.png){kind=logo}
¿Puede Hacienda acceder a su ordenador o a la nube? Límites de la Inspección ante la información digital
Las facultades de comprobación de Hacienda son amplias. La Inspección puede examinar la contabilidad, las facturas, los contratos, la correspondencia con trascendencia tributaria y los archivos informáticos relacionados con la actividad económica.
Sin embargo, que una determinada información pueda tener relevancia fiscal no significa que la Administración pueda acceder libremente a cualquier ordenador, teléfono móvil, correo electrónico, servidor o repositorio en la nube del contribuyente.
Un dispositivo digital no contiene únicamente documentos equivalentes a los conservados en un archivador. Puede reunir durante años información profesional y personal, conversaciones privadas, fotografías, datos de terceros, credenciales, historiales de navegación y comunicaciones protegidas.
Por eso, entrar en una oficina, incautar un dispositivo y acceder a toda la información que contiene son actuaciones diferentes. Cada una debe disponer de cobertura suficiente y respetar los derechos fundamentales afectados.
Las sentencias del Tribunal Supremo 1207/2023, de 29 de septiembre, y 1122/2024, de 25 de junio, han comenzado a delimitar estas garantías ante la ausencia de una regulación tributaria completa y específica sobre el acceso al entorno digital.
Las facultades de Hacienda también alcanzan a los archivos informáticos
El artículo 142 de la Ley General Tributaria permite a la Inspección examinar, entre otros elementos:
Libros y registros contables.
Facturas, justificantes y correspondencia con trascendencia tributaria.
Bases de datos.
Programas y archivos informáticos.
Sistemas de codificación.
Equipos y soportes necesarios para interpretar la información.
Cualquier otro antecedente que pueda resultar relevante para comprobar el cumplimiento de las obligaciones tributarias.
La Administración puede requerir la aportación de documentos electrónicos y obtener copias en el formato adecuado. También puede solicitar que los datos codificados o encriptados se conviertan a un formato legible.
Además, el artículo 146 de la Ley General Tributaria permite adoptar medidas cautelares para impedir que desaparezcan, se destruyan o alteren pruebas relevantes. Entre ellas se encuentran el precinto, depósito o incautación de mercancías, documentos, libros, registros y archivos o equipos electrónicos.
Estas facultades no son ilimitadas. Las medidas deben ser proporcionadas, estar motivadas, limitarse temporalmente y no causar perjuicios de difícil o imposible reparación. Ley 58/2003, General Tributaria.
Entrar, copiar y examinar no son la misma actuación
En una inspección deben diferenciarse al menos tres niveles de intervención:
Entrada en el domicilio
La entrada en un domicilio constitucionalmente protegido exige el consentimiento válido de su titular o una autorización judicial, salvo los supuestos excepcionales previstos constitucionalmente.
En el ámbito empresarial no todos los espacios reciben la misma protección. El domicilio constitucionalmente protegido comprende aquellos lugares reservados en los que se desarrolla la dirección o administración de la sociedad o se conservan documentos que deben quedar fuera del conocimiento de terceros.
Incautación o copia de un dispositivo
Copiar un disco duro, retirar un ordenador o efectuar un volcado de un servidor constituye una actuación distinta de la entrada física en el lugar donde se encuentra.
La mera ocupación o copia ya puede afectar al control que el contribuyente mantiene sobre su información, aunque los funcionarios todavía no hayan abierto los archivos.
Acceso y tratamiento de los datos
Examinar correos, documentos, fotografías, bases de datos o conversaciones constituye una nueva injerencia.
El hecho de que la Administración haya podido entrar legítimamente en una oficina y localizar un ordenador no significa que pueda acceder automáticamente a todo su contenido.
Tampoco la incautación o el precinto del dispositivo autorizan por sí solos su posterior examen.
Un ordenador no es un domicilio, pero su contenido puede estar protegido
El Tribunal Supremo no considera que un ordenador, un teléfono móvil o una tableta sean por sí mismos un domicilio constitucionalmente protegido.
No obstante, la información que contienen puede afectar a distintos derechos reconocidos por el artículo 18 de la Constitución:
Derecho a la intimidad personal y familiar.
