El zapatero sin zapatos:
¿cumplen el RGPD las asesorías
de Zaragoza en sus propias webs?
Las asesorías y gestorías son los profesionales que ayudan a miles de pymes aragonesas a cumplir sus obligaciones legales. Gestionan nóminas, declaraciones fiscales, contratos laborales y datos bancarios de sus clientes — los datos personales más sensibles que existen. Hemos auditado 12 de sus webs. Los resultados son llamativos.
Hay una paradoja que define bien la situación del cumplimiento normativo en el tejido empresarial aragonés: las asesorías y gestorías son, con frecuencia, los primeros profesionales a los que una pyme acude cuando necesita saber si cumple con la normativa de protección de datos. Son los que redactan los contratos con empleados, los que gestionan las nóminas, los que conocen los datos fiscales de cientos de clientes.
Son, en otras palabras, los que más datos personales manejan de toda la cadena de valor. Y son también los que más claramente deberían tener sus propias obligaciones RGPD en orden — porque si no predican con el ejemplo, ¿cómo van a asesorar a sus clientes?
Hemos auditado 12 webs de asesorías y gestorías en Zaragoza y provincia. Aquí están los resultados.
📌 Por qué una asesoría es un caso especialmente relevante: las asesorías y gestorías actúan habitualmente como encargadas del tratamiento de sus clientes — acceden a datos personales de empleados, declaraciones de renta, datos bancarios y datos de salud (bajas médicas, incapacidades) en nombre de terceros. El artículo 28 del RGPD exige un contrato de encargado del tratamiento firmado. Y el artículo 32 exige medidas de seguridad proporcionales al riesgo. Los datos que maneja una asesoría no son inocuos — son exactamente los que más buscan los ciberdelincuentes.
1. El hallazgo más grave:
"asumiremos que está de acuerdo"
La Guía sobre el uso de las cookies de la AEPD, en su edición de 2023, es absolutamente clara: el consentimiento para cookies analíticas o publicitarias debe ser una acción afirmativa e inequívoca del usuario. No se puede asumir que el usuario acepta por el mero hecho de continuar navegando. La frase "si sigue navegando, asumimos que acepta" es un dark pattern — un diseño deliberadamente confuso que induce al usuario a una aceptación que no ha prestado conscientemente.
En nuestra auditoría, encontramos esta fórmula exacta en tres webs de asesorías y gestorías zaragozanas:
⚠️ Por qué esto es una infracción real: el artículo 22.2 de la LSSI, en su interpretación por la AEPD, prohíbe expresamente el consentimiento por omisión o por mera navegación. Las frases "asumiremos que está de acuerdo" y "si sigue navegando acepta" son exactamente el tipo de dark pattern que la AEPD identifica en su Guía de cookies como contrario a la normativa. Estas asesorías están incumpliendo la misma norma que cobran a sus clientes por cumplir.
2. El segundo hallazgo: asesorías
vendiendo LOPD en 2026
La LOPD — Ley Orgánica de Protección de Datos de 1999 — fue derogada en diciembre de 2018 y sustituida por la LOPDGDD, que a su vez desarrolla el RGPD europeo. Llevamos más de siete años bajo la nueva normativa. Sin embargo, en la auditoría encontramos algo que inicialmente parece increíble: varias asesorías zaragozanas que ofrecen servicios de cumplimiento normativo siguen usando la palabra "LOPD" como referencia principal en sus propias webs — y una de ellas incluso cita las sanciones del antiguo régimen.
⚡ Por qué importa este matiz: cuando un empresario aragonés busca ayuda para cumplir la normativa de protección de datos, y quien se la ofrece sigue comunicando en términos de "LOPD", hay un riesgo real de que la adecuación que recibe no cubra las obligaciones reales del RGPD — que son significativamente más exigentes. La diferencia no es solo semántica: el RGPD exige base jurídica explícita, RAT documentado, evaluaciones de impacto y DPO en ciertos casos. La LOPD no requería nada de eso.
3. El tercer hallazgo: el lenguaje
de los "ficheros" — un fósil jurídico
La LOPD de 1999 estructuraba la protección de datos en torno al concepto de "fichero" — un registro organizado de datos. El RGPD lo supera con el concepto de "tratamiento" — cualquier operación sobre datos personales, sea o no estructurada. La diferencia es importante: bajo el RGPD, incluso un email con datos de un cliente es un tratamiento regulado.
En nuestra auditoría encontramos asesorías que aún usan el lenguaje de la LOPD en sus cláusulas de privacidad — especialmente en los formularios de contacto:
📌 Para que quede claro: Asesoría E tiene un banner de cookies correcto con botón de rechazar, y es una asesoría con sólida reputación en Zaragoza. El problema está específicamente en la cláusula de su formulario de contacto — un detalle técnico que muchas asesorías no han revisado desde 2018. No implica que su servicio general sea deficiente, pero sí que su propia web tiene una carencia verificable.
