Las facturas que emite y recibe un autónomo concentran la mayor parte de los datos personales que pasan por su actividad. Nombre, NIF, dirección, importe, descripción del servicio, en ocasiones cuenta bancaria del cliente. Conservar esa documentación es obligatorio durante varios años por motivos contables, fiscales y civiles. Pero conservarla de cualquier manera —en una carpeta del escritorio, en un Dropbox personal, en un correo sin clasificar— no es lo que exige el RGPD.
Esta guía explica cómo gestiona un autónomo la conservación de facturas y datos fiscales conforme al RGPD (Reglamento UE 2016/679), la LOPDGDD (Ley Orgánica 3/2018), el Código de Comercio, la Ley General Tributaria y el Reglamento de Facturación (Real Decreto 1619/2012), con énfasis en lo que el autónomo medio realmente necesita: qué plazos aplicar, cómo decidir si pedir o no el NIF al cliente, dónde guardar las copias y qué hacer cuando se cesa la actividad.
Los tres plazos que conviven sobre la misma factura
Una factura emitida por un autónomo se rige simultáneamente por al menos tres marcos normativos con plazos distintos. Conviene tenerlos claros para no quedarse corto ni guardar de más:
| Norma | Plazo general | Excepciones / extensiones |
|---|---|---|
| Código de Comercio (art. 30) | Seis años desde el último asiento, para libros, correspondencia, documentación y justificantes. | Disposiciones generales o especiales que exijan plazos mayores. |
| Ley General Tributaria | Cuatro años de prescripción para deudas tributarias. | Bases imponibles negativas o cuotas pendientes de compensar: hasta diez años. |
| Código Civil (art. 1964) | Cinco años para acciones personales sin plazo específico. | Acciones específicas (defectos, responsabilidad profesional) con plazos propios. |
| Normas sectoriales | Variable. | Construcción (responsabilidades decenales del art. 17 LOE), prevención de blanqueo (diez años), etc. |
La regla práctica del autónomo medio es conservar la facturación al menos seis años desde el último asiento contable, que es el plazo del Código de Comercio. Eso cubre también la prescripción tributaria general y la civil ordinaria. Para sectores con plazos específicos más largos (construcción con responsabilidades decenales, profesionales obligados por la Ley 10/2010 de prevención del blanqueo), el plazo se ajusta al específico.
NIF del cliente: cuándo es obligatorio y cuándo es desproporcionado
El Reglamento de Facturación distingue dos escenarios:
- Factura completa: cuando el destinatario es empresario o profesional, o se trata de operación intracomunitaria, hace falta incluir el NIF/CIF del destinatario. Esta es la situación normal en B2B y en servicios profesionales que el cliente quiere deducir.
- Factura simplificada (antiguo "ticket"): para operaciones B2C de menor importe, no es necesario el NIF del cliente. El propio Reglamento permite una factura simplificada sin identificar al destinatario en operaciones por debajo de los umbrales establecidos. Si el cliente la pide para deducirse el gasto, se eleva a factura simplificada con datos completos y entonces sí se identifica.
El principio de minimización del art. 5.1.c RGPD obliga a no recoger datos que no son necesarios para la finalidad. Un autónomo que vende al consumidor final no debe convertir en rutina el pedir el DNI a cada cliente que no lo requiere para deducirse el gasto. Pedir el NIF "por si acaso" o "para el seguimiento" es un tratamiento de datos sin base jurídica suficiente.
Dónde guardar las facturas: nube profesional o local cifrado
La conservación digital de las facturas se hace típicamente por dos vías:
- Software de facturación con almacenamiento integrado (Holded, Quaderno, Factura Directa, Anfix, Sage, ContaSimple, etc.). El proveedor actúa como encargado del tratamiento (art. 28 RGPD) y debe firmar el contrato correspondiente, normalmente incluido en sus condiciones generales. Hay que comprobar que cubre subencargados, transferencias internacionales y devolución de los datos al cesar el servicio.
- Almacenamiento en la nube (Google Workspace, OneDrive for Business, Dropbox Business, iCloud para profesionales). Mismo régimen: el proveedor es encargado, debe firmarse el contrato del art. 28 RGPD, y las versiones gratuitas o personales no son adecuadas porque no incluyen ese contrato.
Lo que no es adecuado profesionalmente:
- Drive personal, Dropbox Basic, iCloud personal compartido con la familia.
- Correo electrónico como archivo principal (las facturas mezcladas con correos personales, sin clasificación, sin seguridad reforzada).
- Pendrive sin cifrar que circula entre el portátil y el ordenador de la gestoría.
- Carpeta del escritorio sin copia de seguridad.
El método razonable: software de facturación profesional con backup automático + copia de seguridad cifrada en una nube profesional + entrega periódica a la gestoría por canal seguro. Las facturas no deberían vivir nunca en un único sitio: si ese sitio falla, se pierde el negocio.
La gestoría como encargado: el contrato del art. 28 RGPD
La práctica totalidad de autónomos en España trabaja con una gestoría que recibe sus facturas para presentar IVA, IRPF y resúmenes anuales. La gestoría actúa como encargada del tratamiento sobre los datos del autónomo y de sus clientes. La relación exige un contrato del art. 28 RGPD con el contenido mínimo del art. 28.3:
- Objeto y duración, naturaleza y finalidad, tipos de datos y categorías de interesados.
- Obligaciones del responsable (el autónomo) y de la encargada (la gestoría).
- Confidencialidad del personal de la gestoría.
- Medidas de seguridad: cifrado en tránsito, control de accesos, copias de seguridad.
- Régimen de subencargados: si la gestoría usa software de un tercero, esa subcontratación debe estar autorizada.
- Asistencia para derechos del interesado y notificación de brechas.