Derecho al secreto de las comunicaciones.
Derecho a la protección de los datos personales.
En algunos casos, inviolabilidad del domicilio desde el que se accede.
La protección no depende únicamente del soporte físico. Un archivo puede encontrarse en el disco duro del ordenador, en un servidor instalado en otra oficina, en un centro de datos extranjero o en un servicio de almacenamiento en la nube.
Lo relevante es la información a la que se accede, los derechos afectados y la intensidad de la injerencia.
La STS 1207/2023: la copia del ordenador personal de un contribuyente
La Sentencia del Tribunal Supremo 1207/2023, de 29 de septiembre, recurso 4542/2021, tuvo su origen en una inspección por el IRPF y el Impuesto sobre el Patrimonio.
Durante una comparecencia en las oficinas de la Inspección, el contribuyente acudió con su ordenador portátil personal, que consultaba para responder a las preguntas de los actuarios.
Al considerar que no se había aportado toda la documentación requerida, la Inspección solicitó autorización para que su unidad de auditoría informática copiara el contenido del portátil. El contribuyente se negó.
Los funcionarios adoptaron entonces una medida cautelar: copiaron el contenido del ordenador en un disco duro, lo precintaron y anunciaron que solicitarían posteriormente autorización judicial para examinarlo. La medida fue ratificada administrativamente.
Casi cinco meses después, Hacienda solicitó al Juzgado de lo Contencioso-Administrativo autorización para acceder y copiar los datos con trascendencia tributaria almacenados en el disco duro.
El Tribunal Supremo terminó anulando las resoluciones judiciales que habían autorizado la actuación.
Copiar antes y pedir permiso después
Uno de los aspectos más relevantes de esta sentencia es que el copiado masivo ya se había producido antes de obtener autorización judicial.
La Administración defendía que no había accedido al contenido y que la copia permaneció precintada hasta que el juez autorizó su apertura. Sin embargo, el Tribunal Supremo consideró que la captación, posesión y conservación de los datos también podía afectar a derechos fundamentales.
La garantía judicial no puede reducirse a autorizar el examen de una información que la Administración ya ha copiado íntegramente.
Además, las normas que atribuyen a los juzgados de lo contencioso-administrativo competencia para autorizar la entrada en un domicilio son, en principio, inadecuadas para autorizar automáticamente el copiado, precinto, captación, posesión o utilización de datos cuando estas actuaciones se producen fuera del domicilio.
En el caso analizado, el ordenador se encontraba en las oficinas de la propia Inspección y no en el domicilio del contribuyente.
Las garantías del registro domiciliario se extienden al entorno digital
La falta de una regulación específica no deja desprotegido al contribuyente.
El Tribunal Supremo entendió que las garantías desarrolladas para las entradas domiciliarias deben extenderse a las actuaciones que tengan por objeto conocer, controlar o tratar información almacenada en dispositivos electrónicos cuando puedan resultar afectados derechos fundamentales.
Por tanto, cualquier medida de esta naturaleza debe superar un juicio de:
Idoneidad
El acceso debe ser apto para obtener la información necesaria para la comprobación.
No es suficiente afirmar genéricamente que en un ordenador podrían encontrarse datos con trascendencia tributaria.
Necesidad
La Administración debe explicar por qué necesita acceder al dispositivo y por qué no puede obtener la misma información mediante una medida menos invasiva.
Antes de copiar todo un ordenador debería valorarse, por ejemplo, si resulta suficiente requerir unos documentos determinados, solicitar información a terceros o examinar exclusivamente una aplicación contable.
Proporcionalidad
El beneficio obtenido para la investigación debe guardar una relación razonable con el sacrificio de los derechos afectados.
No debería accederse a todo el contenido de un dispositivo cuando la comprobación solo requiere determinados archivos, ejercicios o categorías de información.
La solicitud de Hacienda no puede aceptarse sin contraste
La STS 1207/2023 también exige que el juez realice una verdadera función de garantía.
