Protección de datos en un despacho de abogados: guía RGPD y LOPDGDD con checklist

11 de octubre de 2026 · 12 min de lectura

Casi todo lo que circula sobre protección de datos para abogados se escribió en 2018, cuando entró en vigor el RGPD, y casi siempre lo firma una consultora que vende la adecuación. Desde entonces cambiaron dos cosas: la LOPDGDD ya tiene años de aplicación y la IA generativa entró en los despachos. Esta guía repasa, con los artículos a mano, qué obligaciones tiene un despacho en España, dónde encaja una herramienta de IA y qué hacer para cumplir sin convertirlo en un proyecto eterno. Al final hay un checklist.

El despacho es responsable del tratamiento (y no solo de los datos del cliente)

Un despacho decide para qué y cómo trata los datos de cada asunto, así que es responsable del tratamiento en el sentido del RGPD. Y los datos de un expediente no son solo los del cliente:

Clientes: identificación, contacto, facturación, y todo lo que cuentan sobre su asunto.
Contraparte y sus abogados, testigos, peritos, familiares, empleados del cliente, menores mencionados en un procedimiento de familia: personas que nunca contrataron al despacho y cuyos datos igualmente están en sus carpetas.
Categorías especiales (art. 9 RGPD): salud en un accidente laboral o una negligencia médica, afiliación sindical en un despido, vida sexual en un divorcio.
Datos penales (art. 10 RGPD): condenas, infracciones, procedimientos. El art. 10 de la LOPDGDD permite que los traten abogados y procuradores cuando recogen la información que les facilitan sus clientes para ejercer su función.
Y los datos que tiene cualquier empresa: personal, proveedores, formularios de la web.

Esa mezcla (terceros que no saben que el despacho los trata, datos sensibles y datos penales) es la que hace que un despacho pequeño tenga más obligaciones que una empresa de su tamaño en otro sector.

Base jurídica: una por cada tipo de dato

Cliente: la ejecución del contrato de servicios (art. 6.1.b RGPD) y las obligaciones legales del despacho (art. 6.1.c): fiscales y, cuando el despacho interviene en las operaciones que enumera la Ley 10/2010 (compraventa de inmuebles, constitución de sociedades, gestión de fondos, entre otras), las de prevención del blanqueo de capitales.
Contraparte, testigos y terceros: normalmente el interés legítimo del cliente y del despacho en ejercer el derecho de defensa (art. 6.1.f). Conviene dejar documentada esa ponderación.
Categorías especiales: el art. 9.2.f RGPD permite tratarlas cuando es necesario para la formulación, el ejercicio o la defensa de reclamaciones.
Datos penales: el art. 10 LOPDGDD citado arriba.
Boletines, eventos, marketing: consentimiento, separado del encargo.

Deber de información: al cliente sí, a la contraparte depende

Al cliente hay que informarle al recoger sus datos (art. 13 RGPD). El art. 11 de la LOPDGDD permite hacerlo por capas: una información básica (responsable, finalidad y cómo ejercer los derechos) y un enlace o medio sencillo para acceder al resto. En la práctica, un párrafo en la hoja de encargo y la política completa en la web.

Con la contraparte y los terceros el punto de partida es el art. 14 RGPD (datos no obtenidos del interesado), pero su apartado 5.d exime de informar cuando los datos deban seguir siendo confidenciales sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros. El secreto profesional del abogado lo está (lo regulan el Estatuto General de la Abogacía Española y la Ley Orgánica del Poder Judicial), así que avisar a la otra parte de que se tienen sus datos no es, en general, exigible. Es una excepción ligada al asunto: no cubre, por ejemplo, una base de datos comercial.

Registro de actividades de tratamiento

El art. 30 RGPD obliga a llevar un registro de actividades, y el art. 31 LOPDGDD lo reitera. Existe una excepción para organizaciones de menos de 250 personas, pero el propio art. 30.5 la descarta si el tratamiento no es ocasional, puede entrañar un riesgo o incluye categorías especiales o datos penales. Un despacho trata datos de forma continua, y casi siempre alguno de esos dos tipos, así que en la práctica todos los despachos deberían tenerlo, también el de un solo abogado.

No tiene que ser un documento enorme. Un registro razonable para un despacho mediano tiene unas pocas actividades:

Gestión de clientes y expedientes (incluye contraparte y terceros).
Facturación y contabilidad.
Prevención del blanqueo, si aplica.
Recursos humanos.
Proveedores.
Web, formularios de contacto y comunicaciones comerciales.

Para cada una: finalidad, categorías de interesados y de datos, destinatarios, transferencias internacionales, plazos de conservación y una descripción general de las medidas de seguridad. Si hay DPD, cualquier cambio en el registro se le comunica (art. 31.1 LOPDGDD).

Encargados del tratamiento: la IA en la nube es uno

Todo proveedor que trata datos por cuenta del despacho es un encargado del tratamiento: el correo, el almacenamiento en la nube, el programa de gestión de expedientes, el servicio informático, la gestoría. Con cada uno hace falta un contrato con el contenido del art. 28.3 RGPD: tratar solo según instrucciones, confidencialidad, seguridad, condiciones para subcontratar, ayuda con los derechos de los interesados y qué pasa con los datos al terminar (el art. 33 LOPDGDD lo desarrolla).

Un servicio de IA en la nube al que se le pega un escrito con datos reales entra en la misma categoría. Antes de usarlo con expedientes, conviene comprobar:

Que existe un contrato de encargo (DPA) aplicable al plan que se usa. Las versiones gratuitas o de consumo no suelen tenerlo.
Que los datos no se usan para entrenar modelos y cuánto tiempo se conservan las conversaciones.
Dónde se procesan y qué subencargados intervienen.
La transferencia internacional, si los servidores están fuera del Espacio Económico Europeo (capítulo V del RGPD). Para Estados Unidos existe la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (2023), que solo cubre a las empresas adheridas; el Tribunal General la confirmó en septiembre de 2025 y hay un recurso pendiente ante el Tribunal de Justicia (asunto C-703/25 P). Si la empresa no está adherida, hacen falta otras garantías, como las cláusulas contractuales tipo.

Además del RGPD está el secreto profesional: el art. 22.4 del Estatuto General de la Abogacía obliga al abogado a hacer que lo respeten también sus colaboradores y quienes cooperen con él. Un contrato de encargo ayuda, pero sigue siendo entregar el expediente a un tercero. Lo desarrollamos en IA para abogados: cómo usarla sin romper el secreto profesional.

¿Un despacho tiene que nombrar delegado de protección de datos?

Depende del tamaño y del tipo de práctica, pero un despacho pequeño normalmente no está obligado:

Art. 34.1 LOPDGDD: enumera quiénes deben designar DPD en todo caso. Están los colegios profesionales y sus consejos generales, centros docentes, aseguradoras, entidades financieras, centros sanitarios, empresas de seguridad privada y otros. Los despachos de abogados no aparecen en la lista.
Art. 37.1 RGPD: fuera de esa lista, el DPD es obligatorio cuando las actividades principales consisten en una observación habitual y sistemática de interesados a gran escala, o en tratar a gran escala categorías especiales o datos penales.
Considerando 91 RGPD: el tratamiento de datos de clientes no debe considerarse a gran escala si lo realiza un solo abogado.

Conclusión práctica: el abogado individual y el despacho pequeño no suelen estar obligados. Un despacho grande, o uno cuya práctica principal sea penal, laboral o de salud con volumen masivo de asuntos, debería analizar su caso y dejar documentado el razonamiento. Nombrarlo de forma voluntaria es posible (art. 34.2 LOPDGDD) y, en ese caso, la designación se comunica a la AEPD en diez días (art. 34.3).

