Todos los que nos dedicamos al mundo de la privacidad, se nos ha consultado alguna vez si la información contenida en una factura, se pueden considerar datos personales. La respuesta hasta finales de 2007 es que sí, siempre y cuando hubiera un nombre, apellidos y/o un NIF/CIF de una persona física. De ahí que eran a las entidades se les aconsejaba declarar ante la Agencia Española de Protección de Datos los ficheros de «clientes», «proveedores», «clientes y proveedores», «facturación», etc., en función de cómo se organizara la entidad que se quería adaptar a la normativa de protección de datos.
Pero llegó finales de 2007 nuestro querido Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, con sus excepciones en la aplicación del mismo, reflejadas en sus artículos 2.2 y 2.3 y parece que el criterio cambio. Y hago mención a este Real Decreto, porque, salvo en el caso de una factura en que existan datos de un consumidor final que siempre será considerada como una factura que trata datos personales, a las facturas que emiten los empresarios individuales (es decir, los autónomos), bien se les podría aplicar la excepción del artículo 2.3 del Real Decreto 1720/2007 que señala que «los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal.» (en esta entrada no se pretende valorar lo ya comentado muchas veces de cómo un Real Decreto puede excepcionar el cumplimiento de todo un régimen jurídico establecido por una norma legal).
Pues bien, hubo muchas entidades que consideraron que los ficheros de proveedores y, en muchos caso, de clientes (salvo todo lo ya comentado de consumidores finales), ya no se les aplicaba el régimen de protección de datos.
Quiero en este punto señalar una Ley que se publicó en Boletín pocos días después del Real Decreto 1720/2007: La Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información y concretamente en lo que estipula su artículo 1.5:
«Será de aplicación al tratamiento y conservación de los datos necesarios para la facturación electrónica lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y sus normas de desarrollo.»
Es decir, por un lado existe un Reglamento que nos señala que a los datos de empresarios individuales no se les aplica el régimen de protección de datos y por otro una Ley que indica que en el tratamiento y conservación de facturación electrónicas si se les aplica ese régimen. Con una lectura más detenida de la Ley 56/2007 es fácil darse cuenta que en el artículo 1 se está haciendo referencia a la facturación electrónica en el marco de la contratación con el sector público estatal, quedando por tanto fuera, el resto de la facturación electrónica y la facturación «en papel».
Si volvemos a la pregunta inicial, la respuesta sería otra: Depende, ya que:
- En todo tipo de factura, si se emite a un consumidor final, sí se estarían ante datos de carácter personal.
- En las facturas «en papel», si no se emite a un consumidor final o se recibe de un autónomo, podría excepcionarse el régimen de protección de datos.
- En las facturas electrónicas, si no se emite para el sector público o se reciben de un autónomo, también podrían excepcionarse del régimen de protección.
- En las facturas electrónicas, si se emiten para el sector público, habría que aplicar el régimen de protección de datos.
Ahora sólo queda al arbitrio de la entidades con diferentes tipos de facturas, si aplicar el régimen de protección de datos a todas sus facturas o bien, gestionar diferentes ficheros, en función del tipo de facturación.
Autor:
Gontzal Gallo
Especialista en Derecho de las TIC
Colegiado en el Ilustre Colegio de Abogados del Señorío de Vizcaya
Twitter: @gongaru
Linkedin: Gonzalo Gallo
Google+: +Gontzal Gallo
Entre Códigos Civiles y Androides 
Buenas tardes.
Excelente análisis sobre la aplicación de la LOPD a la facturación electrónica.
Leyendo su artículo me ha saltado la duda sobre qué tipo de medidas de seguridad se le aplicarían a este tipo de ficheros, teniendo en cuenta el RD 1720/2007.
¿Me podría echar un cable?
Gracias Antonio.
En mi opinión, en líneas generales se les aplicarían las medidas de nivel básico, a no ser que en el concepto de la factura haya datos especialmente protegidos (salud). Se me ocurre, el caso de facturas médicas.
Saludos.