Sentencia Contencioso-Administrativo 1206/2025 Tribunal Supremo. Sala de lo Contencioso-Administrativo. Sección Tercera, Rec. 5268/2022 de 29 de septiembre del 2025

PRIMERO.- Sobre el objeto y el planteamiento del recurso de casación: El asunto litigioso relativo a la impugnación de la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022 .

El recurso de casación que enjuiciamos, interpuesto por la representación procesal de María Purificación, al amparo de los artículos 86 y siguientes de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en la redacción introducida por la Ley Orgánica 7/2015, de 21 de julio, tiene por objeto la pretensión de que se revoque la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022, que desestimó el recurso contencioso-administrativo planteado contra la resolución de la Directora de la Agencia Española de Protección de Datos de 16 de diciembre de 2020, dictada en el expediente NUM000, que inadmite a trámite la reclamación presentada contra la Agencia Estatal de Administración Tributaria por vulneración de la obligación de proteger y mantener la confidencialidad de los datos personales.

La sentencia impugnada, cuya fundamentación jurídica hemos transcrito en los los antecedentes de hecho de esta sentencia, sustenta la decisión de desestimar el recurso contencioso-administrativo con base en el argumento de que no cabe apreciar indicio de vulneración de la normativa de protección de datos por parte de la Agencia Estatal de Administración Tributaria, puesto que las menciones relativas a la demandante en los acuerdos de liquidación a favor de la Hacienda Pública correspondientes al Impuesto sobre el Valor Añadido y en el Impuesto sobre la Renta de las Personas Físicas, en relación a las actuaciones con el cumplimiento de las obligaciones tributarias de otro contribuyente, Amparo, tienen cobertura en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), que dispone que el tratamiento de datos serán lícito si cumple al menos con uno de los requisitos, referidos a que sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o cuando el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos confiados al responsable del tratamiento, así como en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

También se razona que la actuación de la Agencia Estatal de Administración Tributaria tiene soporte en los artículos 95 y 102 de la Ley General Tributaria, que atribuye a la Administración Tributaria competencias, en materia de gestión, inspección y recaudación de los tributos, ya que está obligada a motivar fundadamente sus acuerdos; lo que revela que, en el caso enjuiciado, estaba justificado consignar los nombres identificativos y otros datos relevantes de aquellas personas relacionadas con las actuaciones fiscales incoadas a la obligada tributaria.

El recurso de casación se funda, en primer término, en la infracción del artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el artículo 6.1 c) y e) del Reglamento UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

Se aduce, al respecto, que una relación de parentesco, ya sea cercana o lejana, no es base legal habilitante para que la Agencia Estatal de Administración Tributaria ceda a una tercera persona, no destinataria de los mismos (la obligada tributaria contra la que se inició el procedimiento de inspección), datos personales de la afectada recurrente, que no aparece ni como interesada ni como obligada tributaria de dicho procedimiento, incluyendo datos referidos a la relación de parentesco.

Se reprocha a la Sala de instancia que solamente haga referencia a la actividad de tratamiento de datos y a la legitimidad de la Agencia Estatal de Administración Tributaria para realizar dicho tratamiento en cumplimiento de una obligación legal, y no aluda a la legitimidad o ilegitimidad de la cesión de datos que era el objeto de la denuncia.

En segundo termino, se alega la infracción del articulo 95 de la Ley 58/2003, de 17 de diciembre, General Tributaria, en relación con la divulgación de datos personales de carácter personal con transcendencia tributaria que tienen carácter reservado.

Se cuestiona la sentencia impugnada porque hace una sucinta referencia a dichos preceptos, y no tiene en cuenta la completa lista númerus clausus referida a las personas, organismos y entidades que si pueden ser destinatarios de la cesión de datos personales, entre los que no se citan a personas físicas o terceros particulares respecto de los datos personales de los que la agencia estatal de administración tributaria tuviera conocimiento en el ejercicio del tratamiento de dichos datos.

En tercer termino, se aduce la infracción del articulo 12.2 c) de la Ley 38/2003, de 17 de noviembre, General de Subvenciones.

Se argumenta que la Sala de instancia debió considerar la aplicación restrictiva de dicho precepto, a efectos de determinar el alcance de la obligación de motivación de las liquidaciones tributarias, y, en consecuencia, debió llegar a la conclusión de que era procedente la ocultación de la identidad de terceras personas a las que se refiere el procedimiento de inspección tributaria.

SEGUNDO.- Sobre el marco normativo aplicable y acerca de la doctrina jurisprudencial que resulta relevante en el enjuiciamiento de este recurso de casación.

Antes de abordar, concretamente, el examen de las infracciones del ordenamiento jurídico y de la jurisprudencia que aduce la defensa letrada de la parte recurrente, procede dejar constancia de las normas jurídicas que resultan aplicables, así como recordar la doctrina jurisprudencial del Tribunal de Justicia de la Unión Europea y del Tribunal Supremo que consideramos relevante para resolver la presente controversia casacional.

A) El Derecho de la Unión Europea

El articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, bajo el epígrafe «Protección de datos de carácter personal», dispone:

«1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.

3. El respeto de estas normas estará sujeto al control de una autoridad independiente »

El artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), dispone:

«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

a) el Derecho de la Unión, o

b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de

la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23,

apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización»

B) El Derecho Estatal.

El artículo 18 de la Constitución española, en sus apartados 1 y 4, dispone:

«1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen

[...]

4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.»

El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, bajo la rubrica «Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos», establece:

«1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley»

El artículo 95 de la ley 58/2003, de 17 de diciembre, General de Tributaria, bajo el epígrafe, « Carácter reservado de los datos con trascendencia tributaria», dispone:

«1. Los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión tenga por objeto:

a) La colaboración con los órganos jurisdiccionales y el Ministerio Fiscal en la investigación o persecución de delitos que no sean perseguibles únicamente a instancia de persona agraviada.

b) La colaboración con otras Administraciones tributarias a efectos del cumplimiento de obligaciones fiscales en el ámbito de sus competencias.

c) La colaboración con la Inspección de Trabajo y Seguridad Social y con las entidades gestoras y servicios comunes de la Seguridad Social en la lucha contra el fraude en la cotización y recaudación de las cuotas del sistema de Seguridad Social y contra el fraude en la obtención y disfrute de las prestaciones a cargo del sistema; así como para la determinación del nivel de aportación de cada usuario en las prestaciones del Sistema Nacional de Salud.

d) La colaboración con las Administraciones públicas para la prevención y lucha contra el delito fiscal y contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea, incluyendo las medidas oportunas para prevenir, detectar y corregir el fraude, la corrupción y los conflictos de intereses que afecten a los intereses financieros de la Unión Europea.

e) La colaboración con las comisiones parlamentarias de investigación en el marco legalmente establecido.

f) La protección de los derechos e intereses de los menores e incapacitados por los órganos jurisdiccionales o el Ministerio Fiscal.

g) La colaboración con el Tribunal de Cuentas en el ejercicio de sus funciones de fiscalización de la Agencia Estatal de Administración Tributaria.

h) La colaboración con los jueces y tribunales para la ejecución de resoluciones judiciales firmes. La solicitud judicial de información exigirá resolución expresa en la que, previa ponderación de los intereses públicos y privados afectados en el asunto de que se trate y por haberse agotado los demás medios o fuentes de conocimiento sobre la existencia de bienes y derechos del deudor, se motive la necesidad de recabar datos de la Administración tributaria.

i) La colaboración con el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, con la Comisión de Vigilancia de Actividades de Financiación del Terrorismo y con la Secretaría de ambas comisiones, en el ejercicio de sus funciones respectivas.

j) La colaboración con órganos o entidades de derecho público encargados de la recaudación de recursos públicos no tributarios para la correcta identificación de los obligados al pago y con la Dirección General de Tráfico para la práctica de las notificaciones a los mismos, dirigidas al cobro de tales recursos.

k) La colaboración con las Administraciones públicas para el desarrollo de sus funciones, previa autorización de los obligados tributarios a que se refieran los datos suministrados.

l) La colaboración con la Intervención General de la Administración del Estado en el ejercicio de sus funciones de control de la gestión económico-financiera, el seguimiento del déficit público, el control de subvenciones y ayudas públicas y la lucha contra la morosidad en las operaciones comerciales de las entidades del Sector Público.

m) La colaboración con la Oficina de Recuperación y Gestión de Activos mediante la cesión de los datos, informes o antecedentes necesarios para la localización de los bienes y derechos susceptibles de ser embargados o decomisados en un determinado proceso penal, previa acreditación de esta circunstancia.

n) La colaboración con las entidades responsables de los procedimientos de adjudicación de contratos y concesión de subvenciones vinculadas a la ejecución del Plan de

Recuperación, Transformación y Resiliencia, en relación con el análisis sistemático de riesgo de conflicto de interés.

2. En los casos de cesión previstos en el apartado anterior, la información de carácter tributario deberá ser suministrada preferentemente mediante la utilización de medios informáticos o telemáticos. Cuando las Administraciones públicas puedan disponer de la

información por dichos medios, no podrán exigir a los interesados la aportación de certificados de la Administración tributaria en relación con dicha información.

3. La Administración tributaria adoptará las medidas necesarias para garantizar la confidencialidad de la información tributaria y su uso adecuado.

Cuantas autoridades o funcionarios tengan conocimiento de estos datos, informes o antecedentes estarán obligados al más estricto y completo sigilo respecto de ellos, salvo en los casos citados. Con independencia de las responsabilidades penales o civiles que pudieran derivarse, la infracción de este particular deber de sigilo se considerará siempre falta disciplinaria muy grave.

Cuando se aprecie la posible existencia de un delito no perseguible únicamente a instancia de persona agraviada, la Administración tributaria deducirá el tanto de culpa o remitirá al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de delito. También podrá iniciarse directamente el oportuno procedimiento mediante querella a través del Servicio Jurídico competente.

4. El carácter reservado de los datos establecido en este artículo no impedirá la publicidad de los mismos cuando ésta se derive de la normativa de la Unión Europea.

5. Los retenedores y obligados a realizar ingresos a cuenta sólo podrán utilizar los datos, informes o antecedentes relativos a otros obligados tributarios para el correcto cumplimiento y efectiva aplicación de la obligación de realizar pagos a cuenta. Dichos datos deberán ser comunicados a la Administración tributaria en los casos previstos en la normativa propia de cada tributo.

Salvo lo dispuesto en el párrafo anterior, los referidos datos, informes o antecedentes tienen carácter reservado. Los retenedores y obligados a realizar ingresos a cuenta quedan sujetos al más estricto y completo sigilo respecto de ellos.

6. La cesión de información en el ámbito de la asistencia mutua se regirá por lo dispuesto en el artículo 177 ter de esta Ley.»

El artículo 102 de la Ley 58/2003, de 17 de diciembre, General de Tributaria, , bajo el epígrafe «Notificación de las liquidaciones tributarias», en su apartado 2 c), establece:

«2. Las liquidaciones se notificarán con expresión de:

c) La motivación de las mismas cuando no se ajusten a los datos consignados por el obligado tributario o a la aplicación o interpretación de la normativa realizada por el mismo, con expresión de los hechos y elementos esenciales que las originen, así como de los fundamentos de derecho.»

C) La doctrina del Tribunal de Justicia de la Unión Europea.

En la sentencia del Tribunal de Justicia de la Unió Europea, de 27 de septiembre de 2017 (Asunto C-73/16) se considera legitima la actuación de las autoridades tributarias de los Estados miembros, relativas al tratamiento de datos personales de terceras personas, a efectos de recaudación y de lucha contra el fraude fiscal, en los siguientes términos:

«1) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que no se opone a una normativa nacional que subordine la posibilidad de que ejercite la acción judicial quien afirme que ha sido vulnerado el derecho a la protección de los datos personales que le garantiza la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, a la condición de que esa persona agote las vías de recurso de que disponga ante las autoridades administrativas nacionales, siempre que la regulación concreta del ejercicio de dichas vías de recurso no afecte de forma desproporcionada al derecho a la tutela judicial efectiva que recoge el propio artículo 47 de la Carta. En particular, es necesario que el agotamiento previo de esas vías de recurso no implique un retraso sustancial a efectos del ejercicio de la acción judicial, suponga la interrupción de la prescripción de los correspondientes derechos y no ocasione gastos excesivos.

2) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que se opone a que un tribunal nacional inadmita una prueba de la infracción de la protección de datos personales que confiere la Directiva 95/46 consistente en una lista que, como la controvertida, sea presentada por el interesado y que contenga datos personales suyos, en el supuesto de que ese interesado haya obtenido la lista sin el consentimiento, que requiere la ley, del responsable del tratamiento de los datos en cuestión, a menos que dicha inadmisión venga establecida por la normativa nacional y que respete tanto el contenido esencial del derecho a la tutela judicial efectiva como el principio de proporcionalidad.

3) El artículo 7, letra e), de la Directiva 95/46 debe interpretarse en el sentido de que no se opone a que, sin que medie el consentimiento de los interesados, las autoridades de los Estados miembros traten datos personales a efectos de recaudación y de lucha contra el fraude fiscal, tal como se hizo en el litigio principal mediante la elaboración de la lista controvertida, siempre que, por un lado, la normativa nacional confiera a dichas autoridades, a efectos de la disposición mencionada, misiones de interés público, que la elaboración de la lista y la inclusión en la misma de los interesados sean efectivamente idóneas y necesarias para cumplir los objetivos perseguidos y que existan motivos suficientes para presumir que la inclusión de los interesados en la lista obedece a un motivo y siempre que, por otro lado, concurran todas las condiciones a que obliga la propia Directiva 95/46 para que ese tratamiento de datos personales sea lícito.»

En la ulterior sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2021 (asunto C-439/19), se declara:

« El artículo 10 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que se aplica al tratamiento de datos personales relativos a puntos impuestos a conductores por infracciones de tráfico.

2) Las disposiciones del Reglamento 2016/679, en particular sus artículos 5, apartado 1, 6, apartado 1, letra e), y 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga al organismo público encargado del registro en el que se inscriben los puntos impuestos a conductores por infracciones de tráfico a establecer que dichos datos sean accesibles al público sin que la persona que solicite ese acceso tenga que justificar un interés específico en obtenerlos.

3) Las disposiciones del Reglamento 2016/679, en particular sus artículos 5, apartado 1, 6, apartado 1, letra e), y 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que autoriza al organismo público encargado del registro en el que se inscriben los puntos impuestos por infracciones de tráfico a los conductores a comunicar dichos datos a operadores económicos a efectos de su reutilización.

4) El principio de primacía del Derecho de la Unión debe interpretarse en el sentido de que se opone a que el tribunal constitucional de un Estado miembro que conoce de un recurso interpuesto contra una normativa nacional que, a la luz de una resolución del Tribunal de Justicia dictada tras la remisión prejudicial correspondiente, resulta ser incompatible con el Derecho de la Unión decida, con arreglo al principio de seguridad jurídica, que se mantienen los efectos jurídicos de dicha normativa hasta la fecha en que ese tribunal constitucional dicte una sentencia que resuelva definitivamente sobre tal recurso de inconstitucionalidad.

D) La doctrina del Tribunal Supremo.

En la sentencia de esta sala de lo Contencioso-Administrativo del Tribunal Supremo núm. 1520/2023, de 22 de noviembre de 2023 (RC 5352/2022), en relación con el tratamiento de datos personales efectuado por la Agencia Estatal de Agencia Tributaria, dijimos:

«El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expediente administrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal, que la inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados. »

TERCERO.- Sobre las infracciones del ordenamiento jurídico en que se fundamenta el recurso de casación.

La cuestión que reviste interés casacional objetivo para la formación de jurisprudencia, sobre la que esta Sala de lo Contencioso-Administrativo del Tribunal Supremo debe pronunciarse, tal como se expone en el Auto de la Sección Primera de esta Sala de 1 de diciembre de 2022, consiste en determinar si la actuación de la Agencia Estatal de Administración Tributaria vulnera el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, con la inclusión de cualesquiera datos personales de terceras personas no interesadas en los procedimientos tributarios, y si su tratamiento en dichos procedimientos tiene la consideración de cesión de datos personales fundado en el cumplimiento de una obligación legal a los efectos de la vigente normativa de protección de datos.

Delimitada, en estos estrictos términos, la controversia casacional, esta Sala, siguiendo las consideraciones jurídicas efectuadas en la precedente sentencia núm. 1520/2023, de 22 de noviembre de 2023, debe precisar, en primer termino, que la actuación de la Agencia Estatal de Administración Tributaria debe caracterizarse como tratamiento de datos personales (y no como cesión de datos, tal como sostiene la parte recurrente, pues propiamente no concurre el presupuesto de revelación inherente a la cesión o comunicación de datos), conforme a lo dispuesto en el artículo 4 del Reglamento (UE) 2016/679, ya que se trata de la utilización de determinados datos personales de un tercero por un organismo público responsable del tratamiento en el curso de un procedimiento de comprobación e inspección tributaria, que, en la medida que los datos están directamente relacionados con las actividades económicas desarrolladas por la obligada tributaria, y debido a su transcendencia fiscal para integrar el supuesto de hecho tributario, mantenemos que está plenamente justificada que figuren en los acuerdos de liquidación.

