Una gestoría o una asesoría es, por la propia naturaleza de su trabajo, un nodo intensivo de datos personales: nóminas de las plantillas de los clientes, partes de baja médica, facturación, libros contables, escrituras societarias, modelos tributarios, comunicaciones con la Tesorería General de la Seguridad Social y con la Agencia Tributaria. La protección de datos en este sector no es un trámite paralelo al despacho: forma parte del propio servicio profesional que se factura al cliente.
Esta guía resume la documentación mínima que cualquier gestoría debería tener disponible —para abrir despacho nuevo, regularizar uno existente o revisar el estado tras un cambio de software o de socio— bajo el marco del RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018) y la normativa sectorial estatal aplicable.
Por qué una gestoría es un caso particular: doble rol jurídico
El rasgo definitorio del sector es que una gestoría actúa simultáneamente con dos roles distintos respecto al RGPD, y conviene tenerlo claro desde el primer día:
- Responsable del tratamiento sobre los datos de sus propios clientes-empresa (datos identificativos, contacto, facturación), sobre los datos de sus proveedores (informático, hosting, telefonía, asesor externo) y sobre los datos de su propia plantilla (gestores, administrativos, becarios). En esos tratamientos la gestoría decide finalidades y medios.
- Encargada del tratamiento (art. 28 RGPD) sobre los datos de la plantilla, proveedores y clientes de cada empresa-cliente. La gestoría procesa nóminas, presenta seguros sociales, calcula impuestos o lleva la contabilidad por cuenta de la empresa, que sigue siendo la responsable. La empresa decide qué datos, para qué y bajo qué plazos; la gestoría ejecuta esos tratamientos siguiendo sus instrucciones documentadas.
Esa dualidad tiene una consecuencia muy práctica: la documentación de protección de datos de la gestoría debe estructurarse en dos bloques claramente diferenciados, y el contrato del art. 28 RGPD con cada cliente-empresa no es opcional, es la pieza nuclear del sector.
Documentación mínima del despacho
Estos son los documentos que, como mínimo, una gestoría debería tener listos antes del primer cliente. Algunos son obligatorios por norma; otros son buenas prácticas que ahorran problemas cuando llega una inspección, una reclamación de un trabajador del cliente o una migración de software.
| Documento | Base normativa | Para qué sirve |
|---|---|---|
| RAT como responsable | Art. 30.1 RGPD | Inventario de tratamientos propios: clientes-empresa, proveedores, propia plantilla, marketing. |
| RAT como encargada | Art. 30.2 RGPD | Inventario de los tratamientos ejecutados por cuenta de cada cliente-empresa. |
| Contrato del art. 28 RGPD con cada cliente | Art. 28.3 RGPD | Anexo específico que regula la relación responsable–encargada con cada empresa-cliente. |
| Cláusula informativa al cliente-empresa | Art. 13 RGPD | Información sobre los datos del representante y la empresa que la gestoría trata como responsable. |
| Política de privacidad y aviso legal de la web | Arts. 13–14 RGPD · Art. 10 LSSICE | Identificación del titular, finalidades y derechos para usuarios web. |
| Política de cookies y banner | Art. 22.2 LSSICE | Capa informativa y consentimiento granular para cookies no estrictamente necesarias. |
| Política de seguridad | Art. 32 RGPD | Medidas técnicas y organizativas: accesos individuales, cifrado, copias, control de papel. |
| Compromisos de confidencialidad del personal | Art. 5.1.f RGPD · Art. 28.3.b RGPD | Deber de secreto firmado por cada gestor, administrativo o becario. |
| Protocolo de brechas | Arts. 33–34 RGPD | Procedimiento para detectar, valorar y, en su caso, notificar al cliente, a la AEPD y a los afectados. |
| Procedimiento de derechos de los interesados | Arts. 15–22 RGPD | Cauce para atender (o trasladar al cliente-empresa) acceso, rectificación, supresión, oposición, limitación y portabilidad. |
RAT específico de gestoría: separar responsable y encargada
El Registro de Actividades de Tratamiento es donde se materializa la dualidad jurídica del sector. El art. 30 RGPD distingue dos apartados que no deben mezclarse:
- RAT como responsable (art. 30.1 RGPD): incluye los tratamientos en los que la gestoría decide finalidades y medios. Como mínimo: gestión de clientes-empresa, gestión de proveedores propios, gestión de la propia plantilla (selección, contratación, nóminas internas, formación), marketing propio si lo hay, atención de consultas web y videovigilancia interna si existe.
