RGPD y documentos de clientes en asesorías contables: cómo guardarlos y cumplir en 2026

Respuesta rápida: Una asesoría contable que maneja documentos de clientes trata datos personales y financieros, lo que la convierte en responsable del tratamiento (y a menudo en encargada del tratamiento para sus clientes) según el RGPD. El artículo 32 exige «medidas técnicas y organizativas apropiadas» y menciona expresamente el cifrado como una de ellas. Pero el cumplimiento nunca depende de una sola herramienta: abarca dónde están los archivos, quién puede leerlos, cuánto tiempo los conservas, qué subcontratistas acceden a ellos y cómo reaccionas ante una brecha. Cifrar los archivos de los clientes en reposo, idealmente con un sistema en el que el propio proveedor de almacenamiento no pueda leerlos, reduce de forma notable tanto el riesgo de brecha como, en muchos casos, tu obligación de notificar. El cifrado por sí solo no hace que una asesoría cumpla, pero no tenerlo es una de las formas más rápidas de que te consideren negligente.

Este artículo está escrito para contables y asesores que quieren una visión práctica y honesta de sus obligaciones. Es información general, no asesoramiento jurídico. Para una evaluación vinculante, consulta a tu delegado de protección de datos o a un abogado que conozca tu jurisdicción.

Por qué esta pregunta quita el sueño a los contables

Una asesoría contable es una de las mayores concentraciones de datos sensibles que llegará a tener una pequeña empresa. En una sola carpeta de cliente puede haber nóminas, extractos bancarios, números de identificación fiscal, cotizaciones al seguro de salud, registros de dividendos, a veces datos de salud para contabilizar las bajas por enfermedad, y los datos personales de cada empleado al que paga tu cliente. Multiplica eso por decenas o cientos de clientes y, en la práctica, eres un objetivo de alto valor que funciona con un portátil y una unidad en la nube.

Aquí chocan tres presiones. Primero, un deber legal: el RGPD hace de la confidencialidad y la integridad de los datos personales un principio central, y tus obligaciones de secreto profesional se suman a él. Segundo, un deber de conservación que tira en sentido contrario: los registros contables deben conservarse durante años (en Francia, habitualmente diez años para los documentos contables mercantiles según el Code de commerce, y seis años para muchos registros fiscales), así que no puedes simplemente borrar para librarte del riesgo. Tercero, una realidad de la cadena de subcontratación: en cuanto subes el balance de un cliente a una herramienta de nube convencional, has añadido un subcontratista a tu cadena de tratamiento, lo hayas documentado o no.

Lo incómodo es que la mayoría de las asesorías están técnicamente expuestas no por descuido, sino porque las herramientas por defecto hacen de la copia legible en el servidor de otro el camino más fácil.

Lo que el RGPD exige realmente (y lo que no)

Conviene separar el mito del texto. El RGPD no dice «usarás AES-256». Fija un estándar basado en resultados y menciona el cifrado como una forma reconocida de alcanzarlo.

Artículo 5.1.f, integridad y confidencialidad. Los datos personales deben tratarse «de tal manera que se garantice una seguridad adecuada», incluida la protección contra el acceso no autorizado. Es un principio, y debes poder demostrar que lo cumples (responsabilidad proactiva, artículo 5.2).

Artículo 32, seguridad del tratamiento. Es el artículo operativo. Exige medidas adecuadas al riesgo y da ejemplos, entre ellos «la seudonimización y el cifrado de datos personales» y la capacidad de restaurar la disponibilidad tras un incidente. El cifrado aparece de forma explícita. No es obligatorio en términos absolutos, pero si guardas datos financieros muy sensibles y decides no cifrarlos, te costará defender que tus medidas eran «adecuadas al riesgo».

Artículos 33 y 34, notificación de brechas. Por lo general, una violación de la seguridad de los datos personales debe notificarse a la autoridad de control en un plazo de 72 horas. Y, lo que es clave, si los datos afectados se habían vuelto ininteligibles para personas no autorizadas (por ejemplo, con un cifrado robusto cuyas claves no se vieron comprometidas), puede que no tengas que comunicarlo a los interesados, en virtud del artículo 34.3.a. Es la razón más concreta y tangible por la que el cifrado importa a una asesoría: puede convertir una catástrofe que hay que notificar en algo sin consecuencias. Merece la pena entender ese mecanismo en detalle, y explico exactamente qué cambia entre una filtración en una nube clásica y una filtración con cifrado local en un artículo dedicado.

Artículo 28, encargados del tratamiento. Si guardas archivos de clientes con un proveedor de nube, ese proveedor es tu encargado del tratamiento (y tú eres el encargado de tus clientes). Necesitas un contrato de encargo del tratamiento y debes recurrir a encargados que ofrezcan «garantías suficientes».

