Protección de datos en la oficina: el RGPD más allá de la web
Protección de datos en la oficina física: papel, mesa limpia, pantallas, visitas, videovigilancia, salas, correo, brechas en 72 horas y checklist RGPD.
TL;DR
La protección de datos no termina en la política de privacidad de tu web: el RGPD y la LOPDGDD se aplican también a los papeles, las pantallas, las visitas, las cámaras y las conversaciones de tu oficina física. El Reglamento europeo cubre también el papel cuando forma parte de un fichero estructurado (un archivador de clientes, las carpetas de personal) y obliga a aplicar medidas para garantizar la confidencialidad: archivos bajo llave, mesa y pantalla limpias, destrucción segura, control de accesos, videovigilancia con cartel y personal comprometido con el secreto.
Hay plazos concretos: las imágenes de videovigilancia se suprimen en un mes como máximo, y una brecha con riesgo para las personas se notifica a la Agencia Española de Protección de Datos (AEPD) sin dilación y, si es posible, en 72 horas, también si lo perdido es un expediente en papel. Abajo tienes cada frente, una checklist, los errores típicos y qué aporta un despacho privado a la protección de datos en la oficina.
¿Se aplica el RGPD a la oficina física y a los documentos en papel?
Sí. El artículo 2 del Reglamento General de Protección de Datos (RGPD) establece que se aplica al tratamiento automatizado y también al no automatizado de datos contenidos o destinados a ser incluidos en un fichero, que define como todo conjunto estructurado de datos personales accesibles con arreglo a criterios determinados. Un archivador ordenado por cliente o las carpetas de personal encajan en esa definición. La protección de datos no es solo cosa de IT.
El principio que más pesa en la oficina física es el de "integridad y confidencialidad", recogido en el artículo 5.1.f del RGPD: los datos deben tratarse de forma que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. El artículo 32 exige medidas técnicas y organizativas apropiadas al riesgo. Un archivador sin cerradura en un pasillo es, en este marco, una medida inadecuada, aunque nadie haya entrado en ningún servidor.
En España, el RGPD se completa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que regula la videovigilancia, el deber de confidencialidad o los derechos digitales de los trabajadores. En nuestra experiencia, el patrón se repite: web impecable y luego un expediente olvidado en la sala de reuniones. Este artículo es informativo y la normativa de protección de datos puede cambiar; para tu caso, consulta con tu delegado de protección de datos o tu asesor legal.
¿Qué medidas aplicar a la documentación en papel y a su destrucción?
La primera medida de protección de datos es saber qué papel tienes y dónde está: expedientes de clientes, contratos, nóminas, currículos, facturas con datos de personas físicas o informes con datos sensibles. Para cada tipo, decide quién puede consultarlo, dónde se guarda y cuánto se conserva. El RGPD exige mantener los datos solo el tiempo necesario, y las obligaciones fiscales, mercantiles o laborales fijan plazos mínimos que tu asesoría te confirmará. Lo que ya no tiene que estar, se destruye.
La segunda medida es física: armarios y cajoneras con cerradura, llaves custodiadas y archivos en estancias cerradas, no en zonas de paso. El acceso va por perfiles: quien gestiona facturas no necesita abrir los expedientes de personal. Y si trasladas papeles entre sedes, hazlo en cajas cerradas y sin dejarlas desatendidas; en nuestra guía sobre la mudanza de oficina de una empresa explicamos cómo aprovechar el traslado para digitalizar o destruir lo que sobra.
La tercera medida es la destrucción segura. La guía de la AEPD sobre la protección de datos en las relaciones laborales pone un ejemplo muy claro: el abandono de documentos sin destruir en la basura común es una de las infracciones más habituales en materia de protección de datos, y de ella es responsable la empresa. Rasgar un folio en cuatro trozos no es destruirlo: usa destructoras de corte cruzado para volúmenes pequeños o contenedores cerrados con un servicio externo que entregue certificado. Como referencia técnica para valorar proveedores existe la norma UNE-EN 15713 sobre destrucción segura de material confidencial.
No olvides los soportes electrónicos: discos de equipos retirados, memorias USB o el disco interno de una fotocopiadora que devuelves. La AEPD incluye los datos residuales en dispositivos obsoletos entre los sucesos que pueden constituir una brecha. Y si contratas la destrucción a un tercero, necesitas un contrato de encargado del tratamiento, como veremos más adelante.
¿Cómo aplicar la política de mesa limpia y pantalla limpia?
