← España

PS-00149-2024

1/108  Expediente N.º: EXP202404644 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: ***ENTIDAD.1 (en adelante, la parte denunciante) con fecha 27 de diciembre de 2022 interpuso denuncia ante la Agencia Española de Protección de Datos en relación a unos hechos que, a su juicio, podían ser susceptibles de infracción en materia de protección datos. En la mencionada denuncia se afirma que, para poder darse de alta como autónomos en el censo de actividades económicas de la AEAT, se exige que los interesados proporcionen el nombre, DNI, teléfono, correo electrónico y dirección, los cuales son tratados como información de interés profesional. Asimismo, deben facilitar los datos al Registro Mercantil. Indica en su escrito que los citados datos, en el caso de trabajadores autónomos que no poseen un domicilio profesional específico, pueden coincidir con datos personales como el domicilio habitual de dichos trabajadores. Sostiene la parte reclamante que, sin embargo, dichos datos son posteriormente tratados por AEAT, CÁMARA, CAMERDATA así como consultoras privadas. Señala que varios datos de los mencionados quedan expuestos libremente en Internet, permaneciendo accesibles a un solo clic mediante buscadores pudiendo generarse, a su juicio, varios incumplimientos de la normativa de protección de datos. Sigue indicando en su escrito que el interés legítimo previsto en el art. 19.2 LOPDGDD para el tratamiento de datos de autónomos únicamente sirve con el fin de mantener relaciones de carácter profesional; sin embargo, se utilizan por CAMERDATA y terceras empresas para publicarlos, indexarlos y realizar campañas de marketing con ellos. De la misma forma afirma que los datos de autónomos están siendo utilizados para finalidades para las que no se ha recibido información en el momento de proporcionarlos a la AEAT. Que tampoco informan correctamente CÁMARA ni toda la restante cadena de empresas que se benefician de estos datos. Indica, asimismo, que se produce un sesgo de los datos publicados en función del poder adquisitivo, siendo más publicados los datos de aquellos autónomos de menor poder adquisitivo. Entre la documentación aportada por la parte reclamante se encuentra: Captura de pantalla de resultados de búsqueda del buscador de GOOGLE tras buscar por nombre y apellidos de un autónomo. Constan resultados correspondientes a las webs de ***URL.1, y ***URL.2 y constan datos ilegibles por estar sombreados, supuestamente correspondientes al nombre y apellidos del autónomo buscado. Manifiesta que al entrar en alguno de esos enlaces se muestra información relativa al nombre y apellidos, DNI, dirección, correo electrónico, teléfono, actividad comercial e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/108 incluso ciertos datos de información financiera o incidencias judiciales y probabilidades de impago. Captura de pantalla de información de la misma persona en una página como resultado de la búsqueda anterior donde destaca el siguiente texto: “[…] es un autónomo cuyo negocio está censado en Marbella, Málaga la actividad CNAE del negocio es comercio al por mayor de productos alimenticios, bebidas y tabaco y su actividad SIC es comestibles en general. Nuestros informes le proporcionarán la información más completa sobre la actividad empresarial de como el NIF, teléfono, dirección en Marbella (Málaga), scoring y calificación de crédito, probabilidad de impago y capacidad máxima de solvencia, incidencias judiciales[…]. Por otro lado nuestros informes investigados sobre la actividad comercial de […] están especialmente indicados para operaciones de riesgo elevado y/o para clientes morosos[…] La información contenida en esta ficha es solo un extracto de toda la información de autónomos y profesionales disponible en ***EMPRESA.1[…] También puede acceder a los informes de los ejecutivos o administradores cuyo nombre coincida con […] (en caso de existir según las publicaciones del Boletín Oficial del Registro Mercantil).” Captura de pantalla de la web de CÁMARA donde consta un resultado de búsqueda del Censo Público de Empresas de dicha entidad, donde consta “Si desea obtener más información, consulte el Fichero de Empresas de Camerdata Online”. Capturas de gráficos correspondientes a un estudio de la publicación de datos en relación a la actividad donde consta que se encuentran publicados más datos de autónomos cuya actividad es comercio al por menor, que el comercio al por mayor. SEGUNDO: Con fecha de 13/04/2023 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones previas de investigación en relación con AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA (en lo sucesivo, AEAT), CAMERDATA, S.A. (en lo sucesivo CAMERDATA) y CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA (en lo sucesivo CDE o CÁMARA) por los hechos que se describen a continuación “[…] En concreto, se denuncia que, desde el momento en que alguien se registra como autónomo dándose de alta en el censo de actividades económicas de la Agencia Estatal de la Administración Tributaria, el nombre, DNI, teléfono, correo electrónico y dirección que se notifiquen son tratados como información de interés profesional. Como consecuencia de este tratamiento, si los datos coinciden con los datos privados, por ejemplo, el caso de aquellos que trabajan desde su domicilio personal, dicha información de trabajadores autoempleados queda expuesta en Internet, fácilmente accesible desde los buscadores. Además de lo anterior, en algunos casos, los datos que aparecen al acceder a alguno de los enlaces, además del nombre y apellidos, DNI, dirección, correo electrónico, teléfono y actividad comercial, se refieren a información financiera o incidencias judiciales y probabilidades de impago, habiendo sido obtenidos del Registro Mercantil, Boletín Oficial del Estado, cámaras de comercio, etcétera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/108 […]” TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 17/10/2023 se comprueba que:

  1. Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42 “Censo de Actividades económicas” consta: “Descripción de la actividad Control fiscal: gestión, liquidación y recaudación del impuesto sobre actividades económicas. Finalidad Aplicación efectiva del sistema tributario estatal y aduanero. Interesados Empresarios, profesionales y artistas Datos NIF/DNI, Nombre y Apellidos, Dirección Información comercial Tratamientos Recogida Registro Almacenamiento Estructuración Modificación Actualización Copia Análisis Consulta Extracción Difusión Interconexión Limitación Supresión Destrucción Otros Destinatarios INE Otros órganos de la Comunidad Autónoma Diputaciones Provinciales Otros órganos de la Administración Local Cámaras de comercio, industria y navegación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/108 Diputaciones forales vascas, Comunidad foral de Navarra […]”
  2. Dentro de la información sobre protección de datos publicada en Internet por la AEAT apartado 3.6 “Destinatarios” consta: “De acuerdo al artículo 95 de la Ley General Tributaria todos los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros. Sin embargo, el artículo 95 de la Ley General Tributaria también establece una serie de casos tasados donde sí se contempla que la Agencia Tributaria pueda ceder o comunicar datos a terceros, que podrán ser de dos tipos: -Cesiones o comunicaciones de datos en casos del tipo la colaboración en el cumplimiento de obligaciones fiscales con otras administraciones públicas, la lucha contra el delito fiscal y contra el fraude en diferentes ámbitos, la colaboración con investigaciones de los órganos judiciales y el ministerio fiscal, el control de la propia actividad de la Agencia Tributaria. En estos casos, de acuerdo con el artículo 6 del Reglamento UE 2016/679 no será necesario recabar el consentimiento expreso del ciudadano, para que se puedan realizar estas cesiones o comunicaciones. Por otro lado, de acuerdo con el artículo 14 del Reglamento UE 2016/670, de producirse una cesión o comunicación no será necesario informar al ciudadano. -Resto de cesiones y comunicaciones que no se contemplan expresamente en el artículo 95, y que son necesarias en el ámbito de la colaboración entre Administraciones públicas para facilitar la prestación de servicios públicos al ciudadano. En estos casos siempre será necesario que la Administración que solicita los datos cuente con el consentimiento expreso del ciudadano. […]”
  3. En la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sedeelectronica/datos-personales.html consta un primer apartado con el hiperenlace con texto “Información sobre protección de datos” que reenvía a la URL del punto siguiente. Consta más abajo en la sección de “Ayuda” otro hiperenlace con texto “Información al interesado sobre protección de datos”.
  4. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-usosede-electronica/datos-personales/informacion-sobre-proteccion-datos.html consta: “Información sobre protección de datos La Agencia Estatal de Administración Tributaria (en adelante “Agencia Tributaria”) responsable de todos los tratamientos de datos de carácter personal que se realicen en el desarrollo de su actividad, salvo que se indique lo contrario en un tratamiento concreto. Estos tratamientos se realizarán sobre los datos de carácter personal de las personas que usan los servicios que ofrece en el desarrollo de su actividad que podrán ser los sujetos obligados tributarios, sus representantes, empleados o empleadas públicos o cualquier otra persona que utilice sus servicios. En adelante nos referiremos a ellas como personas interesadas. En relación con el uso de la web de la Agencia Tributaria por parte de las personas interesadas, se informa de que sus datos de carácter personal sólo podrán obtenerse para su tratamiento cuando sean adecuados, pertinentes y no excesivos, en relación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/108 con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. La Agencia Tributaria realiza estos tratamientos de acuerdo con la normativa vigente en materia de protección de los datos personales, de seguridad de la información y la propia normativa específica que regula su actividad y que recoge todos los aspectos relativos a las condiciones en las que se pueden realizar tratamientos de datos de las personas interesadas. En este sentido, se han adoptado las medidas técnicas y organizativas necesarias para evitar la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales. Las medidas adoptadas tienen en cuenta el estado de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos y se revisan periódicamente para garantizar su adaptación a nuevas situaciones o escenarios de riesgo. La Agencia Tributaria, como responsable de todos los tratamientos de los datos de carácter personal de las personas interesadas y de acuerdo con los requisitos de información al mismo recogidos en el artículo 14 del Reglamento (UE) 2016/679, indica a continuación la información básica relativa a estos tratamientos:”. Y asimismo consta: a. En “Finalidad” consta exclusivamente: “Aplicación efectiva del sistema tributario estatal y aduanero” b. En el apartado de “Destinatarios” consta exclusivamente: “Otras administraciones públicas del ámbito nacional e internacional” c. En “Procedencia” consta exclusivamente: “De la misma persona interesada, de otras Administraciones Públicas, de otras personas físicas distintas a la interesada, de entidades privadas, de registros públicos y de fuentes accesibles al público.” Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 02/11/2023, el Delegado de Protección de Datos de la AEAT remite a esta agencia la siguiente información y manifestaciones:
  5. Que en relación a la información sobre datos aportados al censo de empresarios, profesionales y retenedores (modelos 036 y 037) y la cesión de estos datos a CÁMARA, manifiesta que se proporciona: a. A través del registro de actividades del tratamiento “tratamiento 5.1 Censo” en la URL https://sede.agenciatributaria.gob.es/Sede/todasgestiones/procedimientos-notributarios/tratamiento-datospersonales/tratamiento-datos-personales/informacioninteresado-sobreproteccion-datos/5-registro-actividades-tratamiento/5_1-censo.html b. Cuando se cumplimentan los modelos 36 y 37 aparece el texto en la pantalla de "firmar y enviar": "De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, se informa que los datos personales que va a facilitar serán tratados por la Agencia Estatal de Administración Tributaria con la finalidad de la aplicación efectiva del sistema tributario estatal y aduanero. Podrá encontrar más información sobre los posibles tratamientos, cesiones y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/108 procedimiento para ejercer los derechos establecidos en los artículos 15 a 22 del reglamento en el siguiente enlace (https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sedeelectronica/datos-personales.html)" c. Que, además, en la sede electrónica se encuentra disponible el registro de información suministrada, en las URL siguientes: https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA 02/drIAE_CamCom08.pdf
  6. Que en relación a los datos cedidos manifiesta que se encuentran en el Anexo I del Convenio firmado entre AEAT y CÁMARA accesible en https://www.boe.es/buscar/doc.php?id=BOE-A-2019-18316 .Se comprueba, conforme a dicho Convenio y la Ley 4/2014, que los datos cedidos conforme al art. 8 de la Ley 4/2014 son “Datos censales de empresas” y “Datos del Impuesto sobre Actividades Económicas”.
