RGPD agricultura: anonimizar facturas y cuaderno de campo sin borrar lo que la ley obliga a conservar

Una explotación agraria produce datos personales en casi todos sus registros: la ficha del temporero que fichó en agosto, el albarán firmado por el cliente de la cooperativa, la factura electrónica con el NIF de la compradora, la anotación del cuaderno que vincula un tratamiento fitosanitario al aplicador con carné. Cuando ese trabajador o cliente ejerce su derecho a la supresión —lo que comúnmente se llama "derecho al olvido"— la primera reacción es teclear «Eliminar». Ese clic, en muchos casos, es un error que genera dos infracciones simultáneas: una de protección de datos por no gestionar correctamente la base jurídica de conservación, y otra tributaria o laboral por destruir un documento que la ley exige custodiar.

Esta guía explica con precisión las tres operaciones que se confunden habitualmente —borrado, anonimización y conservación obligatoria—, establece los plazos legales concretos que aplican a cada tipo de registro agrario, y describe cómo un software de gestión como Campodato implementa estos mecanismos respetando a la vez el RGPD y las obligaciones sectoriales.

---

Módulo 1. El mapa del problema: por qué en la explotación agraria coexisten tres regímenes

1.1 Tres categorías de dato, tres tratamientos distintos

El RGPD (Reglamento UE 2016/679) no dice que todo dato personal se deba borrar cuando alguien lo pide. El art. 17.3 establece explícitamente que el derecho de supresión no se aplica cuando el tratamiento es necesario para cumplir una obligación legal (letra b) o para formular, ejercer o defender reclamaciones jurídicas (letra e). Ahí reside la distinción fundamental.

1.2 Por qué el cuaderno SIEX y las facturas Verifactu son inmutables por diseño legal

El Cuaderno Único de Explotación (CUE) regulado por el RD 1054/2022 y la Orden APA/204/2023 requiere que los registros de labores, tratamientos fitosanitarios, fertilización y cosecha queden vinculados al recinto SIGPAC y sean verificables por la Administración autonómica a través del IUWS. La Administración no accede de forma continua —solo ante un control oficial—, pero cuando lo hace, los datos deben coincidir exactamente con lo enviado en las remisiones trimestrales al SIEX. Alterar o borrar esos registros después de la remisión sería una declaración falsa ante la Administración.

Las facturas generadas bajo el sistema Verifactu (RD 1007/2023 y la Orden HAC/1177/2024) tienen una capa adicional de protección: cada registro de alta lleva una huella SHA-256 encadenada con el registro anterior, y esa cadena se remite a la AEAT. El art. 8 del RD 1007/2023 prohíbe expresamente el UPDATE o DELETE físico de registros del sistema de facturación; cualquier corrección se realiza siempre como un nuevo registro de anulación o subsanación encadenado al original. Borrar físicamente una factura selada no es solo una infracción del RGPD —es una infracción tributaria del art. 201 bis LGT con sanciones de hasta 150.000 euros.

La conclusión es operativa: el cuaderno de campo legal y las facturas Verifactu son registros sellados e inmutables por mandato de la norma sectorial, y esa inalterabilidad prevalece sobre el derecho de supresión del interesado. Lo que sí se puede —y se debe— hacer es anonimizar los datos personales de esos registros una vez transcurrido el plazo de conservación obligatorio.

---

Módulo 2. Plazos de conservación obligatoria: la tabla que toda gestoría debe tener a mano

El art. 5.1.e) RGPD exige que los datos no se conserven más tiempo del necesario para los fines del tratamiento. Pero ese límite lo fija la norma sectorial, no el responsable de forma discrecional. Los plazos concretos que aplican a la explotación agraria son los siguientes.

2.1 Plazos verificados contra fuente normativa

Nota metodológica: los plazos marcados como «validar con fuente oficial» se basan en la interpretación de la norma de referencia indicada, pero pueden estar sujetos a desarrollo reglamentario pendiente de publicación o a interpretaciones de la AEPD y la ITSS. Se recomienda consultar el texto vigente en el BOE y las guías de la AEPD antes de aplicar en un RAT (Registro de Actividades de Tratamiento).

