El Gabinete Jurídico de la AEPD ha publicado un informe en el que se da respuesta a las consultas relacionadas con el Proyecto de Real Decreto que regula la Solución Pública de Facturación Electrónica, gestionada por la Agencia Estatal de Administración Tributaria. El objeto del Proyecto de Real Decreto es el desarrollo del artículo 2 bis de la Ley 56/2007 (que regula la factura electrónica en el sector privado), así como la creación de la SPFE y la comunicación obligatoria por todos los empresarios (incluso aquellos que utilizan otra solución privada) de una copia de cada factura en formato “Facturae” de modo que la herramienta de la AEAT sea también un repositorio de facturas.
La primera de las consultas efectuadas se refiere a la base jurídica que ampararía el tratamiento de los datos efectuado por la SPFA cuando los profesionales deciden utilizar la herramienta para emitir o recibir facturas. En relación con esta consulta, en el informe del Gabinete Jurídico se declara que, tal y como recoge la jurisprudencia del Tribunal Constitucional y del Tribunal de Justicia de la Unión Europea, cualquier injerencia o limitación del derecho fundamental a la protección de datos personales debe estar respaldada por una ley que defina claramente el alcance y las condiciones y garantías de dicha injerencia (estableciendo “reglas claras y precisas que regulen el alcance y la aplicación de la medida en cuestión e impongan unas exigencias mínimas […] garantizando así que la injerencia se limite a lo estrictamente necesario”).
En este sentido, se indica que ni el artículo 2 bis de la Ley 56/2007, ni la Disposición Final Séptima de esta, mencionan en ningún momento la Solución Pública de Facturación Electrónica, lo que haría que pudiera entenderse comprendida en esta ley los tratamientos que dicha herramienta efectuara. Así, debido a que “se requiere una ley para que dichos tratamientos de datos por la Solución Pública puedan ser considerados como que gozan de una base jurídica que otorgara licitud al tratamiento de datos en que consiste” y que esa ley no existe, no hay una base jurídica adecuada que otorgue licitud a los tratamientos de datos personales realizados por esta solución.
La segunda consulta se centra en la base jurídica que legitimaría el tratamiento cuando los empresarios o profesionales que no utilicen la herramienta deban enviar una copia de cada factura de modo que esta se convierta en un repositorio que almacena la información de todas las facturas electrónicas.
En relación con esta cuestión, el informe subraya que la obligación de los empresarios de enviar una copia de cada factura a la Solución Pública carece de una base legal clara. El artículo 8.1 de la Ley Orgánica 3/2018 establece que el tratamiento de datos personales solo puede considerarse fundado en el cumplimiento de una obligación legal cuando así lo prevea una norma con rango de ley. Sin embargo, la Ley 56/2007 no contempla esta obligación, lo que implica que no existe una base legal para estos tratamientos de datos personales.
La tercera consulta planteada hace referencia a las circunstancias que permitirían el tratamiento de los datos personales de categoría especial incluidos en las facturas. La autoridad de control señala que el RGPD requiere que, además de una base jurídica que legitime el tratamiento de estos datos, exista una circunstancia que levante la prohibición general de su tratamiento. Sin embargo, el Proyecto “no contempla siquiera como hipótesis la posibilidad de que estos tratamientos incluyan datos de categorías especiales [y] tampoco se regula en ella nada relativo a las posibles circunstancias que levantarían la prohibición de su tratamiento”.
Por último, el informe recomienda que, a la vista del contenido que debe reunir la norma con rango de ley que establezca las injerencias en este derecho y debido a que ello no se ha llevado a cabo, se realice un análisis de riesgos y una evaluación de impacto a efectos de determinar en la norma las medidas adecuadas y específicas para proteger los intereses y derechos fundamentales de los interesados.