  7. Que la cesión de los datos censales para elaborar el censo de empresas, según art. 8 Ley 4/2014 no requiere de consentimiento del interesado ya que se realizan en base a la obligación legal establecida en dicho artículo.
  8. Que, asimismo, en el art. 22.3 del Real Decreto 669/2015, de 17 de julio, por el que se desarrolla la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación, en relación al censo electoral se menciona: “
  9. La Agencia Estatal de Administración Tributaria, así como las otras administraciones territoriales competentes en materia tributaria colaborarán con los órganos de gobierno de las Cámaras para proporcionarles la información necesaria para la elaboración y constitución de los censos, garantizando que solo tendrán acceso a dicha información los empleados de cada Cámara que determine el pleno con el obligatorio deber de sigilo respecto de dichos datos. A tal efecto, la Agencia Estatal de Administración Tributaria suministrará la información que se desprenda del censo del Impuesto sobre Actividades Económicas junto con los datos de las empresas que sean necesarios y que obren en otros censos que ésta elabora y gestiona, en particular el Censo de Empresarios, Profesionales y Retenedores.”
  10. Que “Respecto a la información habilitada a ceder relativa al Impuesto sobre Actividades Económicas (IAE) y la que tenga carácter censal, entendiendo por tal a la contenida en el Censo de Empresarios, Profesionales y Retenedores cuyo contenido se establece en el art. 5 del Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e inspección tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación de los tributos, se realiza sólo para la elaboración del censo público de empresas.”
  11. Que en el protocolo de intercambio de información de IAE ubicado en https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt ercambioIAE2006.pdf se menciona que los datos transferidos solo pueden ser utilizados para los supuestos que contempla la normativa y no para otros usos. Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente información y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/108
  12. Que, en relación a los autónomos, tratan los siguientes datos, entre otros: “NIF”: Significado: Número de identificación fiscal Origen del dato: Censo público de empresas publicado por CÁMARA conforme a los dispuesto en la Ley 4/2014 (en adelante Censo público de empresas). Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “nombre empresa” Significado: Manera en la que se identifica la empresa respecto a sus obligaciones formales, normalmente con los agentes que se relaciona, como Seguridad Social, Hacienda, proveedores o clientes. Conocido como Razón social. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “email genérico” Significado: Correo electrónico de contacto general de la empresa. Origen del dato: Kompass, a través del enriquecimiento de datos del censo público de empresas. Se cede a: A clientes finalistas que lo solicitan para su uso exclusivo interno. “dirección” Significado: Dirección de la empresa formado por nombre de vía, número de vía y resto de dirección. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/108 “código postal” Significado: Código postal de la dirección de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. “municipio” Significado: Población de la dirección de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. “provincia” Significado: Provincia de la dirección de la empresa. Origen del dato: DMOVO. Se obtiene en el proceso de normalización de direcciones cada vez que se carga un nuevo censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “teléfono” Significado: Número de teléfono de contacto general de la empresa. Origen del dato: INFORMA y ***EMPRESA.
  13. Se obtiene en el proceso de enriquecimiento de datos del censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/108 denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “Tipo empresa” Significado: Forma jurídica de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “Género empresa” Significado: Indicador del tipo de nombre de la empresa. Origen del dato: DMOVO. Se obtiene en el proceso de normalización de nombres cada vez que se carga un nuevo censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, ***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. Aporta un extracto de su base de datos relativo a 500 registros donde, en la columna “Nombre empresa” constan datos de nombres y apellidos, en la columna “Tipo empresa” consta “11 AUTONOMO”, en la columna “Dirección” constan datos relativos a nombre de vía, número de vía en todos los registros y en parte de los registros también piso y puerta. Consta asimismo en la columna “Género Empresa” una “V” o “M” dependiendo de si el nombre dentro de la columna “Nombre empresa” se considera de varón o de mujer.
  14. Que tratan datos de un total de 1.665.049 autónomos, aunque no todos los registros tienen informados todos los datos.
  15. Sobre el sector de empresas infomediarias manifiesta: a. Recopilan, analizan, transforman y tratan información del sector público/privado para crear productos de valor añadido destinados a terceras empresas o ciudadanía en general, sirviendo para la toma eficaz de decisiones. b. Que las entidades que se valen de sus servicios y productos son todas las entidades del IBEX35, todas las entidades financieras, administraciones públicas, entre ellas las fuerzas y cuerpos de seguridad del Estado, pymes y empresarios individuales para sus actividades comerciales y empresariales, cualquier ente obligado a acceder a la información por cumplimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/108 diferentes leyes que así se lo exigen, así como cualquier ciudadano o entidades sin ánimo de lucro. c. “Las empresas del sector infomediario operan en el mercado desde hace más de dos décadas, siendo vital en su desempeño la reutilización y distribución de la información que libremente se puede obtener de las diferentes fuentes públicas existentes en su más amplio concepto y contexto. En un mundo en el que tanto el acceso como la transparencia de la información son clave para la seguridad en cualquier operación mercantil, las empresas de este sector son el referente que dota de la necesaria seguridad al tráfico mercantil global y actúa como una pieza imprescindible en el impulso de la economía general mediante la aplicación de las mejores técnicas del tratamiento de la información en aras de garantizar la calidad, seguridad, veracidad y fiabilidad de la misma. La labor de las empresas infomediarias debe considerarse, por tanto, como de interés público general. Adicionalmente, es importante destacar la labor que se realiza para las Pymes, como parte esencial del tejido empresarial español. Así, por un lado, se permite que empresarios individuales, con reducidos recursos, puedan utilizar sistemas de información de alto valor añadido, sin tener que asumir costes individuales elevados por la consulta directa a la fuente de origen, respecto de sus clientes y proveedores y por otro lado, también se facilita que su propia información empresarial sea accesible a sus proveedores y entidades financiera en aras a promover su actividad y operaciones mercantiles. El sector infomediario es cada vez más indispensable a la hora de agilizar y mejorar la gestión de los negocios, y el impacto directo de las oportunidades generadas es mayor tanto a nivel económico como político y/o social. Además, este sector interactúa con el resto de sectores, generando valor en muchas de sus actividades, por lo que a la hora de valorar dicho sector hay que tener en cuenta que crece tanto en vertical, como el resto de los sectores, como también en horizontal, siendo esta innegable transversalidad compleja de valorar. La actuación del sector infomediario tiene un impacto directo no solo en la comunidad de la información, sino también muy relevante en la actividad empresarial y en la ocupación en la economía española. Según datos tomados del Informe del Sector Infomediario presentado el pasado 14 de abril del 2023: - A 31 de diciembre de 2019 existían 700 empresas Infomediarias activas identificadas en España. -Las ventas agregadas del ejercicio 2019 de las 591 empresas infomediarias de las que se disponen de datos financieros ascendió a 2.543.042.052 €. - El número agregado de empleados del ejercicio 2019 de las 588 empresas de las que se disponen de datos de empleados ascendió a 21.
  16. -El capital suscrito conjunto a 31 de diciembre de 2020 de las 700 empresas identificadas como infomediarias ascendía a 311.911.961€.” d. Que las principales fuentes de datos de las que se valen las empresas del sector para la creación de los servicios y productos que prestan a la sociedad son: • Boletines Oficiales, del Estado, de comunidades autonómicas y Provinciales. • Boletín Oficial del Registro Mercantil y de la Propiedad Intelectual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/108 • Censo público de empresas de las Cámaras de Comercio, regulado por Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación. • Información abierta, no protegida, del Catastro inmobiliario según Texto Refundido de la Ley del Catastro Inmobiliario (TRLCI), aprobado por Real Decreto Legislativo 1/2004, de 5 de marzo. • Guías y Repertorios profesionales. • Guías de abonados a servicios de telefonía. • Cualquier fuente referenciada por las propias Administraciones públicas en el catálogo opendata bajo la Iniciativa de datos abiertos del Gobierno de España.
  17. Sobre la información aportada a los interesados según art. 14 RGPD manifiesta: a. Se considera un esfuerzo desproporcionado según art. 14.5.b y considerando 62 RGPD y según Informe WP260.rev01 17/ES (última revisión de 11 de abril de 2018) el enviar una comunicación a cada interesado para notificarle el tratamiento como autónomo o empresario individual. i. Que hay 1.665.049 autónomos en la base de datos de CAMERDATA que cabría notificar lo cual es un costo inasumible. ii. Que según presupuesto de MEYDIS S.L. y Sociedad Estatal de Correos y Comunicaciones S.A. las labores de manipulación, distribución, materiales de las comunicaciones ascienden a 9.409.000€ y 4.266.900€ respectivamente. Aporta copia de presupuestos de MEYDIS, S.L. de fecha 01/07/2021 donde consta la cantidad de “1.600.000”. No consta un precio total. Aporta copia de presupuestos de CORREOS donde no consta el presupuesto antes mencionado, sí consta el texto “PRESUPUESTO CAMERDATA, CAMPAÑA COMUNICACIÓN 2021” y “PRESUPUESTO TOTAL PARA 1.650.000 ENVÍOS”. iii. Que CAMERDATA tiene unos ingresos anuales em 2019, 2020, 2021, 2022 de 941.238,83 €, 836.093,46 € , 885.999,51 € , 895.950,29 € respectivamente. Aporta copia de auditorías de cuentas anuales a fechas 31/12/2019, 31/12/2020, ejercicio 2021, 31/12/2022 con las mencionadas cifras en el apartado de “
  18. Importe neto de la cifra de negocios”. a. Que debido a este esfuerzo desproporcionado han iniciado un proceso de publicación en las webs de las cámaras de comercio del texto siguiente, que actualmente está publicado en la Cámara de Comercio de Madrid, Valencia, Barcelona, Sabadell, Girona, Alicante, Castellón. “Información para trabajadores autónomos relativa a la protección de datos personales Mediante la presente comunicación se informa, a toda persona que tenga la condición de trabajador autónomo, del tratamiento de sus datos personales por parte de Camerdata y de las empresas asociadas a ASEDIE que están sujetas a su código de conducta del sector infomediario de protección de datos que se relacionan: ***EMPRESA.1, ***EMPRESA.3, ***EMPRESA.5, Informa y también ***EMPRESA.