- Devolución al finalizar la relación: la gestoría devuelve la documentación al autónomo, no se limita a destruirla (art. 28.3.g RGPD). Es especialmente importante cuando el autónomo cambia de gestoría.
La mayoría de las gestorías serias ofrecen este contrato como anexo a su hoja de encargo. El autónomo debe revisarlo, firmarlo y archivarlo. Si la gestoría no ofrece ese contrato o se niega a firmarlo, conviene plantearse cambiar de gestoría.
"El plazo de conservación más típico del autónomo no es el del RGPD: es el del Código de Comercio. Seis años desde el último asiento. Lo que ocurre es que esa documentación lleva incorporados datos personales, y por eso hay que custodiarla con las medidas del RGPD. La factura no se conserva porque la pida el RGPD; se conserva por el Código de Comercio, y se protege con el RGPD."
Mario P. Talamillo · Socio director, Certix®
Cuando un cliente pide la supresión de sus datos
El derecho de supresión del art. 17 RGPD es uno de los puntos donde más confusión hay en el sector. La regla práctica es:
- Si el cliente solicita la supresión y existe una obligación legal de conservación (contable, fiscal, civil), el autónomo no puede borrar la documentación; debe responder explicando la obligación y el plazo. Pasado el plazo, procede la supresión.
- Si los datos están en tratamientos accesorios (lista de marketing, agenda del móvil, fichas comerciales sin obligación legal), la supresión debe atenderse en plazo.
- El plazo para responder a una solicitud de supresión es de un mes desde la recepción, ampliable a dos más si la solicitud es compleja (art. 12.3 RGPD), informando al interesado de la prórroga.
- La respuesta debe ser por escrito y conservarse en el archivo del autónomo para acreditar el cumplimiento.
Cese de actividad: la fase que casi nadie planifica
El cese de actividad del autónomo —jubilación, cambio de profesión, salida del régimen— no elimina las obligaciones de conservación todavía vigentes. La documentación contable y fiscal sigue protegida por los plazos del Código de Comercio y la LGT durante varios años después del último asiento.
Las opciones razonables del autónomo que cesa son:
- Custodia propia: organizar el archivo y conservarlo en su domicilio con las medidas de seguridad razonables. Es viable para autónomos con poco volumen documental.
- Custodia por la gestoría: muchas gestorías ofrecen el servicio de conservación documental pos-cese. Requiere un contrato del art. 28 RGPD que cubra esa fase.
- Servicio profesional de custodia documental: empresas especializadas que conservan archivos físicos y digitales con garantías técnicas. Adecuado para autónomos con volumen alto o documentación sensible.
Cumplidos todos los plazos, procede la destrucción segura: triturado de papel mediante destructora con nivel de seguridad apropiado o servicio profesional certificado, borrado seguro de archivos digitales mediante herramientas que sobrescriban el espacio liberado, y baja oficial de cualquier base de datos profesional residual.
Checklist de facturación y conservación
- Plazo general de conservación de seis años desde el último asiento (Código de Comercio), ampliable según situaciones específicas.
- NIF del cliente solo cuando es necesario por el Reglamento de Facturación; sin convertirlo en rutina.
- Software de facturación profesional con contrato del art. 28 RGPD firmado y archivado.
- Copia de seguridad cifrada en nube profesional (no en versiones personales gratuitas).
- Contrato del art. 28 RGPD con la gestoría externa, con devolución al finalizar.
- Procedimiento documentado para atender solicitudes de supresión (con o sin plazo legal pendiente).
- Plan de cese de actividad que prevea la conservación durante los plazos pendientes y la destrucción segura al final.
- Revisión anual del archivo: qué documentación cumple plazo y puede destruirse, qué nueva documentación entra.
Preguntas frecuentes
¿Cuánto tiempo tiene que conservar un autónomo las facturas emitidas y recibidas?
Como referencia general, el art. 30 del Código de Comercio fija seis años desde el último asiento. La LGT fija plazos generales de prescripción de cuatro años, ampliables a diez en caso de bases negativas o cuotas pendientes. El art. 1964 CC establece cinco años para acciones civiles ordinarias. La regla práctica: conservar al menos seis años desde el último asiento, ajustando al alza para sectores con plazos específicos (construcción, prevención de blanqueo).
¿Tiene que conservar el autónomo el DNI o NIF del cliente en cada factura emitida?
El Reglamento de Facturación exige NIF del destinatario en factura completa cuando es empresario o profesional o en operaciones intracomunitarias. En B2C habitual basta con factura simplificada sin NIF. Pedir el DNI "por si acaso" a clientes que no lo requieren vulnera el principio de minimización del art. 5.1.c RGPD.
¿Las copias de las facturas en la nube son lícitas para un autónomo?
Sí, si se cumplen dos condiciones: contrato del art. 28 RGPD con el proveedor (que incluyen las versiones profesionales como Google Workspace, OneDrive for Business, Dropbox Business) y análisis de transferencias internacionales si los servidores están fuera del EEE. Las versiones gratuitas o personales no incluyen ese contrato y no son adecuadas para datos profesionales.
¿Qué pasa con los datos del cliente cuando el autónomo cesa su actividad o se jubila?
El cese no elimina las obligaciones de conservación todavía vigentes. La documentación contable y fiscal debe conservarse durante los plazos del Código de Comercio (seis años) y la LGT (cuatro años de prescripción general). Opciones: custodia propia, custodia por la gestoría con contrato art. 28 RGPD que cubra esa fase, o servicio profesional de custodia documental. Cumplidos los plazos, destrucción segura.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Tienes ordenada la conservación documental de tu actividad como autónomo?
En Certix te asignamos un experto en cumplimiento para autónomos. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto