La protección de datos en la digitalización fiscal es, hoy mismo, uno de los asuntos que más preocupa —y que más descuidado está— en el día a día de empresas y despachos profesionales en España. Y esto no es casualidad. En los últimos dos años, la forma en que gestionamos las obligaciones tributarias ha cambiado de manera radical. Y ese cambio arrastra consigo una serie de responsabilidades en materia de privacidad que muchos aún no han terminado de asumir.
Conviene entender bien el contexto antes de hablar de obligaciones concretas, porque no estamos ante un problema abstracto ni ante una amenaza futura. Estamos ante una realidad que ya está aquí. Y de ella queremos hablar hoy aquí.
Un nuevo escenario fiscal que cambia las reglas del juego
Durante décadas, la gestión fiscal de una empresa funcionaba de manera relativamente aislada. Se preparaban declaraciones, se enviaban a la Agencia Tributaria en los plazos correspondientes y los datos permanecían en los archivos del despacho o en los servidores del cliente. La información circulaba poco y de forma controlada.
Eso está dejando de ser así.
La entrada en vigor del Reglamento que regula los Sistemas Informáticos de Facturación —aprobado por el Real Decreto 1007/2023, de 5 de diciembre, y modificado en abril de 2025— ha establecido que todos los programas de facturación utilizados por empresarios y profesionales deben adaptarse a unos requisitos técnicos muy concretos: garantizar la integridad de los registros, su encadenamiento e inalterabilidad, y la posibilidad de remitirlos automáticamente a la Agencia Tributaria a través del sistema Verifactu.
Tras una ampliación de los tiempos de implantación, las empresas sujetas al Impuesto sobre Sociedades tienen como fecha de referencia el 1 de enero de 2027 para operar con software homologado. Mientras que los autónomos y el resto de contribuyentes disponen de margen hasta el 1 de julio de ese mismo año.
Además, esto no es el final del proceso, sino el principio. La Ley 18/2022 de creación y crecimiento de empresas, conocida como Ley Crea y Crece, contempla, la facturación electrónica obligatoria entre empresarios y profesionales en sus relaciones comerciales, un paso adicional cuya entrada en vigor definitiva está supeditada a la obtención de la autorización comunitaria correspondiente, aunque el proceso avanza con paso firme.
En términos prácticos, la información fiscal de las empresas —datos de clientes, proveedores, importes, operaciones— ya no se queda en un cajón o en un servidor local. Fluye a través de plataformas digitales, pasa por sistemas de terceros, se almacena en la nube y, en muchos casos, puede enviarse de forma automática a la Administración. Y, como es previsible, toda esa información contiene, en su mayor parte, datos personales.
Datos personales y fiscalidad. Una combinación que obliga a dos normativas al mismo tiempo
Aquí es donde muchos despachos y empresas cometen el primer error de planteamiento: seguir tratando el cumplimiento fiscal y el cumplimiento en materia de protección de datos como si fueran dos compartimentos estancos. No lo son.
Cuando una asesoría gestiona las facturas de sus clientes, trata datos identificativos, económicos, bancarios y, en ocasiones, laborales de decenas o cientos de personas. Cuando lo hace a través de un programa de facturación conectado a Verifactu, esa información circula por un ecosistema tecnológico que involucra al propio despacho, al proveedor del software, a los servidores donde se almacena y, potencialmente, a la propia Agencia Tributaria. Todo ello, debe hacerse respetando, al mismo tiempo, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).
Y esto tiene consecuencias muy concretas que conviene conocer bien.
La primera es la necesidad de determinar correctamente los roles jurídicos de cada parte. En la mayoría de los casos, la empresa cliente es la responsable del tratamiento de los datos de sus trabajadores, clientes y proveedores. El despacho profesional actúa como encargado del tratamiento cuando gestiona esos datos por cuenta del cliente. Y el proveedor del software de facturación, o la plataforma de almacenamiento en la nube, puede ser un subencargado. Esta cadena de responsabilidades no es un formalismo menor: define quién responde ante qué, y ante quién.
El artículo 28 del RGPD exige que la relación entre responsable y encargado quede formalizada mediante un contrato específico. Que regule, entre otras cosas, las finalidades del tratamiento, las medidas de seguridad exigibles, el régimen de subcontratación y el protocolo de actuación ante una posible brecha de seguridad.
