Según el Boletín Oficial del Estado, el artículo 42 del Estatuto de los Trabajadores obliga a solicitar por escrito el certificado negativo de descubiertos de la Seguridad Social, que debe emitirse en 30 días, y puede generar responsabilidad solidaria de la empresa principal durante tres años por deudas con la Seguridad Social y durante un año por obligaciones salariales. Para una pyme, el cumplimiento normativo en la subcontratación exige distinguir qué comprobaciones son obligatorias antes de contratar y qué controles reducen riesgos adicionales.
Conviene decidir qué documentos pedir al proveedor, cuándo debe intervenir un subcontratista y cómo dejar constancia de cada revisión. Si la empresa contratada accede a datos personales, también hay que valorar el contrato de encargo y las garantías que recomienda la AEPD, incluidos sus recursos y medidas técnicas y organizativas.
Tabla de contenidos
- Qué significa el cumplimiento normativo en la subcontratación y a quién afecta
- Qué documentación conviene pedir antes de contratar
- Cómo funciona una revisión de proveedores paso a paso
- Qué diferencias hay entre controlar a un proveedor y a un subcontratista
- Cuánto esfuerzo y qué costes puede exigir el control
- Qué riesgos quedan abiertos y cómo elegir un sistema adecuado
- Preguntas frecuentes
Qué significa el cumplimiento normativo en la subcontratación y a quién afecta
Qué se considera una relación de subcontratación
Existe subcontratación cuando una empresa encarga a otra una actividad, obra o servicio necesario para su funcionamiento, ya sea de forma puntual o continuada. El control debe abarcar al contratista directo y, cuando se conozca o autorice, a los subcontratistas que intervengan, porque pueden acceder a instalaciones, personas, información o sistemas de la pyme.
La revisión debe comprobar quién presta realmente el servicio, con qué trabajadores, qué obligaciones asume y qué controles aplica. También hay que conservar evidencias de las comprobaciones realizadas.
Qué riesgos debe cubrir una pyme
Como mínimo, conviene revisar la situación laboral y de Seguridad Social, la aptitud legal y técnica para ejecutar el servicio, la prevención de riesgos laborales, la confidencialidad y la protección de datos. Si la empresa contratada trata datos personales por cuenta de la pyme, la AEPD recomienda formalizar un contrato escrito o electrónico, limitar el tratamiento a instrucciones documentadas y verificar garantías suficientes de conocimientos, fiabilidad, recursos y medidas técnicas y organizativas, según Agencia Española de Protección de Datos.
La responsabilidad puede alcanzar a la empresa principal aunque el trabajo lo realice un tercero. Según Boletín Oficial del Estado, el artículo 42 del Estatuto de los Trabajadores obliga a solicitar por escrito el certificado negativo de descubiertos de la Tesorería General de la Seguridad Social; debe emitirse en 30 días y prevé responsabilidad solidaria de la principal durante tres años por deudas con la Seguridad Social y durante un año por obligaciones salariales.
Cuándo la revisión debe ser más exigente
La diligencia debe aumentar si el servicio afecta a trabajadores o terceros, implica acceso a datos personales, instalaciones críticas, dinero o sistemas informáticos, o puede causar daños laborales, ambientales o de seguridad. También si existe una cadena de subcontratación, el servicio es esencial o la empresa opera en un sector regulado. En estos casos hacen falta controles periódicos y límites contractuales claros.
Qué documentación conviene pedir antes de contratar
Situación laboral y de seguridad social
Antes de firmar, solicita el certificado negativo de descubiertos de la Tesorería General de la Seguridad Social y comprueba su fecha, empresa titular, NIF y correspondencia con el contratista. Según Boletín Oficial del Estado, el artículo 42 del Estatuto de los Trabajadores obliga a pedirlo por escrito; la Tesorería debe emitirlo en un plazo improrrogable de 30 días. Conserva la solicitud y el certificado, porque la empresa principal puede responder solidariamente durante 3 años por deudas con la Seguridad Social y durante 1 año por obligaciones salariales.
Pide también una relación de las personas que intervendrán, su modalidad de vinculación y, cuando proceda, evidencias de formación preventiva y aptitud para el puesto. Contrasta razón social, NIF, domicilio y vigencia en el Registro Mercantil o en el registro profesional correspondiente.
Protección de datos y seguridad de la información
Si el proveedor trata datos personales por cuenta de la pyme, exige un contrato escrito —también puede ser electrónico— de encargo de tratamiento. Según Agencia Española de Protección de Datos, debe limitar el tratamiento a instrucciones documentadas y acreditar garantías suficientes de conocimientos, fiabilidad, recursos y medidas técnicas y organizativas. Comprueba que identifica datos, finalidades, accesos, subcontrataciones, devolución o supresión y gestión de incidentes.
Permisos, seguros y documentación sectorial
Solicita las licencias administrativas, autorizaciones profesionales, póliza de responsabilidad civil y justificante de vigencia, además de los certificados o registros exigidos por la actividad. Cuando exista consulta pública, verifica cada documento directamente con el emisor y anota fecha, alcance, titular y caducidad.
Checklist previo al inicio
- Certificado negativo de descubiertos de la TGSS.
- Identidad y poderes del firmante.
- Relación del personal y formación exigible.
- Contrato de encargo de tratamiento, si aplica.
- Póliza y recibo del seguro vigentes.
- Licencias, registros y autorizaciones sectoriales.
Cómo funciona una revisión de proveedores paso a paso
Definir el alcance y clasificar el riesgo
Identifica qué terceros intervienen, qué tareas realizarán y a qué personas, instalaciones, sistemas o datos tendrán acceso. No requiere el mismo control un proveedor de material de oficina que una empresa que trabaja en vuestras instalaciones o trata datos por cuenta de la pyme.
- Registrar el tercero y el servicio. Anota la actividad, el centro afectado, la duración prevista, los responsables internos y los accesos necesarios. El resultado es una ficha breve que permita decidir qué comprobar.
- Asignar un nivel de riesgo. Usa criterios repetibles: contacto con personal o clientes, acceso a información, impacto de un incumplimiento y posibilidad de subcontratación. Define para cada nivel la documentación y las aprobaciones exigibles.
Solicitar, validar y registrar evidencias
- Pedir únicamente las evidencias necesarias. Solicita la documentación vinculada al servicio y al nivel de riesgo, con fecha límite y un canal único de recepción.
- Revisar vigencia y coherencia. Comprueba que los documentos corresponden a la entidad contratada, siguen vigentes y cubren el trabajo previsto. Si falta algo, registra la incidencia, solicita una aclaración y asigna responsable.
- Dejar trazabilidad de la decisión. Guarda la evidencia, la fecha de validación, las excepciones y la persona que aprueba. El expediente debe explicar por qué se autoriza, condiciona o rechaza la contratación.
Incluir controles en el contrato y hacer seguimiento
- Trasladar las obligaciones al contrato. Incluye requisitos documentales, confidencialidad, protección de datos, prevención aplicable, comunicación de cambios y límites para subcontratar.
- Revisar durante la relación. Programa recordatorios según el riesgo y revisa también cuando cambien las tareas, el personal o el acceso. Ante una incidencia, suspende el acceso o exige un plan correctivo conforme al procedimiento interno.
Qué diferencias hay entre controlar a un proveedor y a un subcontratista
La intensidad de la revisión depende del servicio, del acceso a personas, instalaciones o información y de las obligaciones legales que pueda asumir la empresa principal. Conviene clasificar antes de pedir documentos.
Servicios sin acceso a datos ni instalaciones
Un proveedor que entrega material estándar o presta un servicio remoto sin acceder a sistemas, locales ni información personal suele requerir una comprobación básica: identidad, capacidad para contratar, cumplimiento fiscal y laboral aplicable y aceptación de las condiciones de compra. El seguimiento puede limitarse a incidencias, cambios relevantes y renovación documental.
Tratamiento de datos personales por cuenta de la pyme
Si el tercero accede a datos personales siguiendo instrucciones de la empresa, debe existir un contrato escrito —también electrónico— que limite el tratamiento y describa las garantías exigibles. Según la Agencia Española de Protección de Datos, conviene verificar sus conocimientos, fiabilidad, recursos y medidas técnicas y organizativas. La revisión debe incluir controles de acceso, incidentes, subcontratación ulterior y devolución o supresión de datos.
Trabajos integrados en la actividad de la empresa principal
El nivel más alto corresponde a quien trabaja en el centro, usa medios de la pyme o ejecuta una parte esencial de su actividad: mantenimiento, logística, producción o atención directa. Hay que comprobar formación, prevención de riesgos, autorizaciones, coordinación operativa y cumplimiento laboral, además de supervisar el servicio y conservar registros de incidencias.
| Tipo de tercero | Comprobaciones prioritarias | Nivel de seguimiento recomendado | Evidencias que conviene conservar |
|---|---|---|---|
| Servicio estándar | Identidad y condiciones contractuales | Bajo, por incidencias | Contrato y ficha de proveedor |
| Encargado de datos | Contrato y garantías | Periódico, basado en riesgo | Contrato, instrucciones y revisiones |
| Trabajo integrado | Prevención, formación y autorizaciones | Continuo durante el servicio | Registros, acreditaciones e incidencias |
La combinación de acceso y exposición legal determina la diligencia, no la etiqueta de “proveedor” o “subcontratista”.
Cuánto esfuerzo y qué costes puede exigir el control
Costes directos de documentación y revisión
El presupuesto inicial incluye definir los documentos, solicitarlos, comprobar su vigencia y registrar incidencias. El coste aumenta con el número de proveedores, la complejidad de su actividad y el acceso a instalaciones, personas, sistemas o datos. Un proveedor ocasional y de bajo riesgo requiere menos comprobaciones que un subcontratista integrado en la actividad principal.
Si la revisión se realiza internamente, el gasto se concentra en horas de personal y coordinación de compras, administración, prevención o asesoría jurídica. Encargarla a un profesional externo reduce la carga interna, pero añade honorarios. En ambos casos hay que prever renovaciones y comprobaciones extraordinarias cuando cambie el servicio o aparezca una incidencia.
Costes de implantación y seguimiento
Implantar el procedimiento exige definir responsables, criterios de riesgo, modelos de solicitud, permisos de acceso y un sistema para controlar caducidades. Después, el seguimiento requiere revisar documentación, reclamar faltas, aprobar excepciones y conservar evidencias. La frecuencia debe ser proporcional al riesgo; aplicar la misma intensidad a todos los terceros puede encarecer el proceso.
Cuándo compensa apoyarse en una solución externa
La gestión interna encaja cuando hay pocos proveedores, servicios sencillos y personal con tiempo y criterio suficiente. Una solución externa resulta más adecuada cuando crece el volumen, existen varios niveles de riesgo, las renovaciones se descontrolan o falta conocimiento especializado. Plataforma Compliance está certificada y acreditada, ofrece soluciones adaptadas al presupuesto, mantiene un compromiso con la microempresa y presta mediación ante inspecciones.
Qué riesgos quedan abiertos y cómo elegir un sistema adecuado
Errores frecuentes que invalidan el control
Una carpeta de documentos no demuestra, por sí sola, que el tercero siga cumpliendo. Fallan especialmente los certificados caducados, la ausencia de fechas y responsables, la aceptación automática de declaraciones y la falta de comprobación de quién ejecutará realmente el servicio. También queda abierto el riesgo de que el subcontratista cambie, trate datos fuera de las instrucciones o incumpla obligaciones laborales después de la aprobación inicial.
El control debe dejar un rastro verificable: alcance, nivel de riesgo, evidencias revisadas, incidencias, decisión y fecha de próxima revisión. En materia laboral, según el Boletín Oficial del Estado, el artículo 42 exige solicitar por escrito el certificado negativo de descubiertos de la Seguridad Social y prevé responsabilidades de la empresa principal en determinados supuestos.
Comprobación mínima:
- Identificar el servicio, centros, personas y sistemas a los que accederá el tercero.
- Registrar documentación exigida, fecha de emisión, vigencia y fuente de verificación.
- Formalizar contrato, confidencialidad, instrucciones y derecho de auditoría.
- Asignar responsable, resultado, incidencias y fecha de revisión.
- Bloquear el inicio si falta una evidencia esencial o existe una incidencia abierta.
Criterios para escoger apoyo especializado
Elegid un apoyo que adapte las comprobaciones al riesgo, conserve evidencias y genere un historial exportable. Debe distinguir entre proveedor, encargado del tratamiento y subcontratista, y explicar qué requisito respalda cada documento. Si se tratan datos personales, la AEPD recomienda contrato escrito y garantías suficientes de conocimientos, fiabilidad, recursos y medidas técnicas y organizativas.
Cuándo actualizar la evaluación
Revisadla al renovar, cambiar el servicio, incorporar accesos, producirse un incidente, sustituirse el subcontratista o modificarse una obligación aplicable. La frecuencia ordinaria debe ser proporcional al riesgo.
Preguntas frecuentes
¿Qué documentación debe pedir una pyme a una empresa subcontratada?
Antes de contratar, la pyme debería reunir la identificación de la empresa, su situación fiscal y laboral, la acreditación de medios y seguros que exija el servicio y la documentación preventiva aplicable. Si accederá a datos personales, debe añadir el contrato de encargo. Para la Seguridad Social, debe solicitar por escrito el certificado negativo de descubiertos.
¿Quién responde por las deudas de seguridad social de una empresa subcontratada?
La empresa principal puede responder solidariamente por las deudas con la Seguridad Social de la subcontratada durante 3 años, conforme al artículo 42 del Estatuto de los Trabajadores. El certificado negativo de descubiertos debe solicitarse por escrito y la Tesorería General de la Seguridad Social dispone de un plazo improrrogable de 30 días para emitirlo. También existe responsabilidad salarial durante 1 año, según Boletín Oficial del Estado.
¿Cuándo hace falta un contrato de encargo de tratamiento de datos?
Hace falta cuando la empresa contratada trata datos personales por cuenta de la pyme y siguiendo sus instrucciones, por ejemplo al gestionar nóminas, soporte informático o atención al cliente. Debe constar por escrito, también en formato electrónico, limitar el tratamiento a instrucciones documentadas y acreditar garantías suficientes de conocimientos, fiabilidad, recursos y medidas técnicas y organizativas, según la AEPD.
¿Cada cuánto tiempo conviene revisar la documentación de un proveedor?
No existe un intervalo único: conviene revisar la documentación antes del inicio, con una periodicidad proporcional al riesgo y cuando cambien el servicio, el personal, el acceso a datos o la normativa aplicable. Un proveedor con acceso continuado a información sensible requiere controles más frecuentes que uno puntual y sin acceso a sistemas.
La revisión debe confirmar quién presta el servicio, qué obligaciones laborales y de Seguridad Social pueden trasladarse a la pyme y si se tratarán datos personales. También debe conservar evidencias y actualizarse cuando cambien el alcance, los riesgos o la documentación. Para concretarlo, Comunícate con nosotros para ajustar un precio a las necesidades de tu negocio.