PS-00103-2024

1/56  Expediente N.º: EXP202403167 (PS/00103/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de enero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. con NIF B82064833 (en adelante, ASNEFEQUIFAX), contra ***EMPRESA.1, con NIF ***NIF.1 (en adelante, ***EMPRESA.1), y, como representante de esta última, contra ***EMPRESA.2, con NIF ***NIF.2 (en adelante, ***EMPRESA.2). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que sus datos personales se encuentran incluidos en ASNEF-EQUIFAX a instancias de ***EMPRESA.1 (***EMPRESA.2 como representante) en relación con una deuda cedida por ***EMPRESA.3, pese a que le concedido el beneficio de exoneración del pasivo insatisfecho. Junto a la notificación se aporta: - Publicación del Registro Público Concursal, dependiente del Ministerio de Presidencia, Justicia y Relaciones con las Cortes, en la que figura que a la parte reclamante se le concedió el beneficio de exoneración del pasivo insatisfecho (en adelante, BEPI) con carácter definitivo el ***FECHA.1. - Informe de ASNEF-EQUIFAX sobre la inclusión de sus datos a instancias de la reclamada de fechas 23 de noviembre de 2022 y 26 de enero de 2023. En este procedimiento se dirime la posible responsabilidad administrativa de ASNEFEQUIFAX en los hechos objeto de reclamación, sin perjuicio de que la responsabilidad atribuible a ***EMPRESA.1 pueda sustanciarse en otro procedimiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), con fecha 30 de marzo de 2023 se dio traslado de dicha reclamación a ***EMPRESA.2, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 4 de abril de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/56 Con fecha 21 de agosto de 2023 se recibe en esta Agencia escrito de respuesta indicando que se encuentra mandatada por ***EMPRESA.1, por lo que no es la acreedora de las mencionadas deudas. De acuerdo con el contrato de prestación de servicios celebrado, ***EMPRESA.2 asume, en lo que respecta a protección de datos, la posición de Data Processor (encargado del tratamiento). ***EMPRESA.3 ha transmitido al cesionario (***EMPRESA.1) aquellos datos personales relativos al crédito que fueran facilitados por el reclamante y que son necesarios para la gestión y exigibilidad del mismo, siendo la base jurídica que legitima esta cesión es la existencia de un interés legítimo basado en una habilitación legal para realizar dicha cesión. A ***EMPRESA.1 como nuevo responsable del tratamiento de sus datos personales tras la cesión del crédito, trata los datos personales con la finalidad de gestionar y controlar el crédito, incluyendo el cobro de la deuda, así como cumplir con obligaciones legales. Asimismo, para el cumplimiento del contrato de prestación de servicios, el cesionario (***EMPRESA.1) ha facilitado a ***EMPRESA.2 los datos personales relativos al crédito, necesarios para su gestión y exigibilidad (entre otros, nombre, apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de los derechos de cobro, número de cuenta bancaria y titular de la misma, su inclusión o no en ficheros de solvencia patrimonial y de crédito, procedimiento judicial en su caso y otros relevantes para la finalidad perseguida). Además, también se informó a la parte reclamante de que, si no pagaba la deuda, sus datos se incluirían en los sistemas de información crediticia y concursal gestionados por las siguientes entidades: ASNEF, según consta en la carta de 23 de marzo de 2021: Una vez incorporados a los ficheros de ASNEF-EQUIFAX, ésta informará al denunciante de la inclusión de sus datos en sus sistemas de información. Esta comunicación es enviada por ASNEF-EQUIFAX y el denunciante no tiene acceso inmediato a la misma. TERCERO: Con fecha 26 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ENTIDADES INVESTIGADAS Durante las actuaciones se han investigado las siguientes entidades: ***EMPRESA.2 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/56 ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. con NIF B82064833 con domicilio en PASEO DE LA CASTELLANA Nº 259 D, 28046 MADRID. ***EMPRESA.1 (…) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN De la reclamación presentada por la parte reclamante y de la documentación presentada junto a la misma, así como de los antecedentes obrantes en el sistema de información y del escrito de contestación al traslado y documentación presentada junto con la misma se desprenden entre otros los siguientes extremos: - - - - Que la parte reclamante fue incluida en el fichero ASNEF en fechas 02/11/2022, 09/01/2023 y 10/04/2023 a instancia de ***EMPRESA.1 en relación con una deuda cedida por ***EMPRESA.3 Que en los dos primeros casos los datos fueron cancelados cautelarmente en fechas 30/11/2022 y 06/02/2023 atendiendo al ejercicio del derecho de supresión/cancelación formulado por la parte reclamante ante la entidad gestora del fichero ASNEF, al no recibir respuesta de la entidad acreedora en relación con el ejercicio de derechos formulado para la parte reclamante. Y en el tercer caso los datos fueron cancelados a instancia de ***EMPRESA.1 el 28/04/2023. Que la cesión de deudas entre el ***EMPRESA.3 (***EMPRESA.3) y ***EMPRESA.1 (…), se produjo, en fecha 25 de febrero de 2021, en virtud de un contrato de compraventa intervenido en póliza en esa misma fecha por el notario de Madrid, B.B.B. con número XX, Sección A de su libro registro de operaciones. Que a raíz de la cesión ***EMPRESA.3 transmitió al Cesionario aquellos datos personales relativos al Crédito que le facilitó la parte reclamada y que son necesarios para la gestión y exigibilidad del mismo. Que para el cumplimiento del contrato de prestación de servicios, el Cesionario ha facilitado a ***EMPRESA.2 sus datos personales relativos al Crédito, necesarios para su gestión y exigibilidad (entre otros, nombre, apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de los derechos de cobro, número de cuenta bancaria y titular de la misma, su inclusión o no en ficheros de solvencia patrimonial y de crédito, procedimiento judicial en su caso y otros relevantes para la finalidad perseguida). Que ***EMPRESA.2 actúa como representante de ***EMPRESA.1. En fecha 18/01/2024 se enviaron requerimientos de información a la parte reclamante y a ASNEF-EQUIFAX y a ***EMPRESA.2. En fecha 25/01/2024 ASNEF-EQUIFAX presenta escrito de contestación al requerimiento de información, en el que realiza, entre otras, las siguientes manifestaciones: - Según la consulta al fichero Auxiliar de Notificaciones en el fichero ASNEFEQUIFAX, consta que la inclusión en el fichero de los datos de A.A.A., con DNI ***NIF.3, con fecha de alta 02/11/2022 y 09/01/2023 a instancias de la entidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/56 - - - - ***EMPRESA.1 se ha notificado a la interesada mediante las comunicaciones de referencia ***REFERENCIA.1 y ***REFERENCIA.2, emitidas el 03/11/2022 y 10/01/2023 respectivamente. Se envían a través de correo postal ordinario a la dirección consignada por el acreedor, esto es, ***DIRECCIÓN.1. Se adjunta al presente escrito la documentación acreditativa correspondiente, incluyendo: o Certificación emitida por ARTEOS DIGITAL, S.L, como entidad sucesora de SERVINFORM, S.A. (antes EMFASIS BILLING & Marketing Services, S.L), prestador del Servicio de Generación, Impresión, y Puesta a Disposición del Servicio de Envíos Postales o Certificaciones de Correos y/o Unipost-, certificando la fecha de realización de la notificación de inclusión de referencia, junto al resto de comunicaciones emitidas en el mismo proceso sin que se produjese incidencia alguna en el mismo que hubiera impedido su ejecución, así como la fecha en la que fue puesta a disposición del servicio de envíos postales. o Copia de la notificación de inclusión. o Albarán y nota de entrega en la oficina de Correos 2812096 y de Hispapost, con su fecha valor de admisión. o Certificación emitida por el prestador del servicio para la grabación y custodia de las devoluciones de las notificaciones, Ilunion CEE Contact Center SA, certificando que la notificación de inclusión de referencia no les consta en depósito y custodia, ni ha sido objeto de su tratamiento por algún motivo de devolución, con fecha 22/01/2024. Actualmente no constan datos dados de alta en nuestros ficheros ASNEF y ASNEF EMPRESAS asociados a A.A.A., con DNI ***NIF.3, por parte de ninguna entidad acreedora. Consultado nuestro fichero Auxiliar de Operaciones Canceladas en el fichero ASNEF, consta que los datos de A.A.A., dados de alta en su momento por ***EMPRESA.1 con fecha 02/11/2022, se cancelaron con fecha 30/11/2022, siendo el motivo de la baja “C. GDPR”, lo que implica que se dan de baja durante la gestión de ejercicios de derecho en nuestro Servicio de Atención al Consumidor (SAC) al no recibir respuesta por parte del acreedor durante el plazo establecido. La inclusión con fecha de alta 09/01/2023 también fue cancelada de forma cautelar por nuestra parte, con fecha 06/02/2023, por los mismos motivos que ocasionaron la baja de la primera anotación. La consumidora ejerció nuevamente su derecho de cancelación en nuestros ficheros con fecha 26/01/2023, y dado que ***EMPRESA.1 no se manifestó sobre la confirmación de datos que se le solicitó en ese momento, se procedió a dar de baja los datos. Consta además una tercera inclusión de los datos de la parte reclamante por parte de ***EMPRESA.1. Los datos se dieron de alta por la misma operación el 10/04/2023 y se cancelaron el 28/04/2023, en este caso de forma directa por la propia entidad acreedora. Aporta pantallazos referentes a las inclusiones y bajas en el fichero ASNEF. Por otro lado, la parte reclamante presentó en fecha 30/01/2024 escrito de contestación al requerimiento en el que entre otros aspectos manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/56 - - Que no siendo posible obtener del registro público concursal la fecha de la inscripción, si es posible acreditar que el BEPI estaba inscrito en fecha 21 de noviembre de 2022, ya que esta es la fecha de emisión del listado de publicaciones que adjunta. Que la primera inscripción en el fichero ASNEF fue el 2 de noviembre y que en fecha 9 de enero de 2023 se vuelve a inscribir la deuda, teniendo ya pleno conocimiento de la existencia de la exoneración. Por su parte ***EMPRESA.2, presentó escrito de contestación al requerimiento de información en fecha 01/02/2024 en el que manifiesta entre otros lo siguiente: - - - - - Que el 23 de marzo de 2021 se envió al demandante una notificación de la cesión de créditos en la que se indicaba lo siguiente: • la cesión de créditos que tuvo lugar el 25 de febrero de 2021 • el acreedor actual • el número de contrato en cuestión • el importe adeudado en esa fecha • los detalles del pago • información sobre la protección de datos. Además de la carta en la que se anunciaba la cesión de créditos, el 7 de julio de 2021 se envió un correo electrónico en el que se solicitaba el pago (Se incorpora un pantallazo de un correo dirigido a la parte reclamante, pero en el que no figura ni la fecha, ni el correo electrónico al que se envía, ni quién lo envía). Que en fecha 7 de julio de 2021 recibió un correo de la parte reclamante en el que les comunica que “Como ya les he indicado en varias ocasiones a ***EMPRESA.3 me encuentro en concurso de acreedores de persona física (ley segunda oportunidad). Creo que usted me llamaron hace unos meses y les indiqué la situación, les indique que podían personarse en el procedimiento que tenía plazo hasta el día 17 de marzo de 2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso. Un saludo”. Que esta fue la primera comunicación enviada por el demandante informando de la existencia de un concurso de acreedores (en concurso inicial); Que después, el denunciante enviaría lo BEPI, lo que no ocurrió; Con lo BEPI, se cancelarían los datos en ASNEF y se eliminaría al demandante del fichero de retrasos; Por tanto, estamos a la espera del envió del BEPI para retirar al denunciante de ASNEF ya que la concesión provisional del beneficio de exoneración de la responsabilidad insatisfecha a la denunciante no constituye la exclusión de sus datos del fichero ASNEF. Que ***EMPRESA.2 sólo se enteró de la existencia de BEPI en17 de abril de 2023; y como resultado, el 28 de abril se eliminaron todos los datos del fichero ASNEF/EQUIFAX. De los escritos de contestación a los requerimientos formulados queda acreditado: - Que en el Registro Público Concursal figuran inscritos los datos del BEPI definitivo de la parte reclamada, al menos, desde el 21/11/2022, ya que esta es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/56 - - - la fecha de emisión del listado de publicaciones adjuntado por la parte reclamante. Que la primera inscripción en el fichero ASNEF-EQUIFAX fue el 02/11/2022 que en fechas 09/01/2023 y 10/04/2023 se vuelve a inscribir. Que las inscripciones se practican a instancia de ***EMPRESA.1. Que en los dos primeros casos los datos fueron cancelados cautelarmente en fechas 30/11/2022 y 06/02/2023 atendiendo al ejercicio del derecho de supresión/cancelación formulado por la parte reclamante ante la entidad gestora del fichero ASNEF, al no recibir respuesta de la entidad acreedora, ***EMPRESA.1, en relación con el ejercicio de derechos formulado para la parte reclamante. Y en el tercer caso los datos fueron cancelados a instancia de ***EMPRESA.1, el 28/04/2023. Que ASNEF-EQUIFAX tuvo conocimiento de la inscripción definitiva del BEPI de la parte reclamante en el Registro Público Concursal desde la fecha en que ésta presentó el primer escrito de cancelación de datos el 21/11/2022. Que ASNEF-EQUIFAX cuando tuvo conocimiento de los escritos de cancelación presentados por la parte reclamante comunicó a ***EMPRESA.1, el ejercicio de los derechos de cancelación solicitados por la parte reclamante y que fue cuando no obtuvo respuesta de ***EMPRESA.1 cuando procedió a la cancelación solicitada por la parte reclamante. Que ASNEF-EQUIFAX comunicó a la parte reclamante su inclusión en el fichero ASNEF, cada vez que ***EMPRESA.1 solicitó su inclusión. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. es una mediana empresa constituida en el año 1998, y con un volumen de negocios de 23.879.231 euros en el año 2022. SEXTO: Con fecha 1 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ASNEF-EQUIFAX, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, y por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a ASNEF-EQUIFAX conforme a las normas establecidas en la LPACAP, fue recogido en fecha 2 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 3 de abril de 2024, ASNEF-EQUIFAX presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones y que se le facilite copia del expediente. OCTAVO: Con fecha 4 de abril de 2024, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP y que se le remita a ASNEF-EQUIFAX copia del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/56 El citado acuerdo se notificó a ASNEF-EQUIFAX en fecha 4 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. NOVENO: Con fecha 22 de abril de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de ASNEF-EQUIFAX en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: 1) DE LA PRESUNTA INFRACCIÓN DEL ARTÍCULO 17 DEL RGPD POR PARTE DE ASNEF- EQUIFAX. - Sobre la documentación facilitada por la parte reclamante: La documentación aportada por la parte reclamante no ofrece el suficiente nivel de certidumbre como para que ASNEF- EQUIFAX pudiera razonablemente tomar una decisión respecto a la necesidad de cancelar definitivamente sus datos. - En aplicación de lo dispuesto en el artículo 44.3

1. a)del RD 1720/2007, norma que se encuentra en vigor, procedía la rectificación o cancelación cautelar de los datos. - La apertura de este procedimiento sancionador a mi representada por consultar a la entidad acreedora y dar de baja cautelar los datos del reclamante cuando la documental facilitada por el mismo no es prueba suficiente, se separa no solo del procedimiento legalmente establecido, sino que supone un cambio de criterio de la AEPD. - Incluso si se hubiera presentado un testimonio de la resolución judicial en la que se procede a exonerar de sus deudas a la parte reclamante, tal y como prevé la Ley Concursal mencionada, la decisión de cancelar definitivamente los datos en el Fichero por esta causa no parece la decisión más ajustada a Derecho, conforme a lo dispuesto en el art. 492 ter.2 de la Ley Concursal - El análisis respecto a la necesidad u oportunidad de cancelar los datos de la parte reclamante corresponde al Acreedor. - Acerca del artículo 26.3 del RGPD, según ASNEF-EQUIFAX, no tiene relación con la asignación de responsabilidades derivadas de la infracción de la normativa de protección de datos como consecuencia de la atención inadecuada de dicho derecho. 2) DE LA PRESUNTA INFRACCIÓN DEL ARTÍCULO 6.1 DEL RGPD POR PARTE DE ASNEF-EFX - ASNEF-EQUIFAX señala que los datos de la parte reclamante se incluyeron en el fichero a instancias del acreedor. La propia AEPD reconoce en su página web 6 que “no es competente para dirimir sobre la cuantía o veracidad de una deuda.” Según el artículo 20.2 de la LOPDGDD, aun cuando ASNEF-EQUIFAX sea corresponsable de los tratamientos, no tiene la responsabilidad de garantizar que concurra una base legitimadora del tratamiento, por muy claro que el caso puede parecer a los ojos de la AEPD, y no cuenta, en la mayoría de las ocasiones, con la información ni los medios oportunos para tomar dicha decisión. Sólo de forma excepcional, cuando la información/ documentación facilitada por el interesado sea irrefutable, permite a ASNEF-EQUIFAX adoptar una decisión por cuenta del acreedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/56 3) DE LA AUSENCIA DE CULPABILIDAD DE ASNEF- EQUIFAX. - Se trataría de infracciones que no serían sancionables, en la medida en que su actuación no puede considerarse en ningún caso dolosa ni negligente. - No existe ningún elemento, deducible del comportamiento de ASNEF- EQUIFAX, que invite a pensar que su comportamiento en relación con la parte reclamante tenga el propósito de infringir deliberadamente la normativa de protección de datos. 4) DE LA DESPROPORCIÓN MANIFIESTA DE LAS SANCIONES PREVISTAS EN FUNCIÓN DE LAS CONDUCTAS SUJETAS A REPROCHE SANCIONADOR QUE SE IMPUTAN A ASNEF- EQUIFAX. - El reproche sancionador que se propone por la AEPD resulta, a juicio de esta parte, totalmente desproporcionado. - Existencia de concurso medial. - La conducta de ASNEF- EQUIFAX no amerita la aplicación de agravantes:
2. a)Estamos ante un hecho aislado en el que, a pesar de que ASNEF-EFX ha adoptado las medidas pertinentes
3. b)ASNEF- EQUIFAX actuó con la máxima cautela,
4. c)Los datos se han mantenido en el fichero por períodos breves de tiempo y no ha generado daños a la parte reclamante, al menos no se han acreditado en ningún caso.
5. d)Las infracciones cometidas son muy superiores a las que la AEPD ha venido imponiendo hasta la fecha por conductas análogas DÉCIMO: Con fecha 7 de febrero de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancione a ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDI-TO, S.L., con NIF B82064833, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa administrativa de 100.000 € (cien mil euros), y por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, con una multa administrativa de 100.000 € (cien mil euros). Esta propuesta de resolución, que se notificó a ASNEF-EQUIFAX conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 7 de febrero de 2025, como consta en el acuse de recibo que obra en el expediente. UNDÉCIMO: Con fecha 14 de febrero de 2025, ASNEF- EQUIFAX presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/56 DUODÉCIMO: Con fecha 18 de febrero de 2025, el órgano instructor del procedimiento acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notifica a ASNEF- EQUIFAX en 18 de febrero de 2025, como consta en el acuse de recibo que obra en el expediente. DÉCIMO TERCERO: Con fecha 27 de febrero de 2025, se recibe en esta Agencia, en tiempo y forma, escrito de ASNEF- EQUIFAX en el que aduce las siguientes alegaciones a la propuesta de resolución: 1.- Ausencia de daños para la parte reclamante ya que sus datos personales nunca llegaron a estar visibles. 2.- La obligación de atender la solicitud de supresión por ASNEF-EQUIFAX es excepcional, con carácter general corresponde al acreedor que inscribe la deuda. 3.- No corresponde la cancelación de la deuda en el supuesto de que un interesado tenga reconocido el beneficio de exoneración de pasivo insatisfecho. 4.- Inexistencia de negligencia en la atención del derecho de supresión 5.- Falta de proporcionalidad de la sanción impuesta al tratarse de un caso excepcional. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 7 de julio de 2021, la parte reclamante envió un correo electrónico al correo de la filial de ***EMPRESA.1, ***EMAIL.1, con el asunto Expediente(
6. s)n.º(
7. s)***REFERENCIA.3, informando de la existencia de un procedimiento de insolvencia y de que estaba a la espera del beneficio de exoneración del pasivo insatisfecho definitivo (página 66 del expediente): “Buenos días, Como ya les he indicado en varias ocasiones a ***EMPRESA.3, me encuentro en concurso de acreedores de persona física (ley segunda oportunidad). Creo que usted me llamaron hace unos meses y les indiqué la situación, les indique que podían personarse en el procedimiento que tenía plazo hasta el día 17 de marzo de 2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso. Un saludo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/56 SEGUNDO Con fecha 2 de noviembre de 2021, en el procedimiento número ***REFERENCIA.4, se dictó resolución de reconocimiento con carácter definitivo de la exoneración del pasivo insatisfecho (Art 178 bis LC) a la parte reclamante, según consta en la publicación de la Sección I – Edictos Concursales, del Registro Público Concursal, dependiente del Ministerio de Presidencia, Justicia y Relaciones con las Cortes (página 7 del expediente). TERCERO: Con fecha 2 de noviembre de 2022, la empresa ***EMPRESA.1 incluyó una deuda de la parte reclamante de ***CANTIDAD.1 €, por el producto “(...)”, en el sistema de información crediticia ASNEF. Esta deuda quedó identificada con el código de operación ***REFERENCIA.3 (página 102 del expediente). CUARTO: Con fecha 3 de noviembre de 2022, ASNEF-EQUIFAX remitió a la parte reclamante la notificación de la inclusión de sus datos en el sistema de información crediticia. La generación, impresión, y puesta en el servicio de envíos postales por la empresa contratista se produjo el día 4 de noviembre de 2022 (páginas 106 a 108 del expediente). QUINTO: Con fecha 21 de noviembre de 2022 (página 121 del expediente), en respuesta a la comunicación de ASNEF-EQUIFAX, la parte reclamante le dirigió un escrito contestando lo siguiente: “PRIMERO. INCLUSIÓN DE DATOS EN EL FICHERO ASNEF Que habiendo sido informado por parte de los responsables del fichero mediante documento expedido en fecha 3 de noviembre de 2022 de los datos incorporados al fichero, se ha solicitado la inclusión por parte de ***EMPRESA.1 por importe impagado de ***CANTIDAD.1 euros. SEGUNDO. DE LA INEXISTENCIA DE DEUDA. CONCURSO DE ACREEDORES. BENEFICIO DE EXONERACIÓN DEL PASIVO INSATISFECHO. PUBLICIDAD DEL REGISTRO PÚBLICO CONCURSAL. Pese a las múltiples comunicaciones efectuadas a la acreedora relativas a la situación concursal, se ha solicitado de forma indebida la inclusión de los datos de mi representada. En efecto, A.A.A. fue exonerada de cualquier deuda existente en fecha 2/11/2021 con la declaración del BEPI, tal y como consta en el registro público concursal, de cuya copia de la sección I de Edictos concursales se adjunta copia como documento nº1.” A este escrito, entre otra documentación, la parte reclamante remitió copia de la publicación en la Sección I – Edictos Concursales, del Registro Público Concursal, dependiente del Ministerio de Presidencia, Justicia y Relaciones con las Cortes, de la resolución de reconocimiento con carácter definitivo de la exoneración del pasivo insatisfecho (Art 178 bis LC). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/56 SEXTO: Con fecha 30 de noviembre de 2022, ASNEF-EQUIFAX procedió a la baja cautelar de la inscripción de la deuda referida anteriormente, identificada con el código ***REFERENCIA.3, remitiendo a ***EMPRESA.1 la siguiente comunicación (páginas 133 a 135 del expediente): “En relación con el Expediente relativo a A.A.A. con identificador ***NIF.3 que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 23 de noviembre de 2022, le comunicamos que ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder. […]” En esa misma fecha, ASNEF-EQUIFAX remitió la siguiente comunicación a la parte reclamante (páginas 143 a 146 del expediente): “De acuerdo con su solicitud de CANCELACIÓN de sus datos, registrada en nuestras oficinas con fecha 21 de noviembre de 2022, le comunicamos que tras las comprobaciones pertinentes, se ha procedido a la Baja cautelar con la/s entidad/es ***EMPRESA.1 en el Fichero ASNEF de los datos asociados al identificador: ***NIF.3.Adjunto le remitimos impresión de pantallas en la que consta expresamente la no existencia de datos. Asimismo le informamos que la información que adjuntamos como Histórico de Consultas, en cumplimiento de la normativa vigente, se refiere a las entidades que han consultado sus datos en los últimos seis meses, en el caso de que tales consultas se hayan producido. Los datos que incluyen las entidades en el fichero ASNEF se utilizan con la finalidad de ayudar a las entidades que consultan y aportan información al mismo a prevenir la morosidad y analizar la solvencia. Los datos incluidos en el fichero podrán ser tratados de manera anonimizada para realizar análisis estadísticos. Los datos incluidos serán cancelados o dados de baja una vez que se haya realizado el pago de las deudas y, en todo caso, a los 5 años desde la fecha de cada uno los vencimientos impagados incluidos en el fichero ASNEF.” SÉPTIMO: Con fecha 9 de enero de 2023, la empresa ***EMPRESA.1 incluyó una deuda de la parte reclamante de ***CANTIDAD.2 €, por el producto “(...)” en el sistema de información crediticia ASNEF. Esta deuda quedó identificada con el código de operación ***REFERENCIA.3 (página 103 del expediente). OCTAVO: Con fecha 10 de enero de 2023, ASNEF-EQUIFAX remitió a la parte reclamante la notificación de la inclusión de sus datos en el sistema de información crediticia ASNEF. La generación, impresión, y puesta en el servicio de envíos postales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/56 por la empresa contratista se produjo el día 12 de enero de 2023 (páginas 111 a 115 del expediente). NOVENO: Con fecha 26 de enero de 2023 (página 145 del expediente), en respuesta a la comunicación de ASNEF-EQUIFAX, la parte reclamante le dirigió un escrito contestando lo siguiente: “Estimados señores, Se envía cancelación de datos de la perjudicada. Es la segunda vez que ustedes inscriben en el fichero