Empresa Multada con 20.000 € por Impedir Acceso de Hacienda

Cuando la protección de datos choca con la obligación de colaborar

Imagina la escena. Es noviembre de 2021. Dos funcionarios de Hacienda entran en tu local comercial. No quieren solo ver las facturas emitidas ese mes; quieren sentarse ante tu ordenador principal y copiar bases de datos enteras. “Necesitamos información contable y extracontable”, te dicen.

Ahí es donde la mayoría de los administradores se queda en blanco. ¿Qué hago? ¿Les abro el sistema? ¿Les doy la contraseña? ¿O me niego porque sé que ahí dentro hay datos de clientes que no deberían estar en manos de un inspector sin más?

Nuduka S.L. vivió esta exacta situación. Según los hechos verificados, la Inspección de Hacienda acordó el inicio de las actuaciones el 27 de septiembre de 2021, y el 16 de noviembre siguiente los inspectores se personaron en el local. La empresa, que gestionaba información delicada, se encontró con una empleada que denegó el acceso. Su argumento: los archivos contenían datos sensibles de clientes relativos a tratamientos médicos u oncológicos.

La respuesta de la Agencia Tributaria no se hizo esperar. Consideró esa negativa como una infracción grave de obstrucción a la labor inspectora y le endosó una multa de 20.000 euros. El Tribunal Económico-Administrativo Regional de Cataluña confirmó esa sanción en diciembre de 2022. Luego, el Tribunal Superior de Justicia de Cataluña también desestimó el recurso de Nuduka. Parecía un caso cerrado.

Hasta que el 23 de septiembre de 2026, el Tribunal Supremo dictó un auto admitiendo a trámite el recurso de casación. La magistrada ponente, Sandra María González de Lara Mingo, ha abierto la puerta a una revisión que trasciende a una sola empresa. El alto tribunal estudiará si Hacienda requiere previa autorización judicial para acceder a información que contenga datos sensibles o si la administración puede disponer dicho acceso de forma directa.

El riesgo real: ¿Tu servidor es un imán para la inspección?

Hay un mito que circula por los pasillos de muchas pymes que hay que desmontar de raíz: “Hacienda solo viene por los números, no por mis clientes”.

Es una creencia peligrosa. La Ley General Tributaria obliga a los obligados tributarios a facilitar cualquier documentación que la Administración requiera para el cumplimiento de sus funciones. Pero esa obligación no es infinita. Aquí entra el conflicto. Si tu empresa gestiona datos de salud (clínicas, seguros, servicios de bienestar corporativo), datos financieros extremadamente sensibles o información comercial crítica, la línea entre “colaborar” y “infringir la privacidad de tus clientes” es finísima.

En el caso de Nuduka, la multa no fue por no tener los libros contables al día. Fue por impedir el acceso a los ordenadores. Ese es el matiz técnico que ahora pisa el Supremo. Si la sentencia final avala la postura de la empresa, significaría que los inspectores, en ciertos contextos, podrían necesitar la luz verde de un juez antes de clonar discos duros o exportar bases de datos masivas. Si la ratifica, la obligación de acceso directo sigue siendo absoluta, con el riesgo de que cualquier negativa se castigue como obstrucción.

Para una pyme con operativa compleja, esto no es un detalle menor. Piensa en tu infraestructura actual. ¿Tienes segregación de datos? ¿Un cliente con tratamiento oncológico tiene su historial en la misma base de datos que las facturas de IVA de la empresa? Si un inspector pide “todo”, ¿puedes filtrar lo que no es relevante fiscalmente sin que eso se considere “impedir el acceso”?

Esta duda no es teórica. En sectores como la hostelería multisede, las franquicias o las consultoras de salud corporativa, los equipos de IT y los departamentos financieros suelen tener agendas distintas. El técnico protege el perímetro; el director financiero protege el cumplimiento. Cuando Hacienda toca la puerta, ¿quién tiene la última palabra? El caso Nuduka sugiere que, hasta que el Supremo falde, la cautela extrema en la respuesta operativa es la única estrategia defensiva viable.

Qué significa para tu operativa a partir de ahora

El auto del Supremo no es una sentencia. Es la admisión a trámite. No dice quién tiene la razón. Dice que la pregunta es lo suficientemente relevante para que el máximo tribunal del país la resuelva. Y eso, por sí solo, cambia el juego.

Mientras ese fallo no llegue, la práctica recomendada para cualquier administrador o CFO de pyme en España es clara: no bloquees, pero no entregues a ciegas.

