Ciberseguridad y protección de datos en despachos profesionales
Pocos negocios pequeños concentran tanta información sensible como una gestoría: declaraciones de renta, cuentas bancarias, nóminas, contratos, certificados digitales con los que se puede actuar ante Hacienda en nombre de otros. Para un atacante es un objetivo muy rentable. Para la AEPD, un responsable con obligaciones claras. Este artículo resume qué exige la normativa y qué medidas concretas aplicar.
Qué papel tiene la gestoría según el RGPD
El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) distinguen entre responsable y encargado del tratamiento. Una gestoría suele tener los dos papeles a la vez:
| Datos | Papel habitual del despacho | Consecuencia |
|---|---|---|
| Sus propios clientes y empleados | Responsable | Informar, registro de actividades, medidas de seguridad |
| Trabajadores de sus clientes (nóminas, contratos) | Encargado, por cuenta del cliente | Contrato de encargo con el cliente (art. 28 RGPD) |
| Clientes y proveedores de sus clientes (facturas) | Encargado, por cuenta del cliente | Incluirlo en el mismo contrato |
| Datos alojados en un software en la nube | El proveedor es subencargado o encargado del despacho | Contrato con el proveedor y autorización del cliente |
La calificación concreta depende del servicio. Si tienes dudas, la AEPD publica guías específicas sobre encargados del tratamiento.
Obligaciones básicas que no pueden faltar
- Contratos de encargo con cada cliente y con cada proveedor tecnológico que trate datos (art. 28 RGPD).
- Registro de actividades de tratamiento (art. 30 RGPD): qué datos tratas, para qué, cuánto tiempo y con qué medidas.
- Medidas de seguridad apropiadas al riesgo (art. 32 RGPD). Un despacho que maneja datos económicos y laborales tiene un riesgo alto.
- Gestión de brechas: si hay una violación de seguridad que suponga un riesgo, hay que notificarla a la AEPD en un plazo de 72 horas (art. 33) y, si el riesgo es alto, comunicarla a los afectados (art. 34). Como encargado, debes avisar sin dilación al cliente responsable.
- Deber de confidencialidad del equipo (art. 5 LOPDGDD), por escrito.
Además, las gestorías y asesores fiscales son sujetos obligados de la Ley 10/2010 de prevención del blanqueo de capitales, que exige identificar a los clientes y conservar esa documentación durante diez años. Más datos que proteger, y durante más tiempo.
Las amenazas más frecuentes en un despacho
| Amenaza | Cómo suele llegar | Medida principal |
|---|---|---|
| Phishing | Correos que suplantan a la AEAT, a la Seguridad Social o a un cliente, con enlaces o adjuntos | Formación y verificar siempre por otra vía |
| Ransomware | Un adjunto o un acceso remoto mal protegido cifra todos los archivos | Copias de seguridad desconectadas y actualizaciones |
| Robo de certificados | Certificados de clientes instalados en equipos compartidos o sin contraseña | Inventario, contraseña y acceso restringido |
| Fraude del pago | Un «cliente» o «proveedor» cambia su cuenta bancaria por correo | Confirmar por teléfono a un número conocido |
| Fuga por descuido | Envío de una nómina al destinatario equivocado | Portal privado en lugar de adjuntos por correo |
Medidas prácticas por orden de impacto
1. Doble factor en todo
Correo, programas de gestión, portal de clientes y acceso remoto. Es la medida que más ataques frena con menos esfuerzo.
2. Copias de seguridad 3-2-1
Tres copias, en dos soportes distintos y una fuera de la oficina y desconectada. Y prueba a restaurarlas: una copia que nunca se ha restaurado es una suposición.
3. Custodia de los certificados de clientes
Lleva un inventario: de quién es cada certificado, dónde está instalado, quién puede usarlo y cuándo caduca. Protege cada uno con contraseña y no los instales en todos los equipos «por comodidad». Siempre que sea posible, usa apoderamientos o la colaboración social en lugar de guardar el certificado del cliente.
