Copyrights. ZILABOR | Gestión Laboral,
2026. Todos los derechos reservados.
La externalización de la gestión laboral, contable y fiscal es una práctica consolidada que permite a las empresas centrarse en su actividad principal mientras confían a profesionales especializados tareas críticas que implican el tratamiento masivo de datos personales. Sin embargo, esta delegación no exime de responsabilidad ni al cliente ni a la asesoría; al contrario, sitúa a ambos ante un escenario normativo complejo en el que el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) imponen obligaciones concretas y, en muchos casos, compartidas.
Las asesorías fiscales y laborales manejan información especialmente sensible: números de afiliación a la Seguridad Social, datos bancarios, retribuciones, categorías profesionales, circunstancias familiares, partes de incapacidad temporal e incluso certificados digitales que permiten actuar en nombre de terceros. Esta concentración de datos convierte a los despachos profesionales en objetivos potenciales de brechas de seguridad y en sujetos obligados a desplegar medidas técnicas y organizativas proporcionadas al riesgo.
Esta guía ofrece una hoja de ruta práctica para entender y cumplir las exigencias de protección de datos en el ámbito de la gestión externalizada. Abordaremos el doble rol que asume la asesoría —responsable y encargado del tratamiento—, los contratos obligatorios, los plazos de conservación, la gestión de incidentes de seguridad y las claves para superar una inspección de la Agencia Española de Protección de Datos.
Una de las particularidades que distingue a las asesorías de otros sectores es que actúan simultáneamente como responsables y como encargadas del tratamiento, dependiendo del origen y la finalidad de los datos que manejan. Comprender esta dualidad es el punto de partida para diseñar un sistema de cumplimiento normativo sólido, ya que cada rol conlleva obligaciones diferentes y la confusión entre ambos es una de las causas más frecuentes de sanción por parte de la AEPD.
La asesoría es responsable del tratamiento cuando decide por sí misma los fines y los medios del tratamiento de datos personales. Esto ocurre, por ejemplo, con los datos de sus propios empleados (nóminas, control horario, formación), con la información de su cartera de clientes almacenada en el CRM o con los datos de contacto utilizados para campañas de marketing. En estos casos, el despacho debe redactar las cláusulas informativas del artículo 13 del RGPD, determinar la base legitimadora, fijar los plazos de conservación y atender directamente las solicitudes de ejercicio de derechos de los interesados.
Por otro lado, la asesoría actúa como encargada del tratamiento cuando procesa datos personales por cuenta de sus empresas clientes. La nómina mensual de los trabajadores de un cliente, la presentación de modelos fiscales que contienen datos de retenidos, las altas en la Tesorería General de la Seguridad Social o la gestión de partes de baja médica son ejemplos paradigmáticos de tratamientos en los que la empresa-cliente es la responsable y la asesoría ejecuta sus instrucciones. En estos supuestos, la relación debe formalizarse mediante un contrato de encargo conforme al artículo 28 del RGPD.
La correcta diferenciación de roles no es un ejercicio teórico, sino una necesidad operativa que debe reflejarse en el Registro de Actividades de Tratamiento (RAT). Cada tratamiento debe estar documentado con su rol correspondiente, su base legitimadora y sus medidas de seguridad asociadas. La tabla siguiente ilustra esta clasificación con los escenarios más habituales en una asesoría:
| Tratamiento | Rol de la asesoría | Base legitimadora principal | Documento clave |
|---|---|---|---|
| Nóminas de empleados propios del despacho | Responsable | Art. 6.1.b RGPD (relación laboral) | Cláusula informativa interna |
| Nóminas de empleados del cliente | Encargado | Determinada por el cliente | Contrato Art. 28 RGPD con el cliente |
| CRM comercial de leads y clientes | Responsable | Art. 6.1.f RGPD (interés legítimo) | RAT como responsable |
| Modelo 111 con datos de retenidos del cliente | Encargado | Art. 6.1.c RGPD (obligación legal del cliente) | Contrato Art. 28 RGPD |
| Email marketing a antiguos clientes | Responsable | Consentimiento (Art. 6.1.a) o Art. 21 LSSI | Registro de consentimientos |
| Software de fichaje gestionado para el cliente | Encargado | Obligación legal del cliente (RD 8/2019) | Contrato Art. 28 + acta de cesión |
El artículo 28.3 del RGPD establece de forma tajante que todo acceso a datos personales por cuenta de un responsable debe estar regulado por un contrato u otro acto jurídico vinculante por escrito, incluido el formato electrónico. No es opcional, no se sustituye por un acuerdo verbal ni se entiende implícito en el contrato mercantil de prestación de servicios. Cada empresa-cliente debe firmar su propio contrato de encargo, y la asesoría debe conservar una copia actualizada como medio de prueba ante cualquier requerimiento o inspección.