La autorización no puede basarse exclusivamente en el relato de la Administración, aceptando como ciertos todos los datos contenidos en su solicitud. Es necesario efectuar un mínimo contraste de las circunstancias alegadas.
El juez debe comprobar:
La existencia y alcance del procedimiento inspector.
Los indicios que justifican la medida.
La relación entre el dispositivo y la actividad investigada.
La imposibilidad de obtener la información por otros medios.
Los derechos fundamentales que pueden verse afectados.
La extensión temporal, objetiva y subjetiva del acceso.
Las garantías establecidas para separar la información relevante.
Una autorización genérica que se limite a reproducir la solicitud de Hacienda no cumple adecuadamente esta función.
No es lo mismo un ordenador personal que un equipo de empresa
El Tribunal Supremo concede especial importancia a la naturaleza y utilización del dispositivo.
Cuando se trata del ordenador personal de una persona física, resulta razonable presumir que puede contener información privada ajena a la actividad económica o a los impuestos comprobados.
En cambio, cuando se examina un ordenador perteneciente a una sociedad, situado en su sede y exclusivamente afecto a la actividad empresarial, puede presumirse inicialmente que la mayor parte de su contenido guarda relación con la empresa.
Esta diferencia no significa que los ordenadores corporativos queden desprotegidos. También pueden contener:
Información personal de trabajadores.
Datos de clientes y proveedores.
Comunicaciones confidenciales.
Secretos empresariales.
Información de otras sociedades del grupo.
Documentación amparada por el secreto profesional.
Datos pertenecientes a terceros no inspeccionados.
Pero la expectativa de privacidad y la intensidad de la ponderación pueden variar en función del titular, del uso del dispositivo y del lugar en el que se encuentre.
La STS 1122/2024: ordenadores, servidores y almacenamiento en la nube
La Sentencia del Tribunal Supremo 1122/2024, de 25 de junio, recurso 7845/2022, analizó un supuesto diferente.
En este caso, la Agencia Tributaria solicitó autorización judicial para entrar en el domicilio constitucionalmente protegido de una empresa. En la propia solicitud incluyó el acceso a ordenadores, servidores, bases de datos, programas, archivos informáticos, correos electrónicos y repositorios almacenados en la nube.
La cuestión consistía en determinar si la autorización de entrada proporcionaba también cobertura para acceder a esos datos o si era necesaria una autorización judicial independiente.
El Tribunal Supremo confirmó que no resulta imprescindible dictar dos resoluciones judiciales separadas.
El mismo auto puede autorizar:
La entrada en el domicilio.
El acceso a los equipos.
El volcado de la información.
La consulta de servidores y repositorios.
El examen de los archivos almacenados en la nube.
Sin embargo, cada una de esas actuaciones debe encontrarse específicamente justificada.
Una sola resolución, pero una motivación diferenciada
La posibilidad de reunir todas las autorizaciones en un mismo auto no significa que la motivación pueda ser única y genérica.
El juez debe ponderar separadamente:
Por qué resulta necesaria la entrada física.
Por qué debe accederse a la información digital.
Qué dispositivos o repositorios quedan afectados.
Qué clase de información se busca.
Qué relación tiene con los impuestos y períodos inspeccionados.
Por qué no resulta suficiente otra actuación menos intrusiva.
Qué límites y garantías deben aplicarse durante el volcado y análisis.
La mera autorización para entrar en el domicilio no habilita automáticamente el acceso a cualquier ordenador que se encuentre dentro.
Del mismo modo, localizar un terminal desde el que pueda accederse a un servidor o a la nube no permite explorar sin límites toda la información accesible mediante las credenciales de la empresa.
¿Por qué fue válido el acceso en el caso de 2024?
La sentencia de 25 de junio de 2024 presenta una particularidad importante.
El Tribunal Supremo casó la sentencia de instancia porque esta había sostenido que no era necesaria una ponderación específica del acceso digital. Esa interpretación se apartaba de la doctrina correcta.
Sin embargo, al resolver directamente el litigio, el Supremo comprobó que el auto judicial sí contenía una motivación suficiente.