2.2 Qué ocurre cuando vence el plazo: bloqueo primero, supresión después

El RGPD no exige borrar en el mismo momento en que vence el plazo de conservación. El art. 5.1.e) habla de «limitación del plazo de conservación», y la guía de la AEPD sobre el principio de limitación del plazo distingue dos fases:

1. Bloqueo: los datos se marcan como bloqueados, dejan de ser accesibles para operaciones ordinarias del sistema y solo son consultables por requerimiento de la Administración o para el ejercicio o defensa de reclamaciones. El personal sin autorización específica no puede verlos ni procesarlos.

1. Supresión o anonimización: transcurrido el plazo adicional de prescripción de posibles reclamaciones (normalmente coincide con el plazo general de prescripción civil de 5 años del art. 1964 CC o el tributario de 4 años LGT), se procede a la supresión definitiva o a la anonimización irreversible del dato personal residual.

Esta secuencia —bloqueo primero, supresión después— es la que Campodato implementa en su motor de retención por categoría de dato.

---

Módulo 3. Borrado, anonimización y seudonimización: no son lo mismo

3.1 Definiciones operativas

Borrado o supresión: eliminación definitiva e irrecuperable del dato. Tras el borrado, no existe ningún vínculo entre el dato eliminado y la persona a la que se refería. Es la respuesta correcta cuando no existe base jurídica alguna para conservar el dato.

Anonimización: transformación irreversible del dato de modo que el resultado no permita identificar al interesado ni directa ni indirectamente, incluso poniendo en correlación todos los medios razonablemente disponibles. Un dato verdaderamente anónimo deja de ser dato personal y queda fuera del ámbito del RGPD (Considerando 26). Sin embargo, la AEPD advierte que la anonimización es una operación de tratamiento que requiere la misma base jurídica que cualquier otro tratamiento.

Seudonimización: sustitución de identificadores directos (nombre, NIF, número de Seguridad Social) por un seudónimo, de modo que la reidentificación sea posible si se dispone de la tabla de correspondencia. Los datos seudonimizados siguen siendo datos personales y siguen sometidos al RGPD. La seudonimización es una medida de seguridad, no una forma de eludir los derechos de los interesados.

3.2 Cuándo anonimizar en lugar de borrar

La anonimización es la solución correcta cuando:

• El registro debe conservarse por obligación legal (factura, anotación del cuaderno, asiento de bodega), pero el plazo de conservación del dato personal asociado ha vencido.
• Se necesita el agregado estadístico (kilos cosechados por parcela, horas trabajadas por campaña) pero no la identidad del trabajador que ejecutó la labor.
• El interesado ejercita su derecho de supresión y el registro subyacente es legalmente retenible.

En la práctica, la anonimización en el contexto agrario funciona así: cuando vence el plazo de conservación del dato personal (por ejemplo, los datos del aplicador de un tratamiento fitosanitario tras 3 años), se sustituye el identificador personal por un código interno no reversible. El registro de tratamiento sigue existiendo —con cultivo, producto, dosis, recinto SIGPAC— pero ya no vincula ese registro a una persona identificable. El cuaderno legal queda intacto; el dato personal, eliminado.

---

Módulo 4. Derechos ARCO+: cómo gestionarlos en una explotación con registros legales

4.1 El catálogo de derechos del RGPD

El RGPD reconoce a los interesados (empleados, clientes, proveedores, técnicos) los siguientes derechos, colectivamente llamados «ARCO+»:

• Acceso (art. 15): saber qué datos se tratan, con qué finalidad, a quién se ceden y durante cuánto tiempo.
• Rectificación (art. 16): corregir datos inexactos o completar los incompletos.
• Supresión (art. 17): borrado cuando el dato ya no es necesario, se retira el consentimiento o el tratamiento es ilícito. Tiene las excepciones del art. 17.3 descritas anteriormente.
• Limitación (art. 18): suspender el tratamiento (sin borrar) mientras se verifica la exactitud o se resuelve una impugnación.
• Portabilidad (art. 20): recibir los datos en formato estructurado, de uso común y lectura mecánica, cuando el tratamiento se basa en consentimiento o contrato y se realiza de forma automatizada.
• Oposición (art. 21): oponerse al tratamiento basado en interés legítimo o para fines de marketing directo.
• Decisiones individuales automatizadas (art. 22): no ser objeto de una decisión basada únicamente en tratamiento automatizado que produzca efectos jurídicos significativos.

Las letras ARCO corresponden a Acceso, Rectificación, Cancelación (término de la LOPD anterior, ahora sustituido por Supresión) y Oposición. El «+» añade Portabilidad, Limitación y el derecho frente a decisiones automatizadas.

