Checklist RGPD para Gestorías: 14 Puntos que Debes Cumplir
Actualizado: agosto 2026 · Lectura: 8 min
Una gestoría no trata los mismos datos que una comunidad de propietarios ni que una clínica: trata identificadores fiscales, cuentas bancarias, nóminas de terceros y documentación que Hacienda puede requerir años después. Esta checklist convierte las obligaciones del Reglamento (UE) 2016/679 (RGPD) y la LOPDGDD (Ley Orgánica 3/2018) en 14 puntos de auditoría pensados específicamente para el día a día de una gestoría o asesoría fiscal, laboral y contable. Úsala como lista de verificación interna, no como sustituto del asesoramiento de tu DPO o abogado especializado.
Antes de empezar: en la relación con tus clientes (autónomos, pymes), la gestoría suele actuar como encargada del tratamiento (art. 4.8 RGPD) de los datos de los empleados y terceros de esos clientes — por ejemplo, al gestionar nóminas. A la vez, la gestoría es responsable del tratamiento de los datos que trata por cuenta propia: los de sus propios clientes como sujetos (NIF, domicilio fiscal, cuenta bancaria) y los de su propio personal. Esta doble posición es la que hace que el RGPD de una gestoría no se resuelva copiando la checklist de otro sector.
Bloque 1 · Base legal, transparencia e identificación del rol (puntos 1-3)
Determina si actúas como responsable o como encargado en cada servicio
La presentación de impuestos del propio cliente (autónomo) suele encajar como ejecución de un contrato de servicios (art. 6.1.b RGPD) donde tú eres responsable de los datos de ese cliente. Pero si además gestionas las nóminas de los empleados de una empresa cliente, ahí tratas datos de terceros (los trabajadores) por instrucción del cliente: eres encargado del tratamiento respecto a esos datos, y necesitas un contrato de encargo (art. 28 RGPD) firmado con cada cliente para el que prestas ese servicio.
Ten lista la cláusula informativa para clientes y para los empleados de tus clientes
Tu cliente (el titular del negocio) debe saber, al contratar tus servicios, quién trata sus datos fiscales y con qué finalidad (arts. 13-14 RGPD). Pero si gestionas nóminas, los propios empleados del cliente también son interesados: la cláusula informativa que reciben al alta en la Seguridad Social o en el sistema de nóminas es responsabilidad del cliente como responsable, y tú como encargado debes poder acreditar que le facilitas un modelo o le adviertes de esa obligación.
Mantén actualizado el Registro de Actividades de Tratamiento (RoPA), con las dos caras
El art. 30 RGPD exige un registro separado según actúes como responsable (datos de tus propios clientes y empleados) o como encargado (datos de terceros que tratas por cuenta de un cliente, como nóminas o nóminas de porteros/personal externo). Confundir ambos registros es el error más común al pasar una auditoría en gestorías.
Bloque 2 · Datos fiscales, bancarios y de nómina (puntos 4-7)
Limita el acceso a NIF/NIE y cuentas bancarias (IBAN) al personal que las necesita
El identificador fiscal y el IBAN de domiciliación de impuestos o de nóminas son datos de alta sensibilidad económica. Aplica el principio de minimización (art. 5.1.c RGPD): no todo el equipo administrativo necesita ver el IBAN de todos los clientes para hacer su trabajo. Define perfiles de acceso en el software de gestión, no solo confía en la buena fe del equipo.
Trata las nóminas de terceros con el mismo rigor que datos propios, aunque no seas responsable
Una nómina contiene salario, retenciones, situación familiar (a efectos de IRPF), a veces datos de afiliación sindical si hay cuota de sindicato descontada — esto último puede rozar categorías especiales del art. 9 RGPD. Como encargado, solo puedes tratar estos datos siguiendo instrucciones documentadas del cliente responsable (art. 29 RGPD): no los reutilices para nada distinto de la finalidad de nómina sin autorización expresa.