Desde nuestra experiencia, uno de los problemas más frecuentes que encontramos es que estos contratos existen, pero están desactualizados. Es decir, fueron redactados antes de que se implantaran los nuevos sistemas de facturación y no contemplan la realidad tecnológica actual. Un contrato que no menciona Verifactu, que no regula el envío automático de registros ni el uso de proveedores en la nube, es un contrato que deja flancos abiertos.
Qué hacer con los datos cuando la ley te obliga a guardarlos, pero también a no acumularlos
Uno de los puntos de tensión más interesantes —y más prácticos— que genera la digitalización fiscal es la aparente contradicción entre la normativa tributaria y el principio de minimización de datos del RGPD.
La normativa fiscal impone la obligación de conservar determinada documentación durante el plazo en que puedan prescribir las deudas tributarias, que con carácter general es de cuatro años. Aunque, en función del tipo de operación, la existencia de pérdidas compensables u otras circunstancias, ese plazo puede extenderse considerablemente. A esto se suman las obligaciones mercantiles del Código de Comercio, que fija en seis años el plazo de conservación de la documentación contable.
El RGPD, por su parte, establece en su artículo 5 el principio de limitación del plazo de conservación. Así, los datos personales no pueden mantenerse de una forma que permita la identificación de los interesados durante más tiempo del necesario para los fines del tratamiento. En cuanto esos fines desaparecen, los datos deben suprimirse o, como alternativa mientras persista alguna obligación legal, bloquearse de modo que no puedan utilizarse activamente.
La digitalización agrava este problema porque facilita la acumulación. Guardar información en un servidor o en una plataforma en la nube no cuesta apenas nada, y eso lleva a una tendencia muy extendida: guardar todo, por si acaso. Pero esa lógica es contraria al RGPD. No basta con tener los datos. Hay que tener una razón legal para seguir teniéndolos. Y esa razón debe estar documentada.
En la práctica, lo que esto exige es contar con una política interna de conservación y supresión de datos que esté adaptada a cada tipo de información. Y que identifique claramente el plazo aplicable, la base jurídica que lo justifica y el procedimiento a seguir cuando ese plazo vence. No es un ejercicio burocrático. Sino una herramienta de gestión que reduce el riesgo real de exposición ante la Agencia Española de Protección de Datos (AEPD) y ante posibles brechas de seguridad.
Seguridad, incidentes y el peligro de no estar preparado
Actualmente, el incremento de ataques informáticos dirigidos a despachos profesionales no es una tendencia nueva, pero sí se ha acelerado. La razón es sencilla: un despacho fiscal o jurídico concentra información económica altamente sensible de múltiples empresas, lo que lo convierte en un objetivo especialmente atractivo para el cibercrimen. Y, a diferencia de una gran corporación con equipos de seguridad propios, muchos pequeños despachos no cuentan con los recursos ni con los protocolos necesarios para hacer frente a un incidente de este tipo.
El artículo 32 del RGPD obliga a adoptar medidas técnicas y organizativas adecuadas al nivel de riesgo. Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance y los fines del tratamiento. En concreto, esto incluye el cifrado de datos, sistemas de autenticación robusta para acceder a las plataformas, copias de seguridad periódicas verificadas, control de accesos con trazabilidad y protocolos internos escritos que definan qué hacer si se produce un incidente.
La memoria anual de la AEPD correspondiente a 2024 reflejó un incremento de casi el 20% en el impacto económico de las sanciones respecto al año anterior y ese número siguió aumentando a lo largo de 2025. Algo revelador de ese informe es que la mayoría de las sanciones no fueron consecuencia de ataques informáticos sofisticados, sino de errores operativos evitables. Por ejemplo, correos enviados sin usar copia oculta, datos de clientes compartidos por canales no seguros, sistemas de copia de seguridad que nunca fueron verificados. En Femar Asesores, sabemos que en protección de datos, los descuidos cotidianos son tan peligrosos como los ataques externos. Por eso, hemos establecido protocolos que garanticen, al máximo posible, la tranquilidad de nuestros clientes.
