Copyrights. ASESORÍA PROGALÁN,
2026. Todos los derechos reservados.
Las asesorías fiscales y laborales manejan un volumen ingente de datos personales: nóminas, modelos tributarios, contratos, partes médicos. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) imponen obligaciones específicas que, si no se cumplen, pueden derivar en sanciones millonarias. Pero más allá del miedo a la multa, cumplir bien con la normativa genera confianza con los clientes y orden interno. Este artículo desglosa cada obligación, explica cómo aplicarlas en el día a día de una asesoría y ofrece una hoja de ruta práctica para pymes y despachos.
El RGPD establece dos figuras principales: el responsable del tratamiento (decide fines y medios) y el encargado del tratamiento (trata datos por cuenta del responsable). Una asesoría fiscal o laboral ocupa ambos roles simultáneamente. Es responsable cuando gestiona los datos de sus propios empleados (nóminas internas, control horario, CRM comercial) y es encargada cuando procesa datos de los trabajadores de sus clientes (nóminas, modelos 111, 190, altas en Seguridad Social).
Confundir estos roles es uno de los errores más frecuentes y más sancionados por la Agencia Española de Protección de Datos (AEPD). La asesoría no debe aparecer como responsable en nóminas de empleados de clientes; el responsable real es la empresa-cliente. Por eso, es imprescindible documentar cada tratamiento con su rol correcto en el Registro de Actividades de Tratamiento (RAT) y firmar los contratos de encargo del artículo 28 RGPD con cada cliente.
Es el documento más importante y el primero que revisa la AEPD en una inspección. Debe formalizarse por escrito (electrónico vale) con cada empresa-cliente. No basta el contrato mercantil de prestación de servicios genérico. El contrato de encargo debe incluir: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos personales y categorías de interesados, obligaciones y derechos del responsable. Además, debe contener las ocho cláusulas mínimas del artículo 28.3 (instrucciones documentadas, confidencialidad, medidas de seguridad, subencargados, asistencia en derechos, ayuda en obligaciones, supresión o devolución al final, y deber de información).
Para una asesoría que trabaja con 80 clientes, firmar 80 contratos puede parecer tedioso, pero es la única forma de evitar sanciones solidarias. La AEPD ha sancionado despachos con multas de entre 3.000 y 60.000 euros por carecer de este contrato. Si se utiliza un modelo general, debe personalizarse con los anexos descriptivos del tratamiento (qué nóminas, qué modelos tributarios, frecuencia) y las medidas técnicas y organizativas aplicadas (cifrado, control de accesos, copias de seguridad).
El artículo 30 RGPD exige a todas las empresas (incluidas asesorías, sin importar su tamaño) llevar un RAT. La particularidad para una asesoría es que debe tener dos registros: uno como responsable (empleados propios, proveedores, leads) y otro como encargado (datos de los trabajadores de cada cliente). Este registro debe detallar la finalidad, base legitimadora, categorías de interesados, cesiones, plazos de conservación y medidas de seguridad.
Es un documento vivo que se actualiza cada vez que se incorpora un nuevo cliente o se modifica un tratamiento. En la práctica, muchas asesorías lo descuidan y lo descubren solo cuando reciben un requerimiento de un cliente que ejerce su derecho de acceso. Un RAT bien mantenido demuestra a la AEPD que el despacho tiene control sobre sus flujos de datos y reduce la gravedad de posibles infracciones.
El artículo 32 RGPD obliga a implementar medidas adecuadas al riesgo. Para una asesoría, el tratamiento de nóminas, datos de salud (bajas médicas) y datos económicos (salarios, retenciones) requiere un nivel de seguridad alto. Esto implica cifrado en reposo y en tránsito, control de accesos basado en roles (cada asesor solo ve los clientes que gestiona), autenticación multifactor, registro de actividad (logs de quién accede a qué dato y cuándo) y copias de seguridad cifradas.