Si te personan inspectores, tu deber legal es facilitar la información. Pero tienes derecho a pedir que el proceso sea proporcionado. No se trata de decir “no” (como hizo la empleada de Nuduka, lo que disparó la multa), sino de mediar. “Puedo facilitar la información contable relevante, pero necesito coordinar con el área de privacidad cómo extraer los datos personales de clientes para cumplir con la normativa de protección de datos”. Esa distinción es vital. La negativa absoluta es obstrucción; la solicitud de procedimiento seguro no lo es.

Además, este caso recuerda una lección de higiene digital que muchas empresas ignoran. Si tus ordenadores contienen datos que no tienen nada que ver con la fiscalidad, tu primer problema no es Hacienda, es el desorden interno. Tener una segregación clara entre sistemas contables y sistemas de gestión de clientes (CRM, salud, RRHH) te da un margen de maniobra legal enorme. Si todo está mezclado en un único ERP sin roles de acceso definidos, estás entregando el mapa completo de tu empresa en un solo disco duro.

El 71% del sector ya utiliza herramientas de IA para automatizar la gestión documental y la fiscalidad, pero la IA no resuelve la gobernanza del acceso. Un algoritmo puede cuadrar el IVA, pero no puede decidir si un inspector tiene derecho a leer el historial médico de un cliente almacenado en tu servidor sin orden judicial. Esa decisión sigue siendo humana, legal y, ahora, en veremos en el Tribunal Supremo.

20.000 € — Importe de la sanción impuesta a Nuduka S.L. por la Agencia Tributaria por obstrucción a la labor inspectora, confirmada por el TEAR de Cataluña y el TSJC antes de llegar al Supremo. Fuente: Confilegal

Preguntas frecuentes

¿Es legal negarse a dar la contraseña del ordenador a Hacienda?

Depende de cómo se plantee. La obligación de facilitar información es legal. Negarse a acceder al sistema completo bajo la excusa de que contiene datos personales de terceros puede ser considerado obstrucción, como ocurrió en el caso de Nuduka S.L. La estrategia correcta no es negar el acceso, sino solicitar un procedimiento de extracción selectiva que proteja los datos sensibles, documentando esa coordinación.

¿Puede Hacienda copiar todos los datos de mi servidor sin más?

La Agencia Tributaria tiene facultades amplias de comprobación. Sin embargo, el Tribunal Supremo está analizando ahora mismo si, al tratarse de datos especialmente protegidos (como salud), se requiere una autorización judicial previa o si la Administración puede acceder de forma directa. Hasta que haya una sentencia firme, la prudencia operativa exige que la empresa exija un criterio de proporcionalidad en la copia.

¿Qué es la “infracción grave de obstrucción” a la labor inspectora?

Es una sanción por no facilitar la información requerida, dificultar el acceso a los locales o impidir la copia de documentos. En el caso analizado, la Agencia Tributaria calificó la negativa de una empleada a permitir la copia de archivos informáticos como obstrucción grave, lo que resultó en una multa de 20.000 euros. La calificación de “grave” eleva el rango sancionador y el impacto reputacional.

¿Tiene sentido externalizar la gestión fiscal para proteger mis datos?

Sí. Una gestoría o firma de dirección financiera no solo te declara impuestos. Te ayuda a estructurar tu documentación para que, ante una inspección, puedas entregar lo que la ley exige sin exponer información irrelevante. La segregación de datos entre sistemas contables y de clientes es una tarea técnica que, bien hecha, reduce drásticamente el riesgo de conflicto con la Inspección.

¿El Supremo fallará a favor de la empresa Nuduka?

No se puede predecir el fallo. El auto de 23 de septiembre de 2026 solo admite a trámite la casación para resolver una cuestión de interés casacional: si Hacienda necesita autorización judicial para datos sensibles. El resultado afectará a miles de empresas, no solo a Nuduka. Lo que sí es cierto es que este caso obliga a las pymes a revisar sus protocolos de respuesta ante la Inspección de inmediato.

¿Cómo preparo a mi equipo ante una inspección de este tipo?

Define un protocolo claro. ¿Quién recibe a los inspectores? ¿Quién tiene acceso a los sistemas? ¿Qué documentos se entregan y cómo? Asegúrate de que tu equipo técnico y tu equipo financiero hablan el mismo idioma sobre qué información es “extracontable” y qué es “sensibilidad de datos”. Un malentendido operativo, como el de la empleada de Nuduka, puede convertir una inspección rutinaria en una sanción económica importante.