  19. Los datos tratados por CAMERDATA y las empresas relacionadas, han sido recabados por CAMERDATA de forma legítima y obtenidos de un Censo oficial elaborado por organismo público, correspondiendo a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/108 persona sujeto pasivo de los datos (el trabajador autónomo) en el ejercicio de una actividad de las recogidas en el Real Decreto de 2007 (RD 475/ 2007). El tratamiento de estos datos tiene por finalidad el envío de comunicaciones comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser de su interés, así como la información comercial sobre la actividad empresarial llevada a cabo por el Autónomo. Si usted desea ejercer sus derechos de acceso, rectificación, supresión, limitación de su tratamiento u oposición al tratamiento de sus datos de contacto, puede dirigir su solicitud a las direcciones que se indican a continuación. Le recordamos que puede ejercer su derecho de oposición a la recepción de comunicaciones comerciales de forma centralizada, utilizando los servicios de la Lista Robinson en: https://www.listarobinson.es/: Empresas asociadas a ASEDIE que están sujetas a su Código de conducta CAMERDATA, S.A. Avda. Diagonal, 452, 3ª planta, 08006 en Barcelona o enviando un email a: informacion@camerdata.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de CAMERDATA utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de CAMERDATA en el siguiente enlace: https://www.camerdata.es/politica-privacidad ***EMPRESA.
  20. ***DIRECCIÓN.1, s/n, Edificio ***EMPRESA.1 - (...) o enviando un email a: dpd@***EMPRESA.1.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de ***EMPRESA.1 utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de ***EMPRESA.1 en el siguiente enlace: https://www.***EMPRESA.1.es/informacion-tratamientos-rgpd ***EMPRESA.3 ***DIRECCIÓN.2 o enviando un email a: dpd@***EMPRESA.3.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de ***EMPRESA.3 utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de ***EMPRESA.3 en el siguiente enlace: https://www.***EMPRESA.3.es/politica-de-privacidad/ ***EMPRESA.5 ***DIRECCIÓN.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/108
  21. o enviando un email a: infogdpr@***EMPRESA.5.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de ***EMPRESA.5 utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de ***EMPRESA.5 en el siguiente enlace: https://www.***EMPRESA.5.es/aviso-legal#section6 INFORMA S.A. Avenida de la Industria, 32, 28108 - Alcobendas (Madrid) o enviando un email a: clientes@informa.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de INFORMA utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de INFORMA en el siguiente enlace: https://www.informa.es/textos-legales Empresa No asociada a ASEDIE ***EMPRESA.4 ***DIRECCIÓN.4, o enviando un email a: sac@***EMPRESA.4.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de ***EMPRESA.4 utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de ***EMPRESA.4 en el siguiente enlace: https://www2.***EMPRESA.4.es/ederechos/asnef_20024.html.” c. Incorporar dicho texto anterior a boletines y newsletters que las Cámaras editen periódicamente consiguiendo con ellos una mayor difusión de la información. d. Que se tiene intención, iniciando en el año 2024 y posteriormente con periodicidad anual, de llevar a cabo la difusión del texto informativo en varios periódicos de mayor circulación en España. e. Que considera que con estas medidas se cumplen los criterios para validar la excepción de la obligación de informar individualmente. Sobre el código de conducta de ASEDIE manifiesta: “[…] En desarrollo de sus funciones estatutarias, ASEDIE ha elaborado el Código de Conducta del Sector Infomediario (en adelante, Código de Conducta o Código). En la elaboración del Código ha tenido en cuenta la opinión de los principales actores que intervienen de una forma u otra en el sector infomediario, sobre todo de los asociados, tanto en la faceta jurídica como en la de negocio, pero también de consultores y otras personas con conocimiento de los aspectos relevantes del sector. La necesidad de la seguridad jurídica y el reforzamiento del compromiso de los asociados con el cumplimiento normativo en materia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/108 protección de datos, entendido como un requisito ineludible de negocio, han llevado a los órganos estatutarios de ASEDIE a considerar necesario promover el Código de Conducta. El Código establece un marco general que debe ser cumplido necesariamente por todas las empresas asociadas a ASEDIE. En todo caso, cualquier actuación derivada del cumplimiento del Código de Conducta se realizará en estricto cumplimiento de la normativa vigente, en especial, de la normativa de defensa de la competencia y de la normativa que resulte de aplicación a la protección de datos de carácter personal. En la elaboración y mejora del Código, ASEDIE ha contado con una importante colaboración e implicación por parte de la AEPD, si bien han existido discrepancias que han llevado a la Asociación a impugnar en vía contenciosa la denegación de la aprobación del Código. […]” Con fecha 22/01/2024 se obtiene de Internet el contenido en estado borrador del código de conducta de ASEDIE el cual se incorpora al expediente mediante diligencia.
  22. Que en relación al tratamiento que supone la base de datos de empresas en el caso de autónomos, manifiesta que: a. “La finalidad concreta del tratamiento es la elaboración de un sistema o servicio de información de empresas con datos de calidad para la promoción, directa o indirecta, de los bienes o servicios de una empresa, organización o persona que realice una actividad empresarial o profesional, sea en su propio nombre o en nombre de un tercero.” b. Que se basan en interés legítimo, y manifiesta: “Camerdata realiza el tratamiento de datos personales de personas físicas en cuanto relativos a su condición de empresarios individuales o profesionales liberales, es decir, concernientes exclusivamente a su actividad empresarial. En tales casos, se presume amparado por el interés legítimo conforme al artículo 6.1 f) RGPD, salvo prueba en contrario, siempre que cumplan los siguientes requisitos: (i) Que el tratamiento se refiera únicamente a los datos necesarios para las finalidades indicadas en el punto b.- de esta respuesta, que permita a los clientes de los responsables, o a ellos mismos, mantener relaciones con el interesado en el contexto del desarrollo empresarial o profesional de la actividad que el interesado explote o realice, respectivamente, como empresario individual o como profesional liberal. A estos efectos, se considerará lícito el tratamiento amparado en dicho artículo 6.1 f) del RGPD bajo la ponderación hecha más adelante. (ii) El tratamiento se realice conforme lo establecido en el artículo 19 de la LOPDGDD, es decir siempre que se cumplan los siguientes requisitos: - Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional. - Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el interesado preste sus servicios, o con la actividad empresarial o profesional desempeñada por el empresario individual o profesional liberal. El interés legítimo previsto en los apartados anteriores se extiende, por cumplirse dichos requisitos, al supuesto de que los datos sean tratados para informar estrictamente sobre la actividad económica desempeñada por empresarios individuales y profesionales liberales, y que ayuden a la toma de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/108 decisiones a terceros clientes de los responsables del tratamiento a los efectos de contactar, iniciar y mantener relaciones empresariales o profesionales, favoreciendo con ello la promoción y desarrollo empresarial o económico. No quedará amparada por la presunción de interés legítimo establecido en los casos (i) y (ii) el uso de los datos para tratamientos que tenga como finalidad entablar una relación con los interesados en su faceta personal, no empresarial o profesional. Fuera de estos dos supuestos, conforme a lo establecido en el Considerando

(47)y el art. 6.1.
  1. f)del RGPD, cuando se trate estos datos fuera del alcance, los criterios y/ o las finalidades indicadas, el responsable del tratamiento, o el tercero por cuenta de quien actúe aquel, deberá haber llevado a cabo una ponderación propia entre su interés legítimo y los intereses, derechos y libertades de los interesados, que determine que el tratamiento pretendido no vulnera esos intereses, derechos y libertades del interesado, debiendo en todo caso aplicar las medidas de seguridad necesarias. Interés legítimo del responsable o de los terceros. La existencia de un interés legítimo por parte de Camerdata y de sus clientes (a los que presta los servicios relacionados con la finalidad del tratamiento) para el tratamiento de los datos personales indicados, tiene su fundamento en la necesidad de conocer los datos identificativos de los empresarios individuales y profesionales liberales, como un dato necesario dentro del conjunto total de datos empresariales o profesionales que se ofrecen en los diferentes productos y servicios de información que comercializa Camerdata. Datos que son relevantes para las relaciones comerciales o profesionales de los interesados y que solo pueden ser tratados para esos fines, de tal manera que no pueden ser utilizados para relaciones directas con las personas físicas. El interés legítimo de Camerdata sería doble. Por un lado, el que deriva de su vertiente de fuente de financiación, propio de toda actividad empresarial, y, por otro lado, contribuir al desarrollo y fomento de las relaciones empresariales o profesionales, ofreciendo un sistema de información de calidad a los actores del tejido empresarial y a los particulares, dando cobertura a la seguridad jurídica demandada por las partes de cualquier relación mercantil o contractual en su operativa en el mercado, dando, con ello, satisfacción a un interés económico y social general. En efecto, hay que señalar que Camerdata obtiene los datos de fuentes públicas y el tratamiento que realiza sobre ellos obedece al objetivo de incrementar la calidad de los datos y ofrecer así a los clientes interesados un sistema de información de empresas que operan en todo el territorio nacional, cumpliendo, con ello, un interés general para el sector empresarial. En el tratamiento de datos por parte de Camerdata subyace también un interés legítimo de sus clientes y de los propios interesados, que necesitan conocer esta información, bien para dar a conocer sus servicios y productos, bien para ofrecerlos a terceros o bien para realizar operaciones mercantiles o profesionales con terceros, o incluso para poder ejercitar las oportunas acciones legales que en su caso les correspondan. Por otro lado, cada vez más el acceso, conocimiento y valoración de dichos datos empresariales viene impuesto por ley, por ejemplo, por la Ley 10/2010 de prevención del blanqueo de capitales y la financiación del terrorismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/108 Nos encontramos, por tanto, ante un tratamiento de datos empresariales que garantiza de forma general el interés legítimo de cualquier tercero de conocer esta información. Cabe destacar, una vez más, que las fuentes de obtención de la información, que se tratan para estas finalidades, tienen la consideración de públicas en su más amplio sentido, bien porque la publicación de los datos responde a la exigencia y aplicación de una norma legal que exige que dicha información sea conocida y accesible para todo el mundo, o bien por haber sido hecha manifiestamente pública por el propio interesado. Derechos y libertades fundamentales de los interesados: Los derechos y libertades fundamentales de los interesados son los generales que requieren la protección de datos personales, sin que haya ninguno que específicamente destaque en esta situación particular. En todo caso, los mismos no se verán vulnerados por el tratamiento expuesto en este documento, por cuanto: 1º. La información de los interesados objeto del tratamiento se ceñirá únicamente a la tipología de datos empresariales o profesionales, y para las finalidades y según el alcance expuesto en este documento. 2º. Los datos se han obtenido fuentes públicas. 3º. Se garantiza el ejercicio de los derechos de los interesados regulados en los artículos 15 a 22 del RGPD. Además, los propios interesados tienen interés en el tratamiento de sus datos empresariales o profesionales, pues pueden acceder a la base de datos de Camerdata para contactar con terceros empresarios o profesionales para el ofrecimiento de sus servicios y productos, y tienen interés en ser localizados por terceros que acceden a la base de datos de Camerdata para iniciar relaciones comerciales. A mayor abundamiento y en cumplimiento del principio de minimización de datos (art. 5.1.c RGPD UE) los datos tratados, relacionados en el punto 1 del presente escrito de respuesta, son pertinentes, adecuados y limitados a los estrictamente necesarios para la finalidad para la que son tratados. Resultado de la ponderación: 1º - El tratamiento de esta información es lícito: El tratamiento de los datos es necesario para conseguir las finalidades empresariales y económico-sociales que se pretenden. 2º - Las fuentes de obtención de la información tienen la consideración de fuentes públicas en su más amplio sentido, bien porque la publicación de los datos responde a la exigencia y aplicación de una norma legal que requiera que dicha información sea conocida y esté accesible al público en general. En este sentido, los datos se podrán obtener de las siguientes fuentes:
  2. a)Fuentes públicas: Principalmente, las que se han citado anteriormente.