En efecto, esta Sala, compartiendo los razonamientos de la sentencia impugnada, sostiene que la actuación cuestionada de la Agencia Estatal de Administración Tributaria no infringe el articulo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, ni el artículo 6.1 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Al respecto, debe señalarse que, a tenor de lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea, que dispone que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan, y que establece que estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, y del artículo 18 de la Constitución española que garantiza el derecho a la privacidad y la protección de los datos personales, consideramos legítimo el tratamiento de los datos personales de la recurrente fundado en el cumplimiento de una obligación legal exigible al responsable del tratamiento, referida a la gestión eficiente de la recaudación tributaria y a la persecución del fraude fiscal, que atiende a un objetivo de interés general, de acuerdo con lo dispuesto en los artículos 31 y 103 de la Constitución y se revela necesario para el ejercicio de la funciones de comprobación e inspección del cumplimiento de las obligaciones tributarias, que impone a la Administración Tributaria la regular persecución del procedimiento y motivar las resoluciones que adopte conforme a lo dispuesto en el articulo 102.2 c) de la Ley General Tributaria.

En este sentido, cabe subrayar que el deber de la Agencia Estatal de la Administración Tributaria de velar por el cumplimiento efectivo de las obligaciones tributarias constituye un objetivo de interés general, que a la luz de la doctrina jurispurdencial del Tribunal de Justicia de la Unión Europea, determina el reconocimiento de la licitud del tratamiento de datos de carácter personal a través del ejercicio de potestades de carácter publico para la realización de misiones de interés público amparadas por el artículo 8 del reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en consonancia con lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea y el artículo 18 de la Constitución española.

Procede, asimismo, significar, al respecto, que estimamos que el tratamiento de los datos personales de la 439/recurrente por la Agencia Estatal de Administración Tributaria se revela adecuado, de acuerdo con lo dispuesto en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6 del Reglamento (UE) 2016/679, porque resulta necesario para fijar los hechos relativos a la comprobación del incumplimiento de las obligaciones fiscales por la contribuyente investigada Amparo, y la inclusión de los datos no se revela desproporcionada, ya que solo se recogen datos personales, pertinentes y apropiados para tal fin.

Por ello, no estimamos convincente la tesis argumental que desarrolla la defensa letrada de la parte recurrente, que insiste en caracterizar la actuación de la Agencia Estatal de Administración Tributaria de cesión de datos personales, con base en el argumento de que no existe base legal para que la Agencia desvele datos personales de la persona física particular que no ocupa la posición de interesado en el procedimiento tributario, mediante la cesión a una tercera persona (la obligada tributaria contra la que se inició el procedimiento administrativo) sin contar con el consentimiento del titular de los datos personales, eludiendo que de ningún modo el tratamiento de los datos ha supuesto una injerencia indebida de las autoridades tributarias en la esfera del derecho a la privacidad y a la protección de datos personales que garantiza el artículo 18 de la Constitución.

Debe recordarse que la utilización de datos personales de terceras personas, distintas al obligado tributario, por la Administración Tributaria, sin el preceptivo consentimiento, debe considerarse legitima, tal como se infiere de la doctrina del Tribunal de Justicia de la Unión Europea expuesta en las sentencias de 27 de septiembre de 2017 (asunto C-73/16) y 22 de julio de 2021 (asunto C-439/19), en aquellos supuestos, como acontece en el presente caso, siempre que responda a objetivos de interés general relacionados con la persecución del fraude fiscal, y se acredite el tratamiento de datos personales es proporcionado y no excede de lo estrictamente necesario para cumplir tal fin, y se produzca en el marco de un procedimiento en cuya tramitación se hayan garantizado la protección de los derechos fundamentales y libertades de los interesados y afectados.

Asimismo, procede descartar que la sentencia impugnada infrinja el articulo 95 de la Ley 58/2003, de 17 de diciembre, General Tributaria, por cuanto compartimos el criterio de la Sala de instancia, respecto de que la Agencia Estatal de Administración Tributaria no ha violado el carácter reservado de los datos personales, pues la consignación de determinados datos personales de la actual recurrente, referidos a la identificación del nombre y apellidos, DNI, vínculos familiares y datos económicos, se efectúa para la efectiva exacción de los tributos, tal como dispone el artículo 5 de la Ley General Tributaria, en el marco de las competencias de la Agencia Estatal de Administración Tributaria, en el curso de un procedimiento de comprobación del cumplimiento de las obligaciones tributarias, revelándose idónea y necesaria para la efectiva aplicación de la normativa tributaria, en la medida que era imprescindible para el correcto ejercicio de la función recaudatoria.

Tampoco apreciamos que la sentencia impugnada infrinja el artículo 102.2 c) de la Ley General Tributaria, puesto que la utilización de los datos personales del actual recurrente era necesaria, en razón de las circunstancias concurrentes, referidas a los vínculos familiares y profesionales existentes entre el empleado de la empresa proveedora de servicios profesionales que giraba las facturas y la obligada tributaria, para poder fundamentar los Acuerdos de liquidación, y garantizar el derecho de defensa de la obligada tributaria, que tiene derecho a conocer con precisión la relación de hechos que justifican el levantamiento de las actas de propuesta de liquidación por la Hacienda Púbica, lo que comporta que, a efectos de cumplir la exigencia de motivación de los actos tributarios, deban figurar aquellos datos personales del actual recurrente que, como hemos expuesto, se revelan adecuados, idóneos y proporcionados para el cumplimiento del mismo fin.

CUARTO.- Sobre la formación de jurisprudencia acerca de la interpretacióndel artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y del artículo 6.1 c ) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en relación con lo dispuesto en los artículos 95 y 102 de la Ley 58/2003, de 17 de diciembre, General Tributaria .

Conforme a los razonamientos jurídicos expuestos en el precedente fundamento jurídico tercero, esta Sala, dando respuesta a la cuestión que presenta interés casacional objetivo para la formación de jurisprudencia, declara que:

El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen, a la luz de lo dispuesto en el articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y del artículo 18 de la Constitución española, a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expediente administrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal, la inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados.

En consecuencia con lo razonado, procede declarar no haber lugar al recurso casación interpuesto por la representación procesal de María Purificación contra la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022.

QUINTO- Sobre las costas procesales.

De conformidad con lo dispuesto en los artículos 93.4 y 139.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, no procede la imposición de las costas causadas en el presente recurso de casación, manteniendo el pronunciamiento de la sentencia de instancia relativo a la imposición de las costas a la parte actora.

PRIMERO.- Sobre el objeto y el planteamiento del recurso de casación: El asunto litigioso relativo a la impugnación de la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022 .

El recurso de casación que enjuiciamos, interpuesto por la representación procesal de María Purificación, al amparo de los artículos 86 y siguientes de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en la redacción introducida por la Ley Orgánica 7/2015, de 21 de julio, tiene por objeto la pretensión de que se revoque la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022, que desestimó el recurso contencioso-administrativo planteado contra la resolución de la Directora de la Agencia Española de Protección de Datos de 16 de diciembre de 2020, dictada en el expediente NUM000, que inadmite a trámite la reclamación presentada contra la Agencia Estatal de Administración Tributaria por vulneración de la obligación de proteger y mantener la confidencialidad de los datos personales.

La sentencia impugnada, cuya fundamentación jurídica hemos transcrito en los los antecedentes de hecho de esta sentencia, sustenta la decisión de desestimar el recurso contencioso-administrativo con base en el argumento de que no cabe apreciar indicio de vulneración de la normativa de protección de datos por parte de la Agencia Estatal de Administración Tributaria, puesto que las menciones relativas a la demandante en los acuerdos de liquidación a favor de la Hacienda Pública correspondientes al Impuesto sobre el Valor Añadido y en el Impuesto sobre la Renta de las Personas Físicas, en relación a las actuaciones con el cumplimiento de las obligaciones tributarias de otro contribuyente, Amparo, tienen cobertura en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), que dispone que el tratamiento de datos serán lícito si cumple al menos con uno de los requisitos, referidos a que sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o cuando el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos confiados al responsable del tratamiento, así como en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

También se razona que la actuación de la Agencia Estatal de Administración Tributaria tiene soporte en los artículos 95 y 102 de la Ley General Tributaria, que atribuye a la Administración Tributaria competencias, en materia de gestión, inspección y recaudación de los tributos, ya que está obligada a motivar fundadamente sus acuerdos; lo que revela que, en el caso enjuiciado, estaba justificado consignar los nombres identificativos y otros datos relevantes de aquellas personas relacionadas con las actuaciones fiscales incoadas a la obligada tributaria.

El recurso de casación se funda, en primer término, en la infracción del artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el artículo 6.1 c) y e) del Reglamento UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

Se aduce, al respecto, que una relación de parentesco, ya sea cercana o lejana, no es base legal habilitante para que la Agencia Estatal de Administración Tributaria ceda a una tercera persona, no destinataria de los mismos (la obligada tributaria contra la que se inició el procedimiento de inspección), datos personales de la afectada recurrente, que no aparece ni como interesada ni como obligada tributaria de dicho procedimiento, incluyendo datos referidos a la relación de parentesco.

Se reprocha a la Sala de instancia que solamente haga referencia a la actividad de tratamiento de datos y a la legitimidad de la Agencia Estatal de Administración Tributaria para realizar dicho tratamiento en cumplimiento de una obligación legal, y no aluda a la legitimidad o ilegitimidad de la cesión de datos que era el objeto de la denuncia.

En segundo termino, se alega la infracción del articulo 95 de la Ley 58/2003, de 17 de diciembre, General Tributaria, en relación con la divulgación de datos personales de carácter personal con transcendencia tributaria que tienen carácter reservado.

Se cuestiona la sentencia impugnada porque hace una sucinta referencia a dichos preceptos, y no tiene en cuenta la completa lista númerus clausus referida a las personas, organismos y entidades que si pueden ser destinatarios de la cesión de datos personales, entre los que no se citan a personas físicas o terceros particulares respecto de los datos personales de los que la agencia estatal de administración tributaria tuviera conocimiento en el ejercicio del tratamiento de dichos datos.

En tercer termino, se aduce la infracción del articulo 12.2 c) de la Ley 38/2003, de 17 de noviembre, General de Subvenciones.

Se argumenta que la Sala de instancia debió considerar la aplicación restrictiva de dicho precepto, a efectos de determinar el alcance de la obligación de motivación de las liquidaciones tributarias, y, en consecuencia, debió llegar a la conclusión de que era procedente la ocultación de la identidad de terceras personas a las que se refiere el procedimiento de inspección tributaria.

SEGUNDO.- Sobre el marco normativo aplicable y acerca de la doctrina jurisprudencial que resulta relevante en el enjuiciamiento de este recurso de casación.

Antes de abordar, concretamente, el examen de las infracciones del ordenamiento jurídico y de la jurisprudencia que aduce la defensa letrada de la parte recurrente, procede dejar constancia de las normas jurídicas que resultan aplicables, así como recordar la doctrina jurisprudencial del Tribunal de Justicia de la Unión Europea y del Tribunal Supremo que consideramos relevante para resolver la presente controversia casacional.

A) El Derecho de la Unión Europea

El articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, bajo el epígrafe «Protección de datos de carácter personal», dispone:

«1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.

3. El respeto de estas normas estará sujeto al control de una autoridad independiente »

El artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), dispone:

«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

a) el Derecho de la Unión, o

b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de

la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23,

apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización»

B) El Derecho Estatal.

El artículo 18 de la Constitución española, en sus apartados 1 y 4, dispone:

«1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen

[...]

4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.»

El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, bajo la rubrica «Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos», establece:

«1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley»

El artículo 95 de la ley 58/2003, de 17 de diciembre, General de Tributaria, bajo el epígrafe, « Carácter reservado de los datos con trascendencia tributaria», dispone:

«1. Los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión tenga por objeto:

a) La colaboración con los órganos jurisdiccionales y el Ministerio Fiscal en la investigación o persecución de delitos que no sean perseguibles únicamente a instancia de persona agraviada.

b) La colaboración con otras Administraciones tributarias a efectos del cumplimiento de obligaciones fiscales en el ámbito de sus competencias.

c) La colaboración con la Inspección de Trabajo y Seguridad Social y con las entidades gestoras y servicios comunes de la Seguridad Social en la lucha contra el fraude en la cotización y recaudación de las cuotas del sistema de Seguridad Social y contra el fraude en la obtención y disfrute de las prestaciones a cargo del sistema; así como para la determinación del nivel de aportación de cada usuario en las prestaciones del Sistema Nacional de Salud.

d) La colaboración con las Administraciones públicas para la prevención y lucha contra el delito fiscal y contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea, incluyendo las medidas oportunas para prevenir, detectar y corregir el fraude, la corrupción y los conflictos de intereses que afecten a los intereses financieros de la Unión Europea.

e) La colaboración con las comisiones parlamentarias de investigación en el marco legalmente establecido.

f) La protección de los derechos e intereses de los menores e incapacitados por los órganos jurisdiccionales o el Ministerio Fiscal.

g) La colaboración con el Tribunal de Cuentas en el ejercicio de sus funciones de fiscalización de la Agencia Estatal de Administración Tributaria.

h) La colaboración con los jueces y tribunales para la ejecución de resoluciones judiciales firmes. La solicitud judicial de información exigirá resolución expresa en la que, previa ponderación de los intereses públicos y privados afectados en el asunto de que se trate y por haberse agotado los demás medios o fuentes de conocimiento sobre la existencia de bienes y derechos del deudor, se motive la necesidad de recabar datos de la Administración tributaria.

i) La colaboración con el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, con la Comisión de Vigilancia de Actividades de Financiación del Terrorismo y con la Secretaría de ambas comisiones, en el ejercicio de sus funciones respectivas.

j) La colaboración con órganos o entidades de derecho público encargados de la recaudación de recursos públicos no tributarios para la correcta identificación de los obligados al pago y con la Dirección General de Tráfico para la práctica de las notificaciones a los mismos, dirigidas al cobro de tales recursos.

k) La colaboración con las Administraciones públicas para el desarrollo de sus funciones, previa autorización de los obligados tributarios a que se refieran los datos suministrados.

l) La colaboración con la Intervención General de la Administración del Estado en el ejercicio de sus funciones de control de la gestión económico-financiera, el seguimiento del déficit público, el control de subvenciones y ayudas públicas y la lucha contra la morosidad en las operaciones comerciales de las entidades del Sector Público.

m) La colaboración con la Oficina de Recuperación y Gestión de Activos mediante la cesión de los datos, informes o antecedentes necesarios para la localización de los bienes y derechos susceptibles de ser embargados o decomisados en un determinado proceso penal, previa acreditación de esta circunstancia.

n) La colaboración con las entidades responsables de los procedimientos de adjudicación de contratos y concesión de subvenciones vinculadas a la ejecución del Plan de

Recuperación, Transformación y Resiliencia, en relación con el análisis sistemático de riesgo de conflicto de interés.

2. En los casos de cesión previstos en el apartado anterior, la información de carácter tributario deberá ser suministrada preferentemente mediante la utilización de medios informáticos o telemáticos. Cuando las Administraciones públicas puedan disponer de la

información por dichos medios, no podrán exigir a los interesados la aportación de certificados de la Administración tributaria en relación con dicha información.

3. La Administración tributaria adoptará las medidas necesarias para garantizar la confidencialidad de la información tributaria y su uso adecuado.

Cuantas autoridades o funcionarios tengan conocimiento de estos datos, informes o antecedentes estarán obligados al más estricto y completo sigilo respecto de ellos, salvo en los casos citados. Con independencia de las responsabilidades penales o civiles que pudieran derivarse, la infracción de este particular deber de sigilo se considerará siempre falta disciplinaria muy grave.

Cuando se aprecie la posible existencia de un delito no perseguible únicamente a instancia de persona agraviada, la Administración tributaria deducirá el tanto de culpa o remitirá al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de delito. También podrá iniciarse directamente el oportuno procedimiento mediante querella a través del Servicio Jurídico competente.

4. El carácter reservado de los datos establecido en este artículo no impedirá la publicidad de los mismos cuando ésta se derive de la normativa de la Unión Europea.

5. Los retenedores y obligados a realizar ingresos a cuenta sólo podrán utilizar los datos, informes o antecedentes relativos a otros obligados tributarios para el correcto cumplimiento y efectiva aplicación de la obligación de realizar pagos a cuenta. Dichos datos deberán ser comunicados a la Administración tributaria en los casos previstos en la normativa propia de cada tributo.

Salvo lo dispuesto en el párrafo anterior, los referidos datos, informes o antecedentes tienen carácter reservado. Los retenedores y obligados a realizar ingresos a cuenta quedan sujetos al más estricto y completo sigilo respecto de ellos.

6. La cesión de información en el ámbito de la asistencia mutua se regirá por lo dispuesto en el artículo 177 ter de esta Ley.»

El artículo 102 de la Ley 58/2003, de 17 de diciembre, General de Tributaria, , bajo el epígrafe «Notificación de las liquidaciones tributarias», en su apartado 2 c), establece:

«2. Las liquidaciones se notificarán con expresión de:

c) La motivación de las mismas cuando no se ajusten a los datos consignados por el obligado tributario o a la aplicación o interpretación de la normativa realizada por el mismo, con expresión de los hechos y elementos esenciales que las originen, así como de los fundamentos de derecho.»

C) La doctrina del Tribunal de Justicia de la Unión Europea.

En la sentencia del Tribunal de Justicia de la Unió Europea, de 27 de septiembre de 2017 (Asunto C-73/16) se considera legitima la actuación de las autoridades tributarias de los Estados miembros, relativas al tratamiento de datos personales de terceras personas, a efectos de recaudación y de lucha contra el fraude fiscal, en los siguientes términos:

«1) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que no se opone a una normativa nacional que subordine la posibilidad de que ejercite la acción judicial quien afirme que ha sido vulnerado el derecho a la protección de los datos personales que le garantiza la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, a la condición de que esa persona agote las vías de recurso de que disponga ante las autoridades administrativas nacionales, siempre que la regulación concreta del ejercicio de dichas vías de recurso no afecte de forma desproporcionada al derecho a la tutela judicial efectiva que recoge el propio artículo 47 de la Carta. En particular, es necesario que el agotamiento previo de esas vías de recurso no implique un retraso sustancial a efectos del ejercicio de la acción judicial, suponga la interrupción de la prescripción de los correspondientes derechos y no ocasione gastos excesivos.

2) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que se opone a que un tribunal nacional inadmita una prueba de la infracción de la protección de datos personales que confiere la Directiva 95/46 consistente en una lista que, como la controvertida, sea presentada por el interesado y que contenga datos personales suyos, en el supuesto de que ese interesado haya obtenido la lista sin el consentimiento, que requiere la ley, del responsable del tratamiento de los datos en cuestión, a menos que dicha inadmisión venga establecida por la normativa nacional y que respete tanto el contenido esencial del derecho a la tutela judicial efectiva como el principio de proporcionalidad.

3) El artículo 7, letra e), de la Directiva 95/46 debe interpretarse en el sentido de que no se opone a que, sin que medie el consentimiento de los interesados, las autoridades de los Estados miembros traten datos personales a efectos de recaudación y de lucha contra el fraude fiscal, tal como se hizo en el litigio principal mediante la elaboración de la lista controvertida, siempre que, por un lado, la normativa nacional confiera a dichas autoridades, a efectos de la disposición mencionada, misiones de interés público, que la elaboración de la lista y la inclusión en la misma de los interesados sean efectivamente idóneas y necesarias para cumplir los objetivos perseguidos y que existan motivos suficientes para presumir que la inclusión de los interesados en la lista obedece a un motivo y siempre que, por otro lado, concurran todas las condiciones a que obliga la propia Directiva 95/46 para que ese tratamiento de datos personales sea lícito.»

En la ulterior sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2021 (asunto C-439/19), se declara:

« El artículo 10 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que se aplica al tratamiento de datos personales relativos a puntos impuestos a conductores por infracciones de tráfico.

2) Las disposiciones del Reglamento 2016/679, en particular sus artículos 5, apartado 1, 6, apartado 1, letra e), y 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga al organismo público encargado del registro en el que se inscriben los puntos impuestos a conductores por infracciones de tráfico a establecer que dichos datos sean accesibles al público sin que la persona que solicite ese acceso tenga que justificar un interés específico en obtenerlos.

3) Las disposiciones del Reglamento 2016/679, en particular sus artículos 5, apartado 1, 6, apartado 1, letra e), y 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que autoriza al organismo público encargado del registro en el que se inscriben los puntos impuestos por infracciones de tráfico a los conductores a comunicar dichos datos a operadores económicos a efectos de su reutilización.

4) El principio de primacía del Derecho de la Unión debe interpretarse en el sentido de que se opone a que el tribunal constitucional de un Estado miembro que conoce de un recurso interpuesto contra una normativa nacional que, a la luz de una resolución del Tribunal de Justicia dictada tras la remisión prejudicial correspondiente, resulta ser incompatible con el Derecho de la Unión decida, con arreglo al principio de seguridad jurídica, que se mantienen los efectos jurídicos de dicha normativa hasta la fecha en que ese tribunal constitucional dicte una sentencia que resuelva definitivamente sobre tal recurso de inconstitucionalidad.

D) La doctrina del Tribunal Supremo.

En la sentencia de esta sala de lo Contencioso-Administrativo del Tribunal Supremo núm. 1520/2023, de 22 de noviembre de 2023 (RC 5352/2022), en relación con el tratamiento de datos personales efectuado por la Agencia Estatal de Agencia Tributaria, dijimos:

«El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expediente administrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal, que la inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados. »

TERCERO.- Sobre las infracciones del ordenamiento jurídico en que se fundamenta el recurso de casación.

La cuestión que reviste interés casacional objetivo para la formación de jurisprudencia, sobre la que esta Sala de lo Contencioso-Administrativo del Tribunal Supremo debe pronunciarse, tal como se expone en el Auto de la Sección Primera de esta Sala de 1 de diciembre de 2022, consiste en determinar si la actuación de la Agencia Estatal de Administración Tributaria vulnera el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, con la inclusión de cualesquiera datos personales de terceras personas no interesadas en los procedimientos tributarios, y si su tratamiento en dichos procedimientos tiene la consideración de cesión de datos personales fundado en el cumplimiento de una obligación legal a los efectos de la vigente normativa de protección de datos.

Delimitada, en estos estrictos términos, la controversia casacional, esta Sala, siguiendo las consideraciones jurídicas efectuadas en la precedente sentencia núm. 1520/2023, de 22 de noviembre de 2023, debe precisar, en primer termino, que la actuación de la Agencia Estatal de Administración Tributaria debe caracterizarse como tratamiento de datos personales (y no como cesión de datos, tal como sostiene la parte recurrente, pues propiamente no concurre el presupuesto de revelación inherente a la cesión o comunicación de datos), conforme a lo dispuesto en el artículo 4 del Reglamento (UE) 2016/679, ya que se trata de la utilización de determinados datos personales de un tercero por un organismo público responsable del tratamiento en el curso de un procedimiento de comprobación e inspección tributaria, que, en la medida que los datos están directamente relacionados con las actividades económicas desarrolladas por la obligada tributaria, y debido a su transcendencia fiscal para integrar el supuesto de hecho tributario, mantenemos que está plenamente justificada que figuren en los acuerdos de liquidación.

En efecto, esta Sala, compartiendo los razonamientos de la sentencia impugnada, sostiene que la actuación cuestionada de la Agencia Estatal de Administración Tributaria no infringe el articulo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, ni el artículo 6.1 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Al respecto, debe señalarse que, a tenor de lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea, que dispone que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan, y que establece que estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, y del artículo 18 de la Constitución española que garantiza el derecho a la privacidad y la protección de los datos personales, consideramos legítimo el tratamiento de los datos personales de la recurrente fundado en el cumplimiento de una obligación legal exigible al responsable del tratamiento, referida a la gestión eficiente de la recaudación tributaria y a la persecución del fraude fiscal, que atiende a un objetivo de interés general, de acuerdo con lo dispuesto en los artículos 31 y 103 de la Constitución y se revela necesario para el ejercicio de la funciones de comprobación e inspección del cumplimiento de las obligaciones tributarias, que impone a la Administración Tributaria la regular persecución del procedimiento y motivar las resoluciones que adopte conforme a lo dispuesto en el articulo 102.2 c) de la Ley General Tributaria.

En este sentido, cabe subrayar que el deber de la Agencia Estatal de la Administración Tributaria de velar por el cumplimiento efectivo de las obligaciones tributarias constituye un objetivo de interés general, que a la luz de la doctrina jurispurdencial del Tribunal de Justicia de la Unión Europea, determina el reconocimiento de la licitud del tratamiento de datos de carácter personal a través del ejercicio de potestades de carácter publico para la realización de misiones de interés público amparadas por el artículo 8 del reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en consonancia con lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea y el artículo 18 de la Constitución española.

Procede, asimismo, significar, al respecto, que estimamos que el tratamiento de los datos personales de la 439/recurrente por la Agencia Estatal de Administración Tributaria se revela adecuado, de acuerdo con lo dispuesto en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6 del Reglamento (UE) 2016/679, porque resulta necesario para fijar los hechos relativos a la comprobación del incumplimiento de las obligaciones fiscales por la contribuyente investigada Amparo, y la inclusión de los datos no se revela desproporcionada, ya que solo se recogen datos personales, pertinentes y apropiados para tal fin.

Por ello, no estimamos convincente la tesis argumental que desarrolla la defensa letrada de la parte recurrente, que insiste en caracterizar la actuación de la Agencia Estatal de Administración Tributaria de cesión de datos personales, con base en el argumento de que no existe base legal para que la Agencia desvele datos personales de la persona física particular que no ocupa la posición de interesado en el procedimiento tributario, mediante la cesión a una tercera persona (la obligada tributaria contra la que se inició el procedimiento administrativo) sin contar con el consentimiento del titular de los datos personales, eludiendo que de ningún modo el tratamiento de los datos ha supuesto una injerencia indebida de las autoridades tributarias en la esfera del derecho a la privacidad y a la protección de datos personales que garantiza el artículo 18 de la Constitución.

Debe recordarse que la utilización de datos personales de terceras personas, distintas al obligado tributario, por la Administración Tributaria, sin el preceptivo consentimiento, debe considerarse legitima, tal como se infiere de la doctrina del Tribunal de Justicia de la Unión Europea expuesta en las sentencias de 27 de septiembre de 2017 (asunto C-73/16) y 22 de julio de 2021 (asunto C-439/19), en aquellos supuestos, como acontece en el presente caso, siempre que responda a objetivos de interés general relacionados con la persecución del fraude fiscal, y se acredite el tratamiento de datos personales es proporcionado y no excede de lo estrictamente necesario para cumplir tal fin, y se produzca en el marco de un procedimiento en cuya tramitación se hayan garantizado la protección de los derechos fundamentales y libertades de los interesados y afectados.