La política de mesa limpia es sencilla: al ausentarte un rato largo y al terminar la jornada, sobre la mesa no queda ningún documento con datos personales. Los papeles van al cajón con llave y las notas con contraseñas desaparecen. Donde pasan otras personas (limpieza, mantenimiento, visitas), es una de las medidas de protección de datos más baratas y eficaces.
La pantalla limpia es su equivalente digital: bloqueo del equipo al levantarte, bloqueo automático tras unos minutos de inactividad y cierre de sesión al final del día. Orienta los monitores para que no se vean desde pasillos o la zona de espera y usa filtros de privacidad en puestos expuestos. Cuidado también al compartir pantalla en videollamadas: la notificación con el nombre de un cliente es un descuido frecuente.
Hay otros soportes visibles que se pasan por alto: pizarras con nombres de clientes que nadie borra, tablones con listados de personal o turnos de vacaciones a la vista de cualquier visitante. La guía laboral de la AEPD dedica un apartado específico a la publicación de datos personales en tablones de anuncios, porque es un foco recurrente de problemas de protección de datos.
La protección de datos en la oficina no se juega en el servidor, sino en la bandeja de la impresora, en la pizarra que nadie borra y en la puerta de la sala que se queda abierta.
Para que la política funcione, escríbela en una página y explícala en la acogida. En nuestra experiencia, la mesa limpia se cumple mucho mejor cuando cada puesto tiene cajonera con llave y hay una destructora a mano: si guardar o destruir cuesta, el papel se queda encima de la mesa.
¿Qué exige la protección de datos en el control de accesos y las visitas?
El primer filtro de protección de datos en una oficina es quién puede entrar: llaves o tarjetas personales, accesos por zonas y bajas inmediatas cuando alguien se va. Si gestionas tu propio control de accesos, recuerda que los registros de entradas y salidas son datos de tus empleados y debes informarles de su finalidad.
Con las visitas, el reto es identificar a quien entra sin recoger más datos de los necesarios. Pide solo lo imprescindible para la seguridad, informa al visitante de quién trata sus datos y cómo ejercer sus derechos, y fija un plazo de conservación razonable. Evita el libro de visitas abierto en el mostrador, donde cada persona puede leer el nombre y el DNI de las anteriores: un registro digital o una hoja individual cumple la misma función.
Dentro, las visitas no deben circular solas por zonas con documentación o pantallas: se las recibe, se las acompaña a la sala y se las despide. Que la zona de espera no esté junto a los puestos que atienden llamadas es una cuestión de diseño, no solo de normas. En un centro de negocios, la recepción gestiona este flujo y cada empresa mantiene sus estancias cerradas, lo que simplifica la protección de datos en la oficina.
¿Qué dice la ley sobre videovigilancia y cartelería en la oficina?
El artículo 22 de la LOPDGDD permite tratar imágenes de cámaras para preservar la seguridad de personas, bienes e instalaciones, captando la vía pública solo en lo imprescindible. Las imágenes deben suprimirse en el plazo máximo de un mes desde su captación, salvo que deban conservarse para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones; en ese caso, se ponen a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tiene conocimiento de la grabación.
El deber de informar se cumple con un dispositivo informativo, el cartel de zona videovigilada, colocado en lugar suficientemente visible e identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD. La guía de la AEPD sobre el uso de videocámaras, de febrero de 2025, incluye un modelo de cartel y recuerda que el tratamiento debe figurar en el registro de actividades.
Si las cámaras también sirven para controlar la actividad laboral, el artículo 89 de la LOPDGDD exige informar antes, de forma expresa, clara y concisa, a los trabajadores y a sus representantes. Nunca se admiten cámaras ni grabación de sonidos en vestuarios, aseos, comedores u otras zonas de descanso, y el sonido solo puede grabarse ante riesgos relevantes para la seguridad y con proporcionalidad.
En la práctica, revisa que las cámaras enfoquen accesos y zonas de riesgo, no puestos ni pantallas; que los monitores de visualización no estén a la vista; y que solo personas autorizadas accedan a las grabaciones. Si la vigilancia la presta una empresa de seguridad, necesitas contrato de encargado. Y en un edificio con cámaras de la propiedad o del operador del centro, el responsable de esa protección de datos es quien las gestiona, no tu empresa.
¿Cómo proteger la confidencialidad en salas de reuniones, impresoras y correspondencia?
Las salas de reuniones son donde más información sensible circula en voz alta: negociaciones, entrevistas, despidos, la situación financiera de un cliente. La protección de datos aquí empieza por elegir una sala cerrada, con buen aislamiento acústico y sin cristal transparente hacia zonas de paso si se proyectan documentos. Al terminar, se recogen los papeles, se borra la pizarra y se desconecta la pantalla. Si la reunión es híbrida, revisa también qué captan cámara y micrófono; en nuestro artículo sobre reuniones híbridas y su equipamiento hay pautas para configurar la sala.