  3. b)Datos que el interesado hubiese hecho manifiestamente públicos. Se entenderá que este tipo de datos pueden ser objeto del tratamiento, sobre la base de licitud del interés legítimo, en la medida en que el art. 9.2. apartado
  4. e)del RGPD permite tratar datos de categorías especiales de datos por el hecho de que el interesado los haya hecho manifiestamente públicos, por lo que con mayor razón se podrán tratar datos que no comprendan dichas categorías, como es el caso de los tratamientos de datos que realizarán los responsables del tratamiento.
  5. c)Cualesquiera otras fuentes públicas siempre que su tratamiento no esté impedido por normativa legal o por derechos de legítimo autor o beneficiario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/108 del fichero de procedencia de los datos, y el responsable del tratamiento haya llevado a cabo previamente a la construcción del fichero una ponderación entre su interés legítimo o el del tercero a los que se preste el servicio y los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales. En el tratamiento de las fuentes públicas a que se refiere este párrafo, los responsables del tratamiento cumplirán con los principios del tratamiento del art. 5 del RGPD. 3º - Las categorías de datos que se tratan son mínimamente invasivos en el derecho a la intimidad del interesado, pues son datos ceñidos al desempeño de una actividad empresarial o profesional, sin que en ningún momento existan datos de su esfera familiar, ni mucho menos datos de categorías especiales de datos (artículo 9 RGPD). Por lo demás, la base de datos de empresas de Camerdata no refiere ninguna información crediticia ni sobre solvencia patrimonial. 4º - Es parte del interés legítimo que se considera para el tratamiento de esta información el perjuicio que supondría para el interés general del tráfico mercantil el no tratar esta información, en los términos expuestos dada la seguridad jurídica que aportan en cualquier transacción del mercado. La inexistencia de referencias informativas sobre la actividad empresarial de estos interesados en el mercado tendría como consecuencia directa repercusiones claramente negativas en la actividad económica, con el consiguiente perjuicio a la actividad económica general. 5º - El principio a la libre circulación de los datos, establecido y amparado por la propia normativa europea en la materia (RGPD). 6ª - Las finalidades pretendidas para el tratamiento de estos datos por Camerdata no difieren de las que tienen las fuentes de procedencia de los datos, la publicidad registral de los Registro oficiales y el censo público de empresas de las Cámaras de Comercio, (fuentes principales de obtención de esta información), pues persiguen ofrecer a los consultantes la transparencia y seguridad jurídica necesarias. Este hecho, junto a la amplia y reconocida existencia en el mercado y en la sociedad en general de sistemas de información empresarial, influyen directamente en la existencia de una expectativa razonable, por parte de los interesados, sobre la posibilidad de que los datos de su desempeño empresarial o profesional puedan llegar a ser tratados. En ocasiones, son los propios interesados quienes directamente hacen pública la información o permiten su difusión porque tienen interés en que se conozcan sus datos de contacto y actividades empresariales o profesionales. 7º.- En el caso de los datos que sean públicos por cualquier causa, la Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011 (asuntos acumulados C-468/10 y C-469/10) indica, en sus Considerandos
(44)y
(45), que cuando los datos figuran en fuentes accesibles al público, el responsable del tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos, no acceden a datos relativos a la vida privada del interesado, dado que la información ya es de público conocimiento. Como consecuencia, hay un impacto menor en los derechos del interesado, lo que debe ser apreciado en su justo valor en la ponderación con el interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/108 7. Que en relación al tratamiento que supone la cesión de la base de datos de empresas en el caso de autónomos a terceras entidades, manifiesta que se basan en interés legítimo y la finalidad tal y como se indica en el punto anterior. Aporta copia de contrato fechado a 15/02/2016 y firmado entre CAMERDATA y CÁMARA donde consta que (se añade subrayado): a. CÁMARA es la cedente y CAMERDATA es la cesionaria. b. “[…] V. Sobre la base de los indicados datos que recibe de las Administraciones públicas colaboradores (que actualmente son la Agencia Estatal de la Administración Tributaria, la Agencia Diputación Foral de Navarra y las Cámaras de Comercio del País Vasco), la Cámara de Comercio de España elabora el censo público de empresas bajo la denominación de "Censo Básico de Empresas", garantizando la confidencialidad en el tratamiento y el uso exclusivo de la información recibida. […]” c. “Que la información empresarial es una de las áreas tradicionales donde las Cámaras de Comercio, con arreglo a sus funciones y finalidades, han venido ofreciendo servicios a las empresas. Con el fin principal de gestionar adecuada y coordinadamente dichos servicios, el ahora extinguido Consejo Superior de Cámaras de Comercio (hoy sustituido por la Cámara de Comercio de España) y las Cámaras de Comercio constituyeron en 1985 la mercantil CAMERDATA, S.A., entidad instrumental cameral para el desarrollo de dicha actividad. Según el artículo 4 de los Estatutos sociales de CAMERDATA, S.A., el objeto social de la misma consiste en el desarrollo y explotación de un sistema de información empresarial y las aplicaciones derivadas del mismo.” d. “[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un sistema de información empresarial denominado "Fichero de Empresas Españolas", que es una base de datos diferente del "Censo Básico de Empresas" elaborado por la Cámara de Comercio de España, si bien para desarrollarlo está interesada en obtener una copia de la información empresarial del "Censo Básico de Empresas". e. “[…] Primera. Objeto. Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez, recibe y adquiere para sí, una copia de la totalidad de los datos empresariales obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual contiene los campos de información que se indican en el Anexo 1 de 3.160.984 Registros de Empresas. A estos efectos se entiende por Registro de Empresa todos los campos de información del Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos Cedida, tomándose como identificador de dicho registro el NIF de las mismas. […] Segundo. Finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/108 La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y los tratará, completará y enriquecerá en los términos convenidos en el presente Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros interesados como base de datos de información de las empresas que operan en territorio español. […]” f. Consta en el Anexo 1, los campos de “NIF de la empresa”, “nombre o denominación social de la empresa”, “domicilio principal”, “domicilio de actividad”, “sección actividad IAE”, “actividad IAE”. g. “Segundo.- Finalidad. La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y los tratará, completará y enriquecerá en los términos convenidos en el presente Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros interesados como base de datos de información de las empresas que operan en territorio español.” h. “12.2.- Asimismo manifiesta la Cedente que la Base de Datos Cedida y sus actualizaciones contiene datos relativos a empresarios individuales y a datos de personas físicas que prestan sus servicios a personas jurídicas, relativos únicamente al nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales, todo ello de conformidad con lo dispuesto en el artículo 2 del RLOPD.” i. En el ANEXO 2 al contrato de cesión de 15/02/2016 con las “Condiciones de la cesión de la Base de Datos Cedida” consta que: i. “Que los datos incluidos en la Base de Datos Cedida y sus actualizaciones se obtienen del censo público de empresas que regula la Ley 4/2014 elaborado por la Cedente bajo la denominación de Censo Básico de Empresas.” ii. Obligaciones de CAMERDATA: “B) Obligaciones de la Cesionaria b. 1) La Cesionaria se obliga a incorporar la información de la Base de Datos Cedida en el Fichero de Empresas Españolas y a tratarla y comercializarla en los términos convenidos en el Contrato y sus Anexos. b.2) La Cesionaria se compromete a tener siempre actualizados los datos empresariales del Fichero de Empresas Españolas y a tal efecto se obliga a: (i) Adquirir de la Cedente todas las actualizaciones de la Base de Datos Cedida que ésta realice periódicamente dentro de los quince
(15)días laborables siguientes a la fecha en que reciba la comunicación escrita al efecto de la Cedente. (ii) A no ceder ni comercializar la Base de Datos Cedida ni sus actualizaciones, y a no realizar más copias que las de seguridad. (iii) Incorporar en el Fichero de Empresas Españolas la información de los Registros de Empresa de la Base de Datos Cedida actualizada dentro de los treinta
(30)días laborales siguientes a la fecha en que la reciba de la Cedente y a tratarla en los términos que se indican en el siguiente párrafo b.4). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/108 (
  1. iv)Efectuar dicha actualización sobrescribiendo el Fichero de Empresas Españolas con la información de la Base de Datos Cedida actualizada por cada Código Administración remitido. En consecuencia, la Cesionaria quedará obligada a suprimir del Fichero de Empresas Españolas la información de la Base de Datos Cedida entregada anteriormente relativa a dichos Códigos Administración, la cual quedará completamente sustituida y sin efecto, y sin que la Cesionaria pueda usar dicha información para la finalidad del Contrato ni para ninguna otra; únicamente podrá conservarla bloqueada a disposición de las Administraciones públicas, Jueces y Tribunales para la atención de las posibles responsabilidades que eventualmente se deriven del tratamiento y comercialización de dicha información durante el plazo de prescripción de éstas. b.3) La Cesionaria únicamente podrá informar a los terceros interesados de que la fuente de información del Fichero de Empresas Españolas referente a los campos del Anexo I del Contrato se corresponde con la del Censo Básico de Empresas cuando dicho fichero haya incorporado la información de la última Base de Datos Cedida actualizada de la Cedente. En caso contrario, no podrá informar dicha fuente. b.4) Recibida la Base de Datos Cedida o la actualización de la misma, la Cesionaria procederá a: (
  2. i)Homogeneizar nombres y direcciones expresados en diferentes elementos (a modo de ejemplo: calle / rua / Kale / carrer, homogeneizando todas ellas a calle) sin que ello suponga modificar el contenido esencial de la información empresarial contenida en dicha Base de Datos Cedida. (
  3. ii)Incorporar la información de la Base de Datos Cedida o sus actualizaciones tratada de esta forma al Fichero de Empresas Españolas propiedad de la Cesionaria. b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y comercializa tendrá las siguientes características: (
  4. i)El registro de la empresa y los campos de la misma de la Base de Datos Cedida indicados en el Anexo 1 del Contrato. Los restantes campos de dicho Fichero incluidos por la Cesionaria no modificarán, alterarán ni contradecirán los campos de la Base de Datos Cedida y sus actualizaciones. (
  5. ii)Campos desarrollados por la Cesionaria a partir de algoritmos creados por ella misma. (iii) Campos aportados por la Cesionaria: como Forma jurídica, actividad principal, sede social, sucursales, actividad negocial. (
  6. iv)Campos aportados por otras fuentes legítimas y actualizadas: Nombre comercial, teléfono, fax, CNAE, web, fecha constitución, número de empleados, volumen de negocio, importaciones/exportaciones, cargos (hasta 5 cargos con nombre y apellidos), género de la empresa (para distinguir cuando se trata de autónomos no sección 2 0 3), coordenadas geodésicas (en 3 sistemas universales) u otros. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/108 Aporta copia de contrato fechado a 29/09/2022 y firmado entre CAMERDATA e INFORMA D&B, S.A. (en adelante INFORMA) donde consta que: a. INFORMA facilita a CAMERDATA información de empresas que conste en su base de datos con el fin de que CAMERDATA pueda incluirla en su base de datos y comercializarla. Que dicha información comprende, entre otros datos, CIF, nombre de la empresa, dirección completa, teléfono de la empresa, ventas. Asimismo, INFORMA facilita a CAMERDATA el fichero FIBAEMP PRENORMALIZADO con el fin de que CAMERDATA pueda incluirlo en su base de datos y comercializarla entre sus clientes. Consta como contenido de dicho fichero los datos de CIF/NIF, nombre o razón social, estado de la empresa y fecha del dato, CNAE, web y fecha del dato. b. CAMERDATA facilita a INFORMA el fichero de empresas españolas (FIBAEMP) con el fin de que INFORMA pueda incluir en su fichero dicha información y comercializarla entre sus clientes. Consta que entre esos datos se incluyen, CIF/NIF, nombre o razón social (en los empresarios individuales), IAE, domicilio completo (calle, municipio, provincia), teléfonos. Asimismo, CAMERDATA facilita a INFORMA el fichero FIBAEMP PRENORM con el fin de que INFORMA pueda realizar el tratamiento para devolver a CAMERDATA el fichero FIBAEMP PRENORMALIZADO. Consta como contenido de dicho fichero FIBAEMP PRENORM los datos de CIF/NIF, nombre o razón social, IAE (actividad económica). c. CAMERDATA autoriza a INFORMA a comercializar su base de datos de empresarios individuales a la empresa BVD. d. Que BVD únicamente podrá utilizar la información para: “Servicios de marketing. Enriquecimiento de NIF (dado un documento se devolverán los campos que se soliciten provenientes de la base de datos entregada). Elaboración de informes comerciales y de negocio del empresario individual en su faceta empresarial, nunca en lo relativo a su actividad personal. Segmentación en procesos de venta y pricing Prestación de servicios de prevención de fraude relativos a la validación de información e identificadores Servicios de solvencia patrimonial y crédito (servicios de Analytics Scores) en su faceta empresarial.” e. “SEPTIMA. PROTECCIÓN DE DATOS 7.1 En el suministro de información entre las partes Ambas partes se someten expresamente al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de Abril de 2016 (en adelante, RGPD), a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), a la Ley 34/2002 de 11 de julio, de servicios de la sociedad de la información y comercio electrónico (en adelante, LSSI) y a restante normativa aplicable en esta materia. A estos efectos CAMERDATA declara que los datos que comunica al amparo del presente Acuerdo (fichero Camerdata) contienen datos personales de empresarios individuales (interesados) relacionados con la actividad mercantil de los mismos, y nunca con su ámbito privado, y, que se trata de un tratamiento lícito en los términos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/108 del Articulo 6.1.
