Checklist de cumplimiento normativo para despacho (2026)

TL;DR

• El checklist de cumplimiento normativo de un despacho cubre RGPD, Ley 10/2010, registro horario y facturación electrónica.
• La notificación de una brecha de seguridad a la AEPD tiene un plazo de 72 horas (art. 33 RGPD).
• La Ley 10/2010 obliga a conservar la documentación de prevención de blanqueo durante 10 años (art. 25).
• El registro horario es obligatorio desde el 12 de mayo de 2019 (RDL 8/2019, art. 34.9 ET).
• Verifactu obliga desde el 1 de enero de 2027 a las sociedades y desde el 1 de julio de 2027 al resto (RD 1007/2023).

72 horas

Notificar una brecha de seguridad · Art. 33 RGPD

10 años

Conservar documentación de blanqueo · Art. 25 Ley 10/2010

4 años

Prescripción tributaria · Art. 66 LGT

Por qué importa este checklist

Un despacho que factura, gestiona expedientes y trata datos de clientes está sujeto a normativa de protección de datos, prevención de blanqueo, derecho laboral y facturación electrónica al mismo tiempo. Ninguna de esas obligaciones se revisa sola: si el checklist vive repartido entre correos y carpetas sueltas, el plazo de 72 horas para notificar una brecha de seguridad se pierde con la misma facilidad que un plazo procesal.

El registro de notificaciones LexNet dentro del expediente resuelve el cómputo de un plazo judicial, pero no sustituye el resto de controles: blanqueo, registro horario y facturación siguen fuera del expediente si nadie los revisa por trimestre. Plea, software de gestión para despachos de abogados, ordena expediente, notificaciones y facturación en un mismo sitio, pero el checklist normativo funciona igual en cualquier despacho, use o no ese software.

Este checklist reúne seis áreas con su norma, su plazo y quién debe revisarlo en el despacho en 2026. No sustituye asesoramiento legal específico: cada despacho ajusta la lista según su volumen de clientes, si maneja fondos de terceros y si tiene personal contratado.

Qué debe incluir un checklist de cumplimiento normativo en un despacho

Cada fila del checklist necesita un responsable con nombre y una fecha de revisión, no solo una casilla marcada una vez al año.

Protección de datos: notificar en 72 horas (RGPD y LOPDGDD)

El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) obligan a cualquier despacho que trate datos de clientes a mantener un registro de actividades de tratamiento y a notificar una violación de seguridad a la Agencia Española de Protección de Datos en un plazo de 72 horas desde que se tiene conocimiento del incidente (art. 33 RGPD).

• Registro de actividades de tratamiento actualizado (art. 30 RGPD).
• Cláusulas de encargado de tratamiento firmadas con procuradores, peritos y gestorías externas.
• Protocolo escrito para notificar una brecha en 72 horas, con responsable asignado.
• Delegado de protección de datos si el despacho trata datos de categoría especial a gran escala (art. 34 LOPDGDD).
• Formación anual del equipo en manejo de datos de clientes.

Prevención de blanqueo de capitales: conservar 10 años (Ley 10/2010)

La Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo incluye a los abogados como sujetos obligados cuando participan en operaciones de compraventa de inmuebles o empresas, gestión de fondos, valores u otros activos, o creación y gestión de sociedades. La documentación generada debe conservarse durante 10 años desde el fin de la relación de negocios (art. 25).

• Identificación formal del cliente antes de operaciones sujetas (art. 3).
• Examen especial de operaciones inusuales o sin justificación económica aparente.
• Comunicación al SEPBLAC cuando la operación lo requiera.
• Conservación de la documentación durante 10 años (art. 25).
• Representante ante el órgano centralizado de prevención cuando el despacho está obligado a designarlo.

Registro horario: obligatorio desde el 12 de mayo de 2019 (art. 34.9 ET)

El Real Decreto-ley 8/2019, de 8 de marzo, introdujo el registro horario obligatorio en el art. 34.9 del Estatuto de los Trabajadores desde el 12 de mayo de 2019. En 2026 la obligación sigue vigente para cualquier despacho con personal contratado, incluidos abogados asalariados y personal de apoyo; quienes colaboran sin relación laboral quedan fuera del registro.