Seguridad y brechas: las 72 horas

El art. 32 RGPD pide medidas de seguridad adecuadas al riesgo y nombra dos en concreto: la seudonimización y el cifrado. En un despacho lo básico es cifrar portátiles y móviles, usar doble factor en el correo, dar acceso a los expedientes solo a quien los lleva y tener copias de seguridad probadas.

Cuando hay una brecha de datos personales (un correo con un escrito enviado al destinatario equivocado, un portátil robado, un ransomware):

Notificar a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas (art. 33 RGPD). Se hace en la sede electrónica de la AEPD; su herramienta gratuita Asesora Brecha ayuda a decidir si hay que notificar.
Comunicarla a los afectados si es probable un alto riesgo (art. 34 RGPD). No hace falta si los datos eran ininteligibles para quien accedió, por ejemplo porque estaban cifrados (art. 34.3.a).
Documentar todas las brechas, se notifiquen o no (art. 33.5).

Que un miembro del equipo suba un expediente a una IA sin contrato de encargo también conviene tratarlo como un incidente: evaluarlo, documentarlo y decidir si hay que notificar.

Cómo anonimizar o seudonimizar reduce el riesgo al usar IA

La forma más directa de que una IA en la nube no plantee problemas de encargo ni de transferencia es que no reciba datos personales. Hay dos niveles:

Anonimizar de verdad: si nadie puede volver a identificar a las personas con medios razonables, el texto deja de contener datos personales y queda fuera del RGPD (considerando 26). Es lo adecuado para compartir un modelo de escrito o una sentencia.
Seudonimizar con un mapa local: cada nombre se reemplaza por una etiqueta (PERSONA_01, PERSONA_02) y un mapa guardado en el equipo del despacho permite volver a los datos reales. Para el despacho el texto sigue siendo dato personal, pero la IA recibe solo etiquetas, y es una de las medidas que nombra el art. 32.

Con la segunda opción se trabaja así: anonimizar en local, revisar, usar la IA con el texto etiquetado y rehidratar la respuesta en el propio equipo con el mapa. La diferencia jurídica entre las dos está en anonimización vs. seudonimización.

Ninguna detección automática es infalible, y un caso se puede reconocer por los hechos aunque no tenga nombres (un cargo, una fecha, un lugar). Por eso la revisión humana antes de enviar nada a la IA forma parte del método, no es un paso opcional.

Checklist de protección de datos para un despacho

Hacer el inventario de qué datos se tratan: clientes, contraparte, terceros, categorías especiales, datos penales, personal, web.
Asignar una base jurídica a cada actividad y documentar la ponderación del interés legítimo para contraparte y terceros.
Informar al cliente por capas: cláusula básica en la hoja de encargo y política completa enlazada.
Abrir y mantener el registro de actividades (art. 30 RGPD y 31 LOPDGDD).
Firmar contratos de encargo (art. 28) con cada proveedor que toque datos, incluidas las herramientas de IA, y revisar dónde están sus servidores.
Fijar una regla escrita sobre IA: qué herramientas se pueden usar y que no se pegan datos reales sin anonimizar antes ni en servicios sin contrato.
Decidir sobre el DPD con el art. 37 RGPD y el 34 LOPDGDD, y dejar escrito por qué sí o por qué no.
Aplicar las medidas básicas de seguridad: cifrado, doble factor, accesos por expediente, copias.
Preparar el protocolo de brechas: quién decide, cómo se notifica a la AEPD en 72 horas y el registro interno.
Definir plazos de conservación y qué se hace con los expedientes cerrados.
Formar al equipo, incluidas las personas en prácticas y el personal administrativo: el secreto profesional también les alcanza (art. 22.4 del Estatuto).