Consideró relevantes, entre otras, las siguientes circunstancias:
La solicitud de Hacienda había incluido expresamente el acceso digital.
Los ordenadores y servidores estaban afectos a la actividad empresarial.
El acceso se realizó desde la sede de la sociedad.
La documentación buscada estaba relacionada con la actividad investigada.
No existían indicios concretos de que se hubiese accedido a información privada de trabajadores o terceros ajenos.
El auto había ponderado la necesidad y proporcionalidad de la actuación.
Por ello, aunque corrigió el criterio jurídico de la sentencia recurrida, terminó desestimando el recurso contencioso-administrativo de la empresa.
¿Puede Hacienda efectuar un volcado completo?
Los volcados informáticos plantean una dificultad práctica. Durante una entrada resulta complicado revisar uno por uno miles de correos y documentos para separar inmediatamente la información relevante.
Por eso, en determinados casos puede resultar técnicamente necesario realizar una copia amplia y discriminar posteriormente los archivos.
Pero un volcado total no se justifica por la mera comodidad de la Inspección.
La Administración debería explicar:
Por qué no es posible realizar una copia selectiva.
Qué dispositivos serán objeto del volcado.
Qué personas o sociedades utilizan esos equipos.
Qué períodos temporales comprende la búsqueda.
Qué impuestos se están comprobando.
Qué palabras clave, aplicaciones o categorías documentales se utilizarán.
Cómo se excluirán los datos manifiestamente ajenos.
Dónde y durante cuánto tiempo se conservará la copia.
Quién podrá acceder a ella.
Cómo se garantizará su integridad.
Qué sucederá con la información descartada.
El término “masivo” tampoco determina automáticamente que la actuación sea ilegal. Su proporcionalidad dependerá del contexto, del volumen de información razonablemente relacionado con la actividad y de las garantías establecidas.
No es equivalente copiar el servidor profesional de una sociedad cuyos archivos están vinculados a los impuestos inspeccionados que copiar el ordenador personal de un empresario en el que conviven información familiar y documentación de varias actividades.
¿Puede Hacienda acceder al correo electrónico?
La respuesta depende de la clase de acceso.
El derecho al secreto de las comunicaciones protege especialmente la comunicación durante su transmisión. La interceptación de mensajes en curso o el acceso a comunicaciones todavía no recibidas plantea una afectación particularmente intensa del artículo 18.3 de la Constitución.
Cuando los correos ya han sido recibidos, abiertos y almacenados en un ordenador o servidor empresarial, su examen puede aproximarse al de cualquier otro documento archivado. No obstante, continúa pudiendo afectar a la intimidad, la protección de datos, la confidencialidad empresarial y los derechos de terceros.
Por tanto, no cabe afirmar de forma general que cualquier correo almacenado quede protegido por el secreto de las comunicaciones ni tampoco que Hacienda pueda acceder libremente a todo el buzón.
Deberán analizarse:
La titularidad de la cuenta.
Su utilización empresarial o personal.
El estado de las comunicaciones.
La relación con la actividad inspeccionada.
El alcance de la autorización.
Los períodos e interlocutores afectados.
La presencia de comunicaciones confidenciales.
Acceder al ordenador no permite entrar en toda la nube
La información empresarial ya no suele encontrarse únicamente en el disco duro.
Desde un ordenador situado en la sede pueden estar accesibles:
Servidores de otras oficinas.
Almacenamiento en la nube.
Aplicaciones de contabilidad.
Programas de gestión.
Copias de seguridad.
Plataformas de facturación.
Sistemas de mensajería.
Cuentas bancarias.
Repositorios compartidos con asesores o clientes.
La posibilidad técnica de acceder a todos esos entornos no equivale a una autorización jurídica.
El auto debería identificar o delimitar razonablemente qué repositorios pueden consultarse y por qué. De lo contrario, una entrada referida a una sociedad podría permitir el acceso indirecto a documentación de otras empresas, empleados, clientes o profesionales externos.
La protección no desaparece porque los datos se encuentren alojados fuera de las instalaciones.
El entorno digital no puede quedar convertido en una prolongación ilimitada del espacio registrado.