Aplica los plazos de conservación fiscales, que no coinciden con el mínimo RGPD
La Ley General Tributaria (art. 66-70 LGT) fija con carácter general 4 años para el derecho de la Administración a determinar la deuda tributaria, pero ese plazo se interrumpe con cada actuación de comprobación y puede alargarse. El Código de Comercio (art. 30) exige conservar libros y documentación mercantil justificativa durante 6 años. El RGPD no impone un plazo fijo: exige no conservar más tiempo del necesario para la finalidad, así que el criterio operativo en la práctica es el plazo fiscal/mercantil más largo que te sea de aplicación, documentado por escrito para cada tipo de documento (facturas, nóminas, modelos presentados, justificantes de retenciones).
Define qué pasa con los datos cuando un cliente se da de baja
No los borres el mismo día: es habitual que Hacienda requiera documentación de ejercicios anteriores incluso después de que el cliente haya cambiado de gestoría. Aplica el plazo de conservación fiscal/mercantil del punto 6 antes de proceder al bloqueo o supresión, y ten un procedimiento documentado para entregar copia de la documentación al cliente saliente o a su nueva gestoría cuando lo solicite.
Bloque 3 · Encargados de tratamiento: software y proveedores (puntos 8-10)
Inventaría el software fiscal, contable y de nóminas que usas
El programa de contabilidad, el software de nóminas, la plataforma de presentación telemática, el gestor documental en la nube, la herramienta de firma electrónica de clientes: cada uno de estos proveedores accede a datos personales de tus clientes y de los empleados de tus clientes. Todos son, a efectos del RGPD, encargados del tratamiento (art. 28 RGPD) frente a ti.
Verifica que existe un contrato de encargo firmado con cada proveedor
El art. 28.3 RGPD exige que el contrato con cada proveedor recoja objeto y duración del tratamiento, naturaleza y finalidad, tipo de datos y categorías de interesados, y las obligaciones del responsable y del encargado. Muchos proveedores de software de gestoría lo publican como anexo estándar en su web o panel de cliente: descárgalo y archívalo, no asumas que existe porque lo mencione la letra pequeña del contrato de licencia.
Confirma dónde se alojan los datos y si hay subencargados
Si tu software de gestoría usa infraestructura en la nube fuera de la UE/EEE, debe existir una garantía adecuada según el Capítulo V RGPD (cláusulas contractuales tipo, decisión de adecuación). Pregunta también si el proveedor subcontrata a su vez otros servicios (por ejemplo, un proveedor de firma electrónica o de envío de SMS/notificaciones) — esos subencargados también deben estar cubiertos contractualmente.
Bloque 4 · Brechas de seguridad y derechos de los interesados (puntos 11-14)
72 horas
Plazo máximo para notificar una brecha de seguridad a la AEPD desde que tienes constancia de ella, si puede suponer un riesgo para los derechos de tus clientes o de los empleados cuyos datos gestionas (art. 33 RGPD). En una gestoría, una brecha suele implicar datos fiscales y bancarios de múltiples clientes a la vez: el riesgo reputacional y el volumen de afectados suelen ser mayores que en otros sectores.
Ten un procedimiento escrito para notificar brechas, incluida la doble vía responsable/encargado
Si la brecha afecta a datos que tratas como encargado (nóminas de empleados de un cliente), tu obligación es notificar sin dilación indebida al cliente responsable (art. 33.2 RGPD), y es ese cliente quien decide si notifica a la AEPD. Si la brecha afecta a datos de los que eres responsable directo (tus propios clientes autónomos/pymes), la notificación a la AEPD es responsabilidad tuya en 72 horas. Ten claro por escrito qué vía aplica según el tipo de dato afectado.