la misma deuda pese a haber acreditado documentalmente la inexistencia de la misma con la resolución del registro público concursal, como se hace de nuevo. En virtud de lo anterior les requiero formalmente para que cesen en dicha actuación, bajo apercibimiento de instar procedimiento judicial por vulneración del Derecho al Honor, así como denuncia ante la AEPD.” DÉCIMO: Con fecha 6 de febrero de 2023, ASNEF-EQUIFAX procedió a la baja cautelar de la inscripción de la deuda referida anteriormente, identificada con el código ***REFERENCIA.3, remitiendo a ***EMPRESA.1 la siguiente comunicación (páginas 156 a 158 del expediente): “En relación con el Expediente relativo a A.A.A. con identificador ***NIF.3 que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 30 de enero de 2023, le comunicamos que ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder. Atentamente” En esa misma fecha, ASNEF-EQUIFAX remitió la siguiente comunicación a la parte reclamante (páginas 159 a 162 del expediente): “De acuerdo con su solicitud de CANCELACIÓN de sus datos, registrada en nuestras oficinas con fecha 26 de enero de 2023, le comunicamos que tras las comprobaciones pertinentes, se ha procedido a la Baja cautelar con la/s entidad/es ***EMPRESA.1 en el Fichero ASNEF de los datos asociados al identificador: ***NIF.3. Adjunto le remitimos impresión de pantallas en la que consta expresamente la no existencia de datos. Asimismo le informamos que la información que adjuntamos como Histórico de Consultas, en cumplimiento de la normativa vigente, se refiere a las entidades que han consultado sus datos en los últimos seis meses, en el caso de que tales consultas se hayan producido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/56 Los datos que incluyen las entidades en el fichero ASNEF se utilizan con la finalidad de ayudar a las entidades que consultan y aportan información al mismo a prevenir la morosidad y analizar la solvencia. Los datos incluidos en el fichero podrán ser tratados de manera anonimizada para realizar análisis estadísticos. Los datos incluidos serán cancelados o dados de baja una vez que se haya realizado el pago de las deudas y, en todo caso, a los 5 años desde la fecha de cada uno los vencimientos impagados incluidos en el fichero ASNEF. […]” UNDÉCIMO: Con fecha 10 de abril de 2023, la empresa ***EMPRESA.1 incluyó una deuda de la parte reclamante de ***CANTIDAD.3 €, por el producto “(...)” en el sistema de información crediticia ASNEF. Esta deuda quedó identificada con el código de operación ***REFERENCIA.3 (página 104 del expediente) DUODÉCIMO: Con fecha 28 de abril de 2023, la inscripción de los datos de la parte reclamante a que se refiere en Hecho Probado anterior, fueron suprimidos a instancias de la empresa ***EMPRESA.1 (página 75 del expediente). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ASNEFEQUIFAX, como corresponsable del tratamiento de un sistema de información crediticia, realiza el registro, conservación y la supresión, entre otros, de los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/56 datos personales de personas físicas: nombre, apellidos y NIF, entre otros tratamientos. ASNEF-EQUIFAX es la entidad que mantiene el sistema de información crediticia en su condición de corresponsable del tratamiento, la cual le es atribuida en el artículo 20.2 de la LOPDGDD, dado que, juntamente con la entidad acreedora, es quien determina los fines y medios del tratamiento, además, siéndole de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679 respecto a los corresponsables del tratamiento. El artículo 492 ter del Real Decreto Legislativo 1/2020, de 5 de mayo, por el que se aprueba el texto refundido de la Ley Concursal (en adelante Ley Concursal), establece los efectos de la exoneración del pasivo insatisfecho respecto de sistemas de información crediticia: “1. La resolución judicial que apruebe la exoneración mediante liquidación de la masa activa o la exoneración definitiva en caso de plan de pagos incorporará mandamiento a los acreedores afectados para que comuniquen la exoneración a los sistemas de información crediticia a los que previamente hubieran informado del impago o mora de deuda exonerada para la debida actualización de sus registros. 2. El deudor podrá recabar testimonio de la resolución para requerir directamente a los sistemas de información crediticia la actualización de sus registros para dejar constancia de la exoneración.” Por su parte, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, mientras que en el artículo 17 del RGPD regula el derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan. III Contestación a las alegaciones aducidas al acuerdo de inicio y a la propuesta de resolución A) Con relación a las alegaciones aducidas por ASNEF- EQUIFAX al acuerdo de inicio, se procede a dar respuesta a las mismas según el orden en que se exponen en su escrito: “PRIMERA.- LAS PRESUNTAS INFRACCIONES DE PROTECCIÓN DE DATOS POR PARTE DE ASNEF-EFX.” LA NORMATIVA DE En esta alegación ASNEF-EQUIFAX describe las presuntas infracciones imputadas en el acuerdo de inicio, sobre la que cabe efectuar la siguiente precisión: no fueron dos sino tres las inscripciones de la deuda, en las fechas 02/11/2022, 09/01/2023 y 10/04/2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/56 “SEGUNDA.- DE LA PRESUNTA INFRACCIÓN DEL ARTÍCULO 17 DEL RGPD POR PARTE DE ASNEF-EQUIFAX.” “2.1. Conducta sujeta a reproche sancionador conforme al AIPS” En este subapartado, ASNEF-EQUIFAX se limita a citar las inscripciones de los datos de la parte reclamante en el fichero de morosos de titularidad de dicha empresa, así como las dos bajas cautelares llevadas a cabo a petición de la parte reclamante, y que la supresión de la tercera inscripción se produjo por la propia empresa acreedora. Por último, se reproduce un párrafo del Fundamento de Derecho III del acuerdo de inicio del presente procedimiento, con un breve resumen realizado por ASNEFEQUIFAX de los motivos por los que se le imputan las infracciones. “2.2. Sobre la documentación facilitada por la parte reclamante” Sobre la documentación facilitada por la parte reclamante, ASNEF-EQUIFAX argumenta que la información proporcionada junto con la solicitud de supresión remitida, consistente en una impresión de pantalla del Registro Público Concursal, no es suficiente para proceder a la supresión definitiva de los datos relativos a la deuda. Alegan que dicha documentación carece de valor probatorio suficiente y que debió ser considerada con cautela para evitar posibles fraudes, amparándose en el artículo 492 ter de la Ley Concursal. Además, un número no desdeñable de solicitudes de supresión de datos al amparo de la llamada Ley de Segunda Oportunidad se prueba fraudulento y, por tanto, ASNEF-EQUIFAX debe ser especialmente cautelosa a la hora de valorar la documentación aportada por el solicitante. A continuación, se expondrán los motivos por los cuales estas alegaciones deben ser desestimadas, considerando la normativa aplicable y la documentación proporcionada. 1. Valor probatorio del Registro Público Concursal La información proporcionada por la parte reclamante relativa a la inexigibilidad de la deuda, a lo que ASNEF-EQUIFAX denomina como una “simple impresión de pantalla de la información”, no es sino una consulta realizada en el sitio web https://www.publicidadconcursal.es/. El Registro Público Concursal, regulado por el Real Decreto 892/2013, tiene como objetivo proporcionar publicidad sobre los procedimientos concursales, incluyendo la exoneración de deudas. El hecho de que la web del Registro Público Concursal indique que "no puede garantizar la integridad de la información publicada" no resta valor a los datos contenidos en él, ya que esta advertencia es una medida de precaución legal estándar, común en bases de datos públicas. La información obtenida de este registro se deriva de fuentes oficiales del Ministerio de Justicia y del Colegio de Registradores de la Propiedad y Mercantiles, lo que le otorga un carácter oficial y, por tanto, suficiente para servir como evidencia inicial de la exoneración de la deuda, especialmente en ausencia de objeción o contraprueba por parte de la empresa acreedora. No existen motivos para desestimar dicha información como prueba preliminar sobre la inexigibilidad de la deuda. 2. Obligación de diligencia de ASNEF-EQUIFAX C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/56 ASNEF-EQUIFAX debía actuar con diligencia en la verificación de la situación de la deuda, especialmente ante la inactividad del acreedor. El hecho de que el acreedor no haya respondido en tiempo y forma a la solicitud de la parte reclamante para la supresión de los datos implica que ASNEF-EQUIFAX tenía la obligación de realizar las gestiones oportunas para verificar la exoneración. Esta falta de acción es contraria al principio de responsabilidad proactiva recogido en el artículo 24 del RGPD, que exige a los corresponsables del tratamiento tomar las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el RGPD, entre otras cuestiones, la atención de los derechos de los interesados. ASNEF-EQUIFAX no puede simplemente delegar en el acreedor la toma de decisiones cuando se trata de derechos básicos como el derecho de supresión de datos personales. Si bien la Ley Concursal requiere una confirmación de la exoneración de la deuda mediante un testimonio judicial, ASNEF-EQUIFAX conocía la inscripción de la declaración de concurso y que se había concedido al reclamante la exoneración de pasivo insatisfecho. Si ASNEF-EQUIFAX albergaba dudas sobre lo anterior pudo solicitar documentación adicional a la parte reclamante, pero no lo hizo. También pudo suspender la solicitud de alta en el sistema hasta que el acreedor justificara la existencia de la deuda. Esto demuestra una falta de proactividad y diligencia en la protección de los derechos de la parte reclamante. 3. El umbral de prueba exigido para la supresión de datos ASNEF-EQUIFAX sostiene que la documentación proporcionada no alcanzaba el umbral de veracidad requerido, basándose en el artículo 492 ter de la Ley Concursal. Sin embargo, la jurisprudencia del Tribunal Supremo ha sido clara en que las empresas deben actuar con flexibilidad y de buena fe cuando se trata de gestionar derechos fundamentales como el derecho a la protección de datos personales. La STS 456/2024 reitera que la falta de respuesta por parte del acreedor no exime a la empresa de su responsabilidad de verificar de manera razonable la situación de la deuda. En este sentido, si ASNEF-EQUIFAX dudaba de la autenticidad de la documentación aportada por el reclamante pudo solicitar una mayor aclaración o la aportación de documentos adicionales, como el testimonio judicial. Hay que tener en cuenta que el acreedor no aportó prueba en contrario. 4. Riesgo de fraude y presunción de buena fe ASNEF-EQUIFAX alega que debe actuar con cautela para evitar situaciones de fraude en las solicitudes de supresión bajo la Ley de Segunda Oportunidad. Si bien es cierto que se deben prevenir situaciones fraudulentas, esta cautela no puede llevar a una presunción de mala fe sobre las reclamaciones presentadas por los deudores y mucho menos a provocar una inclusión de datos en los sistemas sin que medien las debidas garantías de exactitud. El RGPD y la Ley Concursal exigen que las solicitudes de supresión de datos sean tratadas de manera rápida y eficaz, especialmente cuando los datos pueden causar un perjuicio al interesado. La mera posibilidad de fraude no es suficiente para justificar la inacción, especialmente si no se aportan pruebas de la existencia de indicios razonables de fraude en este caso concreto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/56 5. Proporcionalidad en la respuesta de ASNEF-EQUIFAX El hecho de que ASNEF-EQUIFAX no haya solicitado documentación adicional para verificar la exoneración, como el testimonio judicial que menciona el artículo 492 ter y se haya limitado a proceder a la inclusión solicitada por el acreedor, que como se ha dicho no hizo nada para aportar prueba en contrario, revela una falta de diligencia y no puede justificarse bajo el argumento de evitar fraudes. Si la empresa consideraba que la impresión de pantalla del Registro Público Concursal no era suficiente, pudo realizar las comprobaciones necesarias consultando el Registro Público Concursal, antes de dar de alta los datos de la parte reclamante en el sistema de información crediticia. En definitiva, la documentación proporcionada por la parte reclamante, consistente en una impresión de pantalla del Registro Público Concursal, era suficiente para que ASNEF-EQUIFAX conociera la exoneración de la deuda o al menos para que iniciara un proceso de verificación más exhaustivo, solicitando documentos adicionales o contrastando la información con el acreedor, si lo consideraba necesario. Al no hacerlo, la empresa incumplió su obligación de diligencia en la protección de los derechos de la parte reclamante. La información del Registro Público Concursal es oficial y no puede ser descartada sin más, ya que constituye un indicio suficiente para justificar la exoneración de la deuda. La inacción de ASNEF-EQUIFAX y su decisión de dar de nuevo de alta los datos sin dar ninguna explicación al interesado tras el ejercicio de su derecho de supresión, vulnera tal derecho que exige que se ofrezca al interesado una respuesta adecuada. 6. Aplicación del artículo 44.3.
8. a)del RD 1720/2007 Según ASNEF-EQUIFAX, en aplicación de lo dispuesto en el artículo 44.3.
