Guía completa RGPD para xestorías e asesorías (2026): a que te obriga a lei e como cumprila

Este artigo é información xeral sobre normativa de protección de datos. Non substitúe o asesoramento dun avogado nin a análise concreta do teu despacho: úsao como mapa, non como ditame xurídico.

Índice

1. A quen obriga o RGPD e por que á túa xestoría lle afecta dúas veces?
2. Que documentos ten que ter o teu despacho?
3. Precisas un delegado de protección de datos?
4. Que prazo tes se hai unha brecha de seguridade?
5. Canto tempo tes para responder a un cliente que pide os seus datos?
6. A túa xestoría ten algunha obriga extra pola lei contra o branqueo de capitais?
7. Que pasa se non cumpres?
8. Checklist: por onde empezar
9. Preguntas frecuentes

A quen obriga o RGPD e por que á túa xestoría lle afecta dúas veces?

O RGPD aplícase a calquera negocio, autónomo ou entidade que trate datos de persoas físicas na Unión Europea, sen importar o tamaño. Non hai unha excepción para pemes nin para autónomos: unha asesoría de dúas persoas e unha multinacional réxense polo mesmo regulamento, aínda que a cantidade de medidas concretas que precisa cada unha sexa distinta (art. 5 RGPD, principio de responsabilidade proactiva).

Unha xestoría ou asesoría é especial porque cumpre dous papeis distintos que nunca se mesturan:

• Como encargada do tratamento (art. 28 RGPD): cando levas a contabilidade, as nóminas ou os impostos dun cliente, tratas os datos dos seus empregados, dos seus clientes ou dos seus provedores por orde dese cliente. El decide para que se usan eses datos e responde da base legal; ti asinas con el un contrato de encargado que fixa que podes facer, como protexes eses datos e que pasa con eles cando remata o contrato.
• Como responsable do tratamento: para os datos do teu propio negocio — o teu cadro de persoal, os teus provedores, a túa propia facturación, o teu márketing — respondes exactamente igual ca calquera outra empresa.

Se levas a parte laboral de varios clientes, ademais tratas datos de saúde (baixas médicas, grao de discapacidade) que aparecen nas nóminas: son datos de categoría especial (art. 9 RGPD) e requiren unha obriga de confidencialidade reforzada co teu equipo, aínda que a base legal para tratalos sexa a do teu cliente.

Que documentos ten que ter o teu despacho?

O núcleo documental que o RGPD lle esixe a unha xestoría, co seu artigo exacto:

• Rexistro de actividades de tratamento (art. 30 RGPD): a lista de que datos manexas, para que e durante canto tempo. Como encargado, a túa versión do rexistro é máis curta ca a dun responsable (art. 30.2 RGPD).
• Contrato de encargado do tratamento (art. 28 RGPD) con cada cliente cuxos datos xestionas — e con cada subcontratado se derivas parte do traballo a outro profesional (art. 28.2 RGPD).
• Cláusulas informativas para os teus propios clientes e para o teu cadro de persoal (arts. 13-14 RGPD): que datos tratas, para que e con que base legal.
• Análise de riscos e, se procede, unha avaliación de impacto (EIPD) cando é probable que o tratamento supoña un risco alto para as persoas (art. 35 RGPD) — por exemplo, se levas a área laboral de moitos clientes á vez e polo tanto tratas datos de saúde a grande escala.
• Rexistro de incidencias de seguridade (art. 33.5 RGPD): toda brecha documéntase internamente, notifíquese ou non á AEPD.
• Política de conservación: canto tempo gardas cada dato e cando o borras (art. 5.1.e RGPD, principio de limitación do prazo de conservación).
• Procedemento de dereitos: como respondes cando alguén pide acceder, rectificar, borrar ou levar os seus datos (arts. 12-22 RGPD).

Precisas un delegado de protección de datos?