Cuando se produce una brecha de seguridad que afecte a datos personales, el RGPD establece la obligación de notificarla a la AEPD en un plazo máximo de 72 horas desde que se tenga conocimiento de ella. Siempre que suponga un riesgo para los derechos y libertades de las personas. Si ese riesgo es alto, hay que comunicarlo también directamente a los afectados. El incumplimiento de este plazo es, en sí mismo, una infracción sancionable con independencia de la brecha original.
En el entorno de la protección de datos en la digitalización fiscal, este escenario es especialmente complejo porque las plataformas interconectadas con la Agencia Tributaria añaden un vector adicional de riesgo. Una vulnerabilidad en el software de facturación puede afectar simultáneamente a la información de múltiples clientes. Por eso, el análisis de riesgos no puede ser genérico. Debe contemplar específicamente los sistemas de facturación electrónica, los flujos de datos con proveedores tecnológicos y los protocolos de remisión a la Administración.
En determinados casos —cuando el tratamiento se realice a gran escala o se utilicen tecnologías que puedan suponer un riesgo elevado para los derechos de los interesados— puede ser incluso necesario llevar a cabo una Evaluación de Impacto en Protección de Datos (EIPD) antes de poner en marcha el tratamiento. Este instrumento, regulado en el artículo 35 del RGPD, no es un trámite formal sino un ejercicio de análisis previo que permite identificar riesgos y adoptar medidas antes de que se materialicen.
Transparencia, clientes y la imagen del despacho: lo que está en juego
A veces, hay una dimensión de la protección de datos que se pasa por alto. Quizás porque es menos tangible que una multa: la confianza. Un despacho legal y fiscal tiene como imprescindible la confidencialidad. Sus clientes le confían información que no comparten con nadie más. Y si esa confianza se rompe —por una brecha de seguridad, por una sanción de la AEPD, o simplemente porque el cliente descubre que sus datos no estaban bien gestionados— el daño es difícilmente reversible.
La digitalización fiscal obliga a actualizar las cláusulas de información y las políticas de privacidad para reflejar con precisión cómo se tratan los datos en este nuevo entorno. Nos referimos a qué sistemas se utilizan, qué proveedores tecnológicos intervienen, si se realizan remisiones automáticas de información a la Administración y en qué condiciones. El artículo 13 del RGPD exige que esta información se facilite de manera clara, concisa y accesible, y la AEPD ha sancionado repetidamente a organizaciones cuyas políticas de privacidad eran genéricas, desactualizadas o simplemente incompletas.
Cumplir bien en este ámbito no solo evita sanciones. Proyecta una imagen de profesionalidad y rigor que es, en sí misma, un argumento diferenciador en un mercado donde la competencia entre despachos es cada vez más intensa.
Protección de datos en la digitalización fiscal. Cómo afrontar este reto
La conclusión práctica de todo lo anterior es que la protección de datos en la digitalización fiscal no puede abordarse como un problema que se resuelve de una vez y para siempre. Es un proceso continuo que requiere revisar contratos, actualizar políticas, auditar sistemas, formar al equipo y adaptarse a los cambios normativos que seguirán produciéndose en los próximos años.
Los pasos más urgentes para cualquier despacho, o empresa, que quiera estar realmente al día son, en esencia, estos:
✓ Verificar que los contratos de encargo de tratamiento con clientes y proveedores tecnológicos están actualizados y contemplan la realidad de la facturación electrónica.
✓ Revisar las políticas de conservación de datos para asegurarse de que respetan tanto las obligaciones fiscales como los principios del RGPD.
✓ Implementar un protocolo de respuesta ante brechas de seguridad que permita reaccionar dentro del plazo de 72 horas.
✓ Actualizar las cláusulas de información a los interesados para reflejar el uso de sistemas como Verifactu y los proveedores tecnológicos asociados.
En Femar Asesores llevamos tiempo acompañando a empresas y profesionales autónomos en este proceso de adaptación, combinando el asesoramiento fiscal con una visión integral del cumplimiento normativo.
Porque, en la nueva realidad de la fiscalidad digital, hacer las cosas bien no es solo una obligación legal. También, es la mejor forma de proteger a los clientes, al negocio y a la reputación que se ha tardado años en construir.
Si tienes dudas sobre cómo afecta todo esto a tu empresa o negocio, estamos aquí para ayudarle.
