Gestión del despacho
RGPD en una gestoría de extranjería: qué eres y qué tienes que firmar
Una gestoría de extranjería maneja de todo: pasaportes, empadronamientos, informes médicos, antecedentes penales, situación familiar. Es de los tratamientos de datos más sensibles que existen en un despacho pequeño, y sin embargo es de los que menos se documentan. Esto es lo mínimo que hay que tener claro, empezando por lo que casi todo el mundo confunde el primer día.
Eres responsable del tratamiento, no encargado
Los datos de tus clientes son tuyos en el sentido que importa: tú decides para qué se usan y cómo. Eso te convierte en RESPONSABLE del tratamiento, con todas las obligaciones que eso conlleva. No es una etiqueta administrativa: define quién responde si algo va mal.
Tus proveedores que tocan esos datos, como el software de gestión o el servicio de correo, son ENCARGADOS: tratan los datos por cuenta tuya y siguiendo tus instrucciones, y no pueden usarlos para sus propios fines.
La confusión habitual va al revés: pensar que si el programa está en la nube, la responsabilidad es del programa. No lo es. El proveedor responde de su parte, tú de la tuya, y la tuya incluye haber elegido un proveedor que ofrezca garantías suficientes.
El contrato de encargo no es opcional
Con cada proveedor que trate datos por cuenta tuya hace falta un contrato de encargo por escrito. No es una formalidad: es el documento que fija qué puede hacer con los datos, durante cuánto tiempo, con qué medidas de seguridad, si puede subcontratar y qué pasa cuando termináis la relación.
Si un proveedor no te ofrece ese contrato, la pregunta no es si puedes seguir sin él. Es qué otras cosas tampoco tiene.
Un punto que conviene mirar y que casi nadie mira: qué dice sobre la devolución o supresión de los datos cuando dejas de usar el servicio. El día que quieras cambiar de programa, esa cláusula es la que decide si te llevas tu cartera o la pierdes.
Aquí los datos son de categoría especial
En extranjería es normal manejar información sobre salud, sobre origen, y en asilo también sobre convicciones o sobre la vida privada de alguien. El reglamento trata esas categorías con un régimen reforzado, y eso significa más cuidado con quién accede, para qué y con qué rastro.
La consecuencia práctica más útil es el principio de mínimo acceso: que cada persona del despacho vea lo que necesita para su trabajo y no la base entera. En un equipo de tres personas parece exagerado; el día que entra alguien nuevo o sale alguien, deja de parecerlo.
Lo mínimo que debería estar documentado
Un registro de actividades de tratamiento: qué datos tratas, para qué, con qué base jurídica, a quién se los comunicas y cuánto los conservas. No hace falta que sea bonito, hace falta que exista y esté actualizado.
La información a los clientes: qué se les cuenta cuando recogen sus datos, con qué finalidad y qué derechos tienen. En un despacho suele resolverse con una cláusula en la hoja de encargo y un aviso en la web.
Un procedimiento para las brechas de seguridad. La obligación de notificar a la autoridad de control cuando procede tiene un plazo de 72 horas desde que se tiene constancia, y ese plazo es imposible de cumplir improvisando: hay que saber de antemano quién decide, a quién se avisa y con qué información.
Y una política de quién accede a qué, junto con un rastro de quién ha hecho cada cosa. Un registro de actividad no sirve solo para pillar a nadie: sirve sobre todo para poder demostrar qué pasó cuando alguien pregunta.
Este artículo es una guía práctica, no asesoramiento jurídico: el encaje concreto de cada despacho conviene revisarlo con quien lleve su protección de datos.
Qué aporta GOexperto por su parte
Los datos de cada gestoría están aislados de los del resto a nivel de base de datos, no solo en la interfaz: una consulta lanzada desde una organización no puede alcanzar filas de otra. Los documentos sensibles viven en un almacenamiento privado, al que solo se accede mediante enlaces firmados y temporales que además comprueban en el servidor que el archivo pertenece a tu organización.
El equipo tiene roles, así que se puede aplicar el mínimo acceso de verdad, y las acciones relevantes quedan en un registro de auditoría. Eso cubre nuestra parte del reparto; la tuya, la del responsable, sigue siendo tuya.
Preguntas frecuentes
¿Una gestoría es responsable o encargada del tratamiento?
Responsable, respecto de los datos de sus propios clientes, porque decide para qué se usan y cómo. Los proveedores que tratan esos datos por cuenta suya, como un software de gestión, son encargados.
¿Hace falta firmar algo con el proveedor de software?
Sí. Con cualquier proveedor que trate datos por cuenta tuya hace falta un contrato de encargo por escrito que fije finalidades, duración, medidas de seguridad, subcontratación y qué ocurre con los datos al terminar la relación.
¿Los datos de extranjería son datos sensibles?
Con frecuencia sí. Es habitual manejar información sobre salud u origen, y en protección internacional también sobre convicciones o vida privada, categorías que el reglamento somete a un régimen reforzado.
¿Cuánto tiempo hay para notificar una brecha de seguridad?
La notificación a la autoridad de control, cuando procede, debe hacerse sin dilación indebida y a más tardar en 72 horas desde que se tiene constancia de la brecha. Por eso conviene tener decidido de antemano quién decide y a quién se avisa.
¿Qué pasa con mis datos si dejo de usar el programa?
Depende de lo que diga el contrato de encargo, y es una de las cláusulas que menos se leen y más importan. Conviene comprobar antes de contratar qué se establece sobre devolución o supresión de los datos al finalizar el servicio.
Datos sensibles, tratados como tales
Empieza gratis 14 días, sin tarjeta.