La contratación de los servicios jurídicos de un abogado, implica un encargo de tratamiento de datos personales, o se comporta como un Responsable.
Antes de todo, hay que analizar una cuestión clave: no todo abogado actúa siempre como encargado. En el ámbito del asesoramiento jurídico bajo instrucciones estrictas y claras del cliente (el Responsable) puede encajar el abogado como Encargado de tratamiento; pero cuando el abogado decide la estrategia jurídica, actúa en defensa letrada, cumple obligaciones colegiales, conserva expediente profesional, factura o cumple deberes legales propios, puede actuar como Responsable respecto de esos tratamientos de datos personales. La AEPD recuerda que el Encargado trata datos por cuenta del Responsable y siguiendo sus instrucciones, mientras que el Responsable decide finalidad y usos de la información.
La clave práctica es distinguir quién decide para qué y cómo se tratan los datos personales. En servicios jurídicos esa frontera puede moverse según el tipo de servicio contratado por el cliente (el Responsable), por eso conviene documentarla bien.
La idea es esta: el abogado no es un “Encargado de Tratamiento” por el simple hecho de ser un proveedor externo, sino solo cuando trata datos personales por cuenta del cliente (el Responsable) y bajo sus detalladas instrucciones. El criterio no depende del nombre que pongamos en el contrato, sino de la función real que desempeña. El CEPD recuerda que responsable y encargado son conceptos “funcionales”: se asignan según el papel efectivo de cada parte, no solo según lo que diga el contrato.
1. Aclarando conceptos básicos
El Responsable decide el “por qué” y el “cómo” del tratamiento; el Encargado trata datos por cuenta del Responsable, siguiendo sus instrucciones. La ley lo expresa así: el Responsable determina fines y medios, mientras que el Encargado trata los datos por cuenta del Responsable y siguiendo sus instrucciones.
2. ¿ En qué situaciones actúa como un Encargado de Tratamiento ?
El abogado puede actuar como Encargado de Tratamiento cuando presta un servicio jurídico muy condicionado por las instrucciones del cliente.
Ejemplos:
1. Una empresa le encarga revisar contratos de los empleados siguiendo criterios internos ya definidos.
2. El abogado recibe expedientes para preparar informes jurídicos internos sin contactar con terceros.
3. El abogado presta un servicio externalizado de apoyo legal, gestión documental o revisión normativa bajo instrucciones concretas.
4. El cliente decide qué datos se tratan, para qué expediente, durante cuánto tiempo y qué debe hacerse con ellos al terminar.
En estos casos, el abogado trata datos para una finalidad del cliente, no para una finalidad propia. Ahí tiene sentido firmar un contrato según el artículo 28 RGPD, con objeto, duración, finalidad, categorías de datos, instrucciones, seguridad, confidencialidad, subencargados y destino final de los datos.
3. ¿ Cuándo el abogado actúa como Responsable del tratamiento ?
El abogado suele actuar como Responsable cuando presta servicios propios de defensa, asesoramiento jurídico con autonomía profesional o representación legal.
Ejemplos:
a) Decide la estrategia procesal o extraprocesal.
b) Valora qué documentos o pruebas son necesarios.
c) Decide presentar una demanda, recurso, alegación o comunicación jurídica.
d) Se relaciona con juzgados, administraciones, notarios, procuradores, peritos o contrapartes.
e) Conserva el expediente para defenderse frente a responsabilidades profesionales.
f) Trata datos para facturación, contabilidad, prevención de blanqueo, archivo profesional o cumplimiento de obligaciones colegiales.
Aquí el abogado no está simplemente “ejecutando instrucciones técnicas” del cliente. Tiene obligaciones legales, deontológicas y profesionales propias. Por eso, respecto de esos tratamientos, lo correcto suele ser que el abogado informe al cliente/interesados como responsable del tratamiento, no que todo quede cubierto solo por un contrato de encargo.
4. Ejemplos claros
Caso A: encargado del tratamiento
Una empresa dice al abogado: “Revisa estos 40 contratos laborales y dime si falta alguna cláusula. No contactes con ninguno de los trabajadores, no uses los datos para otra finalidad y elimina la documentación cuando acabes”. Aquí el abogado es un encargado porque actúa sobre datos de la empresa, para una finalidad de la empresa y con instrucciones delimitadas.
Caso B: responsable del tratamiento
Una empresa le dice al abogado: “Tenemos una demanda de un trabajador. Defiéndenos”. El abogado decidirá estrategia, documentos relevantes, argumentos, plazos, comunicaciones, posibles pruebas y conservación del expediente. Aquí normalmente no es un mero encargado; actúa con autonomía profesional.
5. ¿ Qué conviene hacer en el contrato ?
La solución más segura es no forzar una única categoría para todo y realizar un ejercicio de determinación de los roles, indicando que las partes reconocen que el abogado actuará como encargado del tratamiento únicamente respecto de aquellos tratamientos realizados por cuenta del cliente y conforme a sus instrucciones documentadas. No obstante, el abogado actuará como responsable independiente respecto de los tratamientos necesarios para el ejercicio autónomo de la profesión, la defensa jurídica, la determinación de la estrategia legal, el cumplimiento de obligaciones legales o deontológicas, la gestión administrativa, fiscal y contable de su actividad, y la conservación del expediente profesional durante los plazos exigibles o necesarios para atender posibles responsabilidades.
RECUERDA: En protección de datos, redactar correctamente los contratos de encargado de tratamiento no es burocracia: es responsabilidad proactiva y protección frente a sanciones.