Buenas prácticas diarias del equipo de una gestoría para proteger los datos

En una gestoría o asesoría, la protección de datos se juega más en los pequeños gestos cotidianos que en la documentación formal. El RAT puede estar redactado al milímetro y el contrato del art. 28 firmado con cada cliente, pero si las nóminas viajan por email en abierto, los partes de baja llegan por WhatsApp al móvil personal del gestor o el listado de facturación queda olvidado en la bandeja de la impresora, todo lo demás deja de servir.

Esta guía recoge rutinas operativas para el día a día del equipo de una gestoría —gestores, administrativos, becarios, recepción—. No es un curso jurídico: son hábitos que ordenan el trabajo del despacho y, de paso, cumplen con el RGPD, la LOPDGDD y la normativa sectorial.

Envíos de nóminas: cifrado de PDF como práctica diaria

El envío masivo de nóminas mensuales por email es la rutina con mayor exposición de una gestoría y, a la vez, el escenario más frecuente de fuga de datos del sector. Las nóminas contienen información salarial completa, número de la Seguridad Social, retenciones, situación familiar, embargos y, en su caso, pensiones de alimentos. Las rutinas operativas son:

• Cifrado de cada PDF con contraseña antes de adjuntarlo. La contraseña no viaja en el mismo correo: se comunica al trabajador por SMS al móvil, por llamada telefónica o por el canal corporativo que el cliente-empresa haya designado.
• Un correo, un trabajador. Nunca enviar nóminas en bloque con varios destinatarios visibles en "Para" o en "CC". Si la herramienta de envío permite envío individualizado masivo (mailing transaccional), mejor que CCO.
• Verificación del destinatario antes de pulsar enviar. Las direcciones que autocompleta el cliente de correo son la causa habitual de la nómina que termina en la bandeja equivocada.
• Alternativa preferente: área privada del trabajador dentro del ERP, donde cada empleado descarga su nómina con login propio. Reduce drásticamente el riesgo de envío erróneo.
• Listado de facturación y resúmenes salariales que se envían al cliente-empresa: igualmente cifrados o canalizados por área privada. Nunca pegados al cuerpo del email.

Partes de baja médica: canal corporativo, no WhatsApp del gestor

El parte de baja por incapacidad temporal, el parte de alta, el certificado de incapacidad permanente y, en general, cualquier comunicación sobre la salud de un trabajador del cliente, es un dato de categoría especial (art. 9 RGPD). Su flujo operativo debe estar bajo control:

• Canal corporativo verificado para la recepción: email corporativo del gestor, fax o correo postal a la dirección del despacho, o área privada del cliente en el ERP. No WhatsApp del móvil personal de ningún miembro del equipo.
• Comunicación clara al cliente-empresa del canal único de recepción, para que el cliente lo traslade a su plantilla y lo recoja en su propia cláusula informativa.
• Si llega por canal incorrecto (un trabajador envía la foto del parte al WhatsApp particular del gestor), la rutina es: registrar el parte en el expediente laboral del software, eliminar la imagen del móvil personal y recordar al cliente-empresa el canal corporativo de referencia.
• Aviso al empleado del cliente, a través del cliente-empresa, sobre quién recibe sus datos de salud: la gestoría como encargada del tratamiento, las mutuas como responsables independientes, la TGSS como administración receptora.

Listados en papel: destrucción segura

El sector imprime más papel del que necesita. Listados de facturación, resúmenes de nóminas, hojas de control de modelos presentados, copias de TC y borradores que se quedan en la bandeja de la impresora son la cara visible de una brecha física. La rutina práctica:

• Política de "clean desk" al final de la jornada. Lo que no esté en uso vuelve al armario con llave.
• Recogida inmediata de la impresora. Idealmente, configurar la impresora con liberación por PIN para que los documentos solo salgan cuando el gestor está delante. Evita olvidos.
• Destructora de corte cruzado en el despacho para volúmenes pequeños y para borradores diarios.
• Contrato con empresa especializada de destrucción confidencial para volúmenes mayores y para purgas periódicas, con certificado de destrucción que se archiva como evidencia.
• Contenedor cerrado con boca estrecha para documentación pendiente de destrucción. No al cubo común de papel.
• Armarios con llave para expedientes físicos en activo. Ubicación no accesible al público y reservada al equipo.

Accesos al software contable y al Sistema RED

El software contable, el ERP de nóminas, la herramienta fiscal y el Sistema RED de la TGSS son las puertas operativas del despacho. Su seguridad se sostiene sobre una regla nítida: una cuenta por gestor, nunca compartida.