4. Sustituye el correo como canal de documentación
Cada adjunto con un DNI o una nómina es una copia más que no controlas. Un portal donde el cliente sube sus justificantes reduce el riesgo y ordena el trabajo. Lo explicamos en cómo automatizar la recogida de facturas y tickets.
5. Permisos mínimos
Cada persona ve los clientes que lleva. Las bajas de empleados se tramitan también en los sistemas, el mismo día.
6. Actualizaciones y equipos
Sistemas y programas actualizados, portátiles cifrados y bloqueo de pantalla automático.
7. Formación periódica
Media hora cada trimestre con ejemplos reales de correos fraudulentos. El INCIBE ofrece materiales gratuitos para pymes y una línea de ayuda en ciberseguridad, el 017.
Cómo elegir proveedores en la nube con garantías
Al llevar datos de clientes a una plataforma externa, el despacho debe elegir un proveedor que ofrezca garantías suficientes (art. 28.1 RGPD). Pregunta por escrito:
- ¿Dónde se alojan los datos? Lo más sencillo es que estén dentro de la Unión Europea.
- ¿Firma un contrato de encargo del tratamiento?
- ¿Cifra los datos y las comunicaciones?
- ¿Ofrece doble factor y permisos por usuario?
- ¿Cómo puedo exportar mis datos si cambio de proveedor?
Repasamos estos criterios junto con los funcionales en software para gestorías: qué funciones necesita.
Qué hacer si sufres un incidente
- Aísla los equipos afectados (desconéctalos de la red, sin apagarlos si puedes).
- Cambia contraseñas y revoca accesos y certificados comprometidos.
- Evalúa qué datos se han visto afectados y de qué clientes.
- Avisa a los clientes responsables y, si procede, notifica a la AEPD en 72 horas.
- Documenta todo: qué pasó, cuándo y qué medidas tomaste.
Seguridad también en el portal del cliente
Gestonet centraliza la facturación, los gastos con justificantes y las presentaciones de los clientes en una plataforma con acceso individual para el despacho y para cada cliente, de modo que la documentación deja de circular por correo. Consulta sus características en Gestonet y pide el contrato de encargo del tratamiento antes de empezar.
Preguntas frecuentes
¿Una gestoría es responsable o encargada del tratamiento?
Suele ser las dos cosas: responsable de los datos de sus propios clientes y empleados, y encargada de los datos que trata por cuenta de sus clientes, como las nóminas de sus trabajadores. Cada servicio debe analizarse y reflejarse en un contrato de encargo (art. 28 RGPD).
¿En cuánto tiempo hay que notificar una brecha de seguridad?
El responsable debe notificarla a la AEPD en un plazo de 72 horas desde que tiene constancia, salvo que sea improbable que suponga un riesgo (art. 33 RGPD). Si el despacho actúa como encargado, debe avisar al cliente sin dilación indebida.
¿Cómo deben guardarse los certificados digitales de los clientes?
Con un inventario de titular, ubicación, usuarios autorizados y caducidad, protegidos con contraseña e instalados solo donde sea necesario. Siempre que sea posible, es preferible actuar mediante apoderamiento o colaboración social.
¿Puedo enviar nóminas a los clientes por correo electrónico?
No está prohibido, pero aumenta el riesgo de envíos a destinatarios equivocados y de copias sin control. Un portal privado con acceso individual es una medida de seguridad más adecuada para datos laborales.
Fuentes oficiales
- Agencia Española de Protección de Datos
- Ley Orgánica 3/2018, de Protección de Datos (BOE)
- Reglamento General de Protección de Datos (EUR-Lex)
- INCIBE, ciberseguridad para empresas
Este artículo tiene carácter informativo y no sustituye al asesoramiento profesional. La normativa puede cambiar: comprueba siempre la información vigente en las fuentes oficiales o consulta tu caso con tu gestoría.