Asimismo, procede descartar que la sentencia impugnada infrinja el articulo 95 de la Ley 58/2003, de 17 de diciembre, General Tributaria, por cuanto compartimos el criterio de la Sala de instancia, respecto de que la Agencia Estatal de Administración Tributaria no ha violado el carácter reservado de los datos personales, pues la consignación de determinados datos personales de la actual recurrente, referidos a la identificación del nombre y apellidos, DNI, vínculos familiares y datos económicos, se efectúa para la efectiva exacción de los tributos, tal como dispone el artículo 5 de la Ley General Tributaria, en el marco de las competencias de la Agencia Estatal de Administración Tributaria, en el curso de un procedimiento de comprobación del cumplimiento de las obligaciones tributarias, revelándose idónea y necesaria para la efectiva aplicación de la normativa tributaria, en la medida que era imprescindible para el correcto ejercicio de la función recaudatoria.

Tampoco apreciamos que la sentencia impugnada infrinja el artículo 102.2 c) de la Ley General Tributaria, puesto que la utilización de los datos personales del actual recurrente era necesaria, en razón de las circunstancias concurrentes, referidas a los vínculos familiares y profesionales existentes entre el empleado de la empresa proveedora de servicios profesionales que giraba las facturas y la obligada tributaria, para poder fundamentar los Acuerdos de liquidación, y garantizar el derecho de defensa de la obligada tributaria, que tiene derecho a conocer con precisión la relación de hechos que justifican el levantamiento de las actas de propuesta de liquidación por la Hacienda Púbica, lo que comporta que, a efectos de cumplir la exigencia de motivación de los actos tributarios, deban figurar aquellos datos personales del actual recurrente que, como hemos expuesto, se revelan adecuados, idóneos y proporcionados para el cumplimiento del mismo fin.

CUARTO.- Sobre la formación de jurisprudencia acerca de la interpretacióndel artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y del artículo 6.1 c ) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en relación con lo dispuesto en los artículos 95 y 102 de la Ley 58/2003, de 17 de diciembre, General Tributaria .

Conforme a los razonamientos jurídicos expuestos en el precedente fundamento jurídico tercero, esta Sala, dando respuesta a la cuestión que presenta interés casacional objetivo para la formación de jurisprudencia, declara que:

El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen, a la luz de lo dispuesto en el articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y del artículo 18 de la Constitución española, a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expediente administrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal, la inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados.

En consecuencia con lo razonado, procede declarar no haber lugar al recurso casación interpuesto por la representación procesal de María Purificación contra la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022.

QUINTO- Sobre las costas procesales.

De conformidad con lo dispuesto en los artículos 93.4 y 139.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, no procede la imposición de las costas causadas en el presente recurso de casación, manteniendo el pronunciamiento de la sentencia de instancia relativo a la imposición de las costas a la parte actora.

PRIMERO.- Sobre el objeto y el planteamiento del recurso de casación: El asunto litigioso relativo a la impugnación de la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022 .

El recurso de casación que enjuiciamos, interpuesto por la representación procesal de María Purificación, al amparo de los artículos 86 y siguientes de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en la redacción introducida por la Ley Orgánica 7/2015, de 21 de julio, tiene por objeto la pretensión de que se revoque la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022, que desestimó el recurso contencioso-administrativo planteado contra la resolución de la Directora de la Agencia Española de Protección de Datos de 16 de diciembre de 2020, dictada en el expediente NUM000, que inadmite a trámite la reclamación presentada contra la Agencia Estatal de Administración Tributaria por vulneración de la obligación de proteger y mantener la confidencialidad de los datos personales.

La sentencia impugnada, cuya fundamentación jurídica hemos transcrito en los los antecedentes de hecho de esta sentencia, sustenta la decisión de desestimar el recurso contencioso-administrativo con base en el argumento de que no cabe apreciar indicio de vulneración de la normativa de protección de datos por parte de la Agencia Estatal de Administración Tributaria, puesto que las menciones relativas a la demandante en los acuerdos de liquidación a favor de la Hacienda Pública correspondientes al Impuesto sobre el Valor Añadido y en el Impuesto sobre la Renta de las Personas Físicas, en relación a las actuaciones con el cumplimiento de las obligaciones tributarias de otro contribuyente, Amparo, tienen cobertura en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos), que dispone que el tratamiento de datos serán lícito si cumple al menos con uno de los requisitos, referidos a que sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o cuando el tratamiento sea necesario para el cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos confiados al responsable del tratamiento, así como en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

También se razona que la actuación de la Agencia Estatal de Administración Tributaria tiene soporte en los artículos 95 y 102 de la Ley General Tributaria, que atribuye a la Administración Tributaria competencias, en materia de gestión, inspección y recaudación de los tributos, ya que está obligada a motivar fundadamente sus acuerdos; lo que revela que, en el caso enjuiciado, estaba justificado consignar los nombres identificativos y otros datos relevantes de aquellas personas relacionadas con las actuaciones fiscales incoadas a la obligada tributaria.

El recurso de casación se funda, en primer término, en la infracción del artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el artículo 6.1 c) y e) del Reglamento UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).

Se aduce, al respecto, que una relación de parentesco, ya sea cercana o lejana, no es base legal habilitante para que la Agencia Estatal de Administración Tributaria ceda a una tercera persona, no destinataria de los mismos (la obligada tributaria contra la que se inició el procedimiento de inspección), datos personales de la afectada recurrente, que no aparece ni como interesada ni como obligada tributaria de dicho procedimiento, incluyendo datos referidos a la relación de parentesco.

Se reprocha a la Sala de instancia que solamente haga referencia a la actividad de tratamiento de datos y a la legitimidad de la Agencia Estatal de Administración Tributaria para realizar dicho tratamiento en cumplimiento de una obligación legal, y no aluda a la legitimidad o ilegitimidad de la cesión de datos que era el objeto de la denuncia.

En segundo termino, se alega la infracción del articulo 95 de la Ley 58/2003, de 17 de diciembre, General Tributaria, en relación con la divulgación de datos personales de carácter personal con transcendencia tributaria que tienen carácter reservado.

Se cuestiona la sentencia impugnada porque hace una sucinta referencia a dichos preceptos, y no tiene en cuenta la completa lista númerus clausus referida a las personas, organismos y entidades que si pueden ser destinatarios de la cesión de datos personales, entre los que no se citan a personas físicas o terceros particulares respecto de los datos personales de los que la agencia estatal de administración tributaria tuviera conocimiento en el ejercicio del tratamiento de dichos datos.

En tercer termino, se aduce la infracción del articulo 12.2 c) de la Ley 38/2003, de 17 de noviembre, General de Subvenciones.

Se argumenta que la Sala de instancia debió considerar la aplicación restrictiva de dicho precepto, a efectos de determinar el alcance de la obligación de motivación de las liquidaciones tributarias, y, en consecuencia, debió llegar a la conclusión de que era procedente la ocultación de la identidad de terceras personas a las que se refiere el procedimiento de inspección tributaria.

SEGUNDO.- Sobre el marco normativo aplicable y acerca de la doctrina jurisprudencial que resulta relevante en el enjuiciamiento de este recurso de casación.

Antes de abordar, concretamente, el examen de las infracciones del ordenamiento jurídico y de la jurisprudencia que aduce la defensa letrada de la parte recurrente, procede dejar constancia de las normas jurídicas que resultan aplicables, así como recordar la doctrina jurisprudencial del Tribunal de Justicia de la Unión Europea y del Tribunal Supremo que consideramos relevante para resolver la presente controversia casacional.

A) El Derecho de la Unión Europea

El articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, bajo el epígrafe «Protección de datos de carácter personal», dispone:

«1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que le conciernan y a obtener su rectificación.

3. El respeto de estas normas estará sujeto al control de una autoridad independiente »

El artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), dispone:

«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.

2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.

3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:

a) el Derecho de la Unión, o

b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de

la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.

4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23,

apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización»

B) El Derecho Estatal.

El artículo 18 de la Constitución española, en sus apartados 1 y 4, dispone:

«1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen

[...]

4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.»

