El punto ciego del RGPD en las gestorías
La mayoría de gestores no sabe que almacenar DNIs, extractos bancarios y documentos legales de clientes en chats de WhatsApp constituye una violación del Reglamento General de Protección de Datos (RGPD).
Y no es un tecnicismo. Es un riesgo real con consecuencias reales. La Agencia Española de Protección de Datos (AEPD) ha impuesto sanciones a profesionales por tratar datos personales sin las medidas de seguridad adecuadas. Y usar WhatsApp para gestionar documentos de clientes encaja perfectamente en esa categoría.
Que dice el RGPD sobre los datos de clientes
El RGPD exige que los datos personales se almacenen con medidas de seguridad adecuadas. Esto incluye:
- Cifrado en reposo y en transito: los datos deben estar protegidos tanto cuando se almacenan como cuando se transfieren
- Control de acceso: solo personas autorizadas deben poder acceder a los datos
- Posibilidad de eliminación: el derecho al olvido obliga a poder borrar todos los datos de un cliente si lo solicita
- Registro de tratamiento: debes poder demostrar que datos tienes, donde están y por que los tienes
- Notificación de brechas: si hay una filtración, debes notificarla en 72 horas
WhatsApp no cumple ninguno de estos requisitos para uso profesional con datos de terceros. Sus mensajes están cifrados de extremo a extremo, si, pero las copias de seguridad en Google Drive o iCloud no lo están por defecto. Y el control de acceso se reduce a "quien tiene tu teléfono en la mano".
Por qué WhatsApp no es un canal profesional seguro
WhatsApp fue diseñado para conversaciones personales. Cuando lo usas para gestionar documentos de clientes, introduces varios riesgos que la mayoría de gestores no consideran:
Copias de seguridad no cifradas. Cuando activas la copia de seguridad de WhatsApp en Google Drive o iCloud, todos los documentos que tus clientes te han enviado se almacenan en la nube sin cifrado adicional. Eso incluye DNIs, nóminas, contratos laborales y certificados medicos. Si alguien accede a tu cuenta de Google, accede a todos esos documentos.
Dispositivo compartido. Muchos gestores usan su teléfono personal para recibir documentos profesionales. Eso significa que cualquier persona que tome el teléfono — un familiar, un amigo, un companero — puede ver documentos confidenciales de clientes simplemente abriendo WhatsApp.
Sin control de acceso real. Si tienes un empleado o colaborador que accede a WhatsApp Web desde su ordenador, esa sesion permanece activa indefinidamente. Si el empleado deja la empresa, sigue teniendo acceso a todas las conversaciones y documentos hasta que cierres manualmente esa sesion.
El escenario que nadie quiere imaginar
Una brecha de datos que involucra documentos de clientes no necesita ser un hackeo sofisticado. Puede ser:
- Un teléfono perdido con WhatsApp abierto en el taxi
- Una copia de seguridad no cifrada en Google Drive que se sincroniza con un ordenador compartido
- Un empleado que deja la empresa con WhatsApp Web activo en su portatil personal
- Un familiar que toma el teléfono y ve un DNI de un cliente en la pantalla
- Un robo del teléfono sin bloqueo biometrico activado
Cualquiera de estos escenarios constituye una brecha de datos personales bajo el RGPD. Y el responsable no es el ladron, ni el familiar, ni el ex-empleado. El responsable eres tu, como responsable del tratamiento de esos datos.
Las sanciones: no son teoricas
La AEPD tiene potestad para imponer sanciones de hasta el 4% de la facturación anual o 20 millones de euros (lo que sea mayor) por infracciones graves del RGPD. En la práctica, las sanciones a profesionales y pymes suelen oscilar entre 1.000 y 60.000 EUR, dependiendo de la gravedad.
Pero más alla de la multa, una brecha de datos tiene costes intangibles:
- Pérdida de confianza: un cliente cuyo DNI se filtra no vuelve
- Dano reputacional: en un sector donde la confianza es el activo principal
- Coste legal: abogados, notificaciones a afectados, gestión de crisis
Auto-auditoria rápida: 5 preguntas
Responde a estás preguntas sobre tu gestoría:
- Tienes documentos de clientes (DNI, nóminas, contratos) almacenados en WhatsApp?
- Usas tu teléfono personal para recibir documentos profesionales?
- Tu copia de seguridad de WhatsApp incluye datos de clientes?
- Podrias decir exactamente que documentos de cada cliente tienes almacenados?
