La Sección Tercera de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, ha aclarado si la AEAT vulnera el artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, al incluir cualesquiera datos personales de terceras personas no interesadas en los procedimientos tributarios, y si su tratamiento en dichos procedimientos tiene la consideración de cesión de datos personales fundado en el cumplimiento de una obligación legal a los efectos de la vigente normativa de protección de datos.

En concreto, en su sentencia n.º 1206/2025, de 29 de septiembre, ECLI:ES:TS:2025:4096, reitera lo ya determinado en su previa sentencia n.º 1520/2023, de 22 de noviembre, ECLI:ES:TS:2023:5692. Se parte de la base de que el artículo 8 de la LO 3/2018, de 5 de diciembre, y el artículo 6.2.c) y e) del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, disponen que el tratamiento de datos personales será lícito, entre otros supuestos, cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento o cuando sea necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. 

Y, en consecuencia, se fija como criterio que ambos preceptos no se oponen, a la luz de lo dispuesto en el artículo 8 de la Carta de los Derechos Fundamentales de la UE y del >artículo 18 de la CE, a que la Agencia Estatal de Administración Tributaria, en el curso de la tramitación y resolución de un procedimiento de gestión, inspección o recaudación tributaria, utilice datos de carácter personal de terceras personas físicas, distintas al obligado tributario sometido al expediente administrativo, siempre y cuando:

• El tratamiento de los datos se ampare en las facultades que se confieren a las autoridades tributarias para luchar contra el fraude fiscal. 
• La inclusión de los datos se limite a aquellos que se revelen adecuados, idóneos, pertinentes y necesarios para la determinación de los hechos y motivar las resoluciones que se adopten.
• Y que sea proporcionada al fin legítimo perseguido para lo que son tratados.

Para alcanzar esta conclusión, la Sala toma en consideración tanto la normativa vigente a nivel estatal y europeo, como la doctrina del TJUE y del propio TS. Entre otras cosas, comparte el criterio de la instancia y considera que «la Agencia Estatal de Administración Tributaria no ha violado el carácter reservado de los datos personales, pues la consignación de determinados datos personales de la actual recurrente, referidos a la identificación del nombre y apellidos, DNI, vínculos familiares y datos económicos, se efectúa para la efectiva exacción de los tributos, tal como dispone el artículo 5 de la Ley General Tributaria, en el marco de las competencias de la Agencia Estatal de Administración Tributaria, en el curso de un procedimiento de comprobación del cumplimiento de las obligaciones tributarias, revelándose idónea y necesaria para la efectiva aplicación de la normativa tributaria, en la medida que era imprescindible para el correcto ejercicio de la función recaudatoria». 

Una utilización de los datos personales que, además, se reputa necesaria en el concreto supuesto, «en razón de las circunstancias concurrentes, referidas a los vínculos familiares y profesionales existentes entre el empleado de la empresa proveedora de servicios profesionales que giraba las facturas y la obligada tributaria, para poder fundamentar los Acuerdos de liquidación, y garantizar el derecho de defensa de la obligada tributaria, que tiene derecho a conocer con precisión la relación de hechos que justifican el levantamiento de las actas de propuesta de liquidación por la Hacienda Púbica, lo que comporta que, a efectos de cumplir la exigencia de motivación de los actos tributarios, deban figurar aquellos datos personales del actual recurrente».