• Usuario individual por gestor, con contraseña personal robusta y, cuando el proveedor lo permita, segundo factor de autenticación.
• Perfiles diferenciados: no todos los gestores necesitan ver todos los clientes ni modificar todos los modelos. Los roles se ajustan a la función real (laboral, fiscal, contable, mercantil, recepción).
• Cierre de sesión al terminar la jornada y bloqueo automático de pantalla por inactividad. Imprescindible en despachos compartidos.
• Revocación inmediata cuando alguien deja la gestoría: el día de la salida, se desactivan los usuarios en software, RED, SILTRA, email corporativo, certificados, área privada del cliente y cualquier herramienta auxiliar. No se reutiliza la cuenta para el sustituto, se crea una nueva.
• Revisión periódica trimestral de la lista de usuarios activos: no debe haber cuentas zombi de personal que ya no está.
• Custodia de certificados digitales personales (FNMT, representante de persona jurídica): cada gestor con su certificado, nunca certificados compartidos en carpetas comunes.

La trazabilidad —saber qué gestor entró en qué expediente y cuándo— es una medida del art. 32 RGPD y forma parte de la política de seguridad del despacho. Compartir credenciales destruye esa trazabilidad y deja al despacho sin defensa frente a cualquier incidencia.

DNI y documentos de personas físicas: minimización

En la operativa diaria llegan al despacho copias de DNI de autónomos clientes, representantes legales, apoderados, administradores y, en algunas operaciones, de empleados del cliente. La regla práctica es minimizar (art. 5.1.c RGPD):

• Registrar los datos en el sistema (nombre, apellidos, DNI/NIE, fecha de nacimiento, nacionalidad si procede). Esa es la información operativa.
• No conservar la imagen escaneada del DNI por defecto. Solo cuando una norma o un trámite concreto exige presentar copia (constitución de sociedad, operación notarial, alta concreta) se conserva durante el plazo de ese trámite, en una carpeta cifrada y con acceso restringido.
• Eliminación posterior: vencido el uso, se elimina del entorno operativo.
• Nunca guardar fotografías de DNI en los móviles personales del equipo, ni en escritorios locales sin cifrado, ni en grupos de WhatsApp interno del despacho.

Atención telefónica al cliente: verificación de identidad

El teléfono es un canal especialmente vulnerable porque permite suplantaciones. Los datos no se facilitan sin un mínimo de verificación. Las rutinas:

• Verificación de identidad antes de facilitar datos: nombre completo, NIF de la empresa y, en función de la sensibilidad, alguna pregunta adicional que solo el cliente real pueda contestar (fecha de la última factura, importe del último modelo, número de empleados).
• Protocolo escrito conocido por todo el equipo, incluida recepción y becarios.
• Nunca facilitar nóminas, datos bancarios, fechas de baja ni información de la plantilla a una persona que no se ha identificado con certeza. Ante la duda, devolver la llamada a un número conocido del cliente, no al que llama.
• Discreción en el despacho: las conversaciones telefónicas con datos de un cliente no se mantienen a viva voz en zonas de paso. Filtros de audio, sala reservada o, simplemente, bajar la voz.

Brechas en software de terceros: cómo actuar

Los proveedores tecnológicos del sector (ERP, software contable, plataforma documental, área privada del cliente) son objetivo frecuente de incidentes de seguridad. Cuando un proveedor comunica una brecha que afecta a datos de clientes de la gestoría, las rutinas son:

• Activar el protocolo interno de brechas y registrar la incidencia (art. 33.5 RGPD): descripción, datos afectados, momento de la detección, medidas tomadas.
• Identificar el rol de la gestoría en cada flujo afectado: si la brecha afecta a datos de la plantilla de un cliente-empresa, la gestoría actúa como encargada y debe notificar al cliente-empresa sin dilación indebida (art. 33.2 RGPD). El cliente-empresa, como responsable, decide la notificación a la AEPD y a los afectados.
• Si la brecha afecta a datos propios (clientes de la gestoría como personas físicas, proveedores propios, plantilla del despacho), la gestoría es responsable y debe valorar la notificación a la AEPD (art. 33 RGPD) y, cuando proceda, a los afectados (art. 34 RGPD).
• Coordinación con el proveedor para conocer el alcance real, las medidas correctivas y el calendario de recuperación.
• No reenviar a destinatarios no autorizados el correo del proveedor con el listado de afectados. La gestión es interna y, en su caso, frente al cliente-empresa y a la AEPD.

Control horario del equipo de la gestoría

El registro de jornada del propio personal del despacho puede articularse con varias alternativas operativas:

• Códigos PIN individuales por gestor en un terminal de fichaje.
• Tarjetas de proximidad RFID o llaveros.
• Aplicación móvil corporativa con geolocalización del puesto, cuando exista justificación operativa.
• Login al puesto de trabajo como mecanismo de control de jornada cuando todo el trabajo se realiza frente al equipo.

Si gestionas una gestoría o asesoría y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con gestorías y asesorías. Sin comerciales: desde el primer contacto, hablarás con un especialista.

Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.