Capítulo V, transferencias internacionales. Si tu proveedor de almacenamiento trata o guarda datos fuera de la UE (o en una infraestructura controlada por una empresa de fuera de la UE), heredas un problema de transferencias que las cláusulas contractuales tipo solo resuelven en parte. Ahí es donde «usamos una gran nube estadounidense» se convierte, sin hacer ruido, en una cuestión de cumplimiento.

La autoridad de control francesa, la CNIL, refuerza todo esto en sus guías: recomienda el cifrado para los datos sensibles y confidenciales, tanto en reposo como en tránsito, y lo trata como una expectativa básica, no como un lujo.

La verdadera elección: quién puede leer el archivo

La mayoría de los debates sobre almacenamiento se pierden en las funciones. La pregunta que decide de verdad tu riesgo es más sencilla: cuando tus datos están en el servidor de otro, ¿puede ese servidor leerlos? Todo lo demás se deriva de la respuesta.

Modelo de almacenamiento	¿El proveedor puede leer tus archivos?	¿Una brecha expone datos legibles de clientes?	Riesgo de transferencia fuera de la UE	Compatible con la conservación de 10 años
Nube clásica (Google Drive, Dropbox, Notion)	Sí (cifrado en reposo, pero ellos tienen las claves)	Sí	A menudo, sí	Sí, pero legible
Disco local sin cifrar	No aplica (sin nube)	Sí, si roban el portátil	No	Sí, pero frágil
Solo cifrado de disco completo (BitLocker, FileVault)	No aplica	Solo protege un dispositivo robado y apagado	No	Parcial
Nube zero-knowledge (el proveedor no puede descifrar)	No	No (solo se filtran bloques ilegibles)	Reducido (los bloques son opacos)	Sí
Local-first + cifrado en el dispositivo	Sin nube, salvo que la actives	No	Lo controlas tú	Sí

Un punto que confunde a mucha gente: el «cifrado en reposo» de una nube convencional es real, pero el proveedor tiene las claves, así que protege frente a un disco robado en su centro de datos, no frente al propio proveedor, un empleado desleal, una solicitud de una autoridad o una brecha en su capa de acceso. Esa es la diferencia entre el cifrado y el cifrado de conocimiento cero, en el que el proveedor realmente no puede leer tus datos. Los textos de marketing los confunden constantemente, y la distinción es justo la que le importará a un auditor.

Otra laguna frecuente: el cifrado de disco completo, como BitLocker o FileVault, protege un portátil apagado y robado. No hace nada una vez que el equipo está desbloqueado y en marcha, ni por la copia que sincronizaste en una unidad compartida. Es necesario, pero no suficiente.

Qué significa en concreto para tu asesoría

Aquí tienes una lista práctica que puedes aplicar sin un equipo de seguridad.

Localiza dónde están realmente los documentos de los clientes. No donde dice la política, sino donde están. Adjuntos de correo, un Dropbox personal, una unidad compartida, el portátil del becario. No puedes proteger lo que no has localizado.
Cifra a nivel de archivo, no solo de disco. El cifrado a nivel de archivo o del lado del cliente protege los datos en uso y en tránsito, no solo un dispositivo apagado. Si quieres el razonamiento, una guía práctica para cifrar tus documentos y notas explica los modelos de amenaza con palabras sencillas.
Prefiere un modelo en el que el proveedor de almacenamiento no pueda leer los archivos. Si tu proveedor no puede descifrar, una brecha por su parte solo filtra ruido, y tu obligación de comunicar la brecha a tus clientes según el artículo 34 puede desaparecer.
Documenta tus encargados del tratamiento y comprueba dónde están físicamente los datos. Una línea por herramienta: qué guarda, dónde y con qué contrato. Ese es tu rastro documental para el artículo 28 y el capítulo V.
Controla el acceso e impón una autenticación robusta. Perfiles separados por usuario, ninguna credencial compartida y una contraseña de verdad detrás del cifrado.
Ten un plan de recuperación que no sea «esperar que no pase nada». Los deberes de conservación implican que debes poder restaurar datos durante años. Prueba tus copias de seguridad y entiende cómo funciona la recuperación de claves antes de necesitarla.
Pon por escrito tu procedimiento ante brechas. Quién evalúa y quién notifica, en un plazo de 72 horas. El cifrado reduce las probabilidades de que tengas que aplicarlo, pero aun así debes tenerlo sobre el papel.
Ajusta la conservación a la ley y luego elimina. Conserva los registros contables durante el plazo legal exigido y ten un proceso defendible para depurar los datos personales cuando ninguna obligación justifique conservarlos.