Las llamadas merecen la misma atención: atender a un cliente en el pasillo o en la cafetería expone datos a quien esté cerca. La AEPD cita la revelación verbal no autorizada entre los sucesos que pueden suponer una brecha de confidencialidad: no hace falta perder un archivo para tener un problema. Para reuniones puntuales con terceros, una de nuestras salas de reuniones en Madrid se reserva por horas y permite recibir a clientes sin exponer tu oficina ni a otras personas.
Impresoras y fotocopiadoras son otro foco clásico: una nómina olvidada en la bandeja compartida es una exposición directa. Las medidas son conocidas: impresión retenida que se libera con código o tarjeta, recogida inmediata y borrado del disco interno cuando el equipo se retira. Si externalizas reprografía, por ejemplo con nuestros servicios auxiliares, indica qué documentos contienen datos personales y qué hacer con las copias fallidas.
La correspondencia completa este bloque. La AEPD menciona el correo postal perdido o abierto como suceso típico de brecha. Define quién recibe y abre el correo y cómo se reparte (sobres cerrados, nunca en un mostrador abierto). Si un tercero recibe tu correo, como un servicio de domiciliación, asegúrate de que lo registra, lo custodia y te avisa sin abrirlo salvo instrucción tuya.
¿Qué cambia con el teletrabajo y el hot desk en espacios flexibles?
El teletrabajo traslada la protección de datos fuera de la oficina. La Ley 10/2021, de trabajo a distancia, considera regular el que se presta durante al menos el treinta por ciento de la jornada en un periodo de referencia de tres meses. En esos casos, el acuerdo de trabajo a distancia debe incluir las instrucciones de la empresa sobre protección de datos y seguridad de la información, y la persona trabajadora debe cumplirlas. Imprimir expedientes en casa o trabajar en un tren con la pantalla a la vista son riesgos que esas instrucciones deben prever.
El hot desk o puesto rotativo plantea otro reto: nadie tiene cajón propio. La mesa limpia pasa a ser imprescindible, con taquillas con llave e impresión retenida. En un coworking conviven, además, personas de distintas empresas, y lo que se dice o se ve en una pantalla lo puede captar alguien ajeno. Si estás diseñando un modelo mixto, en nuestro artículo sobre trabajo híbrido repasamos cómo organizarlo.
Aquí el tipo de espacio marca diferencias reales para la protección de datos:
| Formato de espacio | Riesgo principal para la confidencialidad | Medidas clave | Encaja con |
|---|---|---|---|
| Puesto compartido o hot desk | Conversaciones y pantallas al alcance de personas de otras empresas; sin almacenamiento propio | Mesa limpia estricta, filtros de privacidad, taquilla con llave, llamadas en cabinas o salas | Tareas sin datos sensibles o uso puntual |
| Despacho privado cerrado | Descuidos internos (puerta abierta, papeles sobre la mesa) | Llave propia, archivo bajo llave, política interna de mesa limpia | Despachos profesionales, asesorías, equipos que tratan datos de clientes a diario |
| Oficina virtual | Correspondencia en manos de un tercero | Registro, custodia y aviso del correo; instrucciones claras sobre apertura y reenvío | Empresas sin necesidad de espacio físico diario |
| Teletrabajo en domicilio | Entorno no controlado por la empresa | Instrucciones de protección de datos en el acuerdo, sin impresión en casa, bloqueo de equipo | Equipos híbridos con política clara |
En nuestros centros de Azca, Gran Vía y Velázquez, un despacho privado es un espacio cerrado de uso exclusivo, amueblado y con llave digital propia, desde 1.500 €/mes + IVA según sede y puestos, con recepción y gestión de correspondencia incluidas. Si no necesitas espacio diario, nuestra oficina virtual registra y custodia tu correo y te avisa de cada envío, desde 40 € + IVA al mes (Básico), 90 € + IVA (Business) y 150 € + IVA (Premium), con contratación mínima de tres meses. El espacio cerrado ayuda, pero no sustituye a tus medidas: la llave del despacho no protege un expediente olvidado en una sala común.
¿Qué documentación necesita la empresa: registro, encargados y confidencialidad?