  7. f)del RGPD y, en la medida en que CAMERDATA garantiza que los mismos provienen de lo que se ha venido conociendo como fuentes de acceso público, CAMERDATA garantiza que los mismos podrán ser utilizados para entablar una relación con dichos interesados en su condición de empresarios individuales. De igual manera, INFORMA declara que los datos que facilita al amparo del presente Acuerdo (Fichero Informa) contienen datos personales de personas de contacto (interesados), relacionados con su localización profesional y con la finalidad de mantenimiento de relaciones de cualquier índole con la persona jurídica en la que el interesado preste sus servicios, y nunca con su ámbito privado, y que se trata de un tratamiento lícito en los términos del artículo 6.1.
  8. f)del RGPD y, en la medida en que INFORMA garantiza que los mismo provienen de lo que se ha venido conociendo como fuentes de acceso público y encuestas telefónicas a las propias empresas, de forma tal que INFORMA garantiza que los mismos podrán ser utilizados para contactar con los interesados, siempre que la finalidad sea mantener relaciones de cualquier índole con la persona jurídica en la que el interesado presta sus servicios. Que tanto INFORMA como CAMERDATA son responsables de sus respectivas políticas de privacidad sobre los datos y las adaptarán, en su caso, a los requerimientos establecidos en la normativa para garantizar el cumplimiento de la legislación aplicable. Asimismo, como consecuencia de la cesión por parte de CAMERDATA a INFORMA de los datos contenidos en el Fichero Camerdata, INFORMA pasará a ser considerada como responsable del tratamiento de los mismos, comprometiéndose a cumplir con cuantas obligaciones legales le correspondan como tal. Adicionalmente, como consecuencia de la cesión por parte de INFORMA a CAMERDATA de los datos contenidos en el Fichero Informa, CAMERDATA pasará a ser responsable del tratamiento de los mismos, comprometiéndose a cumplir con cuantas obligaciones legales le correspondan como tal. […]” Con fecha 16/11/2023 se comprueba que: 1. En la URL https://sede.agenciatributaria.gob.es/Sede/todasgestiones/procedimientos-notributarios/tratamiento-datos-personales/tratamientodatos-personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividadestratamiento/5_1-censo.html no existe ningún contenido. 2. En la URL https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml y en https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA E_CamCom08.pdf consta información sobre el “Diseño de Registro del Fichero del Impuesto sobre Actividades Económicas para las Cámaras de Comercio para la entrega del fichero Anual del ejercicio 2008 y siguientes” donde consta una tabla descriptiva de los datos intercambiados donde se incluyen los datos, entre otros, de “NIF”, “Apellidos y Nombre o razón social”, “domicilio fiscal actual”, “domicilio tributario” (dentro del cual se encuentra también el dato “teléfono”). 3. En el BOE de 20 de diciembre de 2019, al que se puede acceder a través del enlace https://www.boe.es/boe/dias/2019/12/20/pdfs/BOE-A-2019-18316.pdf, consta (se añade subrayado): “CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/108 LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICOADMINISTRATIVAS […] Primera. Objeto del Convenio. 1. El presente Convenio tiene por objeto establecer un marco general de colaboración sobre las condiciones y procedimientos por los que se debe regir la cesión de información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia Tributaria) a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Cámaras) y a la Cámara Oficial de Comercio, Industria, Servicios y Navegación de España (en adelante, Cámara de Comercio de España), preservando en todo caso los derechos de las personas a que se refiera la misma. 2. El presente Convenio se entiende sin perjuicio del intercambio de información que pueda tener lugar entre la Agencia Tributaria y las Cámaras conforme al Ordenamiento Jurídico en supuestos distintos de los regulados por el mismo; […] […] Segunda. Finalidad de la cesión de información. La cesión de información procedente de la Agencia Tributaria tendrá como finalidad exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el ejercicio de las mismas, la normativa reguladora exija la aportación de una certificación expedida por la Agencia Tributaria o la presentación, en original, copia o certificación, de las declaraciones tributarias de los interesados o de cualquier otra comunicación emitida por la Agencia Tributaria, en particular en el caso de no obligados a declarar. En estos supuestos, la información que debe constar en tales documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte necesaria para el ejercicio de tales funciones y se refiera a un elevado número de interesados o afectados. En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar por las Cámaras. La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de las empresas tendrá como finalidad exclusiva la elaboración del censo público de empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014 Básica de las fundamentos Oficiales de Comercio, Industria, Servicios y Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que hace referencia el artículo 17 de la misma Ley. Tercera. Autorización de los interesados en la información suministrada. La cesión de información tributaria deberá contar con la previa autorización expresa de los interesados, según lo establecido en el artículo 95.1.
  9. k)de la LGT, en los términos y con las garantías que se establecen en el artículo 2.4 de la Orden del Ministerio de Economía y Hacienda de 18 de noviembre de 1999. No obstante, la cesión de los datos del Impuesto sobre Actividades Económicas y los censales de las empresas impuesta por el artículo 8 de la citada Ley 4/2014 no requerirá la previa autorización de los interesados. Cuarta. Destinatarios de la información suministrada. La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a los órganos de la Cámara de Comercio de España y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión, incluidos los órganos de fiscalización competentes en la medida en que, por aplicación de su propia normativa, participen en los procedimientos a que se refiere la cláusula segunda del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/108 Convenio. En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen funciones distintas de las descritas en la cláusula segunda de este Convenio. Todo ello sin perjuicio de la estricta afectación de la información remitida por la Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia Tributaria. […] Séptima. Cesión de información. 1. Para el cumplimiento de las finalidades descritas en la cláusula segunda se establecen los suministros de información que se recogen en el Anexo I al presente Convenio. […] Octava. Control y seguridad de los datos suministrados. […] 2. Se establecen los siguientes controles sobre la custodia y la utilización de la información suministrada al amparo de este Convenio:
  10. a)Control interno por parte del ente cesionario de la información. Las Cámaras realizarán controles sobre la custodia y utilización que de los datos recibidos realicen las autoridades, funcionarios o resto de personal dependientes de ellas, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la cláusula decimotercera del presente Convenio de los resultados obtenidos en dicho seguimiento. Contarán con una política de seguridad de la información, un análisis y gestión de riesgos y una asignación explícita de responsabilidades en materia de seguridad adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de seguridad a la información suministrada por la Agencia Tributaria. Impedirán el acceso a la información suministrada por parte de personal no autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo. Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que concurra algún conflicto de intereses. Así como medidas que aseguren el cumplimiento de las condiciones que sustentan cada una de las cesiones. […] Novena. Tratamiento de datos personales. En el caso de que la información incorpore datos personales de los interesados, tanto el cedente, la Agencia Tributaria, como el cesionario, la Cámara de Comercio de España y las Cámaras, tratarán los datos de acuerdo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Los datos tratados en este Convenio tienen la categorización de información tributaria. En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de la Dirección General. En el caso de los cesionarios de los datos, la Cámara de Comercio de España y las Cámaras, el Responsable del Tratamiento a los efectos del Reglamento General de Protección de Datos será la persona que designe cada Cámara. Décima. Obligación de sigilo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/108 1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los datos o información suministrados en virtud de este Convenio estarán obligados al más estricto y completo sigilo respecto de ellos. La violación de esta obligación implicará incurrir en las responsabilidades penales, administrativas y civiles que resulten procedentes, así como el sometimiento al ejercicio de las competencias que corresponden a la Agencia de Protección de Datos. […] ANEXO I AL CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICO-ADMINISTRATIVAS […] […] ANEXO III El presupuesto para la celebración y ejecución del presente Convenio es la condición de Administración pública, tanto de la Cámara Oficial de Comercio, Industria, Servicios y Navegación de España como de las propias Cámaras Oficiales, destinándose el suministro de información a realizar por la Agencia Estatal de Administración Tributaria, en todo caso, al ejercicio de funciones públicas. Las funciones públicas a desarrollar por la Cámara Oficial de Comercio, Industria, Servicios y Navegación se relacionan directa e indirectamente en las letras
  11. d)a
  12. i)del artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación: Artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación: «1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España desarrollará las siguientes funciones:
  13. d)Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1 del artículo 5 de esta Ley.