El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, bajo la rubrica «Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos», establece:

«1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley»

El artículo 95 de la ley 58/2003, de 17 de diciembre, General de Tributaria, bajo el epígrafe, « Carácter reservado de los datos con trascendencia tributaria», dispone:

«1. Los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros, salvo que la cesión tenga por objeto:

a) La colaboración con los órganos jurisdiccionales y el Ministerio Fiscal en la investigación o persecución de delitos que no sean perseguibles únicamente a instancia de persona agraviada.

b) La colaboración con otras Administraciones tributarias a efectos del cumplimiento de obligaciones fiscales en el ámbito de sus competencias.

c) La colaboración con la Inspección de Trabajo y Seguridad Social y con las entidades gestoras y servicios comunes de la Seguridad Social en la lucha contra el fraude en la cotización y recaudación de las cuotas del sistema de Seguridad Social y contra el fraude en la obtención y disfrute de las prestaciones a cargo del sistema; así como para la determinación del nivel de aportación de cada usuario en las prestaciones del Sistema Nacional de Salud.

d) La colaboración con las Administraciones públicas para la prevención y lucha contra el delito fiscal y contra el fraude en la obtención o percepción de ayudas o subvenciones a cargo de fondos públicos o de la Unión Europea, incluyendo las medidas oportunas para prevenir, detectar y corregir el fraude, la corrupción y los conflictos de intereses que afecten a los intereses financieros de la Unión Europea.

e) La colaboración con las comisiones parlamentarias de investigación en el marco legalmente establecido.

f) La protección de los derechos e intereses de los menores e incapacitados por los órganos jurisdiccionales o el Ministerio Fiscal.

g) La colaboración con el Tribunal de Cuentas en el ejercicio de sus funciones de fiscalización de la Agencia Estatal de Administración Tributaria.

h) La colaboración con los jueces y tribunales para la ejecución de resoluciones judiciales firmes. La solicitud judicial de información exigirá resolución expresa en la que, previa ponderación de los intereses públicos y privados afectados en el asunto de que se trate y por haberse agotado los demás medios o fuentes de conocimiento sobre la existencia de bienes y derechos del deudor, se motive la necesidad de recabar datos de la Administración tributaria.

i) La colaboración con el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, con la Comisión de Vigilancia de Actividades de Financiación del Terrorismo y con la Secretaría de ambas comisiones, en el ejercicio de sus funciones respectivas.

j) La colaboración con órganos o entidades de derecho público encargados de la recaudación de recursos públicos no tributarios para la correcta identificación de los obligados al pago y con la Dirección General de Tráfico para la práctica de las notificaciones a los mismos, dirigidas al cobro de tales recursos.

k) La colaboración con las Administraciones públicas para el desarrollo de sus funciones, previa autorización de los obligados tributarios a que se refieran los datos suministrados.

l) La colaboración con la Intervención General de la Administración del Estado en el ejercicio de sus funciones de control de la gestión económico-financiera, el seguimiento del déficit público, el control de subvenciones y ayudas públicas y la lucha contra la morosidad en las operaciones comerciales de las entidades del Sector Público.

m) La colaboración con la Oficina de Recuperación y Gestión de Activos mediante la cesión de los datos, informes o antecedentes necesarios para la localización de los bienes y derechos susceptibles de ser embargados o decomisados en un determinado proceso penal, previa acreditación de esta circunstancia.

n) La colaboración con las entidades responsables de los procedimientos de adjudicación de contratos y concesión de subvenciones vinculadas a la ejecución del Plan de

Recuperación, Transformación y Resiliencia, en relación con el análisis sistemático de riesgo de conflicto de interés.

2. En los casos de cesión previstos en el apartado anterior, la información de carácter tributario deberá ser suministrada preferentemente mediante la utilización de medios informáticos o telemáticos. Cuando las Administraciones públicas puedan disponer de la

información por dichos medios, no podrán exigir a los interesados la aportación de certificados de la Administración tributaria en relación con dicha información.

3. La Administración tributaria adoptará las medidas necesarias para garantizar la confidencialidad de la información tributaria y su uso adecuado.

Cuantas autoridades o funcionarios tengan conocimiento de estos datos, informes o antecedentes estarán obligados al más estricto y completo sigilo respecto de ellos, salvo en los casos citados. Con independencia de las responsabilidades penales o civiles que pudieran derivarse, la infracción de este particular deber de sigilo se considerará siempre falta disciplinaria muy grave.

Cuando se aprecie la posible existencia de un delito no perseguible únicamente a instancia de persona agraviada, la Administración tributaria deducirá el tanto de culpa o remitirá al Ministerio Fiscal relación circunstanciada de los hechos que se estimen constitutivos de delito. También podrá iniciarse directamente el oportuno procedimiento mediante querella a través del Servicio Jurídico competente.

4. El carácter reservado de los datos establecido en este artículo no impedirá la publicidad de los mismos cuando ésta se derive de la normativa de la Unión Europea.

5. Los retenedores y obligados a realizar ingresos a cuenta sólo podrán utilizar los datos, informes o antecedentes relativos a otros obligados tributarios para el correcto cumplimiento y efectiva aplicación de la obligación de realizar pagos a cuenta. Dichos datos deberán ser comunicados a la Administración tributaria en los casos previstos en la normativa propia de cada tributo.

Salvo lo dispuesto en el párrafo anterior, los referidos datos, informes o antecedentes tienen carácter reservado. Los retenedores y obligados a realizar ingresos a cuenta quedan sujetos al más estricto y completo sigilo respecto de ellos.

6. La cesión de información en el ámbito de la asistencia mutua se regirá por lo dispuesto en el artículo 177 ter de esta Ley.»

El artículo 102 de la Ley 58/2003, de 17 de diciembre, General de Tributaria, , bajo el epígrafe «Notificación de las liquidaciones tributarias», en su apartado 2 c), establece:

«2. Las liquidaciones se notificarán con expresión de:

c) La motivación de las mismas cuando no se ajusten a los datos consignados por el obligado tributario o a la aplicación o interpretación de la normativa realizada por el mismo, con expresión de los hechos y elementos esenciales que las originen, así como de los fundamentos de derecho.»

C) La doctrina del Tribunal de Justicia de la Unión Europea.

En la sentencia del Tribunal de Justicia de la Unió Europea, de 27 de septiembre de 2017 (Asunto C-73/16) se considera legitima la actuación de las autoridades tributarias de los Estados miembros, relativas al tratamiento de datos personales de terceras personas, a efectos de recaudación y de lucha contra el fraude fiscal, en los siguientes términos:

«1) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que no se opone a una normativa nacional que subordine la posibilidad de que ejercite la acción judicial quien afirme que ha sido vulnerado el derecho a la protección de los datos personales que le garantiza la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, a la condición de que esa persona agote las vías de recurso de que disponga ante las autoridades administrativas nacionales, siempre que la regulación concreta del ejercicio de dichas vías de recurso no afecte de forma desproporcionada al derecho a la tutela judicial efectiva que recoge el propio artículo 47 de la Carta. En particular, es necesario que el agotamiento previo de esas vías de recurso no implique un retraso sustancial a efectos del ejercicio de la acción judicial, suponga la interrupción de la prescripción de los correspondientes derechos y no ocasione gastos excesivos.

2) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en el sentido de que se opone a que un tribunal nacional inadmita una prueba de la infracción de la protección de datos personales que confiere la Directiva 95/46 consistente en una lista que, como la controvertida, sea presentada por el interesado y que contenga datos personales suyos, en el supuesto de que ese interesado haya obtenido la lista sin el consentimiento, que requiere la ley, del responsable del tratamiento de los datos en cuestión, a menos que dicha inadmisión venga establecida por la normativa nacional y que respete tanto el contenido esencial del derecho a la tutela judicial efectiva como el principio de proporcionalidad.

3) El artículo 7, letra e), de la Directiva 95/46 debe interpretarse en el sentido de que no se opone a que, sin que medie el consentimiento de los interesados, las autoridades de los Estados miembros traten datos personales a efectos de recaudación y de lucha contra el fraude fiscal, tal como se hizo en el litigio principal mediante la elaboración de la lista controvertida, siempre que, por un lado, la normativa nacional confiera a dichas autoridades, a efectos de la disposición mencionada, misiones de interés público, que la elaboración de la lista y la inclusión en la misma de los interesados sean efectivamente idóneas y necesarias para cumplir los objetivos perseguidos y que existan motivos suficientes para presumir que la inclusión de los interesados en la lista obedece a un motivo y siempre que, por otro lado, concurran todas las condiciones a que obliga la propia Directiva 95/46 para que ese tratamiento de datos personales sea lícito.»

En la ulterior sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2021 (asunto C-439/19), se declara:

« El artículo 10 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), debe interpretarse en el sentido de que se aplica al tratamiento de datos personales relativos a puntos impuestos a conductores por infracciones de tráfico.

2) Las disposiciones del Reglamento 2016/679, en particular sus artículos 5, apartado 1, 6, apartado 1, letra e), y 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que obliga al organismo público encargado del registro en el que se inscriben los puntos impuestos a conductores por infracciones de tráfico a establecer que dichos datos sean accesibles al público sin que la persona que solicite ese acceso tenga que justificar un interés específico en obtenerlos.

3) Las disposiciones del Reglamento 2016/679, en particular sus artículos 5, apartado 1, 6, apartado 1, letra e), y 10, deben interpretarse en el sentido de que se oponen a una normativa nacional que autoriza al organismo público encargado del registro en el que se inscriben los puntos impuestos por infracciones de tráfico a los conductores a comunicar dichos datos a operadores económicos a efectos de su reutilización.