9. a)del RD 1720/2007, norma que se encuentra en vigor, procedía la rectificación o cancelación cautelar de los datos. Cabe señalar que ASNEF-EQUIFAX hace referencia en su escrito a una STS para recordar la vigencia del RD 1720/2007, en aquello en la medida en que no ha sido expresamente modificada, sustituida o derogada por el RGPD ni por la propia LOPDGDD. No obstante, el párrafo de la Sentencia transcrito alude al artículo 38.1
10. c)de la citada norma reglamentaria, no a su artículo 44.3.a). El encaje de este artículo con la normativa actual en materia de protección de datos ya fue objeto de interpretación por el Tribunal Supremo en la Sentencia núm. 2040/2014, a la que esta Agencia aludió en el acuerdo de inicio del presente procedimiento, en la cual se venía a decir que “esta previsión reglamentaria no puede interpretarse de modo que cuando el interesado haya ejercitado sus derechos de rectificación o cancelación de forma motivada y fundamentada, justificando ante el titular del fichero común el incumplimiento de los requisitos de calidad de los datos, este no pueda y no deba rectificar o cancelar los datos no pertinentes, inexactos o incompletos a no ser que así se lo indique el acreedor que le ha suministrado los datos. Esta interpretación supondría una restricción injustificada del derecho a la protección de datos del interesado y es por tanto inatendible. Ha de tenerse en cuenta que el responsable del fichero común es quien comunica al afectado que sus datos han sido incluidos en el fichero, notificándole una referencia de tales datos e informándole de su derecho a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/56 recabar información de la totalidad de los datos, por lo que será frecuente que el derecho de rectificación o cancelación se ejercite frente al responsable del fichero común, que es el que constituye el "registro de morosos" y tiene una mayor potencialidad ofensiva pues puede ser consultado por terceros.” Además, esta doctrina se reitera en la STS núm. 117/2024 en cuyo punto 2 del Fundamento de Derecho Segundo se dice lo siguiente: “De acuerdo con esta doctrina, y en lo que aquí es relevante, cuando el afectado ejercita el derecho de rectificación o cancelación ante el responsable del registro de morosos, si la reclamación se realiza de manera documentada y justificada, el responsable de este fichero común no puede limitarse a trasladar la solicitud al acreedor, para que este decida, y seguir acríticamente sus indicaciones, sino que ha de satisfacer este derecho en los términos previstos en la normativa sobre protección de datos. No es aceptable la tesis de que el responsable del fichero común carece de disponibilidad sobre los datos registrados y, por tanto, de responsabilidad. El responsable del fichero común debe examinar el fundamento del derecho de cancelación o rectificación ejercitado por el afectado y, en caso de que ese fundamento sea razonable y adecuado (por ejemplo, porque aporte la documentación de la que resulte que la deuda fue pagada), poner fin al tratamiento de los datos controvertidos.” Por tanto, tras la aplicación del RGPD y del artículo 20 de la LOPDGDD, en base a la disposición derogatoria de la LOPDGDD y a la citada doctrina jurisprudencial, no puede considerarse vigente el citado artículo 44.3.
11. a)del RLOPD. 7. Separación del procedimiento legalmente establecido y cambio de criterio de la AEPD ASNEF EQUIFAX sostiene que la apertura de este procedimiento sancionador a su representada por consultar a la entidad acreedora y dar de baja cautelar los datos de la parte reclamante cuando la documental facilitada por el mismo no es prueba suficiente, se separa no solo del procedimiento legalmente establecido, sino que supone un cambio de criterio de la AEPD. En respuesta a este argumento, cabe señalar que esta Agencia no mantiene contactos con empresas acerca de los criterios a los que deben ajustarse su actuación en materia de protección de datos. En cambio, ASNEF-EQUIFAX era conocedora de la interpretación realizada por el Tribunal Supremo en la sentencia núm. 2040/2014, dictada por la Sala Primera el 21 de mayo de 2014, ya que fueron parte en el proceso judicial. Asimismo, el RGPD y la LOPDGDD son de plena aplicación desde el año 2018, en el RGPD se contempla el régimen de corresponsabilidad (art. 26) en el que se fundamenta el acuerdo de inicio, respecto a la atención de las solicitudes de derechos, y la LOPDGDD venía a establecer la corresponsabilidad, la presunción de licitud (art. 20) de aquellos tratamientos realizados por sistemas de información crediticia cuando se cumplen determinados requisitos y a derogar el RLOPD en cuanto se opusiera a dicha normativa; por lo que ASNEF-EQUIFAX debía saber que su actuación tenía que sujetarse a lo dispuesto en el nuevo régimen normativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/56 No se trata, en consecuencia, de ningún cambio de criterio de la AEPD, sino de aplicar las disposiciones y el régimen de garantías que las normas vigentes establecen. “Sobre si es procedente o no la cancelación de los datos en los casos de deudores a los que se exonera del pago de sus deudas en aplicación de la Ley de Segunda Oportunidad.” Mantiene ASNEF-EQUIFAX que, incluso si se hubiera presentado un testimonio de la resolución judicial en la que se procede a exonerar de sus deudas a la parte reclamante, tal y como prevé la Ley Concursal mencionada, la decisión de suprimir definitivamente los datos en el fichero por esta causa no parece la decisión más ajustada a Derecho, conforme a lo dispuesto en el art. 492 ter.2 de la Ley Concursal En respuesta a este argumento, cabe señalar que en el acuerdo de inicio del presente procedimiento esta Agencia ya fundamentó cual fue la conducta infractora de ASNEFEQUIFAX en respuesta a la comunicación realizada por la parte reclamante. La propia ASNEF-EQUIFAX estaba obligada a resolver la solicitud de ejercicio de derechos realizada por la parte reclamante ante el silencio del acreedor, procediendo a la supresión o a dar respuesta motivada al interesado. el artículo 20.1.
12. b)de la LOPDGGD sólo considera lícito el tratamiento de datos de deudas que sean “exigibles y conforme al artículo 490 de la Ley Concursal la exoneración del pasivo insatisfecho priva a los acreedores de acción para reclamar su cobro. Asimismo, la letra
13. d)del artículo 20.1 de la LOPDGDD establece como requisito añadido para la licitud del tratamiento “que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento”, lo que contradice la idea expuesta por ASNEF-EQUIFAX de que “la decisión más ajustada a Derecho habría sido mantener los datos”. A mayor abundamiento, ASNEF-EQUIFAX se contradice en su interpretación acerca del art. 492.ter.2 de la Ley Concursal, ya que, por un lado, considera que “el legislador no prevé para el supuesto de exoneración de las deudas la cancelación de los datos”, es decir, no sería aplicable la supresión a aquellas deudas no exigibles por la concesión del beneficio de exoneración del pasivo insatisfecho, y, por otra parte, declara que “ siendo ASNEF-EFX…un prestador de servicios que solamente está habilitado a cancelar los datos del deudor sin contar con el visto bueno de este último de forma excepcional (así lo prevé el propio Acuerdo de Corresponsabilidad en línea con la jurisprudencia del Tribunal Supremo) cuando la información/ documentación facilitada por este sea irrefutable”, reconociéndose capacidad para la supresión de los datos. “Sobre lo que prevé el artículo 26.3 del RGPD:” Acerca del artículo 26.3 del RGPD, según ASNEF-EQUIFAX, no tiene relación con la asignación de responsabilidades derivadas de la infracción de la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/56 protección de datos como consecuencia de la atención inadecuada de dicho derecho, por lo que considera que esta Agencia le atribuye a dicho precepto una consecuencia que es contraria a la doctrina del Tribunal de Justicia de la Unión Europea (“TJUE”) y del Comité Europeo de Protección de Datos (“CEPD”). En respuesta a este argumento, el tenor literal del artículo 26.3 del RGPD es bastante claro, al admitir que el ejercicio de derechos reconocidos en dicha norma podrá efectuarse frente a, y en contra de, cada uno de los responsables, con independencia del acuerdo a través del cual los corresponsables determinen sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el RGPD. La alusión de ASNEF-EQUIFAX a la doctrina del TJUE y del CEPD no recoge ningún argumento expresado por tales entidades en el ejercicio de su actividad que refrende la alegación sostenida por ASNEF-EQUIFAX. Respecto al CEPD, en cumplimiento del objetivo de garantizar la aplicación coherente del RGPD (art. 70 RGPD), con fecha 7 de julio de 2021 adoptó las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (en adelante Directrices 07/2020), en cuyo apartado 165, afirma lo siguiente respecto a las consecuencias de la corresponsabilidad del tratamiento: “Con independencia de este tipo de acuerdo, el interesado puede dirigirse a cualquiera de los corresponsables del tratamiento, tal como se estipula en el artículo 26, apartado 3, del RGPD. Sin embargo, el uso de la expresión «en particular» indica que las obligaciones previstas en esta disposición para cuyo cumplimiento se reparten responsabilidades entre las partes involucradas en el tratamiento no tienen carácter exhaustivo, de lo cual se deduce que el reparto de las responsabilidades por el cumplimiento entre los corresponsables del tratamiento no se limita a los aspectos a que hace referencia el artículo 26, apartado 1, sino que se extiende a otras obligaciones del responsable previstas en el RGPD. De hecho, los corresponsables del tratamiento deben asegurarse de que todo el tratamiento conjunto cumpla íntegramente lo dispuesto en el RGPD.” (el subrayado es nuestro). En conclusión, no se trata de que el procedimiento establecido por ASNEF-EQUIFAX de solicitar una respuesta del acreedor sea inadecuado, sino de que la falta de respuesta de este no puede justificar que quede desatendida la petición del solicitante del derecho de supresión y mucho menos justificar continuas inclusiones en el sistema común de información crediticia. ASNEF-EQUIFAX no puede sustentar la inadecuada atención del derecho de la parte reclamante en los términos del acuerdo de corresponsabilidad. “Sobre la jurisprudencia del Tribunal Supremo” En contestación a esta alegación, ASNEF EQUIFAX se refiere a jurisprudencia del Tribunal Supremo, a sentencias del TJUE y a los criterios del CEPD. 1. Jurisprudencia del Tribunal Supremo. Cabe señalar que la STS núm. 117/2024 que se cita por ASNEF-EQUIFAX, viene a confirmar la doctrina del Tribunal Supremo a la que esta Agencia hizo referencia en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/56 fundamentos del derecho del acuerdo de inicio. De este modo, en el punto 2 del Fundamento de Derecho Segundo de la STS núm. 117/2024 se dice lo siguiente: “De acuerdo con esta doctrina, y en lo que aquí es relevante, cuando el afectado ejercita el derecho de rectificación o cancelación ante el responsable del registro de morosos, si la reclamación se realiza de manera documentada y justificada, el responsable de este fichero común no puede limitarse a trasladar la solicitud al acreedor, para que este decida, y seguir acríticamente sus indicaciones, sino que ha de satisfacer este derecho en los términos previstos en la normativa sobre protección de datos. No es aceptable la tesis de que el responsable del fichero común carece de disponibilidad sobre los datos registrados y, por tanto, de responsabilidad. El responsable del fichero común debe examinar el fundamento del derecho de cancelación o rectificación ejercitado por el afectado y, en caso de que ese fundamento sea razonable y adecuado (por ejemplo, porque aporte la documentación de la que resulte que la deuda fue pagada), poner fin al tratamiento de los datos controvertidos.” 2. Jurisprudencia del TJUE. La doctrina del TJUE en el asunto C-210/16, mencionada en las alegaciones de ASNEF-EQUIFAX, viene a definir, en cuanto a la responsabilidad conjunta que esta no se traduce necesariamente en una responsabilidad equivalente de los diversos agentes a los que atañe un tratamiento de datos personales. Por el contrario, estos agentes pueden presentar una implicación en distintas etapas de ese tratamiento y en distintos grados, de modo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto Como respuesta a estas afirmaciones, esta doctrina es compatible con los preceptos establecidos en el RGPD relativos a la corresponsabilidad, concretamente con lo establecido en el artículo 26.3 del RGPD respecto al ejercicio de derechos por los interesados, y en este caso no hay que olvidar que la solicitud de supresión de datos se presentó ante ASNEF-EQUIFAX. 3. Criterios del CEPD. Según ASNEF-EQUIFAX, por muy clara que la justificación para dar de baja los datos del Fichero (suprimir los datos) pueda parecer a la AEPD (respecto de lo que discrepamos enérgicamente) la AEPD no puede ignorar la asignación de responsabilidades realizada por los corresponsables en cuanto al ejercicio de lo que denomina “derecho de cancelación”, habiendo optado (y así se recoge en el acuerdo de corresponsabilidad suscrito con el Acreedor que obra ya en el expediente, en adelante, el “Acuerdo de Corresponsabilidad”) por dejar su resolución a criterio exclusivo del Acreedor. Esta afirmación se argumenta con la cita de varios apartados de las Directrices 07/2020, tales como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/56 “58. La existencia de corresponsabilidad no implica necesariamente una responsabilidad idéntica de los distintos participantes involucrados en el tratamiento de los datos personales.” “169. Por otra parte, no resulta necesario que los corresponsables del tratamiento se repartan las obligaciones de manera equitativa. Al respecto, el TJUE ha dictaminado recientemente que «la existencia de una responsabilidad conjunta no se traduce necesariamente en una responsabilidad equivalente de los diversos agentes a los que atañe un tratamiento de datos personales»”. “Los corresponsables del tratamiento deberán determinar de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el RGPD. La determinación de sus responsabilidades respectivas debe abordar, en particular, el ejercicio de los derechos de los interesados y las obligaciones de suministro de información. Además de esto, la distribución de las responsabilidades debe abarcar otras obligaciones del responsable del tratamiento relacionadas, por ejemplo, con los principios generales de protección de datos, la base jurídica, las medidas de seguridad, la obligación de notificar las violaciones de la seguridad de los datos, las evaluaciones de impacto relativas a la protección de datos, el recurso a encargados del tratamiento, las transferencias a terceros países, y los contactos con los interesados y las autoridades de control. […]” En respuesta a estos argumentos debe decirse que estos apartados de las Directrices 07/2020 deben interpretarse de forma conjunta con el apartado 165 de las mencionadas Directrices transcrito anteriormente. De este modo, sin perjuicio de que cada corresponsable de tratamiento deba aplicar aquellas medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD, determinando de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el RGPD, esto no impide que los interesados puedan ejercer sus derechos “frente a, y en contra de, cada uno de los responsables.” (art. 26.3 in fine del RGPD) ni excluye la obligación de que las solicitudes de ejercicio de derechos queden atendidas. En consecuencia, respecto de las operaciones o conjunto de operaciones sobre datos personales de personas físicas, en su condición de corresponsables del tratamiento, la sociedad acreedora y ASNEF-EQUIFAX deberán atender las solicitudes de ejercicios de derechos de los interesados, tal y como establece la RGPD, la Sentencias del Tribunal Supremo número 2040/2014, dictada por la Sala Primera el 21 de mayo de 2014 y la núm. 117/2024, así como el criterio del CEPD expresado en el apartado 165 de las Directrices 07/2020, según el cual: “Con independencia de este tipo de acuerdo, el interesado puede dirigirse a cualquiera de los corresponsables del tratamiento, tal como se estipula en el artículo 26, apartado 3, del RGPD.” Por todo lo expuesto, se desestima la presente alegación. “TERCERA.