  14. e)Informar, con el carácter y el alcance previstos en la legislación vigente, los anteproyectos de leyes o disposiciones estatales de cualquier rango que afecten directamente al comercio, la industria, los servicios y la navegación.
  15. f)Asesorar a la Administración General del Estado, en los términos que ésta establezca, en temas referentes al comercio, la industria, los servicios y la navegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/108
  16. g)Desempeñar las funciones público-administrativas que se le atribuyan, cuando afecten al conjunto del Estado.
  17. h)Gestionar en los términos previstos en los acuerdos con el Ministerio de Economía y Competitividad las actuaciones previstas en el Plan Cameral de Internacionalización y en el Plan Cameral de Competitividad.
  18. i)Desempeñar funciones de mediación y arbitraje mercantil, nacional e internacional, de conformidad con lo establecido en la legislación vigente». […] Artículo 5 de la Ley 4/2014, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación: «1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tendrán las siguientes funciones de carácter público-administrativo: […]
  19. g)Gestionar, en los términos del artículo 8 de esta Ley, un censo público de todas las empresas, así como de sus establecimientos, delegaciones y agencias radicados en su demarcación. […]” 4. Que en la URL https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt ercambioIAE2006.pdf consta el “PROTOCOLO DE INTERCAMBIO DE INFORMACION DEL I. A. E. ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y ENTIDADES LOCALES / CÁMARAS DE COMERCIO” donde consta: “[…] Por otra parte, la información del censo del Impuesto sobre Actividades Económicas, así como las altas bajas o variaciones del mismo, es necesaria para la Cámaras de Comercio en la gestión de las exacciones integradas en el Recurso Cameral Permanente, motivo por el que a partir del ejercicio 2006 se utilizará el mismo procedimiento telemático para proporcionar esta información a las Cámaras de Comercio. […] 5. PETICIÓN DE FICHEROS DE I.A.E. Aunque la Agencia Tributaria está obligada al suministro de la Información del I.A.E. a todas las entidades locales que tengan competencias gestoras y/o recaudatorias en dicho impuesto y a las Cámaras de Comercio para la gestión y Recaudación de las exacciones integradas en el Recurso Cameral, este procedimiento se basa en una solicitud previa de la información deseada, cosa que aunque pueda parecer un obstáculo, aporta varias e importantes ventajas, como son: • Las entidades locales y Cámaras de Comercio pueden solicitar el tipo de información que deseen, en cualquier momento, y cuantas veces lo estimen oportuno. Las peticiones así efectuadas quedan registradas automáticamente en el Registro de Entrada de Datos de la AEAT, lo que permite un seguimiento posterior de la petición. […] ANEXO II. Modelo de autorización para el intercambio telemático de información de IAE. […] la información solicitada será utilizada exclusivamente para los fines conferidos por la normativa del impuesto sobre actividades económicas a este ayuntamiento/organismo , sin que puedan utilizarse en perjuicio del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/108 o afectado, ni cedidos a terceros, salvo en los casos expresamente previstos por la ley" […]“ Con fecha 21/11/2023 se comprueba que: 1. Que en el Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e inspección tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación de los tributos, en su art. 5, consta que “En el Censo de Empresarios, Profesionales y Retenedores, además de los datos mencionados en el artículo 4 de este reglamento, para cada persona o entidad constará la siguiente información” y en el art. 4 constan como datos los siguientes: “Artículo 4. Contenido del Censo de Obligados Tributarios. 1. Los datos que se incluirán en el Censo de Obligados Tributarios serán para las personas físicas los siguientes:
  20. a)Nombre y apellidos, sexo, fecha de nacimiento, lugar de nacimiento, estado civil y fecha del estado civil.
  21. b)Número de identificación fiscal español.
  22. c)Número de identificación fiscal de otros países, en su caso, para los residentes.
  23. d)Código de identificación fiscal del Estado de residencia, en su caso, para no residentes.
  24. e)Número de pasaporte, en su caso.
  25. f)Condición de residente o no residente en territorio español.
  26. g)Domicilio fiscal en España y la referencia catastral del inmueble, salvo que no esté obligado a ello de acuerdo con la normativa que le sea de aplicación.
  27. h)En su caso, domicilio en el extranjero.
  28. i)Nombre y apellidos o razón social o denominación completa y número de identificación fiscal de los representantes legales para las personas que carezcan de capacidad de obrar en el orden tributario […]” Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 21/11/2023, CÁMARA remite a esta agencia la siguiente información: 1. “La base de datos del censo público de empresas de la Cámara de España lo integran, conforme al artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014), las personas jurídicas y físicas, nacionales o extranjeras, que ejerzan actividades comerciales, industriales, de servicios y navieras en territorio nacional. Se incluyen únicamente aquellas actividades económicas de empresas, personas físicas y jurídicas, cuya actividad se halle en alguno de los epígrafes de las Divisiones números 1 a 9, ambas inclusive, de la Sección Primera del Anexo I del Real Decreto Legislativo 1174/1990, de 28 de septiembre, por el que se aprueban las tarifas y la instrucción del Impuesto sobre actividades Económicas, y que no hayan causado baja. El origen de los datos que integran el censo público de empresas de la Cámara España son los datos del Impuesto de Actividades Económicas y los censales de las empresas que sean necesarios cedidos por la Agencia Estatal de la Administración Tributaria, en virtud del Convenio de 25 de noviembre de 2019, suscrito entre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/108 Administración Tributaria y la Cámara de España para la cesión de información de carácter tributario a las Cámaras Oficiales de Comercio, industria, Servicios y Navegación españolas para el cumplimiento de sus finalidades y el ejercicio de sus funciones público-administrativas, que ha sido prorrogado mediante adenda de fecha 19 de diciembre de 2023. Asimismo, también tienen su origen en los datos del Impuesto de Actividades Económicas cedidos por la Diputación Foral de Navarra y en los cedidos por las Cámaras de Comercio del País Vasco.[…]” 2. Que el número total de autónomos o empresarios individuales o personas físicas que constan actualmente en el censo público de empresas es de 1.459.498. 3. Que los datos que contiene el censo público de empresas de CÁMARA son: NIF/CIF Nombre, primer apellido, segundo apellido. Dirección postal de la actividad económica. Código postal de la actividad económica. Provincia de la actividad económica. Municipio de la actividad económica. Descripción de la actividad económica ejercida. Aporta extracto de la base de datos donde constan estos datos, entre otros. 4. “[…]Los campos relacionados anteriormente se proporcionan únicamente a CAMERDATA, S.A., como entidad mercantil constituida por múltiples Cámaras de Comercio españolas y por la Cámara de España, para su inclusión en su Fichero de Empresas Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de forma legítima y disponer de una base de datos de calidad de las empresas que operan en territorio español para poder ofrecerla empresas y a terceros interesados. […]” 5. Que respecto a la obligación de información del art. 14 RGPD, no le resulta de obligación, según el art. 14.5 c). Que la obtención de datos está expresamente establecida por la Ley 4/2014 y a las funciones público-administrativas que ésta atribuye a CÁMARA. Manifiesta que el art. 3 Ley 4/2014 establece: “Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tienen como finalidad la representación, promoción y defensa de los intereses generales del comercio, la industria, los servicios y la navegación, así como la prestación de servicios a las empresas que ejerzan las indicadas actividades. Asimismo, ejercerán las competencias de carácter público que les atribuye esta Ley y las que les puedan ser asignadas por las Administraciones Públicas con arreglo a los instrumentos que establece el ordenamiento jurídico. […]" Que el art. 5.1 Ley 4/2014 establece las funciones público-administrativas de CÁMARA: “
  29. g)Gestionar, en los términos del artículo 8 de esta Ley, un censo público de todas las empresas, así como de sus establecimientos, delegaciones y agencias radicados en su demarcación.
  30. j)Impulsar actuaciones dirigidas al incremento de la competitividad de las pequeñas y medianas empresas, y fomentar la innovación y transferencia tecnológicas a las empresas. (...) " Y que el art. 8 Ley 4/2014 establece en relación al citado censo: "Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación elaborarán un censo público de empresas del que formarán parte las personas físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades comerciales, industriales, de servicios y navieras en territorio nacional (...)." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/108 Que el art. 21.1 Ley 4/2014 dispone las siguientes funciones: "[…]
  31. a)Promover los intereses generales del comercio, la industria, los servicios y la navegación, en el ámbito estatal.
  32. b)Representar al conjunto de las Cámaras ante las diversas instancias estatales e internacionales.
  33. c)Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras españolas.
  34. d)Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1 del artículo 5 de esta Ley. […]” 6. Que “la obtención de los datos que integran el censo público de empresas (relacionados en el punto anterior) y su tratamiento para la elaboración de un censo público de todas las empresas, sean personas físicas o jurídicas, constituye el desempeño de una función público-administrativa de las Cámaras de Comercio españolas y que la Cámara de España ejerce, en el ámbito estatal y en coordinación con las Cámaras de Comercio, para el cumplimiento de las finalidades camerales, promoviendo así los intereses generales del comercio, la industria, los servicios y la navegación e impulsando, en particular, actuaciones dirigidas al incremento de la competitividad de las pequeñas y medianas empresas (en gran parte, autónomos).” 7. Que la legitimación para el tratamiento que supone el censo público de empresas es la obligación legal, según art. 5.1.g y 8 de la Ley 4/2014, así como el interés público. Y manifiesta: “[…] Sin perjuicio del ejercicio de su función público-administrativa de elaborar un censo público de empresas, con su gestión la Cámara de España también cumple un objetivo o misión de interés público o general que (i), de un lado, es inherente a sus funciones propias del artículo 21.1.
  35. d)de la Ley 4/2014, en relación con las finalidades camerales del artículo 3 de la misma Ley, como es la promoción de los intereses generales del comercio, la industria, los servicios y la navegación y del desarrollo empresarial y económico, y la función principal de prestación de servicios a todas las empresas que ejerzan dichas actividades, entre ellos, los servicios de información empresarial, reforzando así su papel de apoyo a las pequeñas y medianas empresas en el ámbito del incremento de su competitividad (párrafo 12, apartado l, del Preámbulo de la Ley 4/2014), y que (ii), de otro lado, se halla implícito en la función públicoadministrativa consistente en impulsar actuaciones dirigidas al incremento de la competitividad de las pequeñas y medianas empresas (artículo 5.1.
