En la rutina administrativa de cualquier Pyme o autónomo, el intercambio mensual de documentación con la asesoría o gestoría externa es una tarea automatizada y habitual. Facturas de ventas, facturas de proveedores, hojas de gastos y, muy especialmente, las nóminas de la plantilla con sus correspondientes variaciones (bajas médicas, horas extraordinarias, retenciones de IRPF o datos bancarios) viajan de un lado a otro mediante el correo electrónico.
Sin embargo, lo que para la mayoría de las empresas es un simple «adjuntar y enviar» constituye, desde el punto de vista del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), una de las brechas de seguridad y fuentes de sanción más frecuentes en la pequeña y mediana empresa en España.
El correo electrónico ordinario no es, por defecto, un canal cifrado de extremo a extremo ni un medio concebido para el envío masivo de información de categoría especial o de alto impacto para la privacidad. A lo largo de esta guía práctica explicamos qué exige la normativa actual, los riesgos legales de enviar nóminas y facturas sin protección y qué herramientas y protocolos sencillos puedes aplicar en tu Pyme para trabajar con tu gestoría sin exponer la empresa a multas de la Agencia Española de Protección de Datos (AEPD).
El peligro de enviar nóminas y facturas por e-mail sin protección
Para entender la dimensión del riesgo, conviene diferenciar el tipo de información que contienen los documentos que habitualmente se remiten a la asesoría laboral y fiscal:
- Facturas comerciales y de proveedores: Contienen datos identificativos de autónomos, clientes y proveedores (NIF, nombres completos, direcciones postales, correos y números de cuenta bancaria o IBAN). Aunque muchos de estos datos pertenecen a personas jurídicas (sociedades mercantiles), un volumen importante corresponde a empresarios individuales o clientes finales, plenamente amparados por la LOPD.
- Nóminas y documentación de Recursos Humanos: Las nóminas no solo reflejan la retribución económica de un trabajador. Contienen datos de alta sensibilidad: grado de discapacidad, grado de afiliación sindical (en ocasiones deducible en nómina), retenciones por embargos judiciales o pensiones alimenticias, descuentos por bajas de enfermedad y el número de la Seguridad Social.
Cuando se envía un archivo PDF o Excel con 20 nóminas o un paquete de facturas en un correo electrónico convencional sin cifrar ni proteger por contraseña, cualquier error en la dirección del destinatario (el clásico fallo del autocompletar de Gmail o Outlook) o cualquier acceso no autorizado a la bandeja de entrada expone de inmediato esa información a terceros no autorizados.
¿Qué dice la AEPD sobre el envío de nóminas por correo electrónico?
La Agencia Española de Protección de Datos (AEPD) ha sancionado en reiteradas ocasiones a Pymes y despachos profesionales por el envío inadecuado de nóminas y documentación laboral. Los criterios fijados por la AEPD en sus resoluciones establecen que:
- Responsabilidad proactiva (Artículo 24 RGPD): La empresa (como responsable del tratamiento) debe aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. El envío de archivos adjuntos con datos de salud o económicos sin cifrado se considera una falta de diligencia técnica.
- El error humano no exime de sanción: Enviar la nómina de un empleado a otro trabajador por equivocación o remitir la documentación fiscal a un cliente equivocado no se justifica como un «despiste involuntario». Para la AEPD constituye una brecha de seguridad que vulnera el deber de confidencialidad (Artículo 5.1.f RGPD).
- Notificación de brechas de seguridad (Artículo 33 RGPD): Si un correo no cifrado con datos sensibles de nóminas o facturas llega a un tercero no autorizado, la empresa tiene la obligación legal de evaluar la brecha y, si supone un riesgo para los derechos de los afectados, notificarlo a la AEPD en un plazo máximo de 72 horas.
Requisitos legales obligatorios en la relación Pyme – Gestoría
Antes de analizar la vía técnica para el envío de archivos, existen dos pilares legales indispensables que toda Pyme debe tener en regla en su relación con la gestoría externa:
1. El contrato de Encargado de Tratamiento (Artículo 28 del RGPD)
La gestoría o asesoría no es un «tercero» ajeno; actúa como Encargado del Tratamiento de la Pyme. Para que el trasvase de facturas y nóminas sea legal, es obligatorio firmar un contrato específico según el Artículo 28 del RGPD donde se regule:
- La finalidad del acceso a los datos (gestión contable, fiscal y laboral).
- El compromiso de confidencialidad del personal de la gestoría.
- Las medidas de seguridad que la gestoría se compromete a mantener.
- La prohibición de subcontratar otros servicios sin autorización previa de la Pyme.
2. El deber de información a los empleados
Los trabajadores deben estar adecuadamente informados en sus cláusulas de protección de datos de que sus datos personales, laborales y económicos serán comunicados a la gestoría encargada de la confección de las nóminas y la gestión de los seguros sociales (TGSS).