4.2 Plazo de respuesta y forma

El responsable del tratamiento (la explotación, la cooperativa, la gestoría cuando actúa como responsable) debe responder en el plazo de un mes desde la recepción de la solicitud (art. 12.3 RGPD). Puede prorrogarse dos meses más, notificando la prórroga y su causa antes de que expire el primer mes. La negativa a atender la solicitud también debe comunicarse en ese mismo plazo, indicando el motivo (por ejemplo, la base jurídica de conservación que impide el borrado) y el derecho a reclamar ante la AEPD.

4.3 Cómo responder a una solicitud de supresión cuando el dato está en el cuaderno o en una factura

La respuesta correcta cuando un interesado pide borrar sus datos y éstos están en registros legalmente retenibles es:

1. Confirmar la recepción de la solicitud.
2. Identificar qué datos son suprimibles y cuáles no: los datos en registros sellados (facturas Verifactu, cuaderno SIEX enviado al CUE) no pueden suprimirse hasta que venza el plazo de conservación obligatorio.
3. Comunicar por escrito que el tratamiento de esos datos se basa en la obligación legal del art. 6.1.c) RGPD (cumplimiento de una obligación legal: art. 66 LGT, RD 1007/2023, RD 1311/2012, RD 1054/2022), que esa base prevalece sobre el derecho de supresión según el art. 17.3.b), y que los datos se encuentran bloqueados —no accesibles para ningún tratamiento distinto del cumplimiento de la obligación— hasta que expire el plazo legal.
4. Suprimir o anonimizar todos los datos personales que no estén amparados por ninguna base jurídica vigente: correo electrónico no relacionado con ninguna factura, dirección particular no necesaria para el contrato o el cuaderno.
5. Dejar constancia registral de la solicitud y la respuesta, con marca de tiempo, en el sistema de gestión de derechos ARCO+. Este registro es en sí mismo un dato personal que debe conservarse durante el plazo razonable para demostrar cumplimiento ante la AEPD (recomendable: al menos 3 años desde el ejercicio del derecho).

---

Módulo 5. Consentimientos con histórico append-only: por qué el RGPD lo exige y cómo funciona

5.1 El problema del consentimiento revocable sobre registros inmutables

El consentimiento es solo una de las seis bases jurídicas del RGPD (art. 6.1.a). En la explotación agraria, los registros del cuaderno de campo, los fichajes y las facturas no se basan en consentimiento: se basan en la obligación legal o en la ejecución de un contrato. Esto es importante porque significa que la revocación del consentimiento de un empleado o cliente no afecta a esos registros.

Sin embargo, sí existen tratamientos dentro de la explotación que sí se basan en consentimiento: el envío de comunicaciones comerciales, la publicación de fotos en redes sociales, el tratamiento de datos de salud para adaptar la jornada por calor extremo cuando la Administración no ha publicado aún el protocolo obligatorio, la activación de la geolocalización del fichaje.

Para estos tratamientos, el historial de consentimientos debe ser append-only: cada otorgamiento, modificación o revocación de consentimiento se registra como un nuevo asiento con marca de tiempo, sin modificar ni borrar el asiento anterior. De este modo, si en el futuro la AEPD o un tribunal pregunta «¿contabas con consentimiento el día X?», el sistema puede responder con evidencia documental, no con una afirmación verbal.

5.2 Registro de accesos: quién ve qué y cuándo

El principio de responsabilidad proactiva (accountability, art. 5.2 RGPD) exige que el responsable no solo cumpla, sino que pueda demostrarlo. El registro de accesos a datos personales es una de las evidencias clave. En el contexto del software de gestión agraria, esto significa:

• Cada acceso a datos de empleados, fichajes, historiales de jornada o datos personales de clientes en facturas queda registrado con: usuario que accedió, marca de tiempo, tipo de operación (consulta, exportación, corrección), datos a los que se accedió.
• Este log es en sí mismo append-only e inalterable: no se puede borrar la traza de acceso. Si un administrador de sistema accediese a datos de empleados sin autorización, esa traza quedaría.
• El registro de accesos se conserva durante un periodo razonable. En el contexto de datos laborales, la recomendación es al menos 4 años (coincidiendo con el plazo de conservación del registro de jornada), para poder acreditar ante la ITSS que no hubo acceso indebido a los datos de un trabajador durante su relación laboral.