Case seguro que non, e paga a pena explicalo ben porque é unha das dúbidas que máis circula entre xestorías. O art. 34.1 LOPDGDD (texto consolidado no BOE) contén unha lista pechada de tipos de entidade obrigados a designar delegado, ademais dos supostos xerais do art. 37.1 RGPD (autoridades públicas, seguimento habitual e sistemático a grande escala, ou tratamento a grande escala de datos de categoría especial).

Unha asesoría ou xestoría non aparece nesa lista polo feito de prestar servizos fiscais, contables ou laborais. A única letra do art. 34.1 LOPDGDD que menciona a normativa contra o branqueo de capitais é a letra j), e refírese a quen é responsable dun ficheiro común do sector (os ficheiros de solvencia patrimonial ou de prevención da fraude) — non aos profesionais que, coma unha xestoría, consultan ou alimentan eses ficheiros ao aplicar as súas obrigas de identificación de clientes. Ser «suxeito obrigado» da Ley 10/2010 non te converte en responsable dun ficheiro común.

Dito isto, cada despacho é un caso concreto: se o teu volume de datos de saúde xestionados pola parte laboral medra moito, ou se tratas datos a unha escala fóra do habitual para o sector, revisa a túa situación cun xurista. Aínda que non che sexa obrigatorio, nomear un delegado sempre é unha opción voluntaria válida (art. 34.2 LOPDGDD) — coa salvidade de que, unha vez nomeado, sométeste ao mesmo réxime ca se fose obrigatorio.

Que prazo tes se hai unha brecha de seguridade?

Se perdes un portátil con datos, éntranche no correo ou envías información a quen non correspondía, o reloxo empeza a correr. O art. 33 RGPD fixa un máximo de 72 horas desde que te decataches para notificalo á AEPD a través da súa sede electrónica, salvo que sexa improbable que supoña un risco para os dereitos das persoas afectadas. Se o risco é alto, ademais tes que avisar directamente as persoas afectadas, sen dilación e con linguaxe clara (art. 34 RGPD).

Mesmo cando decides que non fai falta notificalo á AEPD, a lei obrígate igualmente a deixar constancia interna do incidente no teu rexistro de incidencias (art. 33.5 RGPD): documentar todos os fallos, notifíquense ou non, é obrigatorio.

Canto tempo tes para responder a un cliente que pide os seus datos?

Cando alguén che pide acceder aos seus datos, corrixilos, que os borres ou que llos entregues nun arquivo para levalos a outro sitio, tes un mes desde que recibes a petición para responder (art. 12.3 RGPD). Ese prazo pódese ampliar dous meses máis en peticións especialmente complexas, sempre que informes a persoa do motivo dentro do primeiro mes.

Se se che pasa o prazo, o que corresponde non é ignoralo: contesta canto antes, deixa constancia da data real de resposta e segue o procedemento igualmente.

A túa xestoría ten algunha obriga extra pola lei contra o branqueo de capitais?

Se prestas asesoramento fiscal, contable ou laboral, a Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, convértete en «suxeito obrigado» (art. 2.1) e esíxeche identificar os teus clientes —incluída a titularidade real das sociedades— antes de empezar a traballar para eles. Esta obriga é independente do RGPD, pero xera un tratamento de datos propio (copia do documento de identidade, actividade económica, orixe aproximada dos fondos) que tamén hai que documentar e protexer: acceso restrinxido, custodia separada do expediente fiscal ordinario.

Que pasa se non cumpres?

A AEPD é quen vixía o cumprimento do RGPD en España. Pode pedir explicacións, ordenar cambios, facer un apercibimento ou impoñer unha multa. O art. 83 RGPD fixa os máximos posibles en dous niveis — ata 10 millóns de euros ou o 2 % da facturación mundial anual, e ata 20 millóns ou o 4 %, segundo a infracción, aplicándose a cifra máis alta das dúas.