4) El principio de primacía del Derecho de la Unión debe interpretarse en el sentido de que se opone a que el tribunal constitucional de un Estado miembro que conoce de un recurso interpuesto contra una normativa nacional que, a la luz de una resolución del Tribunal de Justicia dictada tras la remisión prejudicial correspondiente, resulta ser incompatible con el Derecho de la Unión decida, con arreglo al principio de seguridad jurídica, que se mantienen los efectos jurídicos de dicha normativa hasta la fecha en que ese tribunal constitucional dicte una sentencia que resuelva definitivamente sobre tal recurso de inconstitucionalidad.

D) La doctrina del Tribunal Supremo.

En la sentencia de esta sala de lo Contencioso-Administrativo del Tribunal Supremo núm. 1520/2023, de 22 de noviembre de 2023 (RC 5352/2022), en relación con el tratamiento de datos personales efectuado por la Agencia Estatal de Agencia Tributaria, dijimos:

«El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expediente administrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal, que la inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados. »

TERCERO.- Sobre las infracciones del ordenamiento jurídico en que se fundamenta el recurso de casación.

La cuestión que reviste interés casacional objetivo para la formación de jurisprudencia, sobre la que esta Sala de lo Contencioso-Administrativo del Tribunal Supremo debe pronunciarse, tal como se expone en el Auto de la Sección Primera de esta Sala de 1 de diciembre de 2022, consiste en determinar si la actuación de la Agencia Estatal de Administración Tributaria vulnera el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, con la inclusión de cualesquiera datos personales de terceras personas no interesadas en los procedimientos tributarios, y si su tratamiento en dichos procedimientos tiene la consideración de cesión de datos personales fundado en el cumplimiento de una obligación legal a los efectos de la vigente normativa de protección de datos.

Delimitada, en estos estrictos términos, la controversia casacional, esta Sala, siguiendo las consideraciones jurídicas efectuadas en la precedente sentencia núm. 1520/2023, de 22 de noviembre de 2023, debe precisar, en primer termino, que la actuación de la Agencia Estatal de Administración Tributaria debe caracterizarse como tratamiento de datos personales (y no como cesión de datos, tal como sostiene la parte recurrente, pues propiamente no concurre el presupuesto de revelación inherente a la cesión o comunicación de datos), conforme a lo dispuesto en el artículo 4 del Reglamento (UE) 2016/679, ya que se trata de la utilización de determinados datos personales de un tercero por un organismo público responsable del tratamiento en el curso de un procedimiento de comprobación e inspección tributaria, que, en la medida que los datos están directamente relacionados con las actividades económicas desarrolladas por la obligada tributaria, y debido a su transcendencia fiscal para integrar el supuesto de hecho tributario, mantenemos que está plenamente justificada que figuren en los acuerdos de liquidación.

En efecto, esta Sala, compartiendo los razonamientos de la sentencia impugnada, sostiene que la actuación cuestionada de la Agencia Estatal de Administración Tributaria no infringe el articulo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, ni el artículo 6.1 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Al respecto, debe señalarse que, a tenor de lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea, que dispone que toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan, y que establece que estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley, y del artículo 18 de la Constitución española que garantiza el derecho a la privacidad y la protección de los datos personales, consideramos legítimo el tratamiento de los datos personales de la recurrente fundado en el cumplimiento de una obligación legal exigible al responsable del tratamiento, referida a la gestión eficiente de la recaudación tributaria y a la persecución del fraude fiscal, que atiende a un objetivo de interés general, de acuerdo con lo dispuesto en los artículos 31 y 103 de la Constitución y se revela necesario para el ejercicio de la funciones de comprobación e inspección del cumplimiento de las obligaciones tributarias, que impone a la Administración Tributaria la regular persecución del procedimiento y motivar las resoluciones que adopte conforme a lo dispuesto en el articulo 102.2 c) de la Ley General Tributaria.

En este sentido, cabe subrayar que el deber de la Agencia Estatal de la Administración Tributaria de velar por el cumplimiento efectivo de las obligaciones tributarias constituye un objetivo de interés general, que a la luz de la doctrina jurispurdencial del Tribunal de Justicia de la Unión Europea, determina el reconocimiento de la licitud del tratamiento de datos de carácter personal a través del ejercicio de potestades de carácter publico para la realización de misiones de interés público amparadas por el artículo 8 del reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en consonancia con lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea y el artículo 18 de la Constitución española.

Procede, asimismo, significar, al respecto, que estimamos que el tratamiento de los datos personales de la 439/recurrente por la Agencia Estatal de Administración Tributaria se revela adecuado, de acuerdo con lo dispuesto en el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6 del Reglamento (UE) 2016/679, porque resulta necesario para fijar los hechos relativos a la comprobación del incumplimiento de las obligaciones fiscales por la contribuyente investigada Amparo, y la inclusión de los datos no se revela desproporcionada, ya que solo se recogen datos personales, pertinentes y apropiados para tal fin.

Por ello, no estimamos convincente la tesis argumental que desarrolla la defensa letrada de la parte recurrente, que insiste en caracterizar la actuación de la Agencia Estatal de Administración Tributaria de cesión de datos personales, con base en el argumento de que no existe base legal para que la Agencia desvele datos personales de la persona física particular que no ocupa la posición de interesado en el procedimiento tributario, mediante la cesión a una tercera persona (la obligada tributaria contra la que se inició el procedimiento administrativo) sin contar con el consentimiento del titular de los datos personales, eludiendo que de ningún modo el tratamiento de los datos ha supuesto una injerencia indebida de las autoridades tributarias en la esfera del derecho a la privacidad y a la protección de datos personales que garantiza el artículo 18 de la Constitución.

Debe recordarse que la utilización de datos personales de terceras personas, distintas al obligado tributario, por la Administración Tributaria, sin el preceptivo consentimiento, debe considerarse legitima, tal como se infiere de la doctrina del Tribunal de Justicia de la Unión Europea expuesta en las sentencias de 27 de septiembre de 2017 (asunto C-73/16) y 22 de julio de 2021 (asunto C-439/19), en aquellos supuestos, como acontece en el presente caso, siempre que responda a objetivos de interés general relacionados con la persecución del fraude fiscal, y se acredite el tratamiento de datos personales es proporcionado y no excede de lo estrictamente necesario para cumplir tal fin, y se produzca en el marco de un procedimiento en cuya tramitación se hayan garantizado la protección de los derechos fundamentales y libertades de los interesados y afectados.

Asimismo, procede descartar que la sentencia impugnada infrinja el articulo 95 de la Ley 58/2003, de 17 de diciembre, General Tributaria, por cuanto compartimos el criterio de la Sala de instancia, respecto de que la Agencia Estatal de Administración Tributaria no ha violado el carácter reservado de los datos personales, pues la consignación de determinados datos personales de la actual recurrente, referidos a la identificación del nombre y apellidos, DNI, vínculos familiares y datos económicos, se efectúa para la efectiva exacción de los tributos, tal como dispone el artículo 5 de la Ley General Tributaria, en el marco de las competencias de la Agencia Estatal de Administración Tributaria, en el curso de un procedimiento de comprobación del cumplimiento de las obligaciones tributarias, revelándose idónea y necesaria para la efectiva aplicación de la normativa tributaria, en la medida que era imprescindible para el correcto ejercicio de la función recaudatoria.

Tampoco apreciamos que la sentencia impugnada infrinja el artículo 102.2 c) de la Ley General Tributaria, puesto que la utilización de los datos personales del actual recurrente era necesaria, en razón de las circunstancias concurrentes, referidas a los vínculos familiares y profesionales existentes entre el empleado de la empresa proveedora de servicios profesionales que giraba las facturas y la obligada tributaria, para poder fundamentar los Acuerdos de liquidación, y garantizar el derecho de defensa de la obligada tributaria, que tiene derecho a conocer con precisión la relación de hechos que justifican el levantamiento de las actas de propuesta de liquidación por la Hacienda Púbica, lo que comporta que, a efectos de cumplir la exigencia de motivación de los actos tributarios, deban figurar aquellos datos personales del actual recurrente que, como hemos expuesto, se revelan adecuados, idóneos y proporcionados para el cumplimiento del mismo fin.

CUARTO.- Sobre la formación de jurisprudencia acerca de la interpretacióndel artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y del artículo 6.1 c ) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 , relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en relación con lo dispuesto en los artículos 95 y 102 de la Ley 58/2003, de 17 de diciembre, General Tributaria .

Conforme a los razonamientos jurídicos expuestos en el precedente fundamento jurídico tercero, esta Sala, dando respuesta a la cuestión que presenta interés casacional objetivo para la formación de jurisprudencia, declara que:

El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen, a la luz de lo dispuesto en el articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y del artículo 18 de la Constitución española, a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expediente administrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal, la inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados.

En consecuencia con lo razonado, procede declarar no haber lugar al recurso casación interpuesto por la representación procesal de María Purificación contra la sentencia dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional de 28 de abril de 2022.

QUINTO- Sobre las costas procesales.

De conformidad con lo dispuesto en los artículos 93.4 y 139.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, no procede la imposición de las costas causadas en el presente recurso de casación, manteniendo el pronunciamiento de la sentencia de instancia relativo a la imposición de las costas a la parte actora.