Además, hay que documentar estas medidas en el RAT y en el contrato de encargo. La AEPD valora especialmente que la asesoría tenga una política de seguridad interna firmada por la dirección y que forme a su personal en protección de datos. La falta de medidas básicas (por ejemplo, no tener contraseñas robustas o no limitar el acceso a carpetas compartidas) puede agravar una sanción por brecha de seguridad.
No todo requiere consentimiento. Para las nóminas y obligaciones fiscales, la base legitimadora es la ejecución del contrato (artículo 6.1.b RGPD) o el cumplimiento de una obligación legal (6.1.c). Pedir consentimiento al trabajador para tratar su nómina sería incorrecto, pues no es una base adecuada. Sin embargo, sí se necesita consentimiento para usos secundarios: fotografías en la web corporativa, envío de comunicaciones comerciales o uso de cookies no esenciales.
En el ámbito laboral, la asesoría debe informar a los empleados de sus clientes sobre el tratamiento de sus datos mediante cláusulas informativas (artículo 13 RGPD). Estas cláusulas deben entregarse en el momento de la recogida de datos y deben incluir la identidad del responsable (la empresa-cliente) y del encargado (la asesoría), las bases legitimadoras y los derechos del interesado. La AEPD ha sancionado a asesorías por no proporcionar esta información en sus formularios de alta de empleados.
Las asesorías utilizan habitualmente software de gestión (A3 Innuva, Sage, Holded), plataformas de firma electrónica, gestores documentales en la nube y servicios de envío de notificaciones. Todos estos son subencargados del tratamiento. El artículo 28.2 RGPD exige que la asesoría obtenga autorización previa del responsable (el cliente) para contratar subencargados, y que firme con ellos un contrato que imponga las mismas obligaciones que la asesoría tiene con el cliente.
La fórmula práctica es incluir en el contrato de encargo una cláusula de autorización general, donde se liste a los subencargados en el momento de la firma y se obligue a notificar cualquier cambio con al menos 30 días de antelación. Además, la asesoría debe conservar los contratos firmados con cada subencargado (los llamados Data Processing Addendum o DPA). Sin esta documentación, la asesoría incumple y puede ser considerada codeudora en una sanción.
El artículo 5.1.e RGPD exige limitar la conservación al tiempo necesario. En una asesoría conviven varios plazos legales: el contable (6 años, artículo 30 Código de Comercio), el fiscal (4 años, artículo 66 Ley General Tributaria) y el laboral (4 años, artículo 21.5 LISOS). En la práctica, se aplica el más largo: 6 años desde la baja del trabajador o desde que cesa la relación con el cliente. Pasado ese plazo, los datos deben suprimirse o bloquearse (artículo 32 LOPDGDD) para que solo sean accesibles ante requerimientos de Hacienda, Inspección de Trabajo o juzgados.
Es recomendable que la asesoría documente una política de retención que especifique para cada tipo de documento (nóminas, contratos, modelos tributarios, justificantes de cotización) el plazo exacto y el procedimiento de destrucción segura. La AEPD considera la falta de una política de conservación como una infracción del principio de limitación del plazo, sancionable con multas de hasta 10 millones de euros o el 2% del volumen de negocio.
Las asesorías deben presentar modelos tributarios (111, 190, 303, 347) y comunicar altas, bajas y variaciones a la Seguridad Social. Estas cesiones de datos son obligación legal (artículo 6.1.c RGPD) y no requieren consentimiento. Sin embargo, deben estar documentadas en el RAT y en el contrato de encargo. La asesoría debe asegurarse de que las transmisiones se realizan por canales seguros (sede electrónica con certificado digital) y que se conservan los justificantes de envío.
Un error frecuente es no informar al cliente-empresa de que sus datos van a ser cedidos a estos organismos. Aunque la cesión sea legal, el cliente tiene derecho a saberlo. Por eso, en la cláusula informativa y en el contrato de encargo se debe especificar que se cederán datos a la AEAT, TGSS y SEPE por obligación legal, indicando la base legitimadora y el destino.