- DE LA PRESUNTA INFRACCIÓN DEL ARTÍCULO 6.1 DEL RGPD POR PARTE DE ASNEF-EFX.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/56 ASNEF-EQUIFAX señala que los datos de la parte reclamante se incluyeron en el fichero a instancias del acreedor. La propia AEPD reconoce en su página web que “no es competente para dirimir sobre la cuantía o veracidad de una deuda.” Según el artículo 20.2 de la LOPDGDD, aun cuando ASNEF-EQUIFAX sea corresponsable de los tratamientos, es responsabilidad del acreedor confirmar la validez de la deuda para su inclusión en el fichero, y que no puede considerarse un supervisor de las decisiones del acreedor debido a que no cuenta, en la mayoría de las ocasiones, con la información ni los medios oportunos para tomar dicha decisión. Sólo de forma excepcional, cuando la información/documentación facilitada por el interesado sea irrefutable, permite a ASNEF-EQUIFAX adoptar una decisión por cuenta del acreedor. 1. Información en la web de la AEPD Con relación a información que consta en la publicada en la web de esta Agencia, a lo que se refiere es al hecho de que al titular del fichero no se le atribuye la capacidad de dirimir aquellos aspectos jurídicos relativos a la veracidad de la deuda, lo que no es obstáculo para que aquella documentación de carácter oficial a través de la cual se ponga en conocimiento de la entidad que mantiene el sistema la existencia de una resolución dictada por órgano judicial, como se produjo en este caso, en la que de forma concluyente y sin necesidad de realizar ninguna evaluación se evidencie la inexistencia de la deuda, deba ser tenida en cuenta respecto de la solicitud del ejercicio del derecho de supresión, sobre todo cuando el acreedor no realiza ningún pronunciamiento sobre la misma ni presenta prueba en contrario. 2. Interpretación del Artículo 20.2 de la LOPDGDD y la corresponsabilidad El artículo 20.2 de la LOPDGDD establece que, tanto el mantenedor del sistema de información crediticia como el acreedor, tienen la condición de corresponsables del tratamiento. Esto implica que ambos tienen obligaciones compartidas y no pueden delegar completamente las responsabilidades en la otra parte. Según el artículo 26 del RGPD, la corresponsabilidad requiere que cada parte asegure la licitud del tratamiento de los datos personales, lo que incluye garantizar que los datos de los deudores cumplan con los requisitos de exactitud, certeza y exigibilidad para su inclusión en el sistema. La argumentación de ASNEF-EQUIFAX sugiere que, como entidad que mantiene el sistema, su única función es seguir las directrices del acreedor. No obstante, la STS 2040/2014 confirma que el responsable del fichero de morosidad no puede limitarse a seguir acríticamente las instrucciones del acreedor, especialmente si el deudor ha ejercido su derecho de supresión y ha aportado documentación. La corresponsabilidad implica un deber de verificación y de evaluación de la licitud del tratamiento, y en este caso, ASNEF-EQUIFAX debió realizar una valoración adecuada ante las solicitudes de ejercicio del derecho de supresión presentadas por la parte reclamante. 3. Exigencia de una base legitimadora para el tratamiento El artículo 6.1 del RGPD establece que todo tratamiento de datos personales, para ser lícito, debe cumplir con alguna de las condiciones establecidas en el mismo. En el caso de los sistemas comunes de información crediticia, el artículo 20 de la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/56 establece una presunción iuris tantum de interés legítimo para el tratamiento de datos de deudores, por lo que tales tratamientos cumplirían con la condición establecida en el artículo 6.1.
14. f)del RGPD, salvo prueba en contrario. Sin embargo, dicha presunción solo aplica cuando la deuda es cierta, vencida y exigible, condiciones que no se cumplían en este caso debido a la exoneración de la deuda de la parte reclamante, confirmada mediante el Registro Público Concursal. En este caso, la presunción de licitud se vio destruida con la documentación aportada por el reclamante que reflejaba una situación contraria a la existencia de una deuda, cierta, vencida y exigible. Al no cumplir estas condiciones, ASNEF-EQUIFAX tenía la responsabilidad de realizar una ponderación de intereses, que no consta que se haya hecho. Además, ASNEF-EQUIFAX alega que la deuda sigue siendo cierta a pesar de la exoneración. Sin embargo, la deuda ha de ser cierta, vencida y exigible, una deuda exonerada no es exigible y, por lo tanto, no cumple con los requisitos para ser incluida en un sistema de información crediticia bajo esta presunción de interés legítimo. Mantener la deuda en el fichero sin cumplir con estos requisitos vulnera los derechos del deudor, en este caso, la parte reclamante, y contraviene la normativa de protección de datos. El Tribunal Supremo, en la sentencia STS núm. 2040/2014, especifica que el responsable del fichero de morosidad no puede simplemente remitir la solicitud de cancelación al acreedor, en la actualidad derecho de supresión, y luego seguir sus instrucciones sin más. En este caso, ASNEF-EQUIFAX recibió documentos que indicaban la exoneración de la deuda de forma definitiva, lo que ponía en duda su exigibilidad y en consecuencia la licitud de la anotación. Al no realizar ninguna verificación, ASNEF-EQUIFAX actuó con negligencia, especialmente considerando su obligación como corresponsable en la gestión de los datos del sistema de información crediticia. 4. La presunción iuris tantum en el artículo 20 de la LOPDGDD y su limitación ASNEF-EQUIFAX defiende que la presunción iuris tantum de interés legítimo no implica automáticamente que el tratamiento sin tales circunstancias sea ilícito. Sin embargo, esto no significa que cualquier tratamiento sin los requisitos de deuda cierta, vencida y exigible pueda considerarse legítimo. La presunción solo aplica cuando se cumplen dichos requisitos; en caso contrario, el tratamiento debe basarse en una ponderación del responsable de los intereses en conflicto, según establece la LOPDGDD. Al haber obtenido la parte reclamante el beneficio de exoneración del pasivo insatisfecho, la deuda dejó de ser exigible, por lo que ASNEF-EQUIFAX tenía la obligación de evaluar si existía un interés legítimo para continuar tratando los datos de la deuda bajo estas nuevas circunstancias. Al no realizar esta evaluación, ASNEFEQUIFAX incumplió con su deber de diligencia y actuó fuera del marco de la licitud de tratamiento de datos personales. 5. Interpretación del Artículo 492.ter de la Ley Concursal ASNEF-EQUIFAX interpreta el artículo 492.ter de la Ley Concursal en el sentido de que la exoneración de la deuda solo permite al deudor actualizar sus registros en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/56 sistemas de información crediticia, pero no implica la falta de certeza de la deuda. No obstante, este artículo indica que el deudor tiene derecho a que se deje constancia de su exoneración, lo que se traduce en que dicha deuda no es exigible. La deuda exonerada pierde su carácter de exigibilidad, lo cual impacta directamente en su validez para ser incluida en el fichero de morosos. La insistencia de ASNEFEQUIFAX en mantener estos datos y considerar que sigue siendo “cierta” es incorrecta desde el punto de vista de la normativa de protección de datos y constituye un tratamiento de datos ilícito. En definitiva, ASNEF-EQUIFAX, como corresponsable del tratamiento de datos en el sistema de información crediticia, tenía la responsabilidad de verificar la legitimidad de la deuda una vez que la parte reclamante aportó prueba de su exoneración. El hecho de que el acreedor sea el responsable de instar el alta de los datos no exime a ASNEF-EQUIFAX de su deber de diligencia, verificación y valoración de la situación actual del deudor. Al no cumplir con estos requisitos, ASNEF-EQUIFAX infringió la normativa de protección de datos, especialmente al no realizar la ponderación exigida por el RGPD para basar el tratamiento en la causa prevista en su artículo 6.1.
15. f)y al mantener en el sistema datos que no cumplían los requisitos de licitud establecidos en el artículo 20 de la LOPDGDD. Por lo tanto, se concluye que ASNEF-EQUIFAX no solo actuó negligentemente, sino que también falló en su obligación de corresponsable al no garantizar un tratamiento de datos adecuado, transparente y justo conforme a la normativa vigente. Por todo lo expuesto, se desestima la presente alegación. “CUARTA.- DE LA AUSENCIA DE CULPABILIDAD DE ASNEF-EFX.” Según ASNEF-EQUIFAX, se trataría de infracciones que no serían sancionables, en la medida en que su actuación no puede considerarse en ningún caso dolosa ni negligente. Además, no existe ningún elemento, deducible del comportamiento de ASNEF- EQUIFAX, que invite a pensar que su comportamiento en relación con la parte reclamante tenga el propósito de infringir deliberadamente la normativa de protección de datos. En respuesta a esta alegación cabe señalar que, si bien ASNEF-EQUIFAX alega que actuó con la diligencia debida y que no se puede atribuir negligencia o conducta dolosa, los hechos demuestran lo contrario, cuando, ante la ausencia de repuesta de la empresa acreedora al traslado de la documentación aportado por la parte reclamante, ASNEF-EQUIFAX realizó dos inscripciones de la deuda de la parte reclamante, en las fechas 09/01/2023 y 10/04/2023. Por otra parte, no puede afirmarse, como hace ASNEF-EQUIFAX que “adoptó las medidas pertinentes para que el ejercicio del derecho de supresión/cancelación formulado por la parte reclamante fuera atendido”, cuando ante las dos peticiones de “cancelación”, han de entenderse de supresión, formuladas por la parte reclamante, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/56 recibió sendas respuestas de ASNEF-EQUIFAX (págs. 197 y 202 del expediente), en las que se limita a decir “que no existen datos inscritos en el mismo asociados a su identificador”, por lo que existen elementos objetivos suficientes para entender que la conducta de ASNEF-EQUIFAX fue negligente. Recordemos que el artículo 5.2 del RGPD establece el principio de responsabilidad proactiva, en virtud del cual el responsable del tratamiento, en este caso ASNEFEQUIFAX, será responsable del cumplimiento de lo dispuesto en el apartado .1 del artículo 5 del RGPD, donde se recogen los principios relativos al tratamiento, y, además, que deberá ser capaz de demostrarlo. El artículo 44 del Real Decreto 1720/2007, citado por ASNEF-EQUIFAX, ha sido interpretado por la STS núm. 2040/2014, a la que esta Agencia aludió en el acuerdo de inicio del presente procedimiento, en la cual se venía a decir que “esta previsión reglamentaria no puede interpretarse de modo que cuando el interesado haya ejercitado sus derechos de rectificación o cancelación de forma motivada y fundamentada, justificando ante el titular del fichero común el incumplimiento de los requisitos de calidad de los datos, este no pueda y no deba rectificar o cancelar los datos no pertinentes, inexactos o incompletos a no ser que así se lo indique el acreedor que le ha suministrado los datos”, por lo que ASNEF-EQUIFAX no puede basarse en este artículo a efectos de considerar que adoptó “medidas pertinentes”, como tampoco puede hacerlo en base al acuerdo de corresponsabilidad, de acuerdo con el tenor literal del artículo 26.3 del RGPD respecto al ejercicio de los derechos de los interesados, y de la interpretación de este artículo expresada por el CEPD en el apartado 165 de las Directrices 07/2020, según el cual: “Con independencia de este tipo de acuerdo, el interesado puede dirigirse a cualquiera de los corresponsables del tratamiento, tal como se estipula en el artículo 26, apartado 3, del RGPD.” En consecuencia, ASNEF-EQUIFAX incurrió en negligencia en el tratamiento de los datos personales de la parte reclamante, por lo que se produjeron dos infracciones sancionables según el RGPD, por un lado, la falta de supresión de los datos de la parte reclamante con relación a la deuda que no le era exigible, y por otro, las sucesivas inclusiones en el sistema común que mantiene ASNEF-EQUIFAX, una vez que la parte reclamada tenía conocimiento de tales circunstancias. Todo ello determina que ASNEF-EQUIFAX no actuó con la diligencia debida, lo cual hace procedente la imposición de las sanciones correspondientes, así como de las medidas correctivas previstas en el acuerdo de inicio. Por todo lo expuesto, se desestima la presente alegación. “QUINTA.- DE LA DESPROPORCIÓN MANIFIESTA DE LAS SANCIONES PREVISTAS EN FUNCIÓN DE LAS CONDUCTAS SUJETAS A REPROCHE SANCIONADOR QUE SE IMPUTAN A ASNEF- EQUIFAX.” En esta alegación, ASNEF-EQUIFAX manifiesta que el reproche sancionador que se propone por la AEPD resulta, a su juicio, totalmente desproporcionado, existiendo concurso medial entre ambas infracciones. Considera ASNEF- EQUIFAX que su conducta no amerita la aplicación de agravantes por los siguientes motivos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/56
16. a)Estamos ante un hecho aislado en el que, a pesar de que ASNEF-EQUIFAX ha adoptado las medidas pertinentes.
