Presuncion de Veracidad Administrativa

La presunción que vale 2 millones de euros

Soy Jonathan Izquierdo, perito informático forense, y en mi experiencia profesional he comprobado que muchos abogados y empresas desconocen un principio jurídico que puede costarles millones: la presunción de veracidad administrativa. Cuando la AEPD inspecciona una empresa, las conclusiones de sus inspectores se presumen ciertas. Cuando la AEAT extrae datos de un sistema de facturación, sus hallazgos se presumen veridicos. Y si no aportas prueba en contrario, esa presunción se convierte en condena.

He participado en procedimientos donde la diferencia entre aceptar una sanción de 2 millones de euros y conseguir su anulación era un informe pericial de 40 páginas. No porque la administración estuviera intentando engañar, sino porque sus inspectores, siendo expertos en regulación, no siempre son expertos en los aspectos técnicos informáticos que fundamentan sus conclusiones. Un acta que dice “medidas de seguridad insuficientes” puede estar basada en una comprobación técnica superficial que un perito informático puede desmontar con evidencia objetiva.

Qué es la presunción de veracidad administrativa

Definición jurídica

La presunción de veracidad administrativa es un principio del Derecho Administrativo español por el cual los actos de las administraciones públicas se presumen válidos y producen efectos desde la fecha en que se dicten, salvo que se disponga otra cosa.

Se fundamenta en dos pilares legales:

1. Art. 39.1 Ley 39/2015 (LPAC):

“Los actos de las Administraciones Públicas sujetos al Derecho Administrativo se presumiran válidos y produciran efectos desde la fecha en que se dicten, salvo que en ellos se disponga otra cosa.”

2. Art. 77.5 Ley 39/2015 (valor probatorio de actas):

“Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observandose los requisitos legales correspondientes, se recojan los hechos constatados por aquellos harán prueba de estos salvo que se acredite lo contrario.”

Qué significa en la práctica

La presunción invierte la carga de la prueba: no es la administración quien debe demostrar que incumples, sino tu quien debe demostrar que cumples.

Límites de la presunción: STC 76/1990

Lo que dijo el Tribunal Constitucional

La sentencia STC 76/1990, de 26 de abril, del Pleno del Tribunal Constitucional, es la referencia fundamental sobre los límites de la presunción de veracidad. Conviene empezar por su tenor literal, porque dice algo más favorable al administrado de lo que suele citarse:

«[El acta] constituye un primer medio de prueba sobre los hechos que constan en las actas y diligencias de la Inspección tributaria, cuyo valor o eficacia ha de medirse a la luz del principio de la libre valoración de la prueba. A ello debe añadirse que ese valor probatorio sólo puede referirse a los hechos comprobados directamente por el funcionario, quedando fuera de su alcance las calificaciones jurídicas, los juicios de valor o las simples opiniones que los inspectores consignen en las actas y diligencias.»

Obsérvese la fórmula: el Tribunal no habla de una «presunción» que haya que destruir, sino de un primer medio de prueba sujeto a libre valoración. De ahí salen tres límites:

Límite 1: Solo alcanza a hechos directamente constatados

El valor probatorio cubre únicamente los hechos que el inspector comprobo personalmente, y quedan expresamente fuera —son palabras de la sentencia— «las calificaciones jurídicas, los juicios de valor o las simples opiniones». Ahí es donde entra el dictamen pericial: casi todo lo que se discute en un acta sobre sistemas informáticos es calificación técnica, no hecho constatado.

Límite 2: No equivale a presunción de inocencia invertida

La presunción de veracidad administrativa no puede funcionar como una presunción de culpabilidad del administrado. El TC dejo claro que la presunción de inocencia (art. 24.2 CE) sigue vigente en procedimientos sancionadores administrativos.

Límite 3: Es iuris tantum (admite prueba en contrario)

La presunción no es absoluta. Puede desvirtuarse mediante prueba en contrario que demuestre que los hechos recogidos en el acta son incorrectos, incompletos o mal interpretados.

Implicaciones para el peritaje informático

5 estrategias del perito informático para desvirtuar la presunción

Estrategia 1: Demostrar error de hecho en la constatacion del inspector

Objetivo: Acreditar que lo que el inspector dice haber constatado directamente es incorrecto.