• Registro diario de hora de inicio y fin de jornada de cada trabajador.
• Sistema objetivo, fiable y accesible para el trabajador, su representación legal y la Inspección de Trabajo.
• Conservación de los registros durante 4 años, en línea con el plazo de prescripción de infracciones del orden social (art. 21 de la Ley de Infracciones y Sanciones en el Orden Social).
• Acceso inmediato a los registros ante requerimiento de inspección.
• Exclusión razonada de quienes colaboran sin contrato laboral.

La obligación de registro horario detalla qué datos concretos exige la norma y cómo probarlos ante una inspección.

Facturación: Verifactu desde 2027 (RD 1007/2023)

El Real Decreto 1007/2023, de 5 de diciembre, aprueba el reglamento que regula los requisitos de los sistemas informáticos de facturación (Verifactu). Con el calendario que fijó el Real Decreto-ley 15/2025, obliga desde el 1 de enero de 2027 a las sociedades y desde el 1 de julio de 2027 al resto.

• Sistema de facturación que cumple el reglamento y genera un registro de facturación por cada factura.
• Huella o hash que enlaza cada registro con el anterior.
• Conservación o remisión de los registros según la modalidad elegida.
• Conservación de las facturas mientras no prescriba la obligación tributaria (4 años, art. 66 LGT).
• Revisión trimestral de que el sistema sigue cumpliendo el reglamento.

En Plea, la facturación con Verifactu va en todos los planes, también en Plea Basic. Cómo integrar Verifactu en tu despacho detalla el proceso de adaptación paso a paso para 2026.

Secreto profesional: sin plazo de prescripción (Código Deontológico)

El Código Deontológico de la Abogacía Española recoge en su art. 5 el deber de secreto profesional, que no prescribe ni se limita en el tiempo: se mantiene aunque termine el encargo o la relación con el cliente.

• Acceso al expediente restringido a quienes llevan el asunto.
• Cláusulas de confidencialidad con colaboradores externos y personal de apoyo.
• Protocolo de conflicto de intereses antes de aceptar un nuevo cliente.
• Custodia física y digital separada de expedientes con información sensible.

Por qué varía el checklist según el despacho

• Tipo de despacho: penal, mercantil o laboral activan obligaciones distintas dentro de la misma norma.
• Si el despacho maneja fondos de clientes en cuentas de consignación, la prevención de blanqueo pesa más.
• Si hay personal contratado, el registro horario y las cláusulas de videovigilancia o control de acceso se suman.
• Si el despacho ya factura con un sistema que cumple Verifactu, ese bloque se reduce a revisión y no a implantación.
• El número de sedes y de abogados con acceso a expedientes cambia quién firma cada punto del checklist.

Lleva el cumplimiento al expediente

Expediente, LexNet y facturación Verifactu en un mismo sistema.

Ver Plea

¿Es obligatorio el registro horario en un despacho de abogados?

Sí, el registro horario es obligatorio desde el 12 de mayo de 2019 para cualquier despacho con trabajadores por cuenta ajena (art. 34.9 ET, RDL 8/2019). Los socios y abogados sin relación laboral no entran en el registro, pero sí el personal de apoyo y los abogados asalariados.

¿Cuánto tiempo hay que conservar la documentación de prevención de blanqueo?

La documentación de prevención de blanqueo se conserva 10 años desde el fin de la relación de negocios (art. 25 Ley 10/2010). El plazo aplica tanto a la identificación del cliente como al examen de operaciones sujetas.

¿Qué plazo tengo para notificar una brecha de seguridad a la AEPD?

El plazo para notificar una violación de seguridad a la Agencia Española de Protección de Datos es de 72 horas desde que el despacho tiene conocimiento del incidente (art. 33 RGPD). Pasado ese plazo sin notificar, el despacho debe justificar el retraso.

Una cosa más

El dato que más despachos pasan por alto no es el plazo de facturación ni el de blanqueo: es que el secreto profesional (art. 5 del Código Deontológico) no tiene fecha de caducidad. Un expediente cerrado hace años sigue protegido igual que uno abierto hoy, y eso significa que el checklist de confidencialidad no se archiva junto con el expediente: se revisa cada vez que alguien nuevo entra al despacho.

Guías relacionadas

• CRM para despachos especializados en protección de datos
• Gestión documental para despachos de abogados