17. b)ASNEF- EQUIFAX actuó con la máxima cautela.
18. c)Los datos se han mantenido en el fichero por períodos breves de tiempo y no ha generado daños a la parte reclamante, al menos no se han acreditado en ningún caso.
19. d)Las infracciones cometidas son muy superiores a las que la AEPD ha venido imponiendo hasta la fecha por conductas análogas. En respuesta a las alegaciones de ASNEF-EQUIFAX sobre la supuesta desproporción de las sanciones fijadas inicialmente por esta Agencia en el acuerdo de inicio, cabe señalar que el artículo 83 del RGPD establece que las sanciones deben ser eficaces, disuasorias y proporcionales en función de las circunstancias del caso, incluyendo la naturaleza, gravedad, y duración de la infracción. La conducta de la empresa, al optar únicamente por dar traslado al acreedor, para posteriormente volver a tratar dichos datos de manera reiterada sin base jurídica que lo legitime, toda vez la deuda ya era inexigible, ha causado un impacto en los derechos de la parte reclamante. Estas actuaciones constituyen dos infracciones, una del artículo 17 del RGPD al haber quedado desatendidas las peticiones del reclamante y otra del artículo 6.1 del RGPD, al incluir los datos del reclamante en el sistema sin base de legitimación, que justifican la imposición de sanciones. Además, las sanciones contempladas por el RGPD están diseñadas para garantizar que las empresas cumplan de manera efectiva con sus obligaciones, especialmente en cuanto al tratamiento de datos personales y la protección de los derechos de los interesados. Respecto a la pretendida existencia de concurso medial entre ambas infracciones, según lo dispuesto en el artículo 29.5 de la Ley 40/2015, lo que implicaría la imposición de una única sanción por la infracción más grave, no puede considerarse que este razonamiento sea aplicable en el presente caso. El RGPD establece diferentes infracciones para distintos tipos de conductas, como la falta de una base legitimadora (artículo 6) y la falta de atención al derecho de supresión (artículo 17). Ambas infracciones son independientes y no se puede considerar que una derive necesariamente de la otra. La inclusión de datos en un fichero sin una base legal no exime la responsabilidad por no atender debidamente el derecho de supresión ejercido por los interesados. Incluso ante la “cancelación provisional” que sostiene ASNEF-EQUIFAX en sus argumentos, debió dar respuesta motiva al reclamante informándole de los motivos por los que su petición era rechazada y no debió tratar los datos de la parte reclamante ante las posteriores y sucesivas inscripciones de la deuda sin asegurarse de que la deuda cumplía los requisitos para su inclusión. ASNEF-EQUIFAX debió valorar la documentación presentada por la parte reclamante, la cual acreditaba el carácter controvertido de la deuda, lo que no permitía las inscripciones posteriores. Finalmente, sólo la baja de la operación realizada por el acreedor (página 75 del expediente) en la tercera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/56 inscripción de la deuda, permitió que los datos personales de la parte reclamante dejaran de ser tratados. De otro modo, como ha ocurrido en este caso, cualquier interesado que justifique la inexistencia de una deuda, tendría que soportar las inscripciones reiteradas de la misma deuda por el acreedor, sin que hayan variado las circunstancias de la deuda, y repetir su solicitud de supresión ante todas y cada una de las inscripciones de la deuda para que sus datos no fueran tratados a. La situación que propone ASNEFEQUIFAX carece de sentido y no garantiza el derecho del interesado que no sabe por qué sus datos son dados nuevamente de alta en el sistema, por lo que ASNEFEQUIFAX debió evitar los tratamientos posteriores o prolongar lo que denomina “cancelación provisional” hasta obtener una respuesta justificada del acreedor. Por todo ello, la negligencia tanto en la inclusión de los datos en el fichero sin base legítima como en la falta de supresión de los datos personales de la parte reclamante justifican la imposición de sanciones separadas. ASNEF-EQUIFAX defiende que, dado que los datos estuvieron en el fichero por un período breve debido a la baja cautelar, la sanción debería ser menor o incluso considerarse una atenuante. Sin embargo, el hecho de que los datos se mantuvieran por un tiempo "breve" no exime de la infracción. Incluso una infracción temporal puede tener efectos adversos importantes para los derechos del interesado. El artículo 83.2 del RGPD menciona que la gravedad y duración de la infracción son factores importantes para el cálculo de la sanción, pero no establece que una duración breve reduzca la gravedad de la infracción cuando los derechos fundamentales se ven afectados, como en este caso. El derecho de supresión no fue debidamente atendido, y el mantenimiento de los datos personales, aunque fuera por un breve período, representa una infracción grave, ya que afectó la privacidad de la parte reclamante. ASNEF-EQUIFAX también discute la aplicación de las agravantes mencionadas en el acuerdo de inicio del procedimiento sancionador, especialmente en relación con la intencionalidad o negligencia y la vinculación de la actividad de la empresa con el tratamiento de datos personales. No obstante, el hecho de que ASNEF-EQUIFAX mantuviera los datos en el fichero sin tomar medidas definitivas para su supresión, demuestra una negligencia grave en la gestión de los datos personales, máxime cuando su respuesta a las dos solicitudes de la parte reclamante fue que no constaba ninguna inscripción con sus datos. La normativa a la que alude ASNEF-EQUIFAX, el “artículo 44.3
20. a)del RD 1720/2007) en atención a lo dispuesto en el artículo 492.ter de la Ley Concursal”, tal y como se ha fundamentado anteriormente, no permite el tratamiento reiterado de datos del deudor cuando éste ya ha acreditado la inexigibilidad de la deuda. Por último, ASNEF EQUIFAX alega que las sanciones propuestas son superiores a las impuestas en casos análogos, lo que vulneraría el principio de confianza legítima. Sin embargo, las sanciones impuestas por esta Agencia no deben ser comparadas de manera directa entre casos aislados, ya que cada caso es único y debe ser evaluado en función de sus circunstancias particulares, tal como establece el artículo 83 del RGPD. Además, en este caso no cabe alegar confianza legítima pues no puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/56 sostener ASNEF-EQUIFAX que, ante una infracción, la AEPD le imponga una sanción cuyo importe es el esperado y asumido. En este caso, las infracciones cometidas por ASNEF-EQUIFAX tienen un impacto grave en los derechos de la parte reclamante y se ha demostrado la negligencia en la gestión de sus datos, lo que afecta a todos los ciudadanos cuyas deudas son inscrita en el sistema común ASNEF. Por lo tanto, las sanciones están plenamente justificada y son coherente con la normativa vigente y las decisiones recientes del Tribunal Supremo que ASNEF-EQUIFAX ha ignorado. En conclusión, las sanciones impuestas a ASNEF-EQUIFAX no son desproporcionadas, sino que son justas y necesarias para garantizar el cumplimiento de la normativa de protección de datos. La conducta de la empresa no solo violó los derechos de la parte reclamante, sino que además lo hizo de manera negligente al no proceder a la supresión de los datos. Asimismo, la aplicación de agravantes es coherente con el impacto de la infracción y la naturaleza de la actividad de la empresa. Por todo lo expuesto, se desestima la presente alegación. “SEXTA.- CONCLUSIONES” ASNEF-EQUIFAX presenta un resumen de sus alegaciones en las que viene a resumir todo lo expuesto en los apartados anteriores. El argumento principal es que no es responsable de la verificación de la legitimidad de la deuda y que actuó diligentemente según la normativa aplicable. A continuación, se analizan y refutan estas afirmaciones: 1. Documentación insuficiente y obligación de verificación ASNEF-EQUIFAX argumenta que no contaba con la documentación suficiente para proceder a la supresión definitiva de los datos de la parte reclamante, el criterio expresado por el legislador en el artículo 44.3
21. a)del Real Decreto 1720/2007 Tal y como se motivó anteriormente, de la STS núm. 2040/2014 se infiere que, ante una solicitud de supresión de datos en un sistema común de información crediticia, el corresponsable que mantiene el sistema tiene la obligación de realizar una verificación adecuada, más allá de simplemente seguir las instrucciones del acreedor. La documentación aportada por la parte reclamante, consistente en el justificante de la inscripción en el Registro Público Concursal de la concesión del beneficio de la exoneración del pasivo insatisfecho, debió haber sido una evidencia suficiente para desencadenar una verificación más exhaustiva por parte de ASNEF-EQUIFAX, y su negativa a proceder en este sentido demuestra una falta de diligencia. 2. Licitud del mantenimiento de datos de deudor exonerado en el fichero de morosos ASNEF-EQUIFAX sostiene que la deuda de la parte reclamante sigue siendo "cierta" y que, aunque no sea exigible, esto no implica automáticamente la falta de licitud en el tratamiento de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/56 Por el contrario, el artículo 20 de la LOPDGDD especifica que solo cuando la deuda sea cierta, vencida y exigible se presume lícita la inclusión de los datos en el fichero. Al no cumplirse estos requisitos, ASNEF-EQUIFAX tenía la obligación de realizar una ponderación de intereses en conflicto para evaluar la legitimidad de realizar las sucesivas inscripciones de la deuda en el sistema ASNEF. El hecho de que la deuda haya sido exonerada mediante resolución judicial convierte su tratamiento en ilícito, al no cumplir con los criterios de certeza y exigibilidad necesarios para ampararse en el artículo 6.1 del RGPD. La LOPDGDD no otorga margen para mantener deudas exoneradas en el sistema, ya que estas no cumplen con las condiciones que respaldarían un interés legítimo prevalente sobre los derechos de los interesados. 3. Corresponsabilidad y reparto de responsabilidades ASNEF-EQUIFAX argumenta que, como responsable del sistema de información crediticia, no es responsable de garantizar la licitud del tratamiento de los datos, según el artículo 20.2 de la LOPDGDD. Ante esta idea, cabe responder que la figura del corresponsable impone obligaciones en el tratamiento de los datos, incluyendo la diligencia en la verificación de la legitimidad de la información que se mantiene. El Tribunal Supremo, en sus sentencias STS núm. 2040/2014 y núm. 456/2024, aclara que el corresponsable no puede actuar pasivamente ni limitarse a seguir las indicaciones del acreedor sin llevar a cabo un análisis propio. En este caso, ASNEFEQUIFAX, como corresponsable, tenía la obligación de evaluar la solicitud de supresión de la parte reclamante y de no actuar de manera automática en función de las solicitudes del acreedor, sino de verificar si la información mantenida era adecuada y pertinente según la normativa aplicable. Debido a la existencia de documentación que contradecía que la deuda fuera exigible. 4. Infracción del artículo 6.1 del RGPD y responsabilidad de ASNEF-EQUIFAX ASNEF-EQUIFAX argumenta que es el acreedor que pretenda inscribir una deuda en su fichero en quien recae la responsabilidad de cumplir con alguna de las condiciones establecidas en el artículo 6.1 del RGPD No obstante, ASNEF-EQUIFAX, debido a su condición de corresponsable implica que comparte la responsabilidad del tratamiento de datos y debe verificar la licitud del tratamiento de los datos en supuestos como el aquí analizado. El RGPD y la LOPDGDD establecen claramente que todos los responsables de un tratamiento deben asegurarse de que este cumpla con las bases legales adecuadas, y ASNEF-EQUIFAX no puede eludir esta obligación al alegar que la verificación es tarea exclusiva del acreedor cuando el acreedor ni siquiera se ha pronunciado sobre la licitud después del traslado de la solicitud de supresión. 5. Negligencia y proporcionalidad de la sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/56 ASNEF-EQUIFAX alega que actuó diligentemente al proceder a la baja cautelar de los datos ante el silencio del acreedor, sin embargo, la normativa exige una mayor diligencia en la protección de los derechos de los interesados. Al no verificar la legitimidad de los datos una vez conocida la exoneración de la deuda, ASNEF-EQUIFAX incurrió en negligencia. En cuanto a la proporcionalidad de la sanción, el artículo 29.5 de la Ley 40/2015 no es aplicable en este caso, ya que las infracciones cometidas no derivan necesariamente una de otra, sino que cada una constituye un incumplimiento específico de la normativa de protección de datos. La reiteración en el tratamiento de datos no legítimos justifica la aplicación de sanciones proporcionales a la gravedad y a la afectación de los derechos del interesado. 