Mantén un registro de brechas, notificadas o no
El art. 33.5 RGPD obliga a documentar cualquier violación de seguridad, sus efectos y las medidas correctoras adoptadas, aunque hayas concluido que no era necesario notificarla. Un envío de correo con nóminas o declaraciones a un destinatario equivocado es la incidencia más habitual en gestorías: documéntala igualmente aunque parezca menor.
Responde solicitudes de acceso, rectificación y supresión en un mes
Los arts. 12-22 RGPD fijan un plazo de un mes (ampliable dos meses más en solicitudes complejas, notificando el motivo). Cuando la solicitud la hace un empleado de un cliente sobre su nómina, y tú actúas como encargado, tu obligación es asistir al cliente responsable para que pueda responder (art. 28.3.e RGPD), no responder tú directamente sin su conocimiento.
Forma al equipo y revisa la checklist cada año
La rotación de personal administrativo, la incorporación de nuevo software y los cambios normativos (AEAT actualiza requisitos de facturación electrónica y suministro de información con frecuencia) hacen que una checklist de hace dos años quede desfasada. Programa una revisión anual, especialmente tras incorporar un nuevo proveedor SaaS o empezar a prestar el servicio de nóminas a un nuevo tipo de cliente.
| Bloque | Puntos | Artículo clave |
|---|---|---|
| Base legal, transparencia y rol | 1-3 | Art. 4.8, 6, 13-14, 30 RGPD |
| Datos fiscales, bancarios y nómina | 4-7 | Art. 5.1.c, 9, 29 RGPD · Art. 66-70 LGT |
| Encargados de tratamiento (software) | 8-10 | Art. 28, Cap. V RGPD |
| Brechas y derechos | 11-14 | Art. 12-22, 33-34 RGPD |
IgeraGestories ayuda a cumplir varios de estos puntos por diseño
Contrato de encargado de tratamiento incluido en todos los planes, datos en servidores UE, aislamiento por despacho, cifrado AES-256, respuestas que citan la fuente normativa exacta (AEAT, RGPD, LGT) en lugar de generar texto sin verificar. Prueba 14 días gratis.
Prueba gratis 14 díasPreguntas frecuentes
¿Esta checklist sustituye una auditoría RGPD formal?
No. Es una guía de autoevaluación rápida para detectar los puntos más habituales de incumplimiento en gestorías y asesorías. Para una auditoría completa, con análisis de riesgo y documentación legal vinculante, consulta con un abogado especializado en protección de datos o tu DPO.
¿Necesito un contrato de encargado de tratamiento con cada cliente al que gestiono nóminas?
Sí. Cuando gestionas las nóminas de los empleados de una empresa cliente, tratas datos personales de esos empleados por cuenta e instrucción del cliente. El art. 28.3 RGPD exige un contrato (o cláusula específica) que regule ese encargo, independientemente del contrato de prestación de servicios general que tengas con ese cliente.
¿Cuánto tiempo debo guardar la documentación fiscal de un cliente después de que cause baja?
No hay un plazo único: depende del tipo de documento. Como referencia operativa, el plazo general de prescripción tributaria (art. 66 LGT) es de 4 años, y la obligación mercantil de conservación de libros y justificantes (art. 30 Código de Comercio) es de 6 años. Aplica el plazo más largo que corresponda a cada documento y documenta el criterio por escrito; no lo dejes a discreción de cada gestor.
¿El software de nóminas o contabilidad que uso necesita firmar algo específico conmigo?
Sí, un contrato de encargado de tratamiento (Data Processing Agreement) conforme al art. 28.3 RGPD. La mayoría de proveedores serios de software para gestorías lo publican como documento descargable en su web o panel de administración. Si un proveedor no puede facilitártelo cuando lo pides, trátalo como una señal de alerta antes de subir datos de tus clientes a esa herramienta.
Artículo elaborado por el equipo editorial de Igera Solutions. Basado en el Reglamento (UE) 2016/679 (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y la Ley General Tributaria, actualizado a agosto de 2026. No constituye asesoramiento jurídico ni fiscal.