Na práctica, esas cifras son o teito legal, non o habitual: a sanción gradúase segundo a gravidade, o tamaño do negocio e se colaboraches coa Axencia. Segundo a propia AEPD, en 2025 a Axencia recibiu 30.931 reclamacións, a cifra máis alta da súa historia (+64 % respecto de 2024), e impuxo sancións por un total de 48.108.765 € — case o 40 % dese importe, por brechas de seguridade mal xestionadas. Son datos oficiais, non unha ameaza: reflicten que o control se reforza, e que a parte onde máis se sanciona (brechas de seguridade) é precisamente a que se evita cun procedemento interno claro e a tempo.

Un negocio pequeno que ten a súa documentación en orde, responde a tempo e colabora coa Axencia non está no escenario das cifras máximas. Por iso cómpre ter isto resolto: non para evitar un susto puntual, senón para deixar de pensar niso.

Checklist: por onde empezar

Se aínda non tes nada preparado, esta é a orde razoable:

1. Anota nunha lista que datos tratas por encarga dos teus clientes e cales son teus propios (rexistro de actividades).
2. Revisa que teñas asinado o contrato de encargado (art. 28 RGPD) con cada cliente activo.
3. Escribe quen responde se chega unha petición de dereitos ou unha brecha de seguridade, e en que prazo.
4. Comproba onde están aloxados os teus programas e copias de seguridade: se saen da Unión Europea, revisa as garantías desa transferencia.
5. Deixa por escrito, con data, por que non precisas delegado de protección de datos (ou por que si).

Cada un destes puntos ten o seu propio documento modelo dentro de Tranquilia, xerado a partir das respostas do teu wizard.

Preguntas frecuentes

O RGPD aplícase igual a un autónomo que a unha empresa grande?

Si. O regulamento non distingue por tamaño nin por forma xurídica (art. 5 RGPD). O que cambia é o volume de medidas concretas que precisas: unha xestoría pequena non precisa o mesmo ca un gran despacho, pero ambas as dúas parten das mesmas obrigas de base.

Unha xestoría necesita o consentimento dos seus clientes para levarlles a contabilidade?

Non. A base legal para prestar o servizo contratado é a execución do contrato (art. 6.1.b RGPD), non o consentimento. O consentimento só fai falta para o que non é necesario para o servizo, como enviar boletíns ou promocións.

Que diferenza hai entre responsable e encargado do tratamento?

O responsable decide para que se usan os datos e con que base legal. O encargado trátaos por conta doutro, seguindo as súas instrucións. Unha xestoría é encargada dos datos dos clientes do seu cliente, e responsable dos datos do seu propio negocio (art. 4.7 e 4.8 RGPD).

Canto tarda a AEPD en resolver unha reclamación?

A guía non fixa un prazo único de resolución para toda reclamación: depende do tipo de procedemento. O que si ten prazo fixo é a túa obriga de resposta ás persoas (un mes, art. 12.3 RGPD) e de notificación de brechas (72 horas, art. 33 RGPD).

Ter contratado un programa de xestoría na nube libérame de responsabilidade?

Non. O programa que usas é o teu encargado do tratamento (art. 28 RGPD): ti segues sendo responsable de que exista un contrato con el e de escoller un provedor que ofreza garantías suficientes. A responsabilidade non se delega, repártese por contrato.

---

Queres velo aplicado ao teu propio despacho? Tranquilia xera automaticamente o rexistro de actividades, o contrato de encargado e o resto de documentos desta guía a partir dun cuestionario adaptado a asesorías e xestorías. O nivel gratuíto permite probalo con ata 2 empresas, sen tarxeta e sen límite de tempo — visítao en tranquilia.es.

Guía elaborada por Tranquilia by GRAC SA. Publicada o 16 de xullo de 2026. Última revisión: 16 de xullo de 2026. O contido apóiase en fontes oficiais citadas máis abaixo e non constitúe asesoramento xurídico individual.

Fontes

• Reglamento (UE) 2016/679 (RGPD) — EUR-Lex
• Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) — texto consolidado, BOE
• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales — BOE
• AEPD — Notificación de brechas de seguridad (art. 33 RGPD), Sede electrónica
• AEPD — Nota de prensa: «La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior» (6 de mayo de 2026)