6. Aplicación de agravantes y atenuantes Finalmente, ASNEF-EQUIFAX argumenta que su conducta fue aislada y solicita la aplicación de atenuantes. Sin embargo, la reiteración de la inclusión de los datos en el sistema común ASNEF, incluso después de conocer la exoneración de la deuda, agrava la infracción. Este comportamiento demuestra un patrón de falta de diligencia y un incumplimiento continuado de la normativa, lo que justifica la imposición de agravantes y sanciones proporcionadas. La LOPDGDD y el RGPD exigen que el tratamiento de datos sea lícito y justificado en cada caso, y no cabe aplicar una atenuante por tratarse de un caso aislado cuando existe un incumplimiento reiterado que afecta a los derechos fundamentales del interesado. Además, el Comité Europeo de Protección de Datos, siguiendo los dictados del RGPD, recomienda que las sanciones sean efectivas y disuasorias para garantizar el cumplimiento de la normativa. En definitiva, ASNEF-EQUIFAX, en su condición de corresponsable del tratamiento de datos en el sistema de información crediticia, tenía la obligación de contestar motivadamente la petición de supresión del reclamante, lo que no hizo, y de verificar la licitud del tratamiento de datos que conlleva la posterior inscripción de la deuda, la cual no podía entenderse incluida en la presunción de licitud del artículo 20 de la LOPDGDD al estar exonerada, lo que supone una infracción del artículo 6.1 del RGPD, máxime cuando se realizaron tres intentos de inscripción en un plazo breve de tiempo. , Al no cumplir con estas obligaciones, ASNEF-EQUIFAX incurrió en dos infracciones del RGPD. Sus alegaciones sobre la falta de responsabilidad y la desproporcionalidad de la sanción no son fundadas, dado que el RGPD, en virtud del principio de responsabilidad proactiva, exige un mayor nivel de diligencia y transparencia en la protección de los derechos de los interesados que los demostrados por ASNEF-EQUIFAX. B) Con relación a las alegaciones aducidas por ASNEF-EQUIFAX a la propuesta de resolución, se procede a dar respuesta a las mismas según el orden en que se exponen en su escrito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/56 “PREVIA. – SOBRE LA AUSENCIA DE DAÑOS PARA LA RECLAMANTE.” En este punto ASNEF-EQUIFAX argumenta que “los datos personales de la parte reclamante nunca llegaron a estar visibles para terceros consultantes del Fichero. lo que se traduce en que, no se le ha causado ningún daño”. Sin embargo, el incumplimiento del RGPD es sancionable sin que sea necesario demostrar un perjuicio concreto para los afectado, y, respecto a que los datos no llegaron a estar visibles para terceros consultantes del fichero, ninguna de las infracciones imputadas a ASNEF-EQUIFAX exige que los datos personales sean accedidos por terceros. La mera inclusión de los datos en un fichero, sin base de legitimación suficiente, y la no atención del ejercicio de derecho de supresión constituyen dos infracciones independientes que no requieren que se haya vulnerado la confidencialidad de los datos personales de la parte reclamante. Por último, el RGPD sanciona el incumplimiento normativo, no que requiere que en la comisión de alguna de las infracciones al interesado se le haya producido un daño efectivo. Por todo lo expuesto, la presente alegación queda desestimada. “PRIMERA. - DE LA PRESUNTA OBLIGACIÓN DE ASNEF-EQUIFAX DE ATENDER LA SOLICITUD DE SUPRESIÓN DE UN INTERESADO AÚN HABIENDO SIDO ATRIBUIDA ESTA RESPONSABILIDAD AL ACREEDOR EN VIRTUD DEL ACUERDO DE CORRESPONSABILIDAD SUSCRITO CON EL MISMO”. En esta alegación, ASNEF-EQUIFAX sostiene la falta de obligación de atender la solicitud de supresión de datos personales en un sistema de solvencia patrimonial, a pesar del acuerdo de corresponsabilidad suscrito con el acreedor. En particular, se examina la aplicabilidad del RGPD, la doctrina del Tribunal Supremo y las disposiciones del Real Decreto 1720/2007. Cabe responder, en cuanto a la responsabilidad de ASNEF-EQUIFAX ante el ejercicio del derecho de supresión por la parte reclamante, que, aunque el apartado primero del artículo 26 del RGPD establece que los corresponsables del tratamiento deben determinar de manera transparente sus responsabilidades respectivas, incluyendo la atención de los derechos de los interesados, el apartado tercero de dicho artículo dispone que “independientemente de los términos del acuerdo a que se refiere el apartado 1, los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables”. En consecuencia, un acuerdo de corresponsabilidad no puede anular las obligaciones del corresponsable que recibe la solicitud, debiendo atender las solicitudes de ejercicio de derechos que le formulen. El Tribunal Supremo, en su sentencia n.º 117/2024, ha sido claro al establecer que el gestor del fichero no puede limitarse a trasladar la solicitud al acreedor sin realizar una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/56 evaluación propia, y si la documentación aportada por el interesado es suficiente, debe proceder a la cancelación directamente. Si bien la regla general es que la solicitud se traslade al acreedor, el Tribunal Supremo ha establecido que esta regla no puede interpretarse de forma que exima al gestor del fichero de su responsabilidad cuando la documentación aportada justifica la cancelación. La AEPD ha sostenido de forma reiterada que los derechos de protección de datos pueden ejercerse frente a cualquiera de los corresponsables del tratamiento, y que el gestor del fichero no puede actuar de manera pasiva ni excusarse en la responsabilidad del acreedor cuando cuenta con la información necesaria para resolver la solicitud de forma directa. Contrariamente a lo mantenido en sus alegaciones por ASNEF-EQUIFAX, no existe una “regla general” consistente en que el que el gestor del fichero tiene que dar traslado al acreedor, en base a lo dispuesto en el RD 1720/2007, y una “regla excepcional”, que obliga al gestor del fichero a atender este derecho en circunstancias excepcionales, en base a lo establecido por el Tribunal Supremo. La vigencia de esta disposición del Real Decreto debe analizarse a la luz de la doctrina del Tribunal Supremo, que exige una intervención activa del gestor del fichero en la protección de los derechos del interesado, siguiendo lo establecido en la STS núm. 2040/2014, a la que esta Agencia aludió en la propuesta de resolución presente procedimiento, en la cual se viene a decir que “esta previsión reglamentaria no puede interpretarse de modo que cuando el interesado haya ejercitado sus derechos de rectificación o cancelación de forma motivada y fundamentada, justificando ante el titular del fichero común el incumplimiento de los requisitos de calidad de los datos, este no pueda y no deba rectificar o cancelar los datos no pertinentes, inexactos o incompletos a no ser que así se lo indique el acreedor que le ha suministrado los datos”. Asimismo, se han de tener en cuenta las obligaciones de las corresponsables derivadas del art. 26 del RGPD. En cuanto a que ASNEF-EQUIFAX procedió a la baja cautelar de los datos de la parte reclamante, hay que señalar que la baja cautelar no satisfizo en este caso las exigencias del derecho de supresión pues los datos fueron dados nuevamente de alta en del sistema sin ofrecer ninguna explicación al pate reclamante y, por tanto, no se da cumplimiento real al derecho de supresión. La supresión debe implicar la eliminación definitiva de los datos cuando el interesado ha demostrado que no corresponde su tratamiento. Por último, respecto a “la imprudencia del deudor por no hacer lo que la Ley Concursal le impone (acompañar el Auto)”, la carga de la prueba no recae exclusivamente en el interesado, sino también en el responsable del tratamiento, que debe asegurarse de que el tratamiento de los datos es lícito y proporcional en todo momento. En este caso, ASNEF-EQUIFAX, la publicación en el Registro Público Concursal del Beneficio de Exoneración del Pasivo Insatisfecho, resolución de fecha ***FECHA.1, procedimiento ***REFERENCIA.4 (página 154 del expediente) constituye una evidencia suficiente de la posible inexigibilidad de la deuda en cuestión, sin perjuicio de que hubiera podido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/56 realizar una consulta al Registro público o solicitar a la parte reclamante copia del documento público que legalmente acreditaba la situación de la deuda. Por todo lo expuesto, la presente alegación queda desestimada. “SEGUNDA. - DE SI PROCEDE O NO LA CANCELACIÓN DE DATOS EN LOS SUPUESTOS DE EXONERACIÓN DEL PAGO DE UNA DEUDA EN VIRTUD DE LA LLAMADA LEY DE SEGUNDA OPORTUNIDAD” En esta alegación, ASNEF-EQUIFAX desarrolla una serie de argumentos que son rebatidos a continuación: 1. Según ASNEF-EQUIFAX, el artículo 492 ter.2 de la Ley Concursal establece que el deudor puede solicitar la anotación de su exoneración en los sistemas de información crediticia, sin que ello implique la eliminación de sus datos del fichero. Como ya ha razonado esta Agencia, la inclusión de una deuda en un sistema común debe cumplir estrictamente con los requisitos del artículo 20 de la LOPDGDD, para que pueda ser aplicable la presunción de licitud, lo que implica que la deuda debe ser cierta, vencida, exigible e impagada. ASNEF-EQUIFAX no puede justificar la permanencia de una deuda exonerada en un sistema común de información crediticia alegando que así se establece en el artículo 492.ter.2 de la Ley Concursal, considerando suficiente con reflejar su exoneración. La exoneración elimina la exigibilidad de la deuda, por lo que los datos de la parte reclamante no pueden permanecer en el fichero. Con la exoneración de la deuda, la deuda desaparece y no puede ser utilizada esta información para apreciar la insolvencia económica del deudor. Mantenerla en estos ficheros, aunque se indique que ha sido exonerada, supone un tratamiento ilícito de datos personales al no cumplir con los requisitos de licitud del artículo 6 del RGPD. Si bien el artículo 492 ter.2 de la Ley Concursal permite que el deudor solicite que se haga constar la exoneración de la deuda en los sistemas de información crediticia, ello no excluye la obligación de suprimir la información sobre la deuda cuando ya no cumple con los requisitos para ser objeto de tratamiento, conforme a la presunción de licitud establecido por el artículo 20 de la LOPDGDD. 2. La Ley Concursal debe ser interpretada conforme el RGPD y la LOPDGDD. La Ley Concursal establece un mínimo garantizado: hacer constar la exoneración, pero esta expresión no impide que la exoneración dé lugar a la supresión de los datos cuando su mantenimiento vulnera los principios del RGPD y la LOPDGDD. En este sentido, en materia de protección de datos personales, la normativa de protección de datos prima cuando se trata del ejercicio de derechos del interesado y del uso de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/56 Como se ha dicho anteriormente, con la exoneración de la deuda, la deuda desaparece. Por tanto, la información sobre que una deuda ha sido exonerada no resulta pertinente para evaluar la solvencia de los interesados y, en consecuencia, la información sobre la deuda no debe constar en el sistema común, en virtud del principio de minimización de datos, pues sólo deben constar en un sistema común de información crediticia los datos que sean necesarios para enjuiciar la solvencia económica de los afectados. El TS en su sentencia de 12 de noviembre de 2020, Recurso 4739/2019, afirma que estos sistemas comunes no tienen como finalidad la mera constatación de deudas, sino la evaluación de la solvencia de los afectados. En este sentido la sentencia recoge que “los datos que se incluyan en estos registros de morosos han de ser ciertos y exactos; pero no basta con el cumplimiento de esos requisitos para satisfacer las exigencias del principio de calidad de los datos en este tipo de registros. Hay datos que pueden ser ciertos y exactos sin ser por ello pertinentes, pues no son determinantes para enjuiciar la solvencia económica de los interesados”. Añade que “por ello, solo es pertinente la inclusión en estos ficheros de aquellos deudores que no pueden o no quieren, de modo no justificado, pagar sus deudas, pero no de aquéllos que legítimamente están discutiendo con el acreedor la existencia o la cuantía de la deuda”. Pues bien, cuando una deuda ha sido exonerada, el deudor, como resulta obvio, no tiene que proceder a su pago, se encuentra legítimamente exonerado del pago, y, por tanto, como afirma la referida sentencia, sus datos no pueden permanecer en el sistema por cuanto la información ya no sirve para enjuiciar la solvencia del deudor. Por lo tanto, la exoneración de la deuda conlleva la mera anotación en los sistemas de información crediticia, sino su eliminación, al no cumplir ya ni con los requisitos del artículo 20 de la LOPDGDD ni con las exigencias del RGPD. 3. ASNEF EQUIFAX sostiene que la Agencia no ha justificado por qué el tratamiento es ilícito. Sin embargo, olvida ASNEF-EQUIFAX que es el responsable del tratamiento el que tiene que acreditar que el tratamiento que realiza es conforme con el RGPD y que cuenta con una base de legitimación. No obstante, se recuerda que el RGPD exige que todo tratamiento de datos personales tenga una base jurídica válida (art. 6.1). En el caso de los sistemas de información crediticia, la base de legitimación suele ser el interés legítimo del acreedor y de las entidades financieras en conocer la solvencia de los interesados. Cuando una deuda ha sido exonerada, pierde su validez para ser utilizada con este fin de enjuiciar la solvencia del interesado, lo que hace que la presunción de existencia del interés legítimo desaparezca y que, por tanto, sea el responsable del tratamiento el que realice la ponderación de los intereses en juego y que únicamente proceda al tratamiento cuando de tal ponderación resulte una prevalencia de sus intereses legítimos sobre los intereses, derechos y libertades de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/56 En consecuencia, mantener los datos en el sistema de información crediticia supone un tratamiento desproporcionado que no superaría la ponderación exigida para considerar que concurre interés legítimo en el tratamiento. El mantenimiento de una deuda exonerada en un sistema común puede generar perjuicios al interesado, ya que las entidades consultantes pueden interpretar que sigue existiendo un riesgo crediticio sobre el afectado, cuando en realidad su deuda ya no es exigible. 