Datos personales en las facturas: qué protege el RGPD
Cada factura que emites o recibes contiene datos de carácter personal según la definición del Reglamento General de Protección de Datos (UE) 2016/679. Los datos personales presentes en una factura típica incluyen:
- Nombre y apellidos del cliente persona física.
- NIF/DNI: identificador personal único.
- Domicilio fiscal: dirección postal del cliente.
- Email y teléfono: si se incluyen como datos de contacto.
- Datos bancarios: si incluyes IBAN para transferencias.
Como emisor de facturas, eres responsable del tratamiento de estos datos. Esto conlleva obligaciones concretas que muchos autónomos y PYMEs desconocen.
Base legal: Reglamento (UE) 2016/679 (RGPD), artículos 4, 6, 13, 28 y 30. Ley Orgánica 3/2018 (LOPDGDD) como norma de desarrollo en España.
Encargado de tratamiento: tu software de facturación
Si usas un software de facturación en la nube (SaaS), el proveedor de ese software se convierte en encargado del tratamiento de los datos personales de tus clientes. El artículo 28 del RGPD exige que exista un contrato de encargo de tratamiento entre tú (responsable) y el proveedor (encargado).
Este contrato debe incluir:
- Objeto y duración del tratamiento.
- Tipo de datos personales tratados.
- Categorías de interesados (tus clientes).
- Obligaciones de seguridad del encargado.
- Prohibición de subcontratar sin autorización.
- Obligación de devolver o destruir los datos al finalizar el servicio.
Riesgo real: Si usas un software de facturación sin contrato de encargado de tratamiento, estás incumpliendo el artículo 28 del RGPD. La sanción puede alcanzar los 10 millones de euros o el 2% de la facturación global (la que sea mayor).
Base legal para tratar datos en facturación
El RGPD exige una base legal para todo tratamiento de datos personales. En el caso de la facturación, la base legal principal es el cumplimiento de una obligación legal (artículo 6.1.c del RGPD):
| Base legal | Aplicación en facturación | Ejemplo |
|---|---|---|
| Obligación legal (art. 6.1.c) | Emitir factura conforme al Reglamento de facturación | Incluir NIF del cliente en la factura |
| Ejecución de contrato (art. 6.1.b) | Facturar un servicio contratado | Factura por un proyecto de diseño web |
| Interés legítimo (art. 6.1.f) | Conservar facturas para defensa legal | Guardar factura de un cliente moroso |
No necesitas el consentimiento del cliente para incluir sus datos en una factura. La obligación legal de facturar (RD 1619/2012) es base suficiente.
Plazo de conservación vs derecho de supresión
Aquí surge una tensión entre el RGPD y la normativa fiscal. El RGPD establece el derecho de supresión ("derecho al olvido"), pero la normativa fiscal te obliga a conservar las facturas:
- Obligación fiscal: 4 años (plazo de prescripción tributaria, art. 66 LGT).
- Obligación mercantil: 6 años (art. 30 del Código de Comercio).
- RGPD: los datos deben conservarse solo el tiempo necesario para la finalidad del tratamiento.
La solución es clara: la obligación legal prevalece. Si un cliente te pide que borres sus datos, puedes negarte legítimamente mientras las facturas estén dentro del periodo de conservación legal. Pasados los 6 años mercantiles, debes proceder a la supresión si no existe otra base legal para conservarlos.
Buena práctica: Establece una política interna de depuración de datos. Transcurridos 6 años desde la emisión de la factura, elimina o anonimiza los datos personales de los clientes que ya no tengan relación activa contigo.
Derechos del interesado: acceso, rectificación, supresión
Tus clientes, como interesados, tienen derecho a:
- Acceso: pueden pedirte una copia de todas las facturas que les has emitido y saber qué datos personales tratas sobre ellos.
- Rectificación: si sus datos están incorrectos en alguna factura, pueden pedir la corrección (lo que implica emitir una factura rectificativa).
- Supresión: pueden pedir el borrado de sus datos, pero puedes negarte mientras exista obligación legal de conservación.
- Portabilidad: pueden solicitar sus datos en formato estructurado y legible por máquina.
- Oposición: pueden oponerse al tratamiento basado en interés legítimo (no al basado en obligación legal).
Tienes un plazo máximo de un mes para responder a cualquier solicitud de ejercicio de derechos. Si no respondes, el interesado puede reclamar ante la AEPD.
Obligación informativa: Según el artículo 13 del RGPD, debes informar a tus clientes sobre el tratamiento de sus datos en el momento de la recogida. Esto puede hacerse mediante una cláusula en tus presupuestos, contratos o condiciones generales.
Política de privacidad de FactoLegal
FactoLegal actúa como encargado del tratamiento de los datos que introduces en la plataforma. Nuestro compromiso incluye:
- Contrato de encargo de tratamiento incluido en las condiciones de servicio, conforme al artículo 28 del RGPD.
- Cifrado en reposo y en tránsito de todos los datos almacenados.
- Servidores en la UE: tus datos nunca salen del Espacio Económico Europeo.
- Sin acceso a contenido: nuestro equipo no accede a tus facturas ni datos de clientes salvo soporte técnico autorizado.
- Exportación y borrado: puedes exportar todos tus datos y solicitar el borrado completo al cerrar tu cuenta.