Una reciente sentencia del Tribunal de Justicia de la Unión Europea (TJUE) ayuda a analizar la relación entre los requerimientos de la Administración tributaria y el derecho a la protección de datos, estableciendo algunos límites conforme al Reglamento General de Protección de Datos (RGPD).

El pasado 24 de febrero, el Tribunal de Justicia de la Unión Europea dictó una sentencia esperada, la relativa al asunto C-175/20, caso Valsts ie¿¿mumu dienests o SIA. La sentencia afronta la coordinación, bajo el Derecho de la Unión Europea, entre las normas que regulan las potestades de obtención de información de una Administración tributaria y el RGPD (Reglamento 2016/679, de 27 de abril de 2016).

La Administración tributaria de Letonia había requerido de una entidad los datos relativos a los vehículos anunciados en un portal de Internet, así como los números de teléfono de los vendedores. Ante este requerimiento de obtención de información referido a una generalidad de personas, la cuestión prejudicial remitida al TJUE planteaba si un requerimiento de esa naturaleza, aun siendo realizado por una Administración tributaria, era conforme al RGPD o si este impedía o limitaba de algún modo un requerimiento de esa amplitud. La sentencia dictada ayuda a comprender la relación existente entre las actuaciones de la Administración tributaria y el derecho a la protección de datos. La respuesta del TJUE es completa, pero, al mismo tiempo, ambigua, al seguir esa técnica tan frecuente de dejar que sea el tribunal remitente el que decida si la medida nacional se ajusta o no al Derecho de la Unión. Veamos los tres ejes sobre los que el tribunal construye su doctrina.

En primer lugar, la sentencia deja claro que un requerimiento de información con trascendencia tributaria se halla bajo el ámbito de aplicación del RGPD y no al margen de él o en el ámbito de aplicación de la Directiva 2016/680 relativa a la cesión de datos con fines penales. Una solicitud de información de una Administración tributaria implica una recogida de datos por la Administración requirente y un tratamiento de datos por la cesión de estos a aquella, de unos datos que sin duda son datos personales en la medida en la que afectan a personas físicas. En consecuencia, ese requerimiento ha de respetar los principios relativos al tratamiento de datos según el RGPD.

La sentencia, en segundo lugar y como no podía ser de otra forma, deja claro que ese tratamiento de datos es legítimo en la medida en la que los datos se recogen con el fin de gestionar el sistema fiscal de un Estado y ese tratamiento está previsto en la legislación nacional, de acuerdo con las exigencias del sistema constitucional de ese Estado. Ahora bien, y este es el punto crucial de la sentencia, esa legitimidad inicial no excluye que el tratamiento de datos deba respetar los principios recogidos en el RGPD y enumerados en el artículo 5º del mismo. Si el Derecho nacional opta por limitar los derechos reconocidos en el RGPD, ha de hacerlo de forma explícita sobre la base legal que le atribuyen los artículos 23.1.e) y 25.2 del RGPD. Por lo tanto, el Derecho nacional puede introducir tales límites por razones de interés público, en particular un interés económico o financiero, que puede ser de carácter fiscal, pero esa limitación debe respetar en lo esencial los derechos y libertades fundamentales consagrados en el RGPD y en el artículo 8 de la Carta de Derechos Fundamentales, siendo una medida necesaria y proporcionada en una sociedad democrática. Por lo tanto, la ley nacional no puede excluir sin más estas cesiones de datos del ámbito de aplicación del RGPD, sino que, por el contrario, debe reconocer la aplicación de este, establecer qué límites introduce y justificar tales límites, respetando el principio de proporcionalidad.

Y, llegados a este tercer punto, la sentencia se vuelve intencionadamente ambigua o imprecisa. Aparentemente, el TJUE interpreta el artículo 5º del RGPD considerando que dicho precepto exige de un requerimiento tributario de obtención de información que exponga con claridad los fines, determinados, explícitos y legítimos, que justifican la recogida de los datos solicitados, sin que parezca bastar una referencia genérica a las exigencias derivadas de la aplicación del sistema fiscal o la lucha contra el fraude fiscal. Identificados esos fines concretos, que justifican el tratamiento, los datos solicitados deben ser adecuados al fin perseguido y limitados a los necesarios a tal fin. De esta forma, a tenor de los apartados 74 y 76 de la sentencia, la Administración tributaria, como responsable del tratamiento, «no puede proceder, de manera generalizada e indiferenciada, a la recogida de datos personales» y «debe abstenerse de recoger datos que no sean estrictamente necesarios en relación con los fines del tratamiento». Pero el TJUE confía al tribunal nacional comprobar si ese acceso a datos relativos a todos los anuncios publicados en un sitio de Internet va más allá de lo necesario, siendo de incumbencia de la Administración justificar la necesidad de la recogida de estos datos. Por último, si la información se solicita sin límite de tiempo, como un suministro de información, la normativa nacional debe justificar también la necesidad de ese tratamiento sin un límite temporal, lo cual podría ser de aplicación a cualquier cesión recurrente de datos, incluso mediante la interconexión de sistemas de almacenamiento de los mismos.

En suma, la sentencia nos recuerda la necesidad de abordar una regulación adecuada de las relaciones entre las normas tributarias y las relativas al tratamiento de datos, aunque la sentencia ni alude a la trascendencia de la naturaleza de los datos solicitados ni precisa cuáles sean los límites que el RGPD impone.

Fuente: Expansión.com