Gestión documental para pymes: cuánto tiempo guardar cada documento y cómo ordenar los archivos de tu empresa

Guardar los archivos en la nube ya es habitual: según el INE, el 44,3 % de las empresas de 10 o más empleados paga servicios en la nube, y casi 9 de cada 10 de ellas (el 86,8 %) los usa para almacenar ficheros. En las de menos de 10 empleados, la cifra es del 15,8 %.

Pero tener los documentos en digital no significa tenerlos en orden. En esta guía te contamos qué documentos tiene que guardar una empresa y durante cuánto tiempo, cuándo puedes deshacerte del papel y cómo ordenar los archivos, los permisos y las copias de seguridad, con lo que dicen la ley, la Agencia Española de Protección de Datos (AEPD) y el Instituto Nacional de Ciberseguridad (INCIBE).

Digitalizar es pasar a herramientas digitales lo que antes se hacía en papel o a mano: facturar con un programa, fichar con el móvil o archivar en la nube. Ordenar es lo que viene después, y lo que más se olvida: saber dónde está cada documento, quién puede verlo, cuánto tiempo hay que guardarlo y qué pasa si se pierde. A esa parte la llamamos organización digital; en las normas técnicas se conoce como gestión de documentos.

No es solo una cuestión de comodidad. El Reglamento General de Protección de Datos exige que, por defecto, los datos personales «no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas» (artículo 25.2). Una carpeta con nóminas o currículums compartida con un enlace abierto a cualquiera que lo tenga choca con esa regla. Y la AEPD recomienda limitar el acceso a la información «únicamente a las personas que realmente lo necesiten».

Los 6 años del Código de Comercio son el plazo general más largo, y el deber sigue aunque la empresa cierre: pasa a los herederos o, si se disuelve una sociedad, a sus liquidadores. La propia Agencia Tributaria advierte de que el plazo fiscal puede ir «entre un mínimo de 4 años […] hasta más de 10 años en algunos casos», según la operación.

Para los contratos con clientes y proveedores no hay un plazo de conservación propio. Como referencia, las acciones personales sin plazo especial prescriben a los 5 años (Código Civil, art. 1964.2).

Ojo al cambiar de programa. La Ley General Tributaria obliga a conservar también «los programas, ficheros y archivos informáticos» que permitan leer los datos (art. 29.2.d). Antes de dar de baja un programa de contabilidad o de facturación, asegúrate de que podrás seguir abriendo lo que guardaste con él.

El RGPD obliga a guardar los datos personales «durante no más tiempo del necesario» (artículo 5.1.e). Cuando ya no hacen falta, pero la ley obliga a conservarlos por si los pide un juez o una administración, hay que bloquearlos: separarlos para que nadie los use y, pasado el plazo, destruirlos (Ley Orgánica de Protección de Datos, art. 32). La AEPD pone un ejemplo: los datos de las retenciones de la plantilla deberían bloquearse 4 años, que es lo que tardan en prescribir las obligaciones tributarias.

Dos casos frecuentes:

• Currículums de candidatos no seleccionados. Según la AEPD, la empresa «debe destruir el currículum y proceder a la supresión y bloqueo de los datos personales», salvo que el candidato haya consentido otra cosa o haya un interés legítimo.
• Papel con datos personales. La AEPD recuerda que tirar documentos sin destruir a la basura común es una de las infracciones más habituales. INCIBE recomienda una trituradora o, si se encarga a otra empresa, la destrucción certificada.

Para las facturas y demás documentos fiscales en papel, solo con digitalización certificada. La Orden EHA/962/2007 permite «prescindir de los originales en papel» si se digitalizan con un software homologado por la Agencia Tributaria: una imagen fiel, firmada electrónicamente y guardada en una base de datos documental (art. 7). La Agencia Tributaria publica la lista del software homologado; la última homologación es del 9 de octubre de 2026.

La misma orden avisa de que cualquier otra conversión de una factura recibida «dará origen a un nuevo documento que no tendrá la consideración de documento original» (art. 6.2). Por eso, si solo la escaneas, lo prudente es conservar también el papel.

Las facturas que te llegan ya en electrónico se guardan en su formato original, «sin conversión alguna» (art. 8): imprimirlas y borrar el fichero no vale.

Para contratos y documentación laboral no hemos encontrado ninguna norma que permita destruir el papel después de escanearlo. Antes de hacerlo, consúltalo con tu asesoría.