4. La tabla completa:
12 asesorías auditadas
| Asesoría / Gestoría | C1 | C2 | C3 | C4 | C5 | Score |
|---|---|---|---|---|---|---|
Gestoría A [dominio verificado] · Asesoría laboral, fiscal y jurídica · Zaragoza |
✓ | ✓ | ✓ | ✓ | ✓ | 5 |
Asesoría B [dominio verificado] · Asesoría integral online · Sirve a Aragón |
✓ | ✓ | ~ | ✓ | ✓ | 4 |
Asesoría C [dominio verificado] · Fiscal, laboral y contable · Zaragoza |
✓ | ~ | ~ | ✓ | ~ | 3 |
Asesoría D [dominio verificado] · Laboral y RRHH · Zaragoza |
✓ | ~ | ✓ | ~ | ~ | 3 |
Asesoría E [dominio verificado] · Asesoría integral · Zaragoza — fundada en 1990 |
✓ | ✗ | ✓ | ✗ | ✓ | 3 |
Asesoría F [dominio verificado] · Fiscal, laboral y contable · Zaragoza |
✓ | ~ | ✗ | ~ | ~ | 2 |
Asesoría G [dominio verificado] · Fiscal, laboral y mercantil · Caspe (Zaragoza) |
✓ | ~ | ✗ | ~ | ~ | 2 |
Consultora H [dominio verificado] · Vende adaptación RGPD a empresas · Zaragoza |
✓ | ~ | ~ | ✗ | ~ | 2 |
Gestoría I [dominio verificado] · Gestión integral, fiscal y jurídica · Zaragoza |
~ | ✗ | ✗ | ~ | ~ | 1 |
Gestoría J [dominio verificado] · Gestión integral pymes y autónomos · Zaragoza |
~ | ✗ | ✗ | ~ | ~ | 1 |
Asesoría K [dominio verificado] · Fiscal, laboral y contable · Zaragoza |
~ | ✗ | ✗ | ~ | ~ | 1 |
Asesoría L [dominio verificado] · Vende adaptación "LOPD" · Zaragoza |
~ | ✗ | ✗ | ✗ | ~ | 1 |
✓ Verificado · ~ Parcial o mejorable · ✗ Ausente o incumplimiento. Auditoría realizada en marzo-abril 2026 mediante inspección directa de webs.
5. Lo que sí se está haciendo bien:
los referentes de la auditoría
✓ El dato más sorprendente de la auditoría en positivo: la Asesoría C ([dominio verificado]) es la única de las 12 auditadas que tiene una política de privacidad específica para WhatsApp Business — un canal de comunicación que usan prácticamente todas las asesorías para hablar con sus clientes, pero que prácticamente ninguna ha documentado jurídicamente. Como analizamos en profundidad en nuestro artículo sobre WhatsApp y el RGPD, el uso profesional de WhatsApp sin base legal ni política específica es una de las infracciones más extendidas y menos conocidas.
6. Por qué los datos de una asesoría
son especialmente sensibles
Datos que una asesoría típica gestiona en nombre de sus clientes — todos sujetos al RGPD y al contrato de encargado del tratamiento del art. 28
7. La obligación que nadie menciona:
el contrato de encargado del tratamiento
Cuando una empresa contrata a una asesoría para que gestione sus nóminas o prepare sus impuestos, esa asesoría accede a datos personales de los empleados de la empresa. En esa relación, la empresa es el responsable del tratamiento y la asesoría es el encargado del tratamiento.
El artículo 28 del RGPD es inequívoco: esa relación debe estar formalizada en un contrato escrito de encargado del tratamiento que especifique qué datos se tratan, con qué finalidad, durante cuánto tiempo, qué medidas de seguridad aplica la asesoría y qué ocurre con los datos cuando finaliza la relación.
En la práctica, la mayoría de las asesorías aragonesas no tienen firmado ese contrato con sus clientes — o lo tienen como una cláusula genérica en el contrato de prestación de servicios que no cumple los requisitos del art. 28.3 del RGPD. Eso significa que tanto la empresa cliente como la asesoría están incumpliendo el RGPD simultáneamente — la primera por no firmar el contrato con su encargado, la segunda por acceder a datos sin la cobertura legal adecuada.
⚠️ El caso CTC Externalización — la advertencia que toda asesoría debería conocer: la AEPD impuso una sanción de 365.000 euros a CTC Externalización por tratar datos biométricos de sus empleados sin la documentación adecuada. CTC es una empresa de servicios — no muy diferente en su estructura a una gestoría laboral. La sanción fue confirmada por la Audiencia Nacional. Ver análisis completo →
8. Conclusión: cuatro acciones concretas
para cualquier asesoría aragonesa
El nivel de cumplimiento RGPD que hemos encontrado en las webs de las asesorías zaragozanas no es catastrófico — pero sí revela un patrón preocupante: el conocimiento de la normativa existe (estas empresas la venden), pero la aplicación a su propio negocio se ha dejado de lado. Son exactamente los mismos errores que observamos en sus clientes.
Las cuatro acciones que tienen mayor impacto y menor coste son:
1. Actualizar el banner de cookies. Reemplazar cualquier fórmula de "asumiremos que está de acuerdo" por un banner con botones equiparados de "Aceptar" y "Rechazar". Es un cambio de 20 minutos en cualquier CMP.
2. Revisar la cláusula del formulario de contacto. Debe incluir responsable con CIF, finalidad, base legal, plazos, destinatarios y derechos. El modelo de Gestoría A — verificado en esta auditoría — es un buen ejemplo.
3. Actualizar la política de privacidad al RGPD. Eliminar toda referencia a "LOPD", "ficheros", "derechos ARCO" (ahora ARCO+) y sanciones del régimen anterior. Mencionar expresamente el RGPD y la LOPDGDD.
4. Firmar contratos de encargado del tratamiento con todos sus clientes. Es la obligación más importante y la más ignorada. Sin ese contrato, la relación con el cliente carece de cobertura jurídica para el tratamiento de datos personales.
¿Tu asesoría o gestoría tiene
estas situaciones en regla?
En Artico Consultores revisamos el cumplimiento RGPD de tu asesoría o gestoría — web, formularios, cookies, contratos con clientes y medidas de seguridad. El mismo nivel de exigencia que aplicamos en esta auditoría, aplicado a tu negocio. Primera consulta gratuita. DPOs certificados AEPD/ENAC · 25 años en Aragón.
Escríbenos por WhatsApp