4. La responsabilidad de ASNEF-EQUIFAX en la supresión de los datos. ASNEF-EQUIFAX argumenta que no es el titular de la deuda y que, por tanto, no le corresponde a ella garantizar la licitud del tratamiento de los datos, sino que esta obligación recae en el acreedor. Esta idea ya ha sido contestada en esta resolución. Si bien, el artículo 26 del RGPD establece que los corresponsables deben definir claramente sus responsabilidades, el Tribunal Supremo ha dejado claro que el responsable del fichero de solvencia patrimonial no puede limitarse a trasladar la solicitud al acreedor sin verificar la procedencia de la cancelación. Esta Agencia ha reiterado que, cuando un responsable del tratamiento recibe documentación suficiente para acreditar la inexigibilidad de la deuda, debe proceder a la supresión de la información sobre la deuda sin esperar instrucciones del acreedor. ASNEF-EQUIFAX no puede eludir su responsabilidad trasladándola al acreedor, ya que actúa como corresponsable del tratamiento de datos y tiene la obligación de garantizar la exactitud y licitud de los datos tratados, así como la atención del ejercicio de los derechos. 5. El artículo 20 de la LOPDGDD no es una presunción absoluta de legitimidad ASNEF-EQUIFAX sostiene que el artículo 20 de la LOPDGDD establece una presunción iuris tantum de legitimidad para la inclusión de datos en los sistemas comunes de información crediticia. Sin embargo, esta interpretación es incorrecta: La presunción de licitud de la LOPDGDD no es absoluta y no exime a las empresas de cumplir con el RGPD, en particular con los principios de licitud, exactitud y minimización del tratamiento. Cuando una deuda pierde su exigibilidad, la presunción de licitud desaparece y es necesario realizar un análisis de legitimidad caso por caso. El Tribunal Supremo ha señalado que la inclusión en un fichero de solvencia debe ser proporcional y justificada, lo que no ocurre cuando una deuda ya no puede ser reclamada. En consecuencia, ASNEF-EQUIFAX no puede escudarse en la LOPDGDD para justificar el mantenimiento de deudas exoneradas en sus sistemas. 6. No hay vulneración del principio de interdicción de la arbitrariedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/56 ASNEF-EQUIFAX alega que la postura de esta Agencia sobre la supresión de deudas exoneradas es arbitraria y no está suficientemente fundamentada. No obstante, esta Agencia ha razonado suficientemente su interpretación de los hechos objeto del procedimiento en base a la normativa de protección de datos, tanto del RGPD y la LOPDGDD, como la jurisprudencia del Tribunal Supremo, órgano jurisdiccional que ha respaldado la necesidad de suprimir la información sobre las deudas exoneradas cuando el que mantiene el sistema cuenta con la información suficiente para hacerlo. Por otra parte, no se ha producido indefensión, ya que ASNEF-EQUIFAX tiene la oportunidad de alegar y defender su postura en el procedimiento administrativo. Por todo lo expuesto, la presente alegación queda desestimada. “TERCERA. - SOBRE LA PRESUNTA NEGLIGENCIA DE ASNEF-EQUIFAX.” ASNEF-EQUIFAX niega la negligencia en la atención del derecho de supresión ejercido por la reclamante. En esta alegación, ASNEF-EQUIFAX sostiene que no podía suprimir los datos sin infringir la Ley Concursal, no existió negligencia en su actuación, pues aplicó una baja cautelar de los datos conforme al artículo 44.3 del RD 1720/2007, sus comunicaciones al interesado fueron adecuadas y no obstaculizaron el ejercicio del derecho de supresión, e implementó mejoras en 2023 en sus procedimientos de comunicación con los interesados. No obstante, estos argumentos no resultan suficientes para eximir su responsabilidad en la vulneración del artículo 6 y artículo 17 del RGPD, dado que su actuación impidió que la parte reclamante ejerciera su derecho de supresión de forma efectiva. ASNEF-EQUIFAX argumenta que no podía suprimir los datos por estar en contradicción con el artículo 492 ter.2 de la Ley Concursal, que permite que el deudor solicite la actualización de los registros para dejar constancia de su exoneración. Esta interpretación es errónea porque el derecho a que se deje constancia de la exoneración no puede llevar a un resultado incompatible con el ejercicio del derecho a la supresión cuando los datos ya no son pertinentes ni adecuados para enjuiciar la solvencia del interesado. Una deuda exonerada deja de ser exigible y desaparece, lo que afecta directamente a su validez para su inclusión en un sistema común de información crediticia. El Tribunal Supremo ha señalado que cuando la solicitud de supresión está debidamente documentada, el que mantiene del sistema no puede escudarse en la falta de respuesta del acreedor para denegar la supresión de los datos. Por lo tanto, ASNEF-EQUIFAX tenía la obligación de evaluar la solicitud de la parte reclamante y suprimir sus datos si no concurrían los requisitos exigidos por la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/56 ASNEF-EQUIFAX defiende que aplicó una baja cautelar de los datos al no recibir respuesta del acreedor dentro del plazo establecido en el artículo 44.3 del RD 1720/2007. Cabe señalar que la baja cautelar no puede considerarse una medida suficiente ni equivalente a la supresión definitiva, ya que no garantiza que los datos no vuelvan a aparecer en el sistema posteriormente. Esta medida tampoco garantiza el derecho de supresión del interesado, pues no impide una anotación futura sin antes haber facilitado las explicaciones oportunas al solicitante del derecho de supresión. En consecuencia, la actuación de ASNEF-EQUIFAX al aplicar una baja cautelar sin garantías no constituye una diligencia adecuada en la protección de los derechos del interesado. ASNEF-EQUIFAX argumenta que su actuación fue diligente porque informó a la parte reclamante que sus datos no figuraban en el fichero debido a la baja cautelar. Sin embargo, esta comunicación resulta inadecuada porque no informó que la baja cautelar no equivalía a la supresión definitiva y que los datos podían ser inscritos de nuevo, lo que ocurrió con posterioridad a la primera inscripción hasta en dos ocasiones más. Además, ASNEF-EQUIFAX sostiene que en 2023 implementó mejoras en sus comunicaciones con los interesados para hacer más clara la información sobre la baja cautelar. Si bien la adopción de medidas correctivas es un elemento que puede considerarse en la evaluación de la sanción, no exime de la responsabilidad por la infracción cometida, ya que estas mejoras no subsanan la falta de atención de la solicitud de ejercicio de derecho realizada por la parte reclamante, que no pudo ejercer su derecho de supresión de manera efectiva. Por último, ASNEF EQUIFAX intenta trasladar la responsabilidad de la decisión sobre la supresión de los datos al acreedor, argumentando que, según el artículo 20.2 de la LOPDGDD, la responsabilidad de la exactitud de los datos en los sistemas comunes recae en el acreedor. Como se fundamenta más ampliamente en el Fundamento de Derecho VII de esta resolución, la normativa de protección de datos exige que cada responsable del tratamiento actúe con diligencia al atender el ejercicio de los derechos de los interesados, no puede eximirse de responsabilidad ante la falta de respuesta del acreedor, especialmente cuando se ha presentado documentación suficiente para justificar la inexistencia de la deuda. En este sentido, ASNEF-EQUIFAX tenía la obligación, ante el silencio del acreedor, de actuar y proceder a evaluar la solicitud de supresión, y no simplemente trasladar la decisión al acreedor sin más. Por todo lo expuesto, la presente alegación queda desestimada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/56 “CUARTA. - DE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN IMPUESTA” ASNEF-EQUIFAX argumenta que la sanción es desproporcionada porque la Ley de Segunda Oportunidad tiene una aplicación residual, por lo que los casos de exoneración de deudas son excepcionales. Este argumento es erróneo ya que la excepcionalidad de un caso concreto no exime de responsabilidad cuando el RGPD establece la obligación de atender las solicitudes de ejercicios de derechos de los interesados. Además, lo planteado en este caso no trata de un incumplimiento accidental o meramente puntual, sino del modo en que ASNEF-EQUIFAX gestiona las solicitudes de ejercicio de derechos de los interesados. De acuerdo con los argumentos sostenidos por ASNEF-EQUIFAX, cualquier otro deudor cuya deuda fuera objeto de inscripción en el sistema, vería desatendida su solicitud de su ejercicio de derechos, con independencia de la documentación justificativa de la inexistencia de deuda que pudiera aportar. Por lo tanto, la infracción no puede considerarse aislada en términos de su impacto sobre los derechos de los ciudadanos. ASNEF-EQUIFAX sostiene que esta AGENCIA no ha probado que su actuación afecte a otros interesados más allá de la parte reclamante, lo que invalidaría la aplicación de agravantes. La no atención de la solicitud de supresión presentada por la parte reclamante ante ASNEF-EQUIFAX pone en evidencia una deficiencia en los mecanismos de protección de datos de esta empresa, lo que supone un riesgo para cualquier otro interesado que se encuentre en circunstancias similares. La obligación de garantizar la exactitud y legitimidad del tratamiento de datos es un deber esencial, cuya vulneración no puede minimizarse alegando que solo afecta a un caso concreto. Por otra parte, el hecho de que los datos de la parte reclamante nunca llegaron a ser visibles para terceros, dado que fueron dados de baja cautelar antes del fin del período de bloqueo, no implica que el interesado no sufriera perjuicios al ver truncadas sus expectativas, además de tener que solicitar de forma repetida la supresión de sus datos causándole molestias y un posible desasosiego. Así se recoge en la sentencia de la Audiencia Provincial de Barcelona, de 18 de diciembre de 2024, Rec. 456/2024 en la que se afirma que “el hecho de que la publicación se produjera con desprecio de una resolución judicial de concesión de exoneración del pasivo insatisfecho, que generaba en el demandante una sólida apariencia de que jamás sería inquietado por las deudas que motivaron la declaración de concurso. La publicación de las deudas bajo este estado de hechos era susceptible de generar un especial enojo, desasosiego o incredulidad en el demandante”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/56 Además, ninguna de las conductas constitutivas de infracción imputadas a ASNEFEQUIFAX en el presente procedimiento requieren la visibilidad pública de los datos personales de la parte reclamante. El derecho de a la protección de los datos personales es un derecho fundamental, y el hecho de que la parte reclamante haya tenido que recurrir a la AGENCIA para lograr la supresión de sus datos supone un perjuicio en sí mismo. El hecho de que los datos hayan sido reactivados hasta en dos ocasiones pese a la acción de la parte supone un efecto suficientemente perjudicial debido a la inacción de ASNEF-EQUIFAX. Por lo tanto, la falta de visibilidad pública de los datos no elimina la infracción ni el impacto sobre los derechos del afectado. Por último, la aplicación de circunstancias que agravan la responsabilidad en la comisión de infracciones por ASNEF-EQUIFAX ha sido suficientemente motivadas. La negligencia en la atención de las solicitudes de ejercicio de derechos de los interesados no solo afecta a la parte reclamante, sino que genera un riesgo estructural para todos los afectados que puedan encontrarse en situaciones similares. La propia naturaleza de la actividad de ASNEF-EQUIFAX implica un elevado nivel de responsabilidad en la gestión de datos personales, por lo que el incumplimiento de las garantías exigidas justifica la aplicación de agravantes. La normativa europea y nacional exige una aplicación efectiva y disuasoria de las sanciones, especialmente en sectores donde el tratamiento de datos puede generar consecuencias graves para los interesados. En este sentido, la aplicación de agravantes no convierte la sanción en desproporcionada, sino que responde a la necesidad de garantizar la protección de los derechos de los ciudadanos frente a prácticas negligentes. Por último, ASNEF-EQUIFAX argumenta que debe aplicarse la figura del concurso medial de infracciones porque la infracción del artículo 6.1 del RGPD (incumplimiento de las condiciones que justifican la licitud del tratamiento), solo ocurrió debido a la vulneración del artículo 17 del RGPD (incumplimiento del derecho de supresión). Esta Agencia ha acreditado que el tratamiento de los datos sin base legitimadora se prolongó en el tiempo, lo que constituye una infracción independiente del incumplimiento del derecho de supresión. La situación que propone ASNEF-EQUIFAX carece de sentido y no garantiza el derecho del interesado que no sabe por qué sus datos son dados nuevamente de alta en el sistema, por lo que ASNEF-EQUIFAX debió evitar los tratamientos posteriores o prolongar lo que denomina “cancelación provisional” hasta obtener una respuesta justificada del acreedor. Por todo lo expuesto, la presente alegación queda desestimada. IV Obligación incumplida. Derecho de supresión («el derecho al olvido») El Artículo 17 “Derecho de supresión” del RGPD establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/56 “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
22. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
23. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
24. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
25. d)los datos personales hayan sido tratados ilícitamente;
26. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
27. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
28. a)para ejercer el derecho a la libertad de expresión e información;
29. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
30. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
31. h)e i),