El secreto profesional del abogado es, a efectos del RGPD, una responsabilidad reforzada: cada expediente contiene datos personales de clientes, y en muchos casos también de terceros (la otra parte, testigos, menores). Y sin embargo, la realidad de miles de despachos españoles es un portátil sin cifrar, un pendrive con «los expedientes de 2023» en un cajón y un Excel de clientes que nadie ha respaldado nunca. Esta guía explica qué exige de verdad el RGPD a un despacho, dónde están los riesgos reales de los expedientes digitales y en papel, y cómo montar un sistema de backup automático que haga que perder datos deje de ser una posibilidad.

Aviso: esto es divulgación práctica, no asesoramiento jurídico. Para el análisis de riesgo de tu despacho, consulta con un especialista en protección de datos.

Por qué el RGPD pesa más en un despacho que en la mayoría de negocios

Un despacho de abogados no trata datos personales cualquiera: trata datos que, combinados con el hecho de «es cliente de este despacho», ya revelan información sensible (una demanda de divorcio, un procedimiento penal, una incapacidad laboral). A eso se suma el secreto profesional (art. 542.3 LOPJ y Estatuto General de la Abogacía), que convierte cualquier filtración en un problema doble: sanción de la AEPD y, potencialmente, expediente deontológico ante el colegio.

Con ese punto de partida, el RGPD te exige tres cosas concretas, no genéricas:

• Base legal clara para cada tratamiento. La relación cliente-abogado se ampara en la ejecución del encargo profesional (art. 6.1.b RGPD); el marketing o el envío de newsletters necesita consentimiento aparte.
• Medidas de seguridad «apropiadas al riesgo» (art. 32 RGPD): cifrado, control de acceso, capacidad de restaurar los datos tras un incidente. Esto es lo que casi ningún despacho pequeño tiene documentado.
• Registro de Actividades de Tratamiento (RAT) actualizado y, si el despacho maneja datos de categorías especiales (salud en incapacidades, orientación sexual en algunos procesos de familia, origen étnico en extranjería), valorar si hace falta una evaluación de impacto.

Los riesgos reales de los expedientes: dónde se pierde y se filtra información

No es un ataque de hackers sofisticado lo que más sanciona a los despachos pequeños. Es esto:

1. El portátil del socio sin cifrar de disco. Se pierde, se lo roban del coche, y con él salen todos los expedientes activos sin ninguna barrera.
2. El único backup es «una copia en un disco duro externo» que nadie prueba a restaurar. El día que el ordenador principal falla (y falla), descubres que el disco también estaba dañado o que la última copia es de hace ocho meses.
3. Excel de clientes en el escritorio del PC de recepción, compartido por email cuando alguien lo pide, sin versión de quién lo modificó ni cuándo.
4. Software de gestión sin backup automático real, o con backup pero sin que nadie haya verificado nunca que una restauración funciona. Ya lo cubrimos en la guía de software de gestión para despachos: el backup automático probado es uno de los criterios de compra, no un extra.
5. Documentos por email sin cifrar entre abogado y cliente, incluyendo demandas, informes periciales o documentación médica en procesos de incapacidad.
6. Ransomware. Un despacho que paga la factura de la infraestructura informática «cuando toca» es el perfil favorito de un ataque de cifrado: sin backup fuera del propio equipo, pagar el rescate se convierte en la única opción, y eso además de no garantizar recuperar nada, es en sí mismo un incidente que hay que notificar.

El patrón común de estos seis riesgos es el mismo: la copia de seguridad no existe, existe pero no se prueba, o existe en el mismo sitio que el original (si el ransomware cifra también el disco de backup, no tienes backup).

La solución: backup automático fuera del despacho, sin depender de que nadie se acuerde

La regla de oro de cualquier consultor de seguridad es la 3-2-1: 3 copias de los datos, en 2 soportes distintos, con 1 copia fuera de las instalaciones del despacho. Para un despacho pequeño, montar esto manualmente (copiar carpetas a un disco cada viernes) es exactamente el tipo de tarea que se olvida la primera semana de juicio complicado. La solución razonable es automatizarlo.

Opción 1: backup nativo del software de gestión

Si usas un software en la nube como Clio, el backup diario ya está incluido en la infraestructura del proveedor (con centros de datos redundantes). Lo cubrimos en el análisis de precio de Clio: la nube seria resuelve la mayor parte de este problema para los expedientes que viven dentro del software. El punto ciego: todo lo que está fuera del software (emails, documentos sueltos en el ordenador local, el Excel de contactos que nadie migró).

Opción 2: backup automatizado con Make.com para todo lo demás

Aquí es donde un escenario de automatización cubre el hueco que ningún software de gestión resuelve por sí solo: los archivos que viven en Google Drive, Outlook, un disco compartido o carpetas locales sincronizadas.

Con Make.com puedes montar, sin programar nada, un flujo que:

1. Vigila una carpeta de expedientes (Google Drive, OneDrive o Dropbox) y, cada vez que se añade o modifica un documento, lo copia automáticamente a un segundo proveedor de nube distinto (regla del «2 soportes distintos»).
2. Genera un snapshot semanal comprimido de toda la carpeta de expedientes activos y lo sube a un almacenamiento frío (por ejemplo, un bucket cifrado), con fecha en el nombre del archivo para poder volver a cualquier semana concreta.
3. Envía una alerta por email o WhatsApp al responsable de sistemas si el escenario de backup falla (por ejemplo, si el proveedor de origen no responde), para que el fallo se detecte el mismo día y no seis meses después.
4. Registra un log de cada backup ejecutado en una hoja de cálculo o base de datos: fecha, número de archivos, resultado. Es exactamente lo que te pedirá la AEPD si algún día hay que demostrar que existían medidas de seguridad «apropiadas al riesgo».

