Servicios profesionales
Protección de datos para
gestorías y asesorías fiscales
Las gestorías y asesorías acceden a datos fiscales, laborales y financieros de sus clientes. Dependiendo del contexto, pueden actuar como responsables o como encargadas del tratamiento, lo que exige contratos específicos y una correcta documentación de la cadena de subcontratación.
Art. 28
RGPD — encargo del tratamiento
4 años
conservación documentación fiscal
Art. 6.1.b
RGPD — ejecución del contrato
24 h
propuesta personalizada
Retos del sector
Obligaciones generales para gestorías y asesorías
Posición como encargado del tratamiento
Cuando la gestoría gestiona datos de empleados o de terceros de sus clientes exclusivamente por instrucción de estos, puede actuar como encargada del tratamiento según el art. 28 RGPD. La relación jurídica exacta depende de cada caso; conviene analizarla y documentarla contractualmente.
Acceso a datos fiscales y laborales
Nóminas, contratos, declaraciones de impuestos y datos financieros de empleados de clientes son datos especialmente sensibles que requieren medidas de seguridad y acceso restringido.
Cadena de subcontratación
El software de contabilidad, nóminas o gestión laboral en la nube puede actuar como subencargado del tratamiento cuando procesa datos exclusivamente por instrucción de la gestoría. Conviene revisar las condiciones de cada proveedor y asegurarse de que ofrecen las garantías del art. 28 RGPD.
Acceso remoto a sistemas de clientes
El acceso a los sistemas informáticos del cliente para gestionar su contabilidad o laboral debe estar regulado contractualmente y protegido con medidas de seguridad adecuadas.
Doble posición: encargado y responsable
La gestoría es responsable del tratamiento de los datos de sus propios clientes y empleados, y encargada del tratamiento respecto a los datos de empleados y terceros de sus clientes.
Conservación de documentación histórica
La documentación fiscal y laboral debe conservarse durante los plazos legales (4 años LGT) aunque el cliente haya finalizado la relación. Los datos deben bloquearse una vez cumplidos los plazos.
El servicio
Qué incluye el servicio para tu gestoría o asesoría
Registro de Actividades de Tratamiento
RAT diferenciado: tratamientos propios (clientes, empleados) y tratamientos por cuenta de clientes (nóminas, contabilidad, impuestos de terceros).
Cláusulas informativas
Información de primera y segunda capa para el contrato de servicios con clientes y formularios web.
Política de privacidad y aviso legal
Documentación legal adaptada a la web de la gestoría.
Contratos de encargo del tratamiento
Modelos de DPA listos para firmar con cada cliente que encargue el tratamiento de datos de empleados o terceros.
Protocolo de brechas de seguridad
Procedimiento de respuesta a incidentes con notificación a la AEPD en 72 horas.
Atención a derechos de interesados
Procedimiento documentado para gestionar solicitudes de clientes, empleados de clientes y terceros.
Plataforma de gestión documental
Acceso a plataforma privada con documentos, plantillas y firma electrónica.
Soporte continuo
Consultas ilimitadas. Actualización ante cambios normativos.
DPD externo (si procede)
Con carácter general, las gestorías no están en los supuestos taxativos del art. 34 LOPDGDD ni del art. 37 RGPD. Aunque esta es la regla general, la exigencia final dependerá de la escala, volumen y tipología exacta de los tratamientos de cada entidad. Cada caso requiere un análisis individualizado. Contrato independiente.
¿Necesitas una propuesta para tu gestoría?
Cuéntanos el número de clientes y el tipo de gestión. Propuesta en menos de 24 horas.
FAQ
Preguntas frecuentes sobre protección de datos en gestorías
¿Una gestoría es responsable o encargada del tratamiento?
Depende del contexto. Cuando la gestoría gestiona datos de empleados o clientes de otra empresa para cumplir obligaciones fiscales o laborales, actúa como encargada del tratamiento (art. 28 RGPD). Cuando trata datos de sus propios clientes para la prestación del servicio, es responsable del tratamiento. En la práctica, muchas gestorías asumen ambos roles simultáneamente con distintos clientes.
¿Qué contrato debe firmar la gestoría con sus clientes para cumplir el RGPD?
Cuando la gestoría actúa como encargada del tratamiento, debe formalizar un contrato de encargo del tratamiento (art. 28 RGPD) con cada cliente del que gestione datos de empleados, trabajadores o terceros. Este contrato regula el objeto del tratamiento, las medidas de seguridad, la subcontratación y las obligaciones en caso de brecha.
¿Puede la gestoría acceder a las nóminas y datos laborales de los empleados de sus clientes?
Sí, pero únicamente en el marco del encargo del tratamiento y para las finalidades definidas en el contrato. El personal de la gestoría que accede a esos datos debe estar sometido a un deber de confidencialidad y solo puede usar los datos para la finalidad pactada con el cliente.
¿El software de gestión contable o laboral es un subencargado del tratamiento?
Con carácter general, si la gestoría utiliza software de terceros (en la nube o en SaaS) para procesar los datos de sus clientes, ese proveedor puede actuar como subencargado del tratamiento cuando procesa los datos exclusivamente por instrucción de la gestoría. La relación jurídica exacta depende de las condiciones contractuales de cada proveedor. En todo caso, conviene revisar y formalizar la relación mediante los instrumentos del art. 28 RGPD y comunicarlo a los clientes si así lo exige el contrato de encargo.
¿Cuánto tiempo debe conservar la gestoría la documentación fiscal de sus clientes?
La normativa fiscal establece un plazo de conservación de 4 años para los documentos con relevancia tributaria (Ley General Tributaria). En materia laboral, las nóminas y contratos deben conservarse al menos 4 años. Pasados estos plazos, los datos pueden bloquearse o suprimirse salvo que exista otro motivo legal de conservación.
¿Puede la gestoría acceder remotamente a los sistemas informáticos del cliente?
Sí, pero este acceso debe estar regulado en el contrato de encargo del tratamiento: sistemas a los que se accede, finalidad, medidas de seguridad del acceso remoto y compromiso de confidencialidad del personal. El acceso remoto sin contrato actualizado o sin medidas de seguridad adecuadas puede constituir una infracción del RGPD.
Recursos del sector
Aprende más
Gestoría y asesoría
Protección de datos en una gestoría o asesoría: por dónde empezar
Documentación mínima para una gestoría o asesoría: RAT separando laboral y fiscal, contratos del art. 28 RGPD con cada cliente, cláusulas informativas y deber de secreto profesional.
8 min·Leer artículo
Gestoría y asesoría
Buenas prácticas diarias del equipo de una gestoría para proteger los datos
Rutinas para gestores y administrativos: nóminas cifradas, no WhatsApp para partes de baja, eliminación de papel, control de accesos al software contable y custodia de DNI escaneados.
7 min·Leer artículo
Gestoría y asesoría
Software contable y ERP en una gestoría como encargado del tratamiento: obligaciones del proveedor según el RGPD
El ERP o software de facturación en la nube trata datos de las empresas-cliente por cuenta de la gestoría. Qué contrato del art. 28 RGPD debe firmar, garantías y devolución de datos fiscales históricos.
8 min·Leer artículo
Herramienta gratuita
Test general de protección de datos
Comprueba en 5 minutos tu grado general de adaptación en protección de datos.
Sin email · Anónimo · Sin compromiso
Servicios profesionales
Cumplimiento RGPD
para tu gestoría.
Un experto analiza tu actividad y te propone la solución adecuada. Sin intermediarios.
Propuesta en 24 h · info@certix.es
Nota legal: Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento especializado.