El núcleo de la sentencia es sencillo de describir, pero complejo de digerir: la Agencia Tributaria puede utilizar datos personales de terceros —personas que no son objeto de inspección, ni forman parte del procedimiento— dentro de liquidaciones dirigidas a otro contribuyente, sin necesidad de su consentimiento, siempre que ese uso sea pertinente, adecuado y necesario para motivar el acto tributario. Y, además, ese uso no se considera “cesión de datos”, sino un tratamiento legítimo amparado por la normativa tributaria y de protección de datos.

Dicho de otra manera: si sus datos aparecen en la vida económica de otro, pueden acabar perfectamente integrados en una actuación de Hacienda ajena a usted, y no necesariamente tendrá derecho a oponerse, ni a ser oído, ni siquiera a ser informado previamente.

La coartada perfecta: motivar la liquidación

El caso de origen es muy concreto y, como suele ocurrir, los grandes cambios doctrinales nacen de historias muy pequeñas. En un procedimiento de inspección sobre una contribuyente, la Agencia Tributaria cuestiona las facturas de una sociedad vinculada familiarmente. Para justificar por qué considera que ciertos gastos no son deducibles, incorpora en la liquidación datos personales de la cuñada de la inspeccionada: nombre, NIF, condición de administradora de la sociedad y su relación con el núcleo familiar.

Esa persona, que no era parte en el procedimiento, denuncia ante la Agencia Española de Protección de Datos lo que entiende como una “cesión ilegítima” de sus datos. La AEPD inadmite la reclamación; la Audiencia Nacional confirma; y el Tribunal Supremo cierra el círculo consolidando una tesis clara: no hay cesión, hay uso legítimo.

El argumento clave del Supremo es que Hacienda está obligada a motivar sus liquidaciones cuando corrige la declaración de un contribuyente. Para ello, puede necesitar mencionar a otras personas y describir su papel en la estructura económica que considera artificiosa o elusiva. Si el dato de un tercero ayuda a explicar por qué determinada factura es simulada o por qué un gasto es personal y no deducible, su inclusión en la liquidación se considera necesaria y proporcionada. En esa lógica, no se trata de comunicar información a un “tercero” extraño, sino de utilizarla dentro del ejercicio normal de las competencias tributarias.

La sentencia se apoya en el Reglamento General de Protección de Datos (RGPD) y en la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD) para recordar que el tratamiento de datos personales es lícito cuando se basa en una obligación legal o en una misión realizada en interés público. Y, desde luego, la lucha contra el fraude fiscal encaja en esa categoría. La Ley General Tributaria refuerza esta lectura: la información tributaria es reservada, pero puede utilizarse para la efectiva aplicación de los tributos y la imposición de sanciones, y las liquidaciones deben motivarse con hechos y fundamentos de derecho.

Hasta aquí, podría parecer una decisión equilibrada: Hacienda necesita explicar bien sus actos, y para ello hace falta hablar de personas, relaciones y estructuras. El problema empieza cuando uno desplaza el foco del caso concreto al sistema en su conjunto.

Cuando el dato del otro se convierte en riesgo propio.

 En una economía altamente interconectada, donde cualquier persona física puede aparecer en facturas, contratos, relaciones mercantiles o familiares con múltiples contribuyentes, la pregunta ya no es si sus datos van a circular, sino hasta qué punto pueden ser utilizados para apuntar hacia usted como potencial sujeto de riesgo.

La sentencia no entra a fondo en esta dimensión, pero su lógica la favorece. Si es lícito que Hacienda use los datos de un tercero para motivar una liquidación ajena, también lo es que esos mismos datos alimenten, de forma más o menos explícita, procesos de análisis de riesgo, selecciones de contribuyentes a inspeccionar o cruces masivos de información.

No existe en nuestro ordenamiento una garantía que prohíba a la Administración abrir una comprobación o una inspección sobre alguien cuya información aparece en un expediente de tercero. La garantía se sitúa en otro plano: en la exigencia de que cualquier actuación formal esté motivada, sea proporcional y respete los principios de idoneidad y finalidad. Es decir, el contribuyente no puede evitar que Hacienda vea y utilice el dato, pero sí puede discutir —en vía de recurso o ante los tribunales— la licitud del salto desde el dato hasta la actuación concreta.

El problema es que esa discusión llega siempre tarde: cuando ya se ha abierto la inspección, ya se han desplegado requerimientos, ya hay un coste reputacional, económico y emocional. El efecto preventivo de la protección de datos, que en otros ámbitos actúa como cortafuegos frente a la circulación indiscriminada de información personal, aquí se atenúa en favor del interés fiscal. La frontera entre uso y cesión, cada vez más difusa

Uno de los puntos más discutibles de la sentencia es la forma en que reinterpreta la noción de “cesión de datos”. A ojos del ciudadano medio, que su información personal aparezca con detalle en una liquidación que recibe otra persona tiene todos los ingredientes de una cesión: hay un emisor (la Administración), un receptor (otro contribuyente) y un contenido identificable.

El Tribunal, sin embargo, considera que no hay tal cesión porque todo se enmarca en la lógica interna del procedimiento: quien recibe la liquidación no es un tercero cualquiera, sino el propio obligado tributario; la Administración no divulga datos por capricho, sino para justificar su actuación; y todo se hace dentro de las facultades legales y con una finalidad tributaria legítima.