El secreto profesional va por su propio carril

Cumplir el RGPD no agota las obligaciones. El Estatuto General de la Abogacía Española (Real Decreto 135/2021) impone el deber y el derecho de guardar secreto de todos los hechos o noticias que se conozcan por la actuación profesional (art. 21.1). Ese deber alcanza a los hechos, comunicaciones, datos, informaciones, documentos y propuestas (art. 22.1) y sigue vigente después de terminar el encargo, sin límite temporal (art. 22.5). Un tratamiento puede ser lícito según el RGPD y aun así exponer información cubierta por el secreto. Por eso la medida que mejor sirve a las dos normas es que el dato no salga del despacho.

Usar IA sin que los expedientes salgan del despacho

Anonimizar es una app de escritorio que detecta los datos personales de un documento, te deja revisar cada uno y los reemplaza por etiquetas antes de que el texto vaya a una IA. Irreversible por defecto; si eliges guardar el mapa, rehidratas la respuesta con los datos reales en tu propio equipo. 100% local, sin nube y sin telemetría.

Probala gratis · 15 archivos

Para profundizar: anonimización vs. seudonimización, IA para abogados sin romper el secreto profesional, usar ChatGPT con datos de clientes y, si el expediente está en PDF, cómo censurar (anonimizar) un PDF.

Este artículo es informativo y no constituye asesoramiento legal. Las referencias al RGPD, a la LOPDGDD, a la Ley 10/2010 y al Estatuto General de la Abogacía Española son un resumen general a octubre de 2026: conviene consultar el texto vigente, los criterios de la AEPD y, para un caso concreto, a un profesional de protección de datos.

Most of what's out there on data protection for lawyers was written in 2018, when the GDPR came into force, and it's usually signed by a consultancy selling compliance. Two things have changed since: Spain's data protection act (LOPDGDD) has years of practice behind it, and generative AI has entered law firms. This guide goes through, with the articles at hand, what obligations a law firm has in Spain, where an AI tool fits, and how to comply without turning it into an endless project. There's a checklist at the end.

The firm is the controller (and not only of client data)

A law firm decides why and how it processes the data of each matter, so it's the controller in GDPR terms. And a case file holds more than client data:

Clients: identification, contact, billing, and everything they share about their matter.
The opposing party and their lawyers, witnesses, experts, relatives, the client's employees, minors mentioned in a family case: people who never hired the firm and whose data is in its files anyway.
Special categories (GDPR Art. 9): health in a workplace accident or medical negligence case, trade union membership in a dismissal, sex life in a divorce.
Criminal data (GDPR Art. 10): convictions, offences, proceedings. LOPDGDD Art. 10 allows lawyers and court representatives (procuradores) to process it when they collect information provided by their clients to carry out their work.
And the data any business holds: staff, suppliers, website forms.

That mix (third parties who don't know the firm processes their data, sensitive data and criminal data) is why a small law firm has more obligations than a business of the same size in another sector.

Legal basis: one for each kind of data

Client: performance of the service contract (GDPR Art. 6(1)(b)) and the firm's legal obligations (Art. 6(1)(c)): tax and, when the firm takes part in the transactions listed in Law 10/2010 (real estate purchases, company formation, fund management, among others), anti-money-laundering duties.
Opposing party, witnesses and third parties: usually the legitimate interest of the client and the firm in exercising the right of defence (Art. 6(1)(f)). It's worth documenting that balancing test.
Special categories: GDPR Art. 9(2)(f) allows processing when necessary for the establishment, exercise or defence of legal claims.
Criminal data: LOPDGDD Art. 10, mentioned above.
Newsletters, events, marketing: consent, separate from the engagement.

Duty to inform: the client yes, the opposing party it depends

The client must be informed when their data is collected (GDPR Art. 13). LOPDGDD Art. 11 allows a layered approach: basic information (controller, purpose and how to exercise rights) plus a link or simple way to reach the rest. In practice, a paragraph in the engagement letter and the full policy on the website.