Ejemplo: El acta afirma que “no se observo cifrado en la base de datos de clientes”. El perito demuestra con evidencia técnica (configuración de TDE en SQL Server, logs de activacion, certificados) que el cifrado AES-256 estaba activo en el momento de la inspección. El inspector pudo no haber verificado la capa de cifrado transparente (TDE) porque no es visible sin acceso a la configuración del motor de base de datos.

Prueba requerida: Configuración del sistema en la fecha de la inspección, logs, capturas, certificados. Idealmente con timestamps anteriores a la inspección para descartar implementación posterior.

Estrategia 2: Cuestionar la metodología técnica de la inspección

Objetivo: Demostrar que la comprobación realizada por la administración no fue técnicamente adecuada.

Ejemplo: La AEAT extrajo datos del ERP de la empresa copiando una carpeta de archivos sin calcular hash ni documentar la extracción. El perito acredita que la falta de cadena de custodia digital inválida la integridad de los datos extraídos, porque no hay forma de verificar que los datos analizados por la inspección sean idénticos a los originales.

Prueba requerida: Análisis del procedimiento de extracción utilizado por la administración, comparación con estándares forenses (ISO 27037), documentación de las deficiencias metodologicas.

Estrategia 3: Aportar contexto técnico omitido

Objetivo: Presentar evidencia técnica que la administración no considero y que cambia la interpretación de los hechos.

Ejemplo: El acta de inspección de la AEPD documenta una brecha de datos y concluye “medidas de seguridad insuficientes”. El perito aporta: el análisis de riesgos realizado 6 meses antes de la brecha (que identificaba medidas proporcionales), la certificación ISO 27001 vigente, y evidencia de que la brecha exploto una vulnerabilidad zero-day publicada 48 horas antes y sin parche disponible. Este contexto, omitido por el acta, cambia radicalmente la interpretación de “insuficiencia”.

Prueba requerida: Documentación de medidas previas, análisis de riesgos, certificaciones, timeline de la vulnerabilidad explotada, advisory del fabricante.

Estrategia 4: Refutar las conclusiones técnicas (juicios de valor)

Objetivo: Demostrar que las conclusiones técnicas del acta son opiniones subjetivas, no hechos constatados.

Ejemplo: El acta afirma que “la política de contraseñas era inadecuada” porque requería solo 8 caracteres. El perito demuestra que: (a) el NIST SP 800-63B ya no recomienda requisitos de complejidad sino longitud mínima de 8 caracteres, (b) la empresa implementaba además MFA (autenticación multifactor) que el acta no menciona, y (c) el benchmark del sector muestra que el 70% de empresas comparables usan políticas iguales o menos restrictivas.

Prueba requerida: Configuración real de la política de contraseñas, evidencia de MFA, estándares de referencia, benchmarking sectorial.

Estrategia 5: Demostrar causa no imputable (fuerza mayor o caso fortuito)

Objetivo: Acreditar que el incumplimiento (si existio) no se debio a negligencia sino a causa no previsible ni evitable.

Ejemplo: La administración sanciona por una brecha causada por un ataque APT de un grupo vinculado a un estado (APT-28/Fancy Bear). El perito acredita la sofisticación del ataque, los indicadores de compromiso (IoCs) coincidentes con APT-28, y que las medidas implementadas por la empresa eran adecuadas para amenazas convencionales pero no para un actor estatal. Esto desplaza la causa de “negligencia” a “fuerza mayor técnica”.

Prueba requerida: Análisis forense del ataque, atribución técnica (IoCs, TTPs según MITRE ATT&CK), informes del CCN-CERT o INCIBE sobre el grupo atacante, evidencia de medidas implementadas.

Comparación con otros principios probatorios

Presunción de veracidad vs presunción de inocencia

Presunción de veracidad vs carga de la prueba civil

Aplicación práctica: órganos que se benefician de la presunción

AEPD (Agencia Española de Protección de Datos)

Las actas de inspección de la AEPD gozan de presunción de veracidad. Los inspectores documentan:

• Estado de los sistemas de información
• Medidas de seguridad implementadas (o su ausencia)
• Flujos de datos personales
• Consentimientos y bases de licitud
• Resultado de la brecha

El perito desvirtua: Demostrando que las medidas si existían, que eran proporcionales al riesgo, o que la brecha no se debio a insuficiencia técnica.