Alternativas y herramientas para enviar documentación sensible de forma segura
Afortunadamente, adaptar la operativa diaria con la gestoría no exige grandes inversiones económicas ni sistemas complejos. Existen tres alternativas progresivas para eliminar el riesgo en el envío de archivos:
| Método de envío | Nivel de seguridad | Cumplimiento LOPD | Complejidad práctica
|
|---|---|---|---|
| Correo ordinario con adjuntos abiertos (PDF/Excel) | Inaceptable / Muy Alto Riesgo | Infracción habitual | Ninguna (pero muy peligroso) |
| PDF comprimido en ZIP protegido con contraseña | Medio / Aceptable para volumen bajo | Cumple si la clave va por canal distinto | Muy baja |
| Enlace de descarga caduco mediante almacenamiento cifrado | Alto / Seguro | Cumple plenamente | Baja |
| Portal del cliente / Plataforma en la nube de la gestoría | Excelente / Recomendado | Cumple al 100% | Óptima (Proceso automatizado) |
Protocolo recomendado: Cómo enviar tus facturas y nóminas paso a paso
Si tu Pyme continúa utilizando el correo electrónico diario como canal principal de comunicación con la gestoría, te recomendamos implantar de forma inmediata este protocolo interno:
Paso 1: Cifrar siempre los archivos con contenido sensible
Nunca adjuntes hojas de cálculo o documentos PDF de nóminas «en abierto». Utiliza herramientas gratuitas como 7-Zip o WinRAR para comprimir el archivo y añadirle una contraseña fuerte (combinando letras, números y símbolos).
Paso 2: Enviar la contraseña por un canal secundario
Jamás incluyas la clave de acceso en el mismo correo electrónico en el que adjuntas el archivo cifrado. Envía la contraseña a tu gestor a través de una aplicación de mensajería corporativa, un SMS o llamada telefónica. Si un ciberdelincuente intercepta el correo, no podrá abrir el archivo.
Paso 3: Migrar progresivamente a un portal de cliente seguro
La solución definitiva para Pymes y despachos es abandonar el correo electrónico para el envío de documentación contable y laboral, adoptando portales web o plataformas cloud que garanticen transferencias cifradas bajo protocolo HTTPS y acceso mediante usuario y contraseña individual.
Cómo proteger la operativa legal y digital de tu negocio
El envío seguro de facturas y nóminas a la asesoría es solo un eslabón del cumplimiento normativo en la empresa. Revisar los contratos con proveedores, adaptar las cláusulas laborales y auditorar los flujos de trabajo evita sanciones administrativas e interrupciones en la actividad comercial.
Para asegurar que los protocolos de tu empresa cumplen al 100% con las exigencias del RGPD, puedes contratar una adecuada consultoría LOPD y Protección de Datos o solicitar una revisión detallada de tus procesos mediante la auditoría de protección de datos de Acoran.
Preguntas frecuentes
¿Es ilegal enviar la nómina de un trabajador a su correo electrónico personal?
No es ilegal, pero requiere contar con la autorización previa del trabajador o que esté fijado por convenio o acuerdo de empresa. Además, el correo debe ser enviado de forma individualizada (nunca en copia masiva sin CCO) o, preferiblemente, mediante archivos PDF protegidos con contraseña (por ejemplo, los últimos dígitos del DNI del empleado) o mediante el portal del empleado.
¿Qué ocurre si envío por error un paquete de facturas a un correo equivocado?
Se produce una brecha de seguridad en materia de protección de datos. Debes ponerte en contacto de inmediato con el receptor erróneo para solicitar la eliminación permanente del mensaje y sus adjuntos, documentar internamente el incidente en el registro de incidencias de la empresa y valorar si es necesario notificar a la AEPD en un plazo de 72 horas.
¿Puede la gestoría exigir que le envíe los datos sin cifrar para ir más rápido?
No. La responsabilidad principal sobre la custodia de los datos de los empleados y clientes recae sobre la Pyme (responsable del tratamiento). Si la gestoría solicita el envío en abierto, la Pyme debe negarse y exigir el uso de canales seguros o plataformas de intercambio cifradas para cumplir ambas partes con la legalidad.
¿Es suficiente con poner una cláusula de confidencialidad al pie del correo?
No. Las típicas cláusulas al pie del e-mail («Si usted no es el destinatario de este mensaje…») tienen un valor legal y probatorio muy limitado ante la AEPD. No sustituyen a la obligación técnica de proteger el contenido ni evitan las sanciones si se han adjuntado datos sensibles de forma desprotegida.
Otros artículos de interés:
E-commerce y RGPD en el checkout: Cómo enviar correos de carritos abandonados sin recibir una sanción de la AEPD
Comentarios recientes