For the opposing party and third parties the starting point is GDPR Art. 14 (data not obtained from the data subject), but its paragraph 5(d) exempts the duty when the data must remain confidential subject to an obligation of professional secrecy regulated by Union or Member State law. A lawyer's professional secrecy is regulated that way (by the General Statute of the Spanish Legal Profession and the Organic Law of the Judiciary), so telling the other side you hold their data is generally not required. The exception is tied to the matter: it doesn't cover, say, a marketing database.

Record of processing activities

GDPR Art. 30 requires a record of processing activities, and LOPDGDD Art. 31 repeats it. There's an exemption for organisations with fewer than 250 people, but Art. 30(5) itself rules it out if processing isn't occasional, may pose a risk, or includes special categories or criminal data. A law firm processes data continuously, and almost always one of those two types, so in practice every law firm should keep one, including a sole practitioner.

It doesn't need to be a huge document. A reasonable record for a mid-sized firm has a handful of activities:

Client and case management (includes opposing parties and third parties).
Billing and accounting.
Anti-money-laundering, if applicable.
Human resources.
Suppliers.
Website, contact forms and marketing communications.

For each: purpose, categories of data subjects and data, recipients, international transfers, retention periods and a general description of security measures. If there's a DPO, any change to the record must be communicated to them (LOPDGDD Art. 31(1)).

Processors: cloud AI is one of them

Any provider that processes data on the firm's behalf is a processor: email, cloud storage, case management software, IT support, the outsourced accountant. Each one needs a contract with the content of GDPR Art. 28(3): processing only on instructions, confidentiality, security, conditions for sub-processing, help with data subject rights and what happens to the data at the end (LOPDGDD Art. 33 develops this).

A cloud AI service you paste a brief with real data into falls in the same category. Before using it with case files, check:

That there's a data processing agreement (DPA) for the plan you use. Free or consumer tiers usually don't have one.
That the data isn't used to train models and how long conversations are kept.
Where it's processed and which sub-processors are involved.
The international transfer, if servers are outside the European Economic Area (GDPR Chapter V). For the United States there's the EU-US Data Privacy Framework adequacy decision (2023), which only covers companies that have signed up; the General Court upheld it in September 2025 and an appeal is pending before the Court of Justice (case C-703/25 P). If the company isn't certified, other safeguards are needed, such as standard contractual clauses.

On top of the GDPR there's professional secrecy: Art. 22.4 of the General Statute of the Spanish Legal Profession requires lawyers to ensure that their associates and anyone cooperating with them also respect it. A processing agreement helps, but it's still handing the case file to a third party. We cover this in AI for lawyers: how to use it without breaking professional secrecy.

Does a law firm need a Data Protection Officer?

It depends on size and type of practice, but a small firm usually doesn't:

LOPDGDD Art. 34(1): lists who must appoint a DPO in every case. It includes professional bar associations and their general councils, schools, insurers, financial institutions, healthcare centres, private security firms and others. Law firms are not on the list.
GDPR Art. 37(1): outside that list, a DPO is mandatory when core activities consist of regular and systematic monitoring of data subjects on a large scale, or large-scale processing of special categories or criminal data.
GDPR Recital 91: processing of client data shouldn't be considered large scale if carried out by an individual lawyer.

In practice: sole practitioners and small firms usually aren't required to. A large firm, or one whose main practice is criminal, employment or health law with a massive volume of matters, should analyse its case and document the reasoning. Appointing one voluntarily is possible (LOPDGDD Art. 34(2)), and in that case the appointment must be notified to the Spanish DPA (AEPD) within ten days (Art. 34(3)).

Security and breaches: the 72 hours

GDPR Art. 32 requires security measures appropriate to the risk and names two specifically: pseudonymisation and encryption. For a law firm the basics are encrypting laptops and phones, two-factor authentication on email, access to case files only for those working on them, and tested backups.