- Si un cliente ejerce su derecho al olvido, podrias eliminar todos sus datos en 30 días?
Si has respondido "si" a tres o más preguntas, probablemente estás incumpliendo el RGPD ahora mismo. Y lo más preocupante: probablemente no eres el único en tu sector.
Como actuar ante una posible brecha de datos
Si sospechas que se ha producido una brecha (teléfono perdido, acceso no autorizado a WhatsApp Web, copia de seguridad comprometida), el RGPD te obliga a actuar en un plazo de 72 horas. Debes notificar a la AEPD, evaluar el alcance del incidente, e informar a los afectados si el riesgo para sus derechos y libertades es alto. Para una gestoría que no tiene un registro claro de que datos tiene y donde están, cumplir este plazo es prácticamente imposible.
La prevención es siempre más barata que la gestión de crisis. Implementar un sistema con almacenamiento cifrado y registro de auditoría no solo te protege ante la AEPD: te permite dormir tranquilo sabiendo exactamente donde están los datos de tus clientes y quien ha accedido a ellos. Si estás evaluando como hacer la transición sin disrupciones, consulta nuestra guia para implementar un portal de documentos sin perder clientes.
La solución: almacenamiento profesional desde el principio
El cumplimiento del RGPD no es una funcionalidad que se anade despues. Es un riesgo que ya estás asumiendo si no lo has abordado. La buena noticia es que resolverlo no requiere un proyecto de meses ni una inversión grande.
Gestoría Lite fue diseñado con el cumplimiento normativo como requisito base:
- Almacenamiento cifrado en servidores de la UE (cifrado AES-256 en reposo)
- Control de acceso por roles: cada miembro del equipo ve solo lo que necesita
- Registro de auditoria inmutable: quien subio que, cuando y desde donde
- Protección ante fraude: los clientes no pueden eliminar documentos una vez subidos
- Eliminación controlada: puedes cumplir el derecho al olvido de forma documentada
- Sin datos en dispositivos personales: todo queda en el portal, no en tu teléfono
Preguntas frecuentes
Es ilegal enviar un DNI por WhatsApp a mi gestor?
Para el cliente, no constituye una infracción. Pero para el gestor que almacena ese DNI en su teléfono personal sin medidas de seguridad adecuadas, sí puede constituir una violación del RGPD. El responsable del tratamiento es el profesional que recibe y custodia esos datos, no el titular que los envía.
Cuanto puede costar una sanción de la AEPD por incumplir el RGPD?
Las sanciones para profesionales y pymes suelen oscilar entre 1.000 y 60.000 EUR, dependiendo de la gravedad. En infracciones muy graves (exposición masiva de datos sensibles), la sanción puede alcanzar hasta el 4% de la facturación anual o 20 millones de euros. Además del coste económico, hay que sumar el daño reputacional.
Como puedo cumplir el RGPD en mi gestoría sin grandes inversiones?
Implementando un portal de documentos con cifrado en la UE, control de acceso por roles y registro de auditoría. Soluciones como Gestoría Lite cuestan desde 12 EUR/mes e incluyen cumplimiento RGPD nativo sin necesidad de configuración adicional ni consultoría externa.
Que hago si un cliente ejerce el derecho al olvido?
Debes poder localizar y eliminar todos los datos personales de ese cliente en un plazo máximo de 30 días. Con documentos dispersos entre WhatsApp, email y carpetas locales, esto es extremadamente difícil. Un portal centralizado te permite eliminar todos los datos de un cliente con un solo clic y generar el certificado de eliminación correspondiente.
Conclusion
El RGPD no es opcional, y la sanción por incumplimiento puede alcanzar el 4% de la facturación anual. Pero más alla de las multas, proteger los datos de tus clientes es proteger la confianza que han depositado en ti como gestor.
La transición no tiene que ser inmediata. Puedes empezar con los clientes nuevos y migrar gradualmente. Pero cada día que pasa con documentos de clientes en WhatsApp es un día más de riesgo. Y ese riesgo tiene un precio que no aparece en ninguna factura hasta que es demasiado tarde. Si quieres entender el impacto económico completo, lee nuestro analisis sobre el coste real de usar WhatsApp como sistema de gestión documental. Y si quieres ver como otra gestoría resolvio este problema, lee el caso de BXC Advisors.
Digitaliza tu gestoria hoy
Gestoria Lite automatiza el intercambio de documentos con tus clientes. Sin registro para el cliente. Desde 12 EUR/mes.
Prueba gratis 14 dias