🔎 Este artículo contiene enlaces de afiliado a Make.com. Si contratas a través de ellos recibimos una comisión sin coste extra para ti. Ver política de afiliados.

Si ya tienes un escenario de Make.com montado para los avisos de plazos procesales, reutilizas la misma cuenta: el coste marginal de añadir el escenario de backup es prácticamente cero, y Make.com Core desde 9 €/mes cubre de sobra las operaciones de ambos flujos para un despacho de 2-5 abogados.

Opción 3: cifrado, el complemento que nadie debe saltarse

El backup soluciona la disponibilidad («no pierdo los datos»); el cifrado soluciona la confidencialidad («si alguien roba el disco, no puede leer nada»). Tres medidas mínimas:

• Cifrado de disco completo (BitLocker en Windows, FileVault en Mac) en todos los portátiles del despacho: gratis, se activa en cinco minutos, y es la diferencia entre un portátil robado y una brecha de seguridad notificable.
• Cifrado en tránsito y en reposo en cualquier software o backup en la nube: exígelo por escrito al proveedor (está en su DPA).
• Autenticación en dos pasos (2FA) en el correo del despacho, en el software de gestión y en la cuenta de Make.com o de la nube donde vive el backup. Es la barrera que más incidentes evita por el esfuerzo que cuesta activarla.

Checklist RGPD para el despacho: seguridad y backup

• [ ] DPA firmado con cada proveedor que toque datos de clientes (software de gestión, email, Make.com, almacenamiento en nube).
• [ ] Cifrado de disco activado en todos los portátiles y equipos del despacho.
• [ ] Backup automático (no manual) con copia fuera de las instalaciones, regla 3-2-1.
• [ ] Restauración probada al menos una vez al trimestre: si nunca has restaurado un backup, no sabes si funciona.
• [ ] 2FA activado en correo, software de gestión y cuentas de automatización.
• [ ] Usuarios individuales con permisos por rol: nada de «cuenta compartida del despacho».
• [ ] Registro de Actividades de Tratamiento (RAT) actualizado y accesible.
• [ ] Protocolo de brecha de seguridad documentado, con el plazo de 72 horas para notificar a la AEPD si hay riesgo para los afectados.
• [ ] Política de email cifrado para el envío de documentación sensible a clientes.
• [ ] Cláusula de confidencialidad y protección de datos en los contratos con cualquier colaborador externo (peritos, procuradores, oficiales freelance).

Guía de implementación: de cero a cumplimiento en tres semanas

Semana 1 — Diagnóstico y cifrado. Audita dónde viven realmente los datos del despacho (software de gestión, email, discos locales, Excel sueltos). Activa cifrado de disco en todos los equipos y 2FA en las cuentas críticas. Coste: 0 €, solo tiempo.

Semana 2 — Backup automático. Si tu software de gestión ya incluye backup en la nube, verifícalo por escrito con el proveedor. Para todo lo que queda fuera (documentos locales, Excel, email), monta el escenario de Make.com descrito arriba: carpeta vigilada → copia a segundo proveedor → snapshot semanal → alerta de fallo. Coste: desde 9 €/mes.

Semana 3 — Documentación y prueba. Redacta o actualiza el RAT, firma los DPA pendientes con cada proveedor y haz la primera restauración de prueba del backup para confirmar que funciona de verdad. Si el despacho tiene socios, documenta también el protocolo de brecha de seguridad para que todos sepan qué hacer el día que algo falle.

Este orden no es casual: de nada sirve automatizar el backup si los portátiles siguen sin cifrar, y de nada sirve tener el RAT perfecto si nunca has probado a restaurar una copia. Si aún no has digitalizado el resto del despacho, esta guía encaja como último paso de nuestra guía completa para digitalizar un despacho de abogados: primero se monta el flujo de trabajo, después se blinda.

Preguntas frecuentes

¿Es obligatorio tener un DPO en un despacho pequeño? No, salvo que el tratamiento a gran escala de datos de categoría especial sea tu actividad principal. La mayoría de despachos no está obligada, pero designar un responsable interno de protección de datos (aunque no sea DPO formal) es buena práctica.

¿El backup en la nube es seguro para datos de clientes protegidos por secreto profesional? Sí, si el proveedor ofrece DPA firmable, cifrado en tránsito y en reposo, y preferiblemente centros de datos en la UE. La nube bien configurada suele ser más segura que un disco duro en un cajón del despacho.

¿Cada cuánto debo hacer backup? Para expedientes activos, backup diario automático como mínimo; para todo el archivo del despacho, un snapshot semanal completo es razonable. La clave no es la frecuencia exacta sino que sea automático y se pruebe.

¿Qué pasa si sufro un ataque de ransomware y no tengo backup? Es un incidente de seguridad notificable a la AEPD en 72 horas si hay riesgo para los afectados, y probablemente tengas que informar también a los clientes cuyos datos estaban comprometidos. Sin backup, además, pierdes el expediente: la única salida suele ser pagar el rescate, sin garantía de recuperación.

¿Sustituye Make.com a un software de backup profesional? No es un software de backup dedicado, es una capa de automatización que conecta tus fuentes de datos (Drive, Outlook, carpetas locales) con un destino de backup de forma programada y con alertas. Para expedientes que ya viven en un software de gestión con backup nativo (como Clio), Make.com cubre el resto: todo lo que queda fuera de esa plataforma.

---

🔎 Este artículo contiene enlaces de afiliado a Make.com. Ver política de afiliados.