Este razonamiento, jurídicamente sofisticado, tiene un efecto práctico: estrecha el margen de intervención de la Agencia de Protección de Datos y dificulta que los ciudadanos puedan invocar la categoría clásica de “cesión ilegítima” cuando ven sus datos circular en expedientes ajenos. Si no hay cesión, la vía sancionadora pierde fuerza. Y, si el uso se considera necesario para la motivación, el espacio para la tutela correctora se reduce.

El resultado es una suerte de “blindaje fiscal” frente al control de protección de datos: mientras la Administración pueda encuadrar su conducta en el relato de la motivación y la lucha contra el fraude, el tratamiento de la información personal de terceros queda, de facto, legitimado. El papel de los tribunales y el riesgo de expansión doctrinal

Conviene subrayar que el propio Tribunal Supremo intenta introducir ciertos límites. Habla de datos adecuados, pertinentes, idóneos y necesarios; insiste en la necesidad de que el tratamiento sea proporcionado al fin perseguido; y recuerda que el derecho a la protección de datos, reconocido en la Constitución y en la Carta de Derechos Fundamentales de la UE, no desaparece en el ámbito tributario.

Pero los que nos dedicamos a estos menesteres  sabemos por experiencia profesional que, en la práctica, cuando una sentencia de casación consolida una doctrina favorable a la Administración, esa doctrina tiende a expandirse. La línea roja entre lo necesario y lo conveniente se vuelve progresivamente borrosa; lo que hoy se presenta como una excepción justificada puede convertirse mañana en regla tácita.

Los tribunales contencioso-administrativos futuros tendrán que decidir, caso a caso, dónde se sitúa el límite. ¿Basta con cualquier relación familiar o mercantil para legitimar la aparición del tercero en una liquidación ajena? ¿Es aceptable que se incorporen datos económicos concretos, patrimoniales o financieros de personas no inspeccionadas? ¿Hasta qué punto esa información puede alimentar, sin control judicial previo, los sistemas internos de selección de riesgos? Pero en realidad la pregunta relevante es otra: ¿cómo afecta esto al comportamiento de las empresas, los profesionales y los particulares?

Implicaciones para la economía real

En un entorno donde las administraciones tributarias ya manejan enormes volúmenes de información, la seguridad jurídica sobre el uso de los datos es un factor clave. La sentencia envía un mensaje claro: el perímetro de protección de datos personales frente a Hacienda es más estrecho de lo que muchos pensaban. Para empresas y asesores, esto tiene varias derivadas prácticas:

Primero, la necesidad de revisar con mayor rigor las estructuras de vinculación familiar y societaria. Lo que antes podía considerarse un mero asunto interno de organización patrimonial hoy es, cada vez más, información disponible para la reconstrucción de esquemas de planificación fiscal agresiva.

Segundo, la conveniencia de informar a socios, administradores y familiares de que su información puede aparecer, sin previo aviso, en procedimientos ajenos. No por alarmismo, sino por transparencia: el riesgo de exposición ya no es teórico.

Tercero, la importancia de documentar, desde el principio, la licitud y racionalidad económica de las operaciones. Si Hacienda va a tener más margen para utilizar datos de terceros, también será más fácil que conecte operaciones entre personas físicas y jurídicas vinculadas. La mejor defensa es preventiva: coherencia entre la realidad económica y la documentación contractual.

¿Y el contribuyente individual? Más que una garantía de que sus datos no se usarán, lo que tiene es un derecho a que ese uso esté justificado, sea proporcional y pueda ser controlado a posteriori por los tribunales. No es poca cosa, pero tampoco es el blindaje fuerte que algunos asocian intuitivamente a la protección de datos. ¿Hacia dónde debería evolucionar el sistema?

Desde una perspectiva de política jurídica, la sentencia pone encima de la mesa la necesidad de una reflexión más amplia. Si aceptamos que el interés fiscal justifica un uso intensivo de datos personales, quizá sea el momento de reforzar, por la vía legislativa, los mecanismos de transparencia y trazabilidad.

Algunas posibles líneas de mejora serían:

– Obligar a la Administración a informar al tercero, al menos a posteriori, de que sus datos han sido utilizados en un expediente ajeno, salvo que exista un motivo serio para la reserva. 

– Establecer criterios más concretos de “necesidad” y “proporcionalidad” en el uso de datos de terceros en procedimientos tributarios. 

– Reforzar las posibilidades de impugnación indirecta del uso de datos, incluso cuando el afectado no sea parte formal del procedimiento. 

En definitiva, el fallo del Supremo no es un ataque frontal al derecho fundamental a la protección de datos, pero sí consolida una lectura en la que el interés recaudatorio ocupa la posición dominante. En un Estado fiscalmente exigente y tecnológicamente avanzado, esto equivale, en la práctica, a ampliar el margen de maniobra de Hacienda sobre nuestra información.

Para el lector de este articulo mi  conclusión es clara: la fiscalidad del siglo XXI ya no se juega solo en tipos impositivos o deducciones, sino en el terreno menos visible de los datos, los cruces de información y el equilibrio entre poder público y privacidad. Y, en ese tablero, la STS 4096/2025 es una pieza que desplaza el centro de gravedad a favor de la Administración tributaria