Spain / Supreme Court / STS 4096/2025

María Purificación v State Attorney (The Abogado del Estado)
Deciding body type
National Court/Tribunal
Deciding body
Supreme Court
Type
Decision
Decision date
29/09/2025
ECLI (European case law identifier)
ECLI:ES:TS:2025:4096
  • Spain / Supreme Court / STS 4096/2025

    Key facts of the case:

    The State Tax Administration Agency (Tax Agency) issued official tax liquidation agreements to Y. In these agreements, the Tax Agency included X’s personal data (name, familial relation, and role as administrator of Jofimoser Els Pins S.L.). The Tax Agency used this data to reject expense invoices submitted by Y and to substantiate the tax liability under Article 102.2.c of the General Tax Law. The Tax Agency argued that Jofimoser Els Pins S.L. had been “instrumentalised” by family members, including X, to fraudulently reduce tax liability. This was presented as justification for including X’s personal data in the liquidation documents. X, who was not the investigated taxpayer but a third party, claimed that the disclosure of her personal data to Y was unlawful. She argued it violated her fundamental right to data protection (Article 8 of the Charter of Fundamental Rights of the EU and Article 18 of the Spanish Constitution), as it was done without her consent or a valid legal basis. The Spanish Data Protection Agency (AEPD) deemed X’s claim inadmissible. X appealed the AEPD’s inadmissibility decision.

    The Supreme Court was asked to determine whether the Tax Agency’s use of her data constituted legitimate processing under Article 6.1(e) of the GDPR (public interest in fighting tax fraud and ensuring effective tax administration). The case focused on balancing two interests: the right to protection of personal data (Article 8 of the Charter), and the State’s exercise of public powers in combating tax fraud and ensuring effective tax administration. The Supreme Court had to decide whether the disclosure was necessary and proportionate in the public interest.

    Key legal question raised by the court:

    1. A possible violation of the Data Protection Law: whether the Tax Agency violated Article 8 of the Organic Law 3/2018 (LOPDGDD) by including personal data of third parties (individuals who are not part to the proceedings) in the tax proceedings.

    2. The legal classification of data processing: whether the inclusion and processing of this third-party data in the tax proceedings (specifically, in the motivation of liquidations) must be classified as an illegal disclosure or transfer of personal data, or if it constitutes permissible processing which complies with the data protection regulations (RGPD and LOPDGDD).

    The Supreme Court sought to interpret Article 8 of the Organic Law, Article 6.1(c) and (e) of the Data Protection Law, and Articles 95 and 102.2.c) of the General Tax Law (LGT) to decide the case.

    Outcome of the case: 

    The Supreme Court dismissed the appeal on points of law confirming the inadmissibility of X’s original claim against the Spanish Data Protection Agency.

    The Supreme Court held that the Tax Agency’s use of third-party data to motivate tax liquidations had constituted processing of personal data and not a prohibited transfer of data.

    The Court further held that the processing of third party personal data (like those of X), who are distinct from the taxpayer’s data, had been legitimate and had not been contrary to Article 8 of the Charter of Fundamental Rights or Article 18 of the Spanish Constitution. This processing is justified when: 

    a) It is founded on the fulfilment of a legal obligation applicable to the Tax Agency (e.g., justification of tax liquidations under Article 102.2.c) of the General Tax Law).

    b) It pursues a public interest – fighting fraud

    c) To be lawful, the data inclusion must be strictly necessary and proportionate. Specifically, the processing must be limited to those data which are adequate, appropriate, pertinent, and necessary) for determining the facts and motivating the decision. The Court concluded that the data were essential to prove the familial and professional links between X and the taxpayer which justified the rejection of the taxpayer's expense deductions.

  • Paragraphs referring to EU Charter

    Article 8 of the Charter of Fundamental Rights of the European Union, under the heading “Protection of Personal Data,” provides:

    Everyone has the right to the protection of personal data concerning them.

    Such data must be processed fairly, for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Everyone has the right of access to data which has been collected concerning them, and the right to have it rectified.

    Compliance with these rules shall be subject to control by an independent authority.