Información de otras sociedades y terceros
En los grupos empresariales resulta frecuente compartir servidores, programas, correos o carpetas.
Esta forma de organización puede generar un riesgo importante durante una inspección. Desde el ordenador de la sociedad comprobada puede resultar accesible información perteneciente a otras entidades del grupo que no están incluidas en el procedimiento.
La empresa debe identificar esta circunstancia cuanto antes y solicitar que:
Se limite el acceso a la sociedad inspeccionada.
Se utilicen perfiles o credenciales diferenciados.
Se excluyan carpetas de otras entidades.
Quede constancia de la advertencia en la diligencia.
Se aplique un sistema de filtrado.
La documentación ajena sea aislada y no utilizada.
Que unos datos sean técnicamente accesibles no significa que formen parte del objeto autorizado.
Comunicaciones con abogados y asesores
Una atención especial merecen las comunicaciones relacionadas con el derecho de defensa y el secreto profesional.
Los dispositivos empresariales pueden contener informes jurídicos, estrategias procesales, consultas tributarias o comunicaciones con abogados relativas a procedimientos abiertos.
La empresa debería mantener esta documentación claramente identificada y separada. Durante el registro debe advertirse inmediatamente de su existencia y solicitar que no sea examinada hasta resolver su posible protección.
No toda comunicación con un profesional queda automáticamente excluida. Debe analizarse su contenido, finalidad y relación con el ejercicio del derecho de defensa. Pero una copia indiscriminada que impida formular cualquier objeción puede causar una lesión difícilmente reparable.
¿Está obligado el contribuyente a facilitar las contraseñas?
El obligado tributario debe colaborar con la Inspección y facilitar la lectura de los archivos que esté legalmente obligado a conservar.
Sin embargo, el deber de colaboración no convierte en legítima cualquier solicitud de acceso ni permite prescindir de la autorización requerida cuando están afectados derechos fundamentales.
Antes de facilitar credenciales generales conviene comprobar:
Qué actuación ha sido autorizada.
A qué dispositivo o repositorio se refiere.
Qué información puede consultar la Inspección.
Si la contraseña permite acceder también a datos de terceros.
Si existen perfiles limitados.
Si resulta posible facilitar únicamente los documentos requeridos.
Qué garantías se han establecido para el filtrado.
Negarse sin fundamento a colaborar puede tener consecuencias. Pero facilitar de manera irreflexiva una contraseña que abre todos los sistemas de la empresa también puede extender la actuación mucho más allá de su objeto.
La respuesta debe coordinarse inmediatamente con el asesor fiscal y el abogado encargado de la defensa.
El consentimiento debe ser libre, informado y específico
Cuando no existe autorización judicial, Hacienda puede solicitar el consentimiento del titular.
Para que sea válido, el consentimiento debe ser:
Prestado por una persona con capacidad suficiente.
Libre, sin coacción o información engañosa.
Informado sobre el alcance y finalidad del acceso.
Específico respecto de los espacios o dispositivos afectados.
Prestado con conocimiento de que puede denegarse.
Revocable mientras se desarrolla la actuación.
Consentir la entrada en una sala de reuniones no equivale necesariamente a consentir el acceso a los ordenadores. Del mismo modo, permitir que se consulte un archivo concreto no significa autorizar el volcado completo del dispositivo.
Debe evitarse que una manifestación ambigua termine interpretándose como autorización general.
Qué debería concretar la autorización judicial
Una autorización suficientemente motivada debería definir, atendiendo a las circunstancias del caso:
La finalidad del acceso.
Los impuestos y ejercicios inspeccionados.
Los dispositivos afectados.
Los repositorios remotos que pueden consultarse.
Las sociedades y usuarios comprendidos.
El tipo de documentación buscada.
La relación entre los datos y los indicios existentes.
El método de búsqueda.
La necesidad de un volcado completo o selectivo.
La duración de la actuación.
Las personas autorizadas para examinar la información.
El tratamiento de datos personales y documentos de terceros.
Las medidas para proteger comunicaciones confidenciales.
El sistema de custodia y preservación de las copias.