1. Un solo sitio para los documentos de la empresa. Ni cuentas personales ni memorias USB sueltas. INCIBE aconseja tener una lista de los servicios de almacenamiento en la nube permitidos y prohibidos, y explicar al equipo qué información puede guardarse en la nube y cuál tiene que ir cifrada.
2. Clasifica la información. INCIBE propone cuatro niveles: confidencial (solo la dirección), restringida (la dirección y personas concretas), interna (toda la plantilla) y pública. Organiza las carpetas según esa clasificación.
3. Da los permisos justos. «Siempre se otorgará el mínimo privilegio», dice INCIBE, y hay que revisar cada cierto tiempo que los permisos siguen siendo los adecuados.
4. Una estructura y unos nombres que todo el mundo entienda. Nuestra recomendación: carpetas por área y por año (por ejemplo, Administración / 2026 / Facturas recibidas), la fecha al principio del nombre del fichero (2026-10-17 Presupuesto Cliente.pdf) y una sola versión final de cada documento, sin «final2» ni «definitivo-bueno».
5. Cuando alguien se va, se cierran sus accesos. INCIBE recomienda eliminar sus cuentas de correo y sus permisos en los sistemas y aplicaciones, y recoger los dispositivos que tenía. Su deber de confidencialidad sigue después de irse (Ley Orgánica de Protección de Datos, art. 5.3).
6. Contraseñas largas y doble factor. INCIBE pide contraseñas de al menos 12 caracteres, recomienda 14, y aconseja no repetirlas entre servicios y usar un gestor de contraseñas con doble factor. La AEPD recomienda activar la verificación en dos pasos en el correo y en la nube.
7. Copias de seguridad que se comprueban. La regla 3-2-1 que explica INCIBE: 3 copias de cada fichero importante (el original y 2 copias), en 2 soportes distintos y 1 de ellas fuera de la empresa. Además, hay que comprobar cada cierto tiempo que se pueden restaurar y cifrar las copias con información confidencial o que se suban a la nube. La AEPD añade que las copias deben protegerse igual que los datos originales.

Dos novedades afectan a cómo guardarás las facturas. La factura electrónica entre empresas será obligatoria desde el 6 de octubre de 2027 para quien factura más de 8 millones de euros, y desde el 6 de octubre de 2028 para el resto. Y VERI*FACTU tiene hoy en el BOE las fechas del 1 de enero y el 1 de julio de 2027, aunque Hacienda anunció el 5 de octubre de 2026 que lo aplazará a octubre de 2028.

Para quien quiera un sistema formal, existen dos normas internacionales: la ISO 15489-1:2016, con los conceptos y principios de la gestión de documentos (en España, UNE-ISO 15489-1:2016), y la ISO 30301:2019, que fija los requisitos de un sistema de gestión de documentos y permite certificarlo.

La normativa fiscal pide guardarlas durante el plazo de prescripción, 4 años en general, y más si hay regularización del IVA o bases negativas pendientes. Como el Código de Comercio obliga a conservar 6 años los justificantes del negocio, lo prudente es guardarlas al menos 6 años.

Sí. Las facturas pueden conservarse en formato electrónico siempre que se garantice su autenticidad, su integridad y su legibilidad, y que la Agencia Tributaria pueda acceder a ellas sin demora (Reglamento de facturación, art. 20). Fuera de España, el reglamento solo permite conservarlas por medios electrónicos con acceso en línea y comunicándolo antes a la Agencia Tributaria (art. 22).

Destruirlos y suprimir sus datos, salvo que el candidato haya consentido que los guardes para otros procesos o haya un interés legítimo, según la guía de la AEPD sobre relaciones laborales.

Si afecta a datos personales, es una brecha de seguridad: salvo que sea improbable que suponga un riesgo para las personas, hay que notificarla a la AEPD sin dilación y, si es posible, en un máximo de 72 horas (RGPD, art. 33). Por eso las copias de seguridad fuera de la empresa y comprobadas son tan importantes.

En LN Digital te ayudamos a poner orden en los archivos de tu empresa: dónde guardarlos, con qué permisos, cómo hacer las copias y qué hacer cuando alguien se va. Lo hacemos dentro de la digitalización de empresas y, si prefieres no depender de servicios de terceros, con tu propia nube en un NAS que te montamos y mantenemos (mantenimiento de servidores). Escríbenos.

Consultadas el 17 de octubre de 2026.

• BOE, textos consolidados: Código de Comercio, art. 30; Ley General Tributaria, arts. 29, 66, 66 bis, 67 y 70; Ley del Impuesto sobre Sociedades, art. 26; Reglamento de facturación (RD 1619/2012), arts. 19 a 23; Ley del IVA, arts. 107 y 165; Estatuto de los Trabajadores, art. 34; LISOS, art. 21; Ley de Prevención de Riesgos Laborales, art. 23; RD 664/1997 y RD 665/1997; Código Civil, art. 1964; Ley Orgánica de Protección de Datos, arts. 5, 22 y 32; Ley 2/2023.
• Orden EHA/962/2007, sobre la digitalización certificada, y la lista de software homologado de la Agencia Tributaria.
• Agencia Tributaria: obligación de conservar las facturas y preguntas frecuentes sobre la conservación en los sistemas de facturación.
• Reglamento General de Protección de Datos, arts. 5, 25, 32 y 33. AEPD: La protección de datos en las relaciones laborales y Guía de cifrado para autónomos y pymes.
• INCIBE, Políticas de seguridad para la pyme: clasificación de la información, control de acceso, gestión de recursos humanos, contraseñas, copias de seguridad, almacenamiento en la nube y en la red corporativa y borrado seguro; y la regla 3-2-1.
• INE, Encuesta sobre el uso de TIC y del comercio electrónico en las empresas, 2024 y primer trimestre de 2025 (publicada el 22 de octubre de 2025).
• ISO: ISO 15489-1:2016 e ISO 30301:2019.