La AEPD puede imponer sanciones de hasta 20 millones de euros o el 4% del volumen de negocio anual global (artículo 83.5 RGPD). En la práctica, las sanciones a asesorías oscilan entre 5.000 y 100.000 euros, dependiendo de la gravedad, la intencionalidad, el daño causado y las medidas correctoras adoptadas. Los casos más comunes son: falta de contrato de encargo (3.000-60.000 €), brechas de seguridad no notificadas (10.000-150.000 €), y respuesta tardía a derechos de los interesados (2.000-30.000 €).
Además de las sanciones económicas, una infracción puede acarrear daño reputacional irreversible. Los clientes pueden perder la confianza si se enteran de que su asesoría no protege sus datos. Las inspecciones suelen iniciarse tras una denuncia de un trabajador que no ha podido acceder a sus datos, o tras una brecha de seguridad que sale a la luz. Tener toda la documentación en orden (contratos, RAT, políticas) y formar al personal reduce drásticamente el riesgo.
| Infracción típica | Sanción orientativa (AEPD) | Referencia legal |
|---|---|---|
| Falta de contrato de encargo (Art. 28) | 3.000 – 60.000 € | Art. 83.4 RGPD |
| No notificar brecha de seguridad en 72 h | 10.000 – 150.000 € | Art. 33 y 83.4 |
| No atender derecho de acceso en 30 días | 2.000 – 30.000 € | Art. 15 y 83.5 |
| No llevar Registro de Actividades (RAT) | 5.000 – 40.000 € | Art. 30 y 83.4 |
| Tratamiento sin base legitimadora | Hasta 20 M€ o 4% facturación | Art. 83.5 |
Poner en orden la protección de datos en una asesoría no es un proceso de una tarde, pero puede hacerse en semanas si se sigue una hoja de ruta clara. Aquí los pasos esenciales:
Si tienes una asesoría o trabajas con una, lo fundamental es que exista un contrato firmado que especifique qué datos se tratan y con qué medidas de seguridad. No vale un «contrato de servicios» genérico: tiene que ser el específico de protección de datos (artículo 28 RGPD). Además, la asesoría debe tener un registro actualizado de todos los datos que maneja y conservar las nóminas y documentos al menos seis años, pero luego destruirlos de forma segura.
No te asustes con las sanciones: la mayoría de las asesorías cumplen si dedican un poco de tiempo a ordenar los papeles y a formar a su equipo. La AEPD valora mucho la buena fe y las medidas adoptadas voluntariamente. Si tu asesoría aún no lo ha hecho, pídele que empiece por la auditoría y los contratos. Es una inversión que protege tu negocio y la privacidad de tus empleados y clientes.
El doble rol de responsable y encargado exige un tratamiento diferenciado en el RAT y en los contratos. La asesoría debe incluir en su RAT como encargado una entrada por cada cliente, detallando las categorías de datos (nóminas, modelos tributarios, partes de IT) y las cesiones a AEAT, TGSS y SEPE. Para cada cliente, el contrato de encargo debe personalizarse con el anexo de medidas técnicas (cifrado AES-256, control de accesos RBAC, logs de auditoría) y el anexo de subencargados autorizados.
La gestión de brechas requiere especial atención: como encargado, la asesoría debe notificar al responsable en menos de 24 horas (para que este tenga margen para su notificación a la AEPD en 72 h). Se recomienda establecer un SLA contractual de 24 horas, adjuntar una plantilla de comunicación y llevar un registro interno de todas las brechas, incluso las que no se notifican externamente (artículo 33.5 RGPD). Para asesorías con más de 25-30 clientes, es aconsejable designar un Delegado de Protección de Datos (DPD) externo, siguiendo los criterios del WP29 (volumen de interesados, variedad de datos, permanencia). Esta designación, comunicada a la AEPD, reduce el riesgo de sanción máxima y demuestra un compromiso real con la privacidad.
En ASESORÍA PROGALÁN ofrecemos asesoramiento integral para autónomos y pymes. Confíe en nuestros expertos para sus gestiones fiscales, contables y laborales.