El registro de actividades de tratamiento, regulado en el artículo 30 del RGPD y en el artículo 31 de la LOPDGDD, es el inventario de qué datos tratas, para qué, a quién se comunican, cuánto se conservan y con qué medidas. El RGPD exime a las organizaciones de menos de 250 personas solo si el tratamiento es ocasional, sin riesgo y sin categorías especiales de datos; como casi toda empresa trata datos de forma habitual (nóminas, facturación), lo prudente es llevarlo. El tratamiento físico también entra: archivo de personal, visitas, videovigilancia.
El segundo documento es el contrato con cada encargado del tratamiento, es decir, cada proveedor que accede a datos por tu cuenta: destrucción documental, seguridad, limpieza, asesoría o recepción de correo y llamadas. El artículo 28 del RGPD fija su contenido mínimo, que incluye que las personas autorizadas se comprometan a respetar la confidencialidad.
El tercer pilar es el deber de confidencialidad. El artículo 5 de la LOPDGDD sujeta a él a todas las personas que intervengan en cualquier fase del tratamiento, como complemento del secreto profesional, y lo mantiene aun cuando haya finalizado la relación con la empresa. Lo habitual es un compromiso firmado y formación básica en protección de datos; la AEPD recomienda formar incluso al personal de limpieza.
Si tratas datos de bajo riesgo, la AEPD ofrece la herramienta gratuita Facilita RGPD, que genera cláusulas, contratos de encargado, el registro de actividades y un anexo de medidas mínimas, aunque la Agencia advierte de que no implica el cumplimiento automático. Recuerda también que otras obligaciones laborales generan datos que entran en este inventario, como el registro horario.
¿Qué hacer ante una brecha de seguridad en la oficina?
El RGPD define la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos. No distingue entre digital y papel: la guía de la AEPD para la gestión y notificación de brechas incluye entre los sucesos típicos la documentación perdida, robada o depositada en localización insegura, el correo postal perdido o abierto y la eliminación incorrecta de datos en papel.
Si la brecha supone un riesgo para los derechos y libertades de las personas, el artículo 33 del RGPD obliga a notificarla a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de haber tenido constancia de ella; si se notifica más tarde, hay que explicar los motivos del retraso. La AEPD precisa que el cómputo incluye fines de semana y festivos y que se notifica en el canal de brechas de su sede electrónica. Si el riesgo es alto, el artículo 34 exige además comunicarlo a los afectados.
Conviene tener un protocolo antes de necesitarlo. Ante una carpeta perdida o un correo abierto por quien no debía, el orden práctico es este:
- Contener: recuperar el documento si es posible, cambiar cerraduras o códigos, bloquear accesos.
- Avisar internamente de inmediato a la persona responsable de protección de datos o a la dirección.
- Evaluar qué datos, de cuántas personas y con qué consecuencias posibles.
- Decidir si hay que notificar a la AEPD, con el reloj de las 72 horas en marcha desde que se tiene constancia.
- Comunicar a los afectados si el riesgo es alto.
- Documentar el incidente aunque no se notifique, con hechos, efectos y medidas correctoras, como exige el artículo 33.5 del RGPD.
Si el incidente lo detecta un encargado, debe avisarte sin dilación indebida. En nuestra experiencia, el error más grave no es la brecha, sino descubrirla tarde porque nadie sabía que perder un sobre también es un problema de protección de datos.
¿Qué errores típicos vemos y qué sanciones pueden acarrear?
Los errores de protección de datos en la oficina rara vez son sofisticados: documentos en la papelera común, archivadores sin llave, libros de visitas abiertos, pantallas hacia la sala de espera, impresiones olvidadas, conversaciones en espacios abiertos y cámaras sin cartel. Otros, menos visibles: proveedores sin contrato de encargado, llaves no recuperadas y equipos retirados sin borrado seguro.
La LOPDGDD califica como muy grave (prescribe a los tres años) vulnerar el deber de confidencialidad, y como graves (dos años) no adoptar medidas de seguridad adecuadas, no disponer del registro de actividades obligatorio o no notificar una brecha. Las cuantías máximas las marca el artículo 83 del RGPD:
| Tipo de incumplimiento | Ejemplo en la oficina | Multa máxima (art. 83 RGPD) | Calificación en la LOPDGDD |
|---|---|---|---|
| Principios básicos del tratamiento (art. 5 RGPD) | Expedientes accesibles a cualquiera, documentos en la basura común | Hasta 20 millones de euros o el 4 % del volumen de negocio anual global, la mayor de las dos | Vulnerar el deber de confidencialidad: muy grave (prescribe a los 3 años) |
| Obligaciones del responsable y del encargado (arts. 25 a 39 RGPD) | Sin medidas de seguridad, sin registro de actividades, brecha no notificada | Hasta 10 millones de euros o el 2 % del volumen de negocio anual global, la mayor de las dos | Graves (prescriben a los 2 años) |
Son topes máximos, no importes habituales: el RGPD obliga a graduar cada multa según la gravedad, la intencionalidad o negligencia y las medidas de protección de datos que se hubieran aplicado. Más allá de la multa, el daño reputacional ante un cliente suele ser el coste más alto.