AEAT (Agencia Estatal de Administración Tributaria)

Los funcionarios de la AEAT tienen condición de autoridad y sus actas son documentos públicos con presunción de veracidad:

• Datos extraídos de sistemas contables
• Facturas electrónicas analizadas
• Registros de operaciones
• Conclusiones sobre inconsistencias

El perito desvirtua: Verificando la integridad de los datos extraídos, demostrando que la metodología de extracción fue inadecuada, o aportando explicación técnica para las supuestas inconsistencias.

CNMC (Comisión Nacional de Mercados y Competencia)

Las resoluciones de la CNMC en materia de telecomunicaciones se basan en mediciones técnicas y análisis de redes:

• Mediciones de calidad de servicio
• Análisis de interconexion
• Verificación de obligaciones de operadores

El perito desvirtua: Aportando mediciones técnicas independientes que contradigan las de la CNMC, o cuestionando la metodología de medición utilizada.

Autoridades NIS2

Con la transposición de la Directiva NIS2 (Ley de Ciberseguridad), las autoridades competentes inspeccionan entidades esenciales e importantes:

• Estado de las medidas de gestion de riesgos
• Notificación de incidentes
• Políticas de ciberseguridad

El perito desvirtua: Documentando las medidas implementadas con evidencia técnica objetiva (configuraciones, logs, auditorias previas, certificaciones).

Caso práctico: AEAT y presunción de veracidad sobre datos de facturación

Nota: Este caso esta basado en una investigación forense real. Los datos han sido anonimizados para proteger la confidencialidad de los afectados, preservando los aspectos técnicos relevantes.

Situación

La AEAT inspecciono a una empresa de servicios informáticos y extrajo datos de su sistema de facturación (ERP). El acta de inspección afirmaba que existían “inconsistencias graves” entre los registros del ERP y las declaraciones fiscales, proponiendo una liquidacion adicional de 340.000 euros.

El problema técnico

La extracción de datos realizada por los funcionarios de la AEAT se hizo mediante exportación CSV del ERP, sin imagen forense, sin hash y sin documentar el procedimiento. Además, la exportación no incluyo los registros de anulación de facturas (credit notes) que explicaban las diferencias.

Análisis pericial

Resultado

El Tribunal Económico-Administrativo Regional estimo la reclamación y anulo la liquidacion. El informe pericial desvirtuo la presunción de veracidad del acta demostrando que los datos analizados por la inspección estaban incompletos (faltaban las anulaciones) y que la metodología de extracción no garantizaba la integridad de los datos.

Coste del peritaje: 4.200 euros. Liquidacion anulada: 340.000 euros. ROI: 80:1.

Cuándo la presunción de veracidad NO se aplica

Es importante saber que la presunción tiene excepciones:

1. Hechos no constatados directamente: Si el inspector no estuvo presente y se basa en informes de terceros, no hay presunción
2. Juicios de valor: Las opiniones técnicas del inspector (“medidas insuficientes”) no son hechos constatados
3. Actuaciones sin garantías formales: Si el acta no cumple los requisitos legales (falta de identificación, firma, notificación), pierde la presunción
4. Procedimiento caducado: Si la administración resuelve fuera de plazo, el acto puede ser nulo
5. Derechos fundamentales afectados: En procedimientos sancionadores, la presunción de inocencia matiza la presunción de veracidad

FAQ

P: La presunción de veracidad significa que la administración siempre tiene razón? R: No. La presunción de veracidad es un punto de partida procesal, no una verdad absoluta. Significa que si no aportas prueba en contrario, el acto se mantiene. Pero si aportas prueba suficiente (como un informe pericial informático), la presunción se desvirtua y el tribunal evalua la evidencia de ambas partes. El Tribunal Constitucional (STC 76/1990) dejo claro que la presunción solo cubre hechos directamente constatados, no conclusiones ni juicios de valor.

