarlo de forma voluntaria.
Si se designa, el artículo 34.3 obliga a comunicar la designación, el nombramiento o el cese a la Agencia Española de Protección de Datos, o a la autoridad autonómica competente, en el plazo de diez días.
Lista de comprobación
- Incluir la información básica en la hoja de encargo y en la web.
- Elaborar el registro de actividades y revisarlo cuando cambie algo relevante.
- Documentar las medidas de seguridad: accesos, copias, cifrado y herramientas.
- Analizar si se está en algún supuesto del Reglamento general que obligue a nombrar delegado.
- Separar los datos y los fondos de cada cliente, en coherencia con las reglas sobre fondos de clientes.
Más guías en Abogacía de autónomos.
Fuentes
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (BOE-A-2018-16673). Consultada el 18 de octubre de 2026.
Los datos concretos de este artículo proceden de las fuentes oficiales citadas.