¿Qué checklist seguir para la protección de datos en la oficina?
Esta checklist de protección de datos en la oficina física resume todo lo anterior. Asigna un responsable a cada bloque y revísala una vez al año o cuando cambies de espacio.
Documentación y archivo
- Inventario de documentación en papel con datos personales, responsables y plazos de conservación.
- Archivos y cajoneras con cerradura, llaves custodiadas y acceso por perfiles.
- Destructora de corte cruzado o contenedor cerrado con servicio certificado; borrado seguro de soportes retirados.
Puestos, pantallas e impresión
- Política de mesa limpia y pantalla limpia escrita y explicada en la acogida.
- Bloqueo automático de equipos, monitores orientados fuera de zonas de paso y filtros de privacidad donde haga falta.
- Impresión retenida con código o tarjeta; pizarras y tablones sin datos personales.
Accesos, visitas y cámaras
- Llaves o tarjetas personales con baja inmediata al terminar la relación.
- Registro de visitas sin exponer datos de terceros, con información al visitante.
- Cámaras solo en accesos y zonas de riesgo, cartel informativo, conservación máxima de un mes e información previa a los trabajadores.
Salas, llamadas y correspondencia
- Reuniones y llamadas con datos sensibles en espacios cerrados.
- Recogida de papeles y borrado de pizarras al salir de cada sala.
- Circuito definido para correo y paquetería, sin sobres en mostradores abiertos.
Documentación legal y personal
- Registro de actividades de tratamiento actualizado, incluidos los tratamientos en papel y la videovigilancia.
- Contrato de encargado con cada proveedor que accede a datos.
- Compromiso de confidencialidad firmado, formación básica (también al personal externo) e instrucciones de protección de datos en los acuerdos de teletrabajo.
- Protocolo de brechas con responsable, plazos y registro de incidentes.
Preguntas frecuentes sobre la protección de datos en la oficina
¿El RGPD se aplica a los documentos en papel de la oficina? Sí, cuando los datos personales forman parte de un fichero o están destinados a incluirse en él, es decir, de un conjunto estructurado y accesible con criterios determinados, como un archivador de clientes o las carpetas de personal. En ese caso se aplican los mismos principios que al tratamiento digital, incluida la obligación de garantizar su confidencialidad con medidas adecuadas.
¿Cuánto tiempo se pueden conservar las grabaciones de las cámaras de una oficina? La LOPDGDD fija un plazo máximo de un mes desde la captación. La excepción son las imágenes que acrediten actos contra la integridad de personas, bienes o instalaciones, que se conservan y se ponen a disposición de la autoridad competente en un máximo de 72 horas desde que se conoce la grabación.
¿Hay que notificar a la AEPD la pérdida de documentos en papel? Si la pérdida supone un riesgo para los derechos y libertades de las personas afectadas, sí: es una brecha de seguridad y se notifica a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia, contando fines de semana y festivos. Aunque no haya que notificarla, debe documentarse internamente.
¿Todas las empresas tienen que llevar un registro de actividades de tratamiento? El RGPD exime a las organizaciones de menos de 250 personas solo si el tratamiento es ocasional, no entraña riesgo y no incluye categorías especiales de datos. Como la mayoría de las empresas tratan datos de empleados o clientes de forma habitual, lo prudente es llevarlo; la herramienta Facilita RGPD de la AEPD ayuda a elaborarlo en tratamientos de bajo riesgo.
¿El deber de confidencialidad acaba cuando un trabajador deja la empresa? No. El artículo 5 de la LOPDGDD establece que el deber de confidencialidad se mantiene aun cuando haya finalizado la relación con el responsable o el encargado del tratamiento. Por eso conviene documentarlo con un compromiso firmado y recordarlo en la salida.
¿Es mejor un despacho privado que un puesto compartido para la protección de datos? Para tareas con datos sensibles, un espacio cerrado de uso exclusivo reduce el riesgo de que personas ajenas vean pantallas, oigan conversaciones o accedan a documentos. No sustituye a tus propias medidas, como la mesa limpia o el archivo bajo llave, pero facilita cumplirlas. En Ibercenter los despachos privados parten de 1.500 €/mes + IVA según sede y número de puestos.