---

Módulo 6. Cómo Campodato implementa ARCO+ respetando los plazos de conservación fiscal y agraria

Campodato es el agro-ERP desarrollado por Summum Marketing que integra en una sola plataforma el cuaderno de campo SIEX/IUWS, la facturación Verifactu, el registro de jornada, la gestoría multi-cliente, el módulo de bodega SILICIE y el panel de cumplimiento normativo. El tratamiento de los datos personales sigue las pautas descritas en esta guía, implementadas como capacidades verificables del sistema.

6.1 Registros sellados e inmutables: cuaderno legal y facturas Verifactu

El cuaderno SIEX funciona con un modelo append-only: cada anotación —tratamiento, fertilización, riego, cosecha— es un nuevo registro. No existe la operación de «editar» un registro consolidado; si se detecta un error, se crea un asiento de corrección vinculado al original, igual que funciona un libro de contabilidad. Esta arquitectura no es una elección de diseño: la obliga la propia dinámica del IUWS, que recibe remisiones y las valida en el CUE autonómico; un registro ya validado no puede desaparecer de la cadena.

Las facturas en modalidad Verifactu siguen el mismo patrón: el ledger encadenado por NIF del obligado nunca se altera. La pantalla de facturación en Campodato muestra el historial como solo lectura, sin botones de edición o borrado sobre registros ya sellados. El acceso a ese historial queda registrado.

6.2 Motor de retención por categoría: bloqueo y anonimización automáticos

Campodato dispone de un motor de retención que categoriza los datos por tipo de registro (factura, anotación de cuaderno, fichaje, dato de proveedor, contacto de cliente) y aplica automáticamente la política de retención correspondiente. Cuando un dato alcanza el umbral de bloqueo (fin del plazo de conservación activa), el sistema:

1. Lo marca como bloqueado: deja de aparecer en las pantallas operativas y no puede ser exportado en informes ordinarios.
2. Solo el administrador con rol DPO/cumplimiento puede consultarlo, y esa consulta queda registrada.
3. Cuando se alcanza el umbral de supresión (fin del plazo de conservación bloqueada), el sistema ejecuta la anonimización del dato personal residual o el borrado si el registro completo carece de base jurídica de conservación.

6.3 Panel RGPD/DPO: gestión de solicitudes ARCO+

El panel RGPD de Campodato incluye un flujo de gestión de solicitudes ARCO+ que:

• Registra la entrada de la solicitud con marca de tiempo y canal.
• Identifica automáticamente qué datos del interesado están en registros bloqueados (legalmente retenibles) y cuáles son suprimibles de inmediato.
• Genera el borrador de respuesta, diferenciando ambos grupos y citando la base jurídica de conservación.
• Almacena la respuesta enviada como registro append-only, vinculado a la solicitud.
• Alerta antes de que expire el plazo de respuesta de un mes.

6.4 Consentimientos y registro de accesos

Los consentimientos en Campodato se gestionan como eventos inmutables con marca de tiempo. La revocación de un consentimiento crea un nuevo evento («consentimiento revocado», con fecha y hora), pero el evento original de otorgamiento permanece en el historial. Esto permite responder con evidencia a cualquier auditoría sobre si el tratamiento fue lícito en un momento determinado.

El registro de accesos a datos personales está activo para los módulos de fichajes, nóminas, historial de jornada, datos de clientes en facturación y datos del cuaderno de campo. Cada sesión de usuario queda vinculada a las operaciones realizadas sobre datos personales, y ese log es inalterable.

6.5 Exportación y portabilidad al fin del contrato

El art. 20 RGPD reconoce el derecho a la portabilidad, y el principio de anti-lock-in impide que un SaaS retenga los datos del responsable al finalizar el contrato. Campodato permite exportar la totalidad de los registros legales del cliente (cuaderno, facturas, fichajes, datos de explotación) en formatos estructurados de uso común, garantizando que el responsable pueda migrar a otro sistema sin perder la cadena de trazabilidad que la norma le exige conservar.

---

Módulo 7. El rol del encargado del tratamiento: gestoría y cooperativa

El SaaS que procesa datos personales por cuenta de la explotación actúa como encargado del tratamiento (art. 28 RGPD). Esto implica:

• Firmar un DPA (Data Processing Agreement) con cada cliente-responsable que establezca las instrucciones de tratamiento, las medidas de seguridad, los subencargados autorizados (proveedores de OCR, infraestructura cloud) y las condiciones de devolución o destrucción de datos al fin del contrato.
• Mantener el RAT (Registro de Actividades de Tratamiento) del art. 30 actualizado y exportable para la AEPD.
• Notificar brechas de seguridad al responsable sin dilación indebida para que éste pueda notificar a la AEPD en el plazo de 72 horas (art. 33 RGPD) y al interesado si el riesgo es alto (art. 34).