  36. j)de la Ley 4/2014). En este sentido, el Preámbulo de la Ley 4/2014 (párrafo 6, apartado
  37. l)destaca el objetivo o misión de interés público de las finalidades, funciones y actividades de las Cámaras de Comercio: "Conscientes de su importancia y necesidad como instituciones básicas para el desarrollo económico y empresarial de nuestro país, se mantiene su naturaleza como corporaciones de derecho público, garantizando el ejercicio de las funciones público-administrativas que, en e/ actual contexto económico, tienen una especial relevancia de cara a la regeneración del tejido económico y la creación de empleo y se consagra su finalidad de representación, promoción y defensa de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/108 8. 9. intereses generales del comercio, la industria, los servicios y la navegación, así como la prestación de servicios a todas las empresas.” La Ley 4/2014 atribuye a la Cámara de España el ejercicio y cumplimiento de funciones de interés público o general -a/ tratarse de funciones de carácter público- administrativo, entre las que se encuentra la elaboración y gestión de un censo público de empresas, necesario para el cumplimiento de sus finalidades y el ejercicio de las demás funciones público-administrativas camerales. Así, la Ley 4/2014 determina la finalidad del tratamiento y su necesidad para el cumplimiento de una misión realizada en interés público. De este modo, tanto la necesidad del tratamiento de datos realizado, como las finalidades de interés público, vienen impuestas por una norma con rango de Ley.” Respecto a la finalidad del tratamiento manifiesta: “La finalidad del tratamiento que realiza la Cámara de España reside en la promoción de los intereses generales del comercio, la industria, los servicios y la navegación y del desarrollo empresarial y económico y la función principal de prestación de servicios a todas las empresas que ejerzan dichas actividades, entre ellos, los servicios de información empresarial, reforzando así su papel de apoyo a las pequeñas y medianas empresas, impulsando así actuaciones dirigidas al incremento de su competitividad. Con la gestión del censo público de empresas se ofrece al público en general y a las empresas, en particular, un sistema o servicio de información de empresas con el objetivo de dar mayor transparencia y seguridad al tráfico jurídico mercantil, ayudando al desarrollo económico y empresarial y, cumpliendo, con ello, un interés público general para el sector empresarial y profesional y la creación de empleo. Finalidad de la que participan los propios interesados, los autónomos o empresarios individuales, que tienen interés en formar parte de esa base de datos tanto para ser localizados por terceros interesados en sus productos y servicios, como para acceder a su vez a esa base de datos para ofrecerlos a terceros.” En relación a la cesión de los datos a CAMERDATA manifiesta: “La Cámara de España proporciona los datos del censo público de empresas a Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima y disponer de una base de datos de calidad de las empresas que operan en territorio español para poder ofrecerla empresas y a terceros interesados. La base de legitimación del tratamiento de los datos del censo público de empresas por Camerdata se ampara en que el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales (artículo 6.1.
  38. f)del RGPD). En este sentido, se contribuye al desarrollo y fomento de las relaciones comerciales e industriales, disponiendo así de un sistema de información empresarial de calidad para los actores del tejido empresarial, impulsando el desarrollo económico y empresarial y confiriendo a una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un interés general. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/108 En el tratamiento de los datos del censo público de empresas por parte de Camerdata subyace también un interés legítimo de los propios empresarios, que necesitan disponer de esta información bien para conocer los servicios y productos de otros empresarios o bien dar a conocer los suyos a terceros. Derechos y libertades fundamentales de los interesados: Los derechos y libertades fundamentales de los interesados son los generales que requieren la protección de datos personales, sin que haya ninguno que específicamente destaque en esta situación particular. En todo caso, los mismos no se verán vulnerados por el tratamiento de los datos del censo público de empresas, por cuanto: 1º. La categoría de datos personales tratados se limita a los del censo público de empresas de la Cámara de España y para finalidades acordes con las propias de su elaboración. 2º. Los datos que se tratan son los contenidos en el censo público de empresas, base de datos de acceso público en la web de la Cámara de España. 3º. Se garantiza en todo momento el fácil ejercicio de los derechos de los Interesados regulados en los artículos 15 a 22 del RGPD UE. Resultado de la ponderación: 1º - El tratamiento se considera lícito. 2º - Los datos que se tratan son datos públicos, de acceso al público en general en la web corporativa de la Cámara de España. 3º - Las categorías de datos tratados son mínimamente invasivos del derecho a la intimidad del interesado, pues son datos ceñidos al desempeño por el interesado de una actividad empresarial, sin que en ningún momento existan datos de su esfera familiar, ni mucho menos datos de categorías especiales de datos (artículo 9 RGPD). 4º - El principio a la libre circulación de los datos, establecido y amparado por la propia normativa europea en la materia (RGPD). 5º - Las finalidades pretendidas por el tratamiento de los datos por parte de Camerdata son acordes y compatibles de las que tiene el censo público de empresas de las Cámaras de Comercio, pues persiguen disponer de un sistema de información empresarial de calidad para los actores del tejido empresarial, impulsando el desarrollo económico y empresarial y confiriendo a una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un interés económico general. […]” Con fecha 22/03/2024 se comprueba, respecto de un autónomo elegido al azar extraído de los listados aportados por CAMARA y CAMERDATA, que: 1. Se realiza una búsqueda en www.google.es por el nombre y apellidos de un autónomo, constando resultados de la web ***URL.1. 2. Que en la web ***URL.1 constan datos exclusivamente de nombre y apellidos, código postal, provincia, municipio, año de inicio de actividad, actividad, SIC, CNAE. Consta que los datos han sido obtenidos de fuentes públicas por ***EMPRESA.1. Consta también que para ampliar más información sobre el autónomo se ofrece un enlace a la web de ***URL.2. Pinchando en ese enlace se redirige a la web de ***URL.2 y se muestran exclusivamente los datos de nombre y apellidos, código postal, municipio, provincia, CNAE, SIC e información sobre su actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/108 Asimismo, consta en la web de ***URL.2 el texto “Nuestros informes le proporcionarán la información más completa sobre la actividad empresarial de […] como el NIF, teléfono. dirección en Molledo (Cantabria), scoring calificación de crédito, probabilidad de impago y capacidad máxima de solvencia. incidencias judiciales....”. 3. Buscando con el buscador www.google.com por el nombre y apellidos de ese autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, se ofrecen resultados de búsqueda que pinchando en ellos redirige a la web de einforma.com y donde constan datos de nombre, apellidos, localidad y provincia sobre personas físicas. Que más en detalle constan datos de nombre y apellidos, código postal, provincia, municipio, actividad, SIC, CNAE. Además, en la web einforma.com consta, un enlace con “Acceda al informe ampliado de esta empresa”. Asimismo, consta el texto “elnforma, marca de INFORMA D&B S.A.U. (S.M.E.), es el líder en el mercado Español de información de empresas e informes de empresas. Contamos con una base de datos de empresas de más de 500 millones de registros de empresas, donde podrás buscar empresas de todo el mundo, más de 7 millones de agentes económicos nacionales y acceso a Prospecta.” 4. Buscando con el buscador www.google.com por el nombre y apellidos de ese autónomo y restringiendo los resultados de búsqueda al dominio ***EMPRESA.1.es, no se ofrecen resultados de búsqueda. 5. Que en la web de censo.camara.es realizando una búsqueda por el campo nombre e introduciendo el nombre y apellidos del mismo autónomo anterior, se ofrecen resultados con los datos de nombre y apellidos, dirección postal, código postal, provincia, municipio y actividad. A su vez se ofrece un enlace al fichero de empresas de Camerdata Online (www.camerdata.
  39. es)para obtener más información. Con fecha 22/03/2024 se comprueba que: 1. En el apartado 5.1. “censo” del registro de actividades del tratamiento de la AEAT ubicado en https://sede.agenciatributaria.gob.es/Sede/todasgestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamientodatos-personales/informacion-interesado-sobre-proteccion-datos/5-registroactividades-tratamiento/5_1-censo.html consta: “Descripción de la actividad Gestión y obtención de información de contribuyentes, ya sean personas físicas o jurídicas. Para ello, se tratan la mayoría de los datos censales, incluyendo el histórico de los mismos. Finalidad. Aplicación efectiva del sistema tributario estatal y aduanero Interesados Contribuyentes y obligados Cualquier español o extranjero con DNI, NIE (DGP) o NIF (AEAT) Datos. DNI y datos asociados al documento, Nombre y Apellidos, Dirección, Teléfono, Correo electrónico, fax, teléfono móvil, estado civil y en su caso cónyuge o excónyuge, país de nacimiento, provincia de nacimiento, población de nacimiento, fecha de nacimiento, nacionalidad, pasaporte, sexo, tipo de administración al que está adscrito el contribuyente, número de identificación fiscal en Administración fiscal extranjera, número de identificación del ayuntamiento, número de identificación electoral, número de hoja padronal, nombre del padre, nombre de la madre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/108 Transacciones de bienes y servicios. Obligaciones tributarias. […] Destinatarios. Organismos SS Órganos CCAA CCAA Órganos Admón. Local Diputaciones Provinciales Diputación Foral Navarra Agencia Tributaria Diputaciones Forales Vascas Cámara Comercio […]” CUARTO: Con fecha 12 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD y Artículo 14 del RGPD, tipificada en el Artículo 83.5.