- RAT como encargada (art. 30.2 RGPD): incluye los tratamientos que la gestoría ejecuta por cuenta de cada cliente-empresa. Como mínimo se desglosan los ámbitos: laboral (nóminas, contratos, partes de baja, TC, finiquitos), fiscal (modelos tributarios, declaraciones, retenciones), contable (libros, facturas, conciliaciones bancarias) y mercantil/societario (escrituras, libros societarios, juntas).
Cada actividad del RAT debe identificar finalidad, base jurídica, categorías de interesados, categorías de datos, destinatarios (TGSS, AEAT, mutuas, registros, entidades financieras), transferencias internacionales si las hay, plazos de conservación y medidas de seguridad.
Contratos del art. 28 RGPD con cada empresa-cliente
El contrato de encargada del tratamiento es, en una gestoría, el documento más importante del sector. No es una cláusula breve insertada en la hoja de honorarios: es un documento o anexo específico que debe firmarse con cada empresa-cliente y cubrir el contenido mínimo del art. 28.3 RGPD.
| Elemento del contrato | Qué debe contener |
|---|---|
| Objeto, duración, naturaleza y finalidad | Servicios laborales, fiscales, contables y/o mercantiles que la gestoría presta a la empresa. |
| Tipos de datos y categorías de interesados | Datos identificativos, económicos, de seguridad social, fiscales, salud (partes de baja). Interesados: plantilla del cliente, autónomos y representantes legales, proveedores del cliente. |
| Obligaciones del responsable y de la encargada | Instrucciones documentadas del cliente-empresa, ejecución por cuenta de éste, prohibición de uso para fines propios. |
| Confidencialidad del personal de la gestoría | Compromiso de que cada gestor, administrativo y becario está sujeto a deber de secreto profesional reforzado. |
| Medidas de seguridad | Medidas técnicas y organizativas del art. 32 RGPD: cifrado, accesos individuales al software, copias, registro de accesos al sistema RED. |
| Subencargados | Lista o mecanismo de autorización para incorporar subencargados (ERP en la nube, hosting, soporte técnico). |
| Asistencia al responsable | Cooperación para atender derechos de los interesados, EIPD y notificación de brechas. |
| Notificación de brechas | Notificación al cliente-empresa sin dilación indebida (art. 33.2 RGPD) cuando la gestoría tenga conocimiento de una brecha. |
| Devolución o supresión al finalizar | Obligación del art. 28.3.g RGPD: devolver o exportar los datos al cliente-empresa a su elección antes de cualquier supresión. |
| Auditorías e inspecciones | Disponibilidad de información para demostrar el cumplimiento y posibilidad de auditorías o inspecciones razonadas. |
Especial atención merece la cláusula de devolución: al terminar la relación con un cliente-empresa, la gestoría debe devolver o exportar al cliente los datos laborales, fiscales y contables —en un formato útil y estructurado— para que éste pueda seguir cumpliendo sus propios plazos legales de conservación. Solo después procede la supresión de los soportes de la gestoría.
Cláusula informativa al cliente-empresa (art. 13 RGPD)
El deber de información del art. 13 RGPD es obligatorio aunque la base jurídica sea la ejecución de un contrato profesional. La gestoría debe entregar al cliente-empresa una cláusula informativa que cubra al menos dos ángulos:
- Datos de la empresa-cliente y de sus representantes legales que la gestoría trata como responsable (datos identificativos, fiscales, de contacto, de facturación): finalidad, base jurídica (ejecución del contrato profesional, art. 6.1.b), comunicaciones, plazos y derechos.
- Datos de la plantilla y proveedores de la empresa-cliente sobre los que la gestoría actúa como encargada: mención expresa de que esos datos se tratan por cuenta de la empresa-cliente, conforme al contrato del art. 28 RGPD, y que es la empresa-cliente quien debe informar a su propia plantilla de la existencia de la gestoría como encargada.
La cláusula debe estar disponible en los puntos de captura habituales: hoja de encargo profesional, presupuesto inicial, formulario web y, si la gestoría envía newsletter o circulares informativas, en el formulario de suscripción.
Deber de confidencialidad y secreto profesional
El sector arrastra un deber de confidencialidad reforzado por dos vías:
- Art. 5.1.f RGPD: principio de integridad y confidencialidad. Los datos deben tratarse de tal manera que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito.
- Códigos deontológicos y estatutos profesionales propios de los gestores administrativos, economistas, titulados mercantiles, graduados sociales y abogados de empresa que prestan servicios en el ámbito del sector. El deber de secreto profesional acompaña a los profesionales colegiados y se proyecta sobre toda la información del cliente.