When there's a personal data breach (an email with a brief sent to the wrong recipient, a stolen laptop, ransomware):

Notify the AEPD without undue delay and, where feasible, within 72 hours of becoming aware, unless the breach is unlikely to pose a risk to people (GDPR Art. 33). It's done through the AEPD's e-office; its free Asesora Brecha tool helps decide whether to notify.
Tell the people affected if a high risk is likely (GDPR Art. 34). Not needed if the data was unintelligible to whoever accessed it, for example because it was encrypted (Art. 34(3)(a)).
Document every breach, notified or not (Art. 33(5)).

A team member uploading a case file to an AI with no processing agreement is also worth treating as an incident: assess it, document it and decide whether to notify.

How anonymizing or pseudonymizing lowers the risk of using AI

The most direct way for a cloud AI to raise no processor or transfer issues is for it to receive no personal data. There are two levels:

True anonymization: if no one can re-identify the people by reasonable means, the text no longer contains personal data and falls outside the GDPR (Recital 26). That's right for sharing a template brief or a ruling.
Pseudonymization with a local map: each name is replaced with a label (PERSONA_01, PERSONA_02) and a map stored on the firm's machine lets you restore the real data. For the firm the text is still personal data, but the AI only receives labels, and it's one of the measures Art. 32 names.

With the second option the workflow is: anonymize locally, review, use the AI on the labeled text and re-hydrate the answer on your own machine with the map. The legal difference between the two is in anonymization vs. pseudonymization.

No automatic detection is infallible, and a case can be recognized from its facts even without names (a job title, a date, a place). That's why human review before sending anything to the AI is part of the method, not an optional step.

Data protection checklist for a law firm

Inventory the data you process: clients, opposing parties, third parties, special categories, criminal data, staff, website.
Assign a legal basis to each activity and document the legitimate interest balancing test for opposing parties and third parties.
Inform clients in layers: a basic clause in the engagement letter and the full policy linked.
Set up and maintain the record of processing activities (GDPR Art. 30 and LOPDGDD Art. 31).
Sign processing agreements (Art. 28) with every provider that touches data, AI tools included, and check where their servers are.
Write down an AI rule: which tools may be used, and that no real data is pasted without anonymizing first or into services without a contract.
Decide on the DPO using GDPR Art. 37 and LOPDGDD Art. 34, and record why or why not.
Apply basic security measures: encryption, two-factor authentication, per-matter access, backups.
Prepare a breach protocol: who decides, how the AEPD is notified within 72 hours, and the internal log.
Set retention periods and what happens to closed files.
Train the team, trainees and administrative staff included: professional secrecy covers them too (Statute Art. 22.4).

Professional secrecy runs on its own track

Complying with the GDPR doesn't exhaust your obligations. The General Statute of the Spanish Legal Profession (Royal Decree 135/2021) imposes the duty and the right to keep secret all facts or information learned through professional practice (Art. 21.1). That duty covers facts, communications, data, information, documents and proposals (Art. 22.1) and survives the end of the engagement with no time limit (Art. 22.5). Processing can be lawful under the GDPR and still expose information covered by secrecy. That's why the measure that best serves both is keeping the data inside the firm.

Use AI without case files leaving the firm

Anonimizar is a desktop app that detects the personal data in a document, lets you review each item and replaces it with labels before the text goes to an AI. Irreversible by default; if you choose to keep the map, you re-hydrate the answer with the real data on your own machine. 100% local, no cloud, no telemetry.

Try it free · 15 files

To go deeper: anonymization vs. pseudonymization, AI for lawyers without breaking professional secrecy, using ChatGPT with client data and, if the case file is a PDF, how to redact (anonymize) a PDF.

This article is informational and does not constitute legal advice. References to the GDPR, the LOPDGDD, Law 10/2010 and the General Statute of the Spanish Legal Profession are a general summary as of October 2026: check the current text, the AEPD's guidance and, for a specific case, a data protection professional.