No exageres nada de esto ante tus propios clientes. El cifrado refuerza la seguridad del tratamiento; no hace por sí solo que tu asesoría «cumpla el RGPD», porque el cumplimiento también depende de la base jurídica, la conservación, la transparencia y tus medidas organizativas.

Dónde puede ayudar Filarr (y dónde no)

Para que quede claro: desarrollo Filarr, así que toma esta sección como contexto, no como un argumento de venta. Filarr es un espacio de trabajo cifrado y local-first para notas y archivos. Encaja con el caso de uso contable en unos puntos concretos:

Cada archivo se cifra con AES-256-GCM con la clave de tu cuenta (FEK), una clave aleatoria, con un valor aleatorio nuevo para cada archivo; esa clave está envuelta por una clave derivada de tu contraseña. Si quieres la lógica del diseño, el artículo sobre la KEK y la FEK explica la jerarquía en dos niveles.
La contraseña se refuerza con PBKDF2-SHA512 a 600 000 iteraciones (muy por encima de las 210 000 que recomienda OWASP para PBKDF2-SHA512), con una frase de recuperación BIP-39 de 24 palabras, para que no estés a una contraseña olvidada de perder una década de registros.
Funciona 100 % sin conexión. La sincronización en la nube es opcional y, cuando la activas, los archivos se suben ya cifrados: el servidor guarda bloques opacos que no puede leer, que es el modelo zero-knowledge aplicado a la sincronización. Un límite conocido, que se está cerrando: desde el 16 de octubre de 2026, al iniciar sesión se envía una clave derivada en tu equipo, no la contraseña de la cuenta. Durante una transición de unos dos meses, una cuenta que todavía no ha vuelto a iniciar sesión, o una versión antigua de la app, sigue enviando la contraseña al servidor (por HTTPS), y un servidor comprometido podría capturarla. La sincronización alojada funciona sobre Cloudflare R2, en la región Europa Occidental de Cloudflare, y Cloudflare es una empresa estadounidense, así que inclúyela en tu lista de encargados del tratamiento como cualquier otro. También puedes usar tu propio almacenamiento compatible con S3.
Abre más de 80 formatos de archivo, así que los PDF escaneados, las hojas de cálculo y las imágenes conviven con tus notas.

Lo que Filarr no hace, con honestidad: no es una certificación RGPD, no sustituye un contrato de encargo del tratamiento y no es asesoramiento jurídico. Es más joven que Obsidian o Notion, su app móvil es una app de Android todavía reciente, sin nada en iPhone, y su ecosistema es más pequeño. Reduce el riesgo para la confidencialidad de tus documentos. No gestiona tu base jurídica, tu calendario de conservación ni tus obligaciones de transparencia con los clientes. Eso sigue siendo tu trabajo, uses la herramienta que uses.

Preguntas frecuentes

¿El RGPD me obliga legalmente a cifrar los archivos de mis clientes? No en términos absolutos. El artículo 32 exige medidas «adecuadas al riesgo» y cita el cifrado como ejemplo reconocido. Dada la sensibilidad de los datos contables, decidir no cifrar es difícil de defender como adecuado, y la CNIL lo recomienda para los datos confidenciales.

Si mi nube cifrada sufre una brecha, ¿tengo que avisar igualmente a mis clientes? A menudo, no. El artículo 34.3.a establece que no es necesario comunicarlo a los interesados si los datos se habían vuelto ininteligibles para personas no autorizadas, por ejemplo con un cifrado robusto cuyas claves no se vieron comprometidas. Puede que aun así tengas que notificarlo a la autoridad de control en 72 horas, así que documenta el incidente y tu evaluación.

¿Guardar documentos de clientes en Google Drive o Dropbox es un problema para el RGPD? No automáticamente, pero necesitas un contrato de encargo del tratamiento, comprobar dónde se guardan los datos (normas de transferencia del capítulo V) y entender que el proveedor tiene las claves de descifrado. Para datos financieros muy sensibles, un modelo en el que el proveedor no pueda leer los archivos es una posición más sólida.

¿Cuánto tiempo debo conservar los documentos contables de los clientes? ¿Cambia algo el cifrado? Los plazos de conservación los fija la ley: en Francia, habitualmente diez años para los registros contables mercantiles y seis años para muchos documentos fiscales. El cifrado no cambia cuánto tiempo conservas los datos; los protege durante ese largo periodo de conservación. Comprueba los plazos exactos de tu jurisdicción.

¿Basta con un cifrado de disco completo como BitLocker? Ayuda, pero no basta por sí solo. El cifrado de disco completo protege un dispositivo robado y apagado. No protege un equipo en marcha, una copia sincronizada en una unidad compartida ni los archivos enviados por correo. El cifrado a nivel de archivo o del lado del cliente cubre esas lagunas.