En la práctica, cada miembro del equipo (gestor, administrativo, becario en prácticas, personal de limpieza con acceso al despacho) debe firmar un compromiso de confidencialidad específico antes de empezar a trabajar. Esa firma se conserva en el expediente laboral y se renueva en cambios significativos de función.
Encargados habituales DE la gestoría: subencargados
La gestoría, como cualquier responsable, contrata a su vez proveedores que tratan datos por su cuenta. En el rol de la gestoría como encargada de sus clientes-empresa, esos proveedores son subencargados del tratamiento (arts. 28.2 y 28.4 RGPD) y deben estar autorizados —general o específicamente— en el contrato con la empresa-cliente.
- ERP y software contable/laboral en la nube: el corazón operativo de la gestoría. Se desarrolla en detalle en el tercer artículo de esta guía.
- Plataforma SILTRA y Sistema RED de la TGSS: aquí hay un matiz importante. La Tesorería General de la Seguridad Social no es un encargado del tratamiento de la gestoría: es una administración pública responsable independiente que recibe los datos en cumplimiento de obligaciones legales (art. 6.1.c RGPD). El software cliente que la gestoría usa para comunicarse con la TGSS (sistemas de transmisión, certificados digitales) puede ser un proveedor tecnológico que sí actúa como subencargado.
- Sede electrónica de la AEAT: mismo régimen. La AEAT es responsable independiente; el software de presentación telemática puede ser un proveedor tecnológico subencargado.
- Sistema de firma electrónica (FNMT, proveedores cualificados de servicios de confianza): suelen ser responsables independientes en su parte de emisión y validación del certificado.
- Plataforma de envío seguro de documentación al cliente-empresa (área privada, gestor documental en la nube): subencargado.
- Hosting de la web y servidor de correo: subencargado, con contrato del art. 28 RGPD y verificación de localización de servidores.
- Servicio externo de mantenimiento informático con acceso remoto a los equipos de la gestoría: subencargado, con contrato y compromisos específicos de confidencialidad.
La gestoría debe mantener una lista actualizada de subencargados y comunicarla —o referirla— en los contratos del art. 28 con sus clientes-empresa, junto con el procedimiento para notificar nuevas incorporaciones y permitir oposición motivada.
Plazos de conservación: laborales, fiscales y mercantiles
El plazo de conservación es uno de los puntos en los que la gestoría debe alinearse con el cliente-empresa. Como criterio general:
- Documentación tributaria: el plazo de prescripción del art. 66 de la Ley General Tributaria es de cuatro años. La documentación con efectos fiscales se conserva al menos durante ese horizonte, pudiendo extenderse si hay procedimientos abiertos o pérdidas pendientes de compensar.
- Documentación mercantil: el art. 30 del Código de Comercio obliga al empresario a conservar libros, correspondencia, documentación y justificantes durante seis años.
- Documentación laboral y de Seguridad Social: hay plazos específicos en el Estatuto de los Trabajadores, en la Ley General de la Seguridad Social y en las normas de prevención de riesgos, así como plazos derivados de la prescripción de las acciones laborales. Conviene parametrizarlos por tipo de documento en el RAT.
- Plazos contractuales con el cliente: el contrato del art. 28 puede pactar plazos específicos. La gestoría se ajusta a esos plazos y, vencidos, procede a devolver o exportar al cliente y solo después suprimir.
La normativa autonómica sectorial puede ampliar o modificar plazos específicos en algunos ámbitos (subvenciones, ayudas, registros profesionales). Es obligatorio comprobar la normativa aplicable a cada despacho y a cada cliente.
"En una gestoría, la mitad del cumplimiento de protección de datos se resuelve el día en que el RAT separa con claridad lo que se trata como responsable y lo que se trata por cuenta de cada cliente, y se firma un anexo del artículo 28 con cada empresa. A partir de ahí, lo demás encaja casi solo."
Mario P. Talamillo · Socio director, Certix®
Si gestionas una gestoría o asesoría y quieres revisar tu documentación de protección de datos, en Certix trabajamos específicamente con gestorías y asesorías. Sin comerciales: desde el primer contacto, hablarás con un especialista.
Guía de protección de datos para gestorías y asesorías
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La normativa autonómica sectorial puede ampliar o modificar los plazos y requisitos de la norma estatal. La aplicación de la normativa a cada caso concreto requiere análisis individualizado.