    C) The case law of the Court of Justice of the European Union

    In its judgment of 27 September 2017 (Case C-73/16), the Court of Justice of the European Union held that the Member States’ tax authorities have a legitimate interest in processing personal data of third parties for the purposes of tax collection and combating tax fraud, under the following terms:

    Article 47 of the Charter of Fundamental Rights of the European Union must be interpreted as not precluding national legislation that makes the exercise of judicial action by a person alleging a breach of their right to personal data protection—guaranteed by Directive 95/46/EC of the European Parliament and of the Council of 24 October 1995—conditional upon the prior exhaustion of available administrative remedies, provided that the regulation of such remedies does not disproportionately affect the right to effective judicial protection enshrined in Article 47 of the Charter. In particular, prior exhaustion must not entail a substantial delay in accessing judicial review, must interrupt the limitation period for the rights concerned, and must not impose excessive costs.

    Article 47 of the Charter must be interpreted as precluding a national court from rejecting evidence of a breach of personal data protection under Directive 95/46, consisting of a list submitted by the data subject containing their personal data, solely on the grounds that the list was obtained without the consent required by law from the data controller, unless such rejection is provided for by national law and respects both the essence of the right to effective judicial protection and the principle of proportionality.

    In this regard, it should be noted that, pursuant to Article 8 of the Charter—which affirms the right of every individual to the protection of personal data concerning them, and requires that such data be processed fairly, for specific purposes, and on the basis of consent or another legitimate legal basis—and Article 18 of the Spanish Constitution, which guarantees the right to privacy and personal data protection, the processing of the appellant’s personal data is deemed lawful insofar as it is based on a legal obligation incumbent upon the data controller. This obligation relates to the efficient management of tax collection and the fight against tax fraud, serving a general interest objective in accordance with Articles 31 and 103 of the Spanish Constitution. It is also necessary for the exercise of verification and inspection functions related to the compliance with tax obligations, which require the tax administration to pursue proceedings regularly and to provide reasoned decisions pursuant to Article 102.2(c) of the General Tax Law.

    In this sense, it is important to emphasize that the duty of the Spanish Tax Agency to ensure effective compliance with tax obligations constitutes a general interest objective. In light of the jurisprudence of the Court of Justice of the European Union, this objective legitimizes the processing of personal data through the exercise of public powers for the performance of public interest tasks, as provided for in Article 8 of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 (General Data Protection Regulation), which repealed Directive 95/46/EC. This interpretation is consistent with Article 8 of the Charter and Article 18 of the Spanish Constitution.

    Article 8 of Organic Law 3/2018 of 5 December on the Protection of Personal Data and Guarantee of Digital Rights, together with Article 6(2)(c) and (e) of Regulation (EU) 2016/679, which establish that personal data processing is lawful when necessary for compliance with a legal obligation applicable to the controller, or for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller, do not preclude—under Article 8 of the Charter and Article 18 of the Spanish Constitution—the Spanish Tax Agency from using personal data of third parties, other than the taxpayer subject to the administrative proceedings, in the course of tax management, inspection, or collection procedures. This is permissible provided that the data processing is covered by the powers conferred upon tax authorities to combat tax fraud, that the inclusion of such data is limited to what is adequate, relevant, and necessary for establishing the facts and substantiating the decisions adopted, and that it is proportionate to the legitimate purpose pursued.

  • Paragraphs referring to EU Charter (original language)

     El articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, bajo el epígrafe «Protección dedatos de carácter personal», dispone:

    «1. Toda persona tiene derecho a la protección de los datos de carácter personal que le conciernan.

    2. Estos datos se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la personaafectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder alos datos recogidos que le conciernan y a obtener su rectificación.

    3. El respeto de estas normas estará sujeto al control de una autoridad independiente »

    C) La doctrina del Tribunal de Justicia de la Unión Europea.