El contenido mínimo del contrato incluye ocho elementos que detalla el artículo 28.3 del RGPD: objeto, duración, naturaleza y finalidad del tratamiento; tipo de datos personales y categorías de interesados; obligación de tratar los datos siguiendo exclusivamente las instrucciones documentadas del responsable; compromiso de confidencialidad del personal autorizado; medidas de seguridad del artículo 32 del RGPD; régimen de subcontratación de servicios; asistencia al responsable en la respuesta a derechos de los interesados y en la gestión de brechas de seguridad; y destino de los datos al finalizar la prestación, con devolución o supresión, salvo obligación legal de conservación.
Para una asesoría con 100 clientes, esto significa firmar, personalizar y archivar 100 contratos. Aunque pueda parecer una carga administrativa, es la única vía para blindar la relación y evitar sanciones que, según las resoluciones publicadas por la AEPD, han oscilado entre los 3.000 y los 60.000 euros en función del volumen de datos afectados y del número de clientes sin contrato. La práctica recomendable es incorporar un anexo descriptivo del tratamiento en cada contrato, detallando exactamente qué nóminas, qué modelos tributarios y con qué frecuencia se tratan los datos, así como un anexo de medidas técnicas y organizativas aplicadas.
En la operativa diaria de una asesoría, los sub-encargados del tratamiento son omnipresentes: el software de gestión laboral tipo A3, NominaSOL o Sage, la plataforma de contabilidad como Contasimple o Holded, los servicios de firma electrónica, las herramientas de almacenamiento en la nube como Microsoft 365 o Google Workspace, e incluso los despachos externos a los que se deriva asesoramiento jurídico complementario. Cada uno de estos proveedores accede a datos personales que, en última instancia, pertenecen a los trabajadores de las empresas-clientes.
El artículo 28.2 del RGPD prohíbe al encargado recurrir a otro encargado sin autorización previa por escrito del responsable, ya sea específica o general. La solución práctica consiste en incorporar en el contrato de encargo una cláusula de autorización general en la que la asesoría informa a su cliente de la lista concreta de sub-encargados en el momento de la firma y se compromete a comunicar cualquier alta o modificación con un plazo razonable de antelación, permitiendo al cliente ejercer su derecho de oposición.
Además, cada sub-encargado debe estar vinculado contractualmente con la asesoría mediante un contrato que imponga las mismas obligaciones de protección de datos que el contrato principal. La mayoría de los proveedores de software disponen de su propio Data Processing Addendum, que la asesoría debe revisar, firmar y archivar. Una supervisión periódica de estos acuerdos y de las medidas de seguridad que garantizan —cifrado en reposo, control de acceso basado en roles, registro de auditoría y copias de seguridad— es esencial para mantener la cadena de responsabilidad intacta.
La limitación del plazo de conservación es uno de los principios del artículo 5 del RGPD, pero en el caso de las asesorías su concreción práctica obliga a manejar simultáneamente varios plazos legales diferentes. No existe un único criterio de retención, sino que debe aplicarse el más exigente de entre los que concurran en cada categoría de datos. Esta complejidad debe estar documentada en la política de conservación del despacho.
El plazo contable es el más extenso. El artículo 30 del Código de Comercio impone la conservación de libros, correspondencia, documentación y justificantes durante seis años desde el último asiento. Este plazo afecta a todos los soportes de datos económicos, incluidos los justificantes de nóminas en tanto que constituyen gasto para la empresa-cliente. El plazo fiscal, por su parte, es de cuatro años según el artículo 66 de la Ley General Tributaria, y se aplica a modelos como el 111, 190, 303 o 390. El plazo laboral del artículo 21.5 de la Ley de Infracciones y Sanciones del Orden Social (LISOS) establece también cuatro años para la documentación derivada de la relación laboral, como contratos, nóminas, partes de incapacidad temporal y registro de jornada.
En la práctica, una asesoría debe conservar los datos personales de los empleados de un cliente durante el periodo más largo de los tres, es decir, seis años desde la baja del trabajador o el cese de la relación con la empresa-cliente. Transcurrido ese plazo, los datos deben ser bloqueados conforme al artículo 32 de la LOPDGDD, permaneciendo accesibles únicamente para atender posibles requerimientos judiciales, de Hacienda o de la Inspección de Trabajo, y ser definitivamente suprimidos cuando prescriban todas las acciones legales asociadas.