El destino de la información que resulte ajena a la inspección.
No siempre será posible una identificación exhaustiva de cada documento antes del registro, pero la autorización tampoco puede convertirse en un permiso genérico para buscar cualquier posible irregularidad.
Qué hacer durante una inspección con acceso digital
La empresa debería disponer de un protocolo previo para estas situaciones.
Ante una solicitud de acceso resulta recomendable:
Examinar la comunicación de inicio y el auto judicial.
Identificar los impuestos, períodos, sociedades y dispositivos afectados.
Contactar inmediatamente con el abogado y el asesor fiscal.
Diferenciar la autorización de entrada de la autorización de acceso digital.
Comprobar si se permite el examen, la copia, el volcado o la incautación.
Identificar información personal, de terceros o amparada por confidencialidad.
Solicitar que se utilicen perfiles de acceso limitados.
Dejar constancia en diligencia de cualquier objeción.
Obtener un inventario de los equipos y archivos copiados.
Solicitar una copia de los datos obtenidos o de las evidencias digitales generadas.
Documentar las herramientas, criterios de búsqueda y filtros utilizados.
No destruir, alterar ni ocultar información.
Una actuación colaboradora no exige renunciar a las garantías del contribuyente.
La importancia de la trazabilidad y la cadena de custodia
Cuando se copia información digital debe poder acreditarse que los datos analizados son los mismos que se obtuvieron durante la inspección.
Para ello pueden utilizarse huellas digitales o valores hash, que permiten comprobar si un archivo ha sido modificado.
También debería quedar documentado:
Quién realizó la copia.
En qué fecha y hora.
De qué dispositivo se obtuvo.
Qué herramienta se utilizó.
Qué volumen de información se copió.
Dónde se almacenó.
Quién tuvo acceso.
Qué copias de trabajo se generaron.
Cuándo se levantó el precinto.
Qué datos fueron finalmente seleccionados.
La ausencia de trazabilidad puede afectar a la fiabilidad de la prueba y a las posibilidades de defensa.
¿Qué sucede si Hacienda supera los límites?
Cuando la Administración accede a información digital sin cobertura suficiente, el contribuyente puede cuestionar:
La medida cautelar.
La autorización judicial.
La forma en que se ejecutó el registro.
El alcance del volcado.
La utilización posterior de los datos.
Las liquidaciones y sanciones basadas en esa información.
La consecuencia dependerá del tipo de irregularidad y del derecho afectado. Si se ha vulnerado un derecho fundamental, la información obtenida puede resultar nula y quedar excluida del procedimiento.
Sin embargo, la impugnación posterior no siempre repara completamente el perjuicio causado. Una vez que Hacienda ha conocido el contenido de un dispositivo, resulta difícil restablecer plenamente la situación anterior.
Por eso adquieren tanta importancia el control judicial previo, la motivación específica y la intervención inmediata de los profesionales que asisten al contribuyente.
Conclusión
La digitalización no puede transformar las facultades inspectoras en un acceso ilimitado a la vida electrónica del contribuyente.
Hacienda puede examinar archivos informáticos con trascendencia tributaria y, cuando esté justificado, acceder a ordenadores, servidores, correos y repositorios en la nube. Pero debe respetar los derechos fundamentales y someter cada medida a un juicio de idoneidad, necesidad y proporcionalidad.
La autorización para entrar en un domicilio no permite automáticamente acceder a todo el entorno digital disponible desde él. Tampoco el precinto o la copia de un dispositivo legitiman por sí solos el examen de su contenido.
El Tribunal Supremo admite que la entrada y el acceso digital puedan autorizarse en una misma resolución. Lo que exige es que el juez valore específicamente ambas actuaciones y delimite su alcance.
En definitiva, una cosa es comprobar la documentación con trascendencia tributaria y otra muy distinta copiar indiscriminadamente toda la información que una persona o una empresa ha acumulado durante años.
Los dispositivos han cambiado, pero el principio continúa siendo el mismo: cuanto más intensa sea la injerencia de la Administración, más precisa debe ser su justificación y mayores las garantías del contribuyente.