    En la sentencia del Tribunal de Justicia de la Unió Europea, de 27 de septiembre de 2017 (Asunto C-73/16) seconsidera legitima la actuación de las autoridades tributarias de los Estados miembros, relativas al tratamientode datos personales de terceras personas, a efectos de recaudación y de lucha contra el fraude fiscal, en lossiguientes términos:

    «1) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en elsentido de que no se opone a una normativa nacional que subordine la posibilidad de que ejercite la acciónjudicial quien afirme que ha sido vulnerado el derecho a la protección de los datos personales que le garantizala Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protecciónde las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estosdatos, a la condición de que esa persona agote las vías de recurso de que disponga ante las autoridadesadministrativas nacionales, siempre que la regulación concreta del ejercicio de dichas vías de recurso no afectede forma desproporcionada al derecho a la tutela judicial efectiva que recoge el propio artículo 47 de la Carta.En particular, es necesario que el agotamiento previo de esas vías de recurso no implique un retraso sustanciala efectos del ejercicio de la acción judicial, suponga la interrupción de la prescripción de los correspondientesderechos y no ocasione gastos excesivos.

    2) El artículo 47 de la Carta de los Derechos Fundamentales de la Unión Europea debe interpretarse en elsentido de que se opone a que un tribunal nacional inadmita una prueba de la infracción de la protecciónde datos personales que confiere la Directiva 95/46 consistente en una lista que, como la controvertida, seapresentada por el interesado y que contenga datos personales suyos, en el supuesto de que ese interesadohaya obtenido la lista sin el consentimiento, que requiere la ley, del responsable del tratamiento de los datosen cuestión, a menos que dicha inadmisión venga establecida por la normativa nacional y que respete tanto elcontenido esencial del derecho a la tutela judicial efectiva como el principio de proporcionalidad.

    Al respecto, debe señalarse que, a tenor de lo dispuesto en el artículo 8 de la Carta de Derechos Fundamentalesde la Unión Europea, que dispone que toda persona tiene derecho a la protección de los datos de carácterpersonal que le conciernan, y que establece que estos datos se tratarán de modo leal, para fines concretos ysobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por laley, y del artículo 18 de la Constitución española que garantiza el derecho a la privacidad y la protección de losdatos personales, consideramos legítimo el tratamiento de los datos personales de la recurrente fundado en el cumplimiento de una obligación legal exigible al responsable del tratamiento, referida a la gestión eficientede la recaudación tributaria y a la persecución del fraude fiscal, que atiende a un objetivo de interés general,de acuerdo con lo dispuesto en los artículos 31 y 103 de la Constitución y se revela necesario para el ejerciciode la funciones de comprobación e inspección del cumplimiento de las obligaciones tributarias, que imponea la Administración Tributaria la regular persecución del procedimiento y motivar las resoluciones que adopteconforme a lo dispuesto en el articulo 102.2 c) de la Ley General Tributaria.

    En este sentido, cabe subrayar que el deber de la Agencia Estatal de la Administración Tributaria de velar porel cumplimiento efectivo de las obligaciones tributarias constituye un objetivo de interés general, que a la luzde la doctrina jurispurdencial del Tribunal de Justicia de la Unión Europea, determina el reconocimiento de lalicitud del tratamiento de datos de carácter personal a través del ejercicio de potestades de carácter publicopara la realización de misiones de interés público amparadas por el artículo 8 del reglamento (UE) 2016/679del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicasen lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que sederoga la Directiva 95/46/CE (Reglamento general de protección de datos), en consonancia con lo dispuestoen el artículo 8 de la Carta de Derechos Fundamentales de la Unión Europea y el artículo 18 de la Constituciónespañola.

    El artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de losderechos digitales y el artículo 6.2 c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo,de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datospersonales y a la libre circulación de estos datos, que disponen que el tratamiento de datos personales serálícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable alresponsable del tratamiento, o cuando sea necesario para el cumplimiento de una misión realizada en interéspúblico o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, no se oponen, a laluz de lo dispuesto en el articulo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y delartículo 18 de la Constitución española, a que la Agencia Estatal de Administración Tributaria, en el curso de latramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos decarácter personal de terceras personas físicas, distintas al sujeto obligado tributario sometido al expedienteadministrativo, siempre y cuando el tratamiento de los datos se ampare en las facultades que se confieren alas autoridades tributarias para luchar contra el fraude fiscal, la inclusión de los datos se limite a aquellos quese revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar lasresoluciones que se adopten, y que sea proporcionada al fin legitimo perseguido para lo que son tratados.