Las gestorías que acceden a datos de las explotaciones de sus clientes a través de Campodato lo hacen con un rol de solo lectura fiscal y contable sobre las explotaciones que tienen asignadas. El aislamiento entre clientes es técnico (Row-Level Security a nivel de base de datos): un técnico de la gestoría no puede ver, ni siquiera accidentalmente, los datos de una explotación que no le ha sido asignada. Esta garantía es verificable mediante auditoría técnica, no solo mediante declaración contractual.

---

FAQ: preguntas frecuentes

¿Puedo borrar una factura si el cliente me pide el derecho al olvido? No mientras esté en plazo de prescripción tributaria (4 años desde el devengo, art. 66 LGT). La factura debe bloquearse: dejarla inaccesible para operaciones ordinarias, conservando solo el acceso para control de la Administración o defensa de reclamaciones. Cumplido el plazo, se anonimiza el dato personal residual o se borra el registro completo si no existe otra base jurídica de conservación.

¿La anotación del cuaderno de campo se puede rectificar o borrar? Una vez enviada al CUE autonómico mediante el IUWS, no. La corrección se realiza con un nuevo asiento vinculado al original, igual que una factura rectificativa. El RD 1054/2022 y el propio protocolo del IUWS v3.11.4 impiden la alteración de registros ya validados. Si hay un error antes de la remisión trimestral, sí puede corregirse localmente.

¿Los fichajes de los trabajadores se pueden borrar cuando un empleado causa baja? No de inmediato. El registro de jornada debe conservarse 4 años (art. 34.9 ET). Durante ese periodo, los datos del ex-empleado deben estar bloqueados: no accesibles en los informes de plantilla activa, pero recuperables ante una inspección de la ITSS. Transcurridos los 4 años y el periodo de prescripción de posibles reclamaciones laborales (3 años para acciones derivadas del contrato de trabajo, art. 59.1 ET), se procede a la anonimización o el borrado.

¿Qué es el RAT y quién está obligado a llevarlo? El Registro de Actividades de Tratamiento (art. 30 RGPD) es el inventario de todos los tratamientos de datos personales que realiza una organización: qué datos se tratan, con qué finalidad, en qué base jurídica, durante cuánto tiempo, a quién se ceden. Están obligadas a llevarlo las organizaciones con más de 250 empleados y, con independencia del tamaño, aquellas que realicen tratamientos que puedan entrañar riesgo para los derechos de los interesados —lo que incluye el tratamiento de datos de trabajadores y el de categorías especiales como datos de salud (adaptación de jornada por calor). En la práctica, toda explotación con trabajadores y toda gestoría que trate datos de sus clientes debe disponer de un RAT actualizado.

---

Conclusión

La protección de datos en la explotación agraria no es una carga burocrática añadida a las obligaciones sectoriales: es, en buena parte, un refuerzo de las mismas. Los registros que el cuaderno de campo SIEX, las facturas Verifactu y el registro de jornada obligan a conservar ya son, por diseño normativo, registros inmutables y trazables. Lo que el RGPD añade es la obligación de gestionar con precisión el dato personal que hay dentro de esos registros: bloquearlo cuando ya no es necesario para la operación ordinaria, anonimizarlo cuando vence el plazo de conservación, responder con evidencia documentada a quien ejercite sus derechos ARCO+, y garantizar que nadie acceda a esos datos sin autorización y sin dejar traza.

La diferencia entre una explotación, cooperativa o gestoría que cumple y una que no cumple no suele estar en la intención, sino en si el software que usan hace este trabajo de forma automática y verificable. Ese es el estándar al que apunta Campodato: que el cumplimiento normativo no dependa de que alguien recuerde qué borrar y cuándo, sino de que el propio sistema lo gestione con precisión, deje constancia y permita demostrarlo.

---

Contenido elaborado por Summum Marketing. La información de esta guía tiene carácter orientativo y no sustituye al asesoramiento jurídico personalizado. Los plazos marcados como «validar con fuente oficial» pueden estar sujetos a desarrollo reglamentario o interpretaciones administrativas posteriores a la fecha de publicación.