El artículo 37.1 del RGPD obliga a designar un Delegado de Protección de Datos (DPD o DPO) cuando el tratamiento principal consiste en operaciones que requieren observación habitual y sistemática a gran escala, o cuando se tratan a gran escala categorías especiales de datos del artículo 9. Para una asesoría, la respuesta no siempre es inmediata y conviene analizar cada caso.
Los criterios para determinar el concepto de gran escala, recogidos en las directrices del extinto Grupo de Trabajo del Artículo 29 y asumidos por el Comité Europeo de Protección de Datos, valoran el número absoluto de interesados, el volumen y variedad de datos, la duración del tratamiento y su alcance geográfico. Un despacho que gestiona los datos laborales y fiscales de 5.000 trabajadores pertenecientes a 80 empresas-cliente, incluyendo de forma recurrente datos de salud (bajas médicas) y datos económicos detallados, cumple razonablemente estos criterios y debe designar DPD, ya sea interno o externo bajo contrato de servicios.
Para despachos de tamaño reducido —por ejemplo, con menos de 30 empresas-cliente— no existe una obligación legal automática, siempre que se documente un análisis de proporcionalidad que justifique la decisión. Sin embargo, contar con un DPD externo en estas estructuras más pequeñas puede aportar un valor añadido significativo: facilita la interlocución con la AEPD, supervisa la implantación de medidas y demuestra proactividad en caso de inspección. La designación, cuando procede, debe comunicarse a la AEPD a través del formulario específico habilitado en su sede electrónica.
Una brecha de seguridad puede desencadenar consecuencias graves para la asesoría y para sus clientes. El RGPD distingue entre la obligación del responsable de notificar a la AEPD en un plazo máximo de 72 horas desde que tiene conocimiento (artículo 33.1) y la obligación del encargado de notificar al responsable sin dilación indebida (artículo 33.2). Esta doble vía de notificación cobra especial relevancia en el contexto de la gestión externalizada.
Si la brecha afecta exclusivamente a los datos propios de la asesoría —un ataque de ransomware que cifra los servidores de nóminas del personal interno o la pérdida de un dispositivo con datos de empleados propios—, el despacho asume íntegramente el rol de responsable y debe comunicar el incidente directamente a la AEPD a través de su sede electrónica. Si la brecha compromete datos de las empresas-cliente, la asesoría debe notificar de inmediato a cada uno de los responsables afectados, proporcionándoles la información necesaria para que cumplan con su propia obligación de notificación a la autoridad de control en el plazo de 72 horas.
Para gestionar esta situación de forma eficaz, es recomendable incluir en el contrato de encargo un compromiso de notificación al cliente en un plazo máximo de 24 horas desde que la asesoría tiene constancia del incidente. Además, la asesoría debe mantener un registro interno de todas las brechas, incluso de aquellas que no se notifican por considerarse de riesgo bajo, tal como exige el artículo 33.5 del RGPD. Disponer de plantillas de comunicación de brechas previamente elaboradas y de un plan de respuesta ensayado periódicamente reduce el margen de error en momentos críticos.
El artículo 32 del RGPD exige que las medidas de seguridad se determinen en función del riesgo para los derechos y libertades de los interesados. No se trata de desplegar un catálogo genérico de controles, sino de realizar previamente un análisis de riesgos que identifique las amenazas concretas —accesos no autorizados, fugas de información, destrucción accidental de datos— y evalúe su probabilidad e impacto. Este análisis debe traducirse en un informe documentado que sirva de base para seleccionar las medidas técnicas y organizativas proporcionadas.
Entre las medidas técnicas imprescindibles en una asesoría figuran el cifrado de los datos en reposo y en tránsito, la segmentación de redes que separe los entornos de producción de las visitas o pruebas, el control de acceso basado en roles con autenticación multifactor, el registro de auditoría de accesos y modificaciones de datos, y una política de copias de seguridad verificada periódicamente. En el plano organizativo, resulta fundamental el compromiso de confidencialidad firmado por todo el personal, un manual de buenas prácticas actualizado y la formación continua del equipo en materia de protección de datos.
Para tratamientos que impliquen un alto riesgo —por ejemplo, el manejo sistemático de datos de salud en bajas médicas o la utilización de nuevas tecnologías que puedan afectar a un gran número de interesados—, el artículo 35 del RGPD impone la obligación de realizar una Evaluación de Impacto relativa a la Protección de Datos. En el sector de las asesorías, esta evaluación suele ser necesaria cuando se manejan datos de salud de forma recurrente y a gran escala, o cuando se combinan bases de datos de múltiples clientes en plataformas de análisis.
