La factura electrónica obligatoria ya no es una tendencia: es una realidad que afectará a cómo emitimos, recibimos y custodiamos las facturas entre empresas. Mientras ajustas tu ERP y eliges proveedor, hay un frente igual de crítico: el cumplimiento del RGPD.
Hacienda marcará el qué y el cuándo; la AEPD vigilará el cómo se tratan los datos personales y qué garantías aplicas en tu circuito de facturación. Si anticipas ambos planos (tecnológico y jurídico), la implantación será fluida y sin sustos.
La factura electrónica no es un simple “formato”. Es un ecosistema que abarca interoperabilidad entre soluciones, estados de factura, posibles repositorios o plataformas y una trazabilidad más fina. Todo ello conlleva metadatos, personas de contacto, identificadores y logs que, a efectos del RGPD, son datos personales.
En la práctica, afecta a todo el ciclo de ventas (presupuesto, pedido, entrega, facturación, cobro), al ciclo de compras (pedido, recepción, conformidad, pago) y a la contabilidad (registro, conciliación, conservación). En cada punto se decide qué datos capturas, con quién los compartes, cuánto tiempo los conservas y con qué seguridad los proteges.
Aunque convivan en tu ERP, persiguen finalidades distintas. La e-factura impulsa la trazabilidad B2B y la reducción de morosidad; el llamado software antifraude busca la integridad e inalterabilidad de los registros. Mezclar requisitos suele generar gaps contractuales y sobrecostes. Conviene separar qué pide cada marco y dónde se tocan (por ejemplo, en logs y controles de acceso).
Hacienda exige emisión electrónica, intercambio e incluso comunicación de estados para conocer el ciclo de vida de la factura. Para cumplir sin fricciones con RGPD:
Si utilizas una plataforma pública para emitir o como repositorio de estados o copias, hay que precisar quién es responsable, con qué bases actúa y con qué garantías se accede a la información.
Este es un punto de atención para la AEPD, especialmente cuando los metadatos pueden revelar información no necesaria o cuando una copia fiel de la factura circula a un repositorio central.
La AEPD va a mirar proporcionalidad, minimización y licitud en cada paso. Donde suelen aparecer tensiones:
Principios RGPD que debes “aterrizar” ya:
El éxito está en llegar a la prueba en preproducción con la documentación y la gobernanza cerradas. Nuestro enfoque prioriza lo que un auditor pediría mañana.
1) Registro de Actividades de Tratamiento (RAT) específico
Incluye finalidades, bases legales, categorías de datos, sistemas implicados, plazos de conservación, destinatarios (plataforma pública, integradores, cloud), transferencias y medidas técnicas. Es la columna vertebral de tu cumplimiento.
2) Análisis de riesgos y, si procede, EIPD
Valora volumen, exposición, interoperabilidad y consolidación de copias. Si identificas alto riesgo (p. ej., repositorios centrales o presencia probable de datos sensibles en conceptos), realiza una EIPD con plan de tratamiento.
3) Contratos de encargo (art. 28 RGPD)
Con tu ERP, proveedor de e-factura, SaaS y conectores. Exige instrucciones claras, subencargados listados, ubicaciones de datos, cifrado, MFA, segmentación, logs, notificación de brechas y auditorías. Si el proveedor define finalidades propias, valora corresponsabilidad.
4) Minimización aplicada a plantillas y adjuntos
Revisa plantillas: evita conceptos “habladores”. Sustituye detalles de diagnóstico, afiliación o asuntos por descripciones neutras. Revisa adjuntos (órdenes, albaranes) y metadatos de estados: muchos arrastran nombres y correos innecesarios.
5) Conservación, bloqueo y borrado efectivo
Define plazos según obligaciones fiscales; implementa bloqueo y borrado en ERP, DMS, backups y repositorios. Evita copias paralelas en correo y carpetas compartidas.
6) Derechos de las personas y trazabilidad
Tu plan de derechos debe contemplar múltiples sistemas y proveedores. Define propietarios, plazos, bitácoras y pruebas (capturas, tickets, hash de exportaciones).
La interoperabilidad entre soluciones privadas y una posible plataforma pública solo es segura si antes dibujas el ciclo de vida de la factura y marcas qué datos mínimos viajan en cada estado (emitida, aceptada, rechazada, cobrada, impagada). Evita texto libre, usa catálogos codificados para motivos y métodos, y prohíbe adjuntos que no tengan justificación contable.
Con ese inventario reduces exposición y puedes cerrar contratos art. 28 a medida: tu empresa como responsable define finalidades y campos obligatorios; el proveedor/ERP como encargado ejecuta instrucciones con seguridad y retención; y la plataforma pública, si interviene, actúa con atribución legal y acceso limitado a metadatos imprescindibles. Todo ello documentado en el RAT, con plazos de conservación diferenciados para documento y metadatos.
Adoptar la factura electrónica obligatoria con garantías pasa por alinear software, contratos y gobernanza de datos bajo el RGPD.
Si definimos la base jurídica por flujo, aplicamos minimización en plantillas y metadatos, formalizamos encargos del art. 28, y blindamos la seguridad con controles auditables, el proyecto no solo cumple: reduce riesgos, acelera cobros y aporta trazabilidad real.
El mapa de roles y estados convierte la interoperabilidad en un proceso predecible y defendible ante auditorías o requerimientos.
La conversación regulatoria sobre inteligencia artificial ha dejado de ser teórica. La Agencia Española de…
Una resolución que marca tendencia. La Agencia Española de Protección de Datos (AEPD) ha ratificado…
AEPD lo deja claro: DNI sin copias en hoteles Cada verano se repite la misma…
El avance de la digitalización ha traído consigo nuevas formas de trabajar y de comunicarnos.…
La tecnología de reconocimiento facial ha ganado terreno en múltiples sectores, desde la seguridad hasta…
Registro biométrico y control horario: prohibición, multas y alternativas El control horario de los trabajadores…