P: Un informe pericial es suficiente para anular una sanción administrativa? R: Depende del caso. El informe pericial es la prueba más eficaz para desvirtuar conclusiones técnicas del acta de inspección, pero el tribunal valora el conjunto probatorio. Lo que si puedo afirmar es que sin prueba pericial técnica es prácticamente imposible desvirtuar conclusiones técnicas de la administración, porque el tribunal carece de conocimientos para cuestionar por si mismo los aspectos informáticos.

P: Tengo que esperar a recibir la sanción para encargar el peritaje? R: No. De hecho, cuanto antes mejor. En la fase de alegaciones al acta de inspección (antes de la resolución sancionadora), ya puedes aportar un informe pericial. Esto puede evitar que la sanción se dicte. Si la sanción ya esta firme en via administrativa, el peritaje se aporta en el recurso contencioso-administrativo.

P: El perito puede acceder al expediente administrativo para elaborar su informe? R: Si. El interesado tiene derecho a acceder al expediente completo (art. 53.1.a Ley 39/2015). El abogado puede facilitar copia del expediente al perito, incluyendo el acta de inspección, los documentos obrantes y las alegaciones. Además, en el procedimiento contencioso-administrativo, la administración debe remitir el expediente completo al juzgado (art. 48 LJCA).

P: Que pasa si la administración se niega a facilitar acceso a los datos técnicos? R: El tribunal puede requerir a la administración la aportación del expediente completo. Si la administración no aporta datos relevantes, el tribunal puede extraer consecuencias desfavorables para ella (art. 48.7 LJCA). Además, la falta de transparencia debilita la presunción de veracidad porque el administrado no puede ejercer plenamente su derecho de defensa.

Referencias y fuentes

1. Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Art. 39.1 (presunción de validez), art. 77.5 (valor probatorio actas). boe.es
2. STC 76/1990, de 26 de abril (Pleno del Tribunal Constitucional, recurso de inconstitucionalidad 695/1985 y cuestiones acumuladas 889/1988 y 1.960/1988, interpuesto el primero por sesenta Senadores, sobre la Ley 10/1985 de modificación parcial de la Ley General Tributaria; BOE núm. 129 de 30 de mayo de 1990). Fija los límites de la presunción de veracidad de las actas de inspección y su relación con la presunción de inocencia. BOE-T-1990-12127
3. Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa. Arts. 48, 60, 61. boe.es
4. Constitución Española de 1978. Art. 24.2 (presunción de inocencia) y art. 103 (la Administración sirve con objetividad los intereses generales y actúa con sometimiento pleno a la ley y al Derecho).
5. Ley 39/2015, art. 77.5 — la norma que delimita hasta dónde llega el acta: los documentos formalizados por funcionario con condición de autoridad, observados los requisitos legales, «harán prueba de éstos salvo que se acredite lo contrario». Esa última cláusula es la que abre la puerta a la pericial informática de contradicción. Texto consolidado
6. Reglamento (UE) 2016/679 (RGPD), art. 32 (seguridad del tratamiento) y art. 83 (condiciones de imposición de multas administrativas). Texto en EUR-Lex
7. Ley 58/2003, de 17 de diciembre, General Tributaria: art. 142 (facultades de la inspección), art. 143 (documentación de las actuaciones) y art. 144 (valor probatorio de las actas).
8. Jefatura del Estado. Ley Orgánica 3/2018 (LOPDGDD), art. 68 —actuaciones previas de investigación— y Título VIII. BOE-A-2018-16673 — junto con el art. 77.5 de la Ley 39/2015 sobre el valor probatorio de las actas. La AEPD no publica ninguna guía de inspección: el procedimiento está en la norma.
9. Directiva (UE) 2022/2555 (NIS2), arts. 34-36: régimen sancionador para entidades esenciales e importantes. Texto en EUR-Lex
10. ISO/IEC 27037:2012. Directrices para la identificación, recopilación, adquisición y preservación de evidencia digital. Referencia para evaluar la metodología de extracción de la administración.
11. García de Enterria, E. y Fernández, T.-R. “Curso de Derecho Administrativo”. Referencia doctrinal sobre presunción de validez de actos administrativos.

Última actualización: 16 de marzo de 2026 Categoría: Marco Legal (LEG-020) Nivel técnico: Intermedio-Avanzado Relevancia: Alta (principio transversal a todo el contencioso-administrativo)