El régimen sancionador del RGPD contempla multas de hasta 10 millones de euros o el 2 % del volumen anual global de negocio para infracciones del artículo 83.4, y de hasta 20 millones o el 4 % para las infracciones más graves del artículo 83.5. La LOPDGDD complementa este régimen con plazos de prescripción de dos años para infracciones graves y de tres años para las muy graves. Aunque las cifras máximas puedan parecer reservadas para grandes corporaciones, las sanciones impuestas a pymes y asesorías españolas son igualmente disuasorias.
Según resoluciones publicadas por la AEPD, la falta de contrato de encargo de tratamiento con los clientes ha motivado sanciones de entre 3.000 y 60.000 euros. La respuesta tardía o defectuosa a los derechos de acceso, rectificación o supresión ha generado multas de entre 2.000 y 30.000 euros. Las brechas de seguridad no notificadas en plazo pueden elevar la sanción hasta los 150.000 euros. Por el contrario, la existencia de un paquete documental completo, formación acreditada del personal y una póliza de responsabilidad civil específica son factores atenuantes que los tribunales valoran positivamente, pudiendo reducir la sanción hasta en un 50 %.
Proteger los datos en una asesoría fiscal no es solo cumplir con la ley: es preservar la confianza que los clientes depositan al entregar información tan delicada como las nóminas de sus trabajadores o sus obligaciones tributarias. Para quien se aproxima por primera vez a esta materia, los conceptos clave que deben quedar claros son tres. Primero, que la asesoría tiene personalidad doble: es dueña de sus propios datos como empresa, pero también custodia los de sus clientes bajo un encargo profesional, y cada uno de esos papeles exige documentos y medidas distintos. Segundo, que cada cliente necesita un contrato específico de protección de datos, de la misma manera que necesita un contrato de prestación de servicios. Tercero, que hay plazos legales de conservación que obligan a guardar la documentación durante un mínimo de seis años y que, pasado ese tiempo, los datos deben bloquearse y finalmente destruirse.
Pensar que estas obligaciones solo afectan a los grandes despachos es un error con consecuencias económicas tangibles. Las autoridades de control revisan con lupa el sector de las asesorías precisamente por el volumen y la sensibilidad de los datos tratados. Dedicar un tiempo inicial a ordenar los registros, firmar los contratos pendientes y formar al equipo no es un gasto, sino una inversión que blinda la continuidad del negocio frente a sanciones, reclamaciones de antiguos clientes y pérdidas de reputación. En la era digital, una asesoría que demuestra cumplimiento riguroso en protección de datos transmite un mensaje de profesionalidad y solvencia que la diferencia de sus competidores.
Desde una perspectiva técnica y jurídica, el cumplimiento de la normativa de protección de datos en asesorías fiscales exige una arquitectura documental y de seguridad que refleje con precisión la dualidad responsable-encargado. El Registro de Actividades de Tratamiento debe segregar inequívocamente los tratamientos propios de aquellos realizados por cuenta de terceros, y cada uno de estos últimos debe estar respaldado por un contrato del artículo 28 con anexos que especifiquen categorías de datos, medidas del artículo 32, sub-encargados autorizados y procedimientos de notificación de brechas con plazos inferiores a 24 horas. La política de conservación, por su parte, tiene que integrar los plazos concurrentes del Código de Comercio, la Ley General Tributaria y la LISOS, estableciendo protocolos de bloqueo y destrucción segura con trazabilidad.
En el capítulo de medidas técnicas, la evaluación de riesgos debe cubrir al menos los vectores de ataque más probables en el sector: accesos no autorizados a plataformas de gestión laboral, fugas de datos a través de dispositivos móviles y compromiso de cuentas de correo electrónico utilizadas para el envío de modelos tributarios. La implementación de autenticación multifactor, segmentación de red, cifrado robusto y registros de auditoría inmutables debería completarse con una Evaluación de Impacto cuando el volumen y la naturaleza de los datos de salud tratados lo exijan. La designación de un DPO, aunque no sea obligatoria en todos los casos, opera como un multiplicador de garantías, facilitando la interlocución con la AEPD, la supervisión periódica mediante auditorías anuales y la adaptación a futuras modificaciones normativas.
Optimiza tu gestión laboral con Zilabor, expertos en servicios personalizados para asesorías fiscales, empresas y particulares. Tu éxito, nuestra prioridad.