  40. b)del RGPD y Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: Previa: Nulidad de pleno derecho de las actuaciones INFORMA solicita la nulidad de pleno derecho del procedimiento sancionador, conforme al artículo 47.1
  41. a)de la Ley 39/2015, argumentando que el acto administrativo incurre en un vicio invalidante que causa indefensión. Alega que el Acuerdo de Inicio solo menciona expresamente la infracción del artículo 6.1 del RGPD, pero en la parte resolutiva se propone la imposición de dos sanciones, una por dicho artículo y otra por la supuesta infracción del artículo 14 del RGPD, sin que en el acuerdo se haya incoado formalmente procedimiento sancionador por esta última infracción. Esta discrepancia, a juicio de INFORMA, vulnera el principio de seguridad jurídica y el derecho a la defensa, ya que no se ha exteriorizado debidamente la fundamentación que justifique la imputación del artículo 14 del RGPD, impidiendo así a la entidad conocer con precisión el alcance de la acusación y articular una defensa efectiva. En consecuencia, sostiene que el acto administrativo incurre en un defecto grave que genera indefensión, en contravención del artículo 24 de la Constitución Española, que consagra el derecho a la tutela judicial efectiva. Para reforzar su argumentación, cita el Auto 6/1987, de 9 de enero, del Tribunal Constitucional, que establece que la prohibición de indefensión del artículo 24 de la CE no solo es aplicable a los procedimientos judiciales, sino también a determinados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/108 procedimientos administrativos. Con base en ello, INFORMA solicita la nulidad del procedimiento sancionador, al considerar que la falta de coherencia entre el acuerdo de inicio y la resolución sancionadora ha vulnerado sus derechos y ha impedido su defensa en condiciones de igualdad y seguridad jurídica. Subsidiariamente, INFORMA argumenta que la imposición de dos sanciones independientes por la vulneración de los artículos 6.1 y 14 del RGPD vulnera el principio de tipicidad, al considerar que ambas infracciones se derivan de una única conducta sancionable. Sostiene que la AEPD ha utilizado el presunto incumplimiento del deber de información como fundamento para desestimar el interés legítimo como base de legitimación, por lo que, a su juicio, no sería posible sancionar simultáneamente la falta de base legal y la falta de información, dado que la segunda infracción estaría ya subsumida en la primera. Primera alegación: Base legal para el tratamiento de datos (Artículo 6.1 del RGPD) INFORMA afirma que ha participado activamente en la elaboración del Código de Conducta del Sector Infomediario (CCSI), que ha sido objeto de negociación con la AEPD desde 2016. Resalta que, a pesar de los esfuerzos del sector por establecer un marco de autorregulación, el presente procedimiento sancionador fue iniciado sin previo aviso ni requerimiento por parte de la Agencia, lo que considera contradictorio con el proceso de diálogo que había mantenido durante años con la autoridad de control. Indica que el procedimiento sancionador tiene su origen en una denuncia presentada por Institut per a la cultura democràtica a l’era digital – Associació Conservas, en la que se cuestiona el tratamiento de los datos de empresarios individuales obtenidos del censo de actividades económicas de la AEAT y cedidos a la Cámara de Comercio, Camerdata y otras empresas. Según la denuncia, estos datos estarían siendo utilizados para fines distintos a los previstos en el artículo 19.2 de la LOPDGDD, como su publicación en Internet o el envío de campañas de marketing. La denunciante también sugiere que, si los datos declarados por los autónomos en la AEAT coinciden con su domicilio personal, su difusión podría suponer una vulneración de su privacidad. INFORMA rechaza estas acusaciones, destacando que la propia AEPD, en sus conclusiones de investigación, no ha podido constatar la publicación indiscriminada de información de autónomos ni la existencia de un sesgo en los datos tratados. Además, subraya que su plataforma no muestra públicamente el domicilio social de los autónomos, incluso en búsquedas explícitas, lo que desmontaría la principal preocupación planteada en la denuncia. A su vez, critica que no se le haya dado acceso al contenido íntegro de la denuncia, lo que, a su entender, genera una situación de indefensión, en contra de lo establecido en el artículo 53 de la Ley 39/2015 sobre los derechos de los interesados en los procedimientos administrativos. En cuanto a la admisión a trámite de la denuncia y las actuaciones previas de investigación, INFORMA cuestiona que la AEPD haya optado por abrir un procedimiento sancionador en lugar de aplicar el artículo 65.3 de la LOPDGDD, que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/108 permite inadmitir la reclamación o advertir previamente al responsable del tratamiento para que adopte medidas correctivas. Asimismo, considera que la AEPD podría haber recurrido al artículo 65.4 de la LOPDGDD, que prevé que, antes de iniciar un procedimiento formal, se consulte al organismo supervisor de códigos de conducta o al delegado de protección de datos para buscar soluciones más proporcionadas. INFORMA también critica que la investigación de la AEPD se haya limitado al flujo de datos desde la AEAT hasta Camerdata, excluyendo expresamente el tratamiento realizado por terceros como INFORMA, lo que considera contradictorio con la posterior incoación del procedimiento sancionador contra su empresa. Denuncia que no se ha practicado prueba alguna sobre su tratamiento de datos y que el procedimiento se ha basado únicamente en meras suposiciones. Además, señala que las actuaciones previas de investigación superaron el plazo máximo de 12 meses previsto en el artículo 67.2 de la LOPDGDD, lo que refuerza su argumento de que la apertura del procedimiento sancionador se ha producido sin un análisis probatorio suficiente. Sobre la naturaleza del censo público de empresas, INFORMA sostiene que su finalidad es claramente pública y que su acceso está reconocido por la Ley 4/2014, que encomienda a las Cámaras de Comercio su elaboración. Afirma que la información en bruto obtenida de la AEAT está sujeta a un deber de confidencialidad, pero que una vez procesada para la creación del censo, su acceso es público. Rechaza la interpretación de la AEPD de que el censo ha de permanecer restringido, argumentando que la propia normativa anterior reconocía su naturaleza de fuente de acceso público y que la AEPD ha sostenido esta misma postura en resoluciones previas. INFORMA también defiende que su acuerdo de colaboración con Camerdata está basado en un tratamiento lícito de datos personales, amparado en el interés legítimo conforme al artículo 6.1.
  42. f)del RGPD y el artículo 19.2 de la LOPDGDD. Argumenta que Camerdata no solo suministra datos a INFORMA, sino que también recibe información de esta, lo que desmentiría la idea de una simple cesión unidireccional. Además, insiste en que su ejercicio de ponderación del interés legítimo ha sido riguroso y concluyente en cuanto a la prevalencia de su interés sobre los derechos de los interesados. En cuanto a la posición de la AEPD, INFORMA critica que la Agencia haya cambiado su criterio sin justificación, ya que en resoluciones previas ha considerado lícito el tratamiento de información obtenida de fuentes de acceso público, incluyendo el censo de empresas. Cita como ejemplos resoluciones previas en las que la AEPD ha archivado reclamaciones contra su empresa, validando su base de legitimación y ponderación del interés legítimo. También destaca que el Gabinete Jurídico de la AEPD, en 2021, reconoció la validez del tratamiento en el marco del procedimiento de aprobación del Código de Conducta del Sector Infomediario. Finalmente, INFORMA señala que la AEPD ha contratado servicios de empresas infomediarias para acceder a información económica y financiera, lo que considera una contradicción flagrante, ya que demuestra la necesidad y utilidad de este tipo de información en el mercado. Muestra como evidencia una licitación de 2024 en la que la AEPD adjudicó a ***EMPRESA.1 un contrato para la obtención de datos mercantiles, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/108 incluyendo información de autónomos, lo que refuerza la legitimidad del sector infomediario. En conclusión, INFORMA argumenta que el procedimiento sancionador se ha abierto de forma precipitada y sin pruebas suficientes, cuestiona la interpretación restrictiva de la AEPD sobre el censo público de empresas, defiende la legitimidad de su tratamiento basado en el interés legítimo, y denuncia la contradicción en el criterio de la AEPD respecto a este tipo de información. Como resultado, solicita el archivo del procedimiento o, subsidiariamente, una reducción de la sanción en función de los atenuantes concurrentes. SEGUNDA. Obligación del artículo 14 del RGPD INFORMA argumenta que el procedimiento sancionador presenta una incongruencia formal, ya que en la parte resolutiva del Acuerdo de Inicio no se menciona expresamente la incoación del procedimiento sancionador por la presunta infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.
  43. b)del mismo reglamento. Sostiene que esta omisión causa indefensión, ya que la empresa no habría tenido una oportunidad adecuada de defenderse de esta imputación. A pesar de ello, y con el fin de salvaguardar sus intereses, formula alegaciones sobre el supuesto incumplimiento del artículo 14 del RGPD. INFORMA rechaza la acusación de la AEPD sobre el incumplimiento del deber de información a los interesados, afirmando que la Agencia basa su imputación en **meros indicios**, sin contar con pruebas que demuestren que la información no se ha facilitado. En este sentido, cita la **Sentencia 45/1997 del Tribunal Constitucional**, que establece que las pruebas indiciarias deben partir de hechos plenamente probados y no de simples suposiciones. Considera que el procedimiento sancionador se ha basado en presunciones, sin que se haya probado que INFORMA incumplió con la obligación de informar a los interesados en las distintas modalidades que permite el artículo 14 del RGPD. Sostiene que el artículo 14 del RGPD no impone un único modo de proporcionar información, sino que contempla excepciones que permiten a los responsables cumplir con esta obligación de manera proporcional a la realidad del tratamiento. En este sentido, argumenta que su base de datos se nutre principalmente de fuentes de acceso público, como el **censo público de empresas elaborado por las Cámaras de Comercio**, lo que justificaría el uso de la excepción prevista en el artículo 14.5.
  44. b)del RGPD, relativa a los casos en los que la obligación de informar **suponga un esfuerzo desproporcionado**. En su defensa, INFORMA expone que **ha evaluado la viabilidad de distintas formas de comunicación individual a los interesados**, incluyendo correo electrónico, llamadas telefónicas y correo postal, pero que, debido al elevado número de registros (aproximadamente 1,5 millones de empresarios individuales), el coste y la operatividad de estas medidas resultaban desproporcionados. Como alternativa, decidió cumplir con el artículo 14 del RGPD mediante **la publicación de la información en su política de privacidad en su sitio web, en las páginas de ASEDIE y CAMERDATA y en varias Cámaras de Comercio territoriales**, en línea con las **Directrices del Grupo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/108 Trabajo del Artículo 29 sobre transparencia**, que consideran válida esta práctica en casos de esfuerzo desproporcionado. Asimismo, refuerza su argumentación indicando que el sector infomediario ha mantenido desde 2016 una interlocución con la AEPD para la elaboración del **Código de Conducta del Sector Infomediario (CCSI)**, y que en el proceso de negociación nunca se cuestionó la validez del modelo de información empleado por INFORMA. Además, recalca que **la Agencia ha admitido en resoluciones previas la licitud del interés legítimo de INFORMA como base de tratamiento**, archivando reclamaciones en las que los interesados ejercían sus derechos de oposición o supresión. Por último, INFORMA subraya que **ha implementado medidas adicionales para garantizar los derechos de los interesados**, como la depuración de su base de datos contra la **Lista Robinson** para excluir a los empresarios individuales que no deseen recibir comunicaciones comerciales, así como la inclusión de cláusulas en los contratos con sus clientes que les obligan a informar a los interesados sobre la fuente de los datos en la primera comunicación comercial que realicen. Considera que, en vista de estas garantías, la AEPD no ha acreditado que los interesados hayan sido privados de su derecho a la información ni que la supuesta omisión haya generado un perjuicio real. En conclusión, INFORMA sostiene que **cumple con el artículo 14 del RGPD mediante un mecanismo alternativo válido, basado en la publicación de la información, y que el esfuerzo desproporcionado justifica la aplicación de la excepción del artículo 14.5.b)**. También alega que la AEPD **no ha aportado pruebas suficientes** para justificar la imputación, y que su actuación proactiva en la elaboración del CCSI y en la adopción de medidas adicionales demuestra su diligencia en el cumplimiento de la normativa. Tercera alegación: Sobre el error de prohibición invencible INFORMA sostiene que, en el hipotético caso de que se le considerase autora de las infracciones imputadas en este procedimiento, concurriría un error de prohibición invencible que eximiría completamente su responsabilidad. La empresa argumenta que actuó en la creencia firme y fundada de que su actividad era conforme a la normativa vigente, basándose en su interpretación del artículo 6.1.
  45. f)del RGPD y en garantías proporcionadas por CAMERDATA respecto a la licitud del tratamiento de los datos personales de empresarios individuales. Para justificar la concurrencia del error de prohibición invencible, considera que el tratamiento de los datos de empresarios individuales se realizaba conforme al artículo 6.1.
  46. f)del RGPD, al haber recibido garantías del cedente, CAMERDATA, de que los datos personales se obtenían de fuentes de acceso público y podían tratarse para relaciones comerciales con empresarios individuales. En este sentido, destaca que el contrato firmado con CAMERDATA recoge expresamente esta garantía, lo que refuerza su percepción de actuar de manera legítima. Aparente respaldo previo de la AEPD INFORMA afirma que la propia AEPD ha validado históricamente estos tratamientos a través de diversas resoluciones e informes. Cita pronunciamientos previos de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/108 Agencia en los que se ha reconocido la licitud del uso de los datos del censo cameral y el tratamiento basado en el interés legítimo. Entre los documentos en los que fundamenta su confianza en la legalidad de su actuación, menciona las resoluciones y criterios analizados en su alegación sobre la creación y naturaleza del censo público de empresas, así como el Informe del Gabinete Jurídico de la AEPD que otorgaba carácter de fuente de acceso público a este censo. Falta de advertencia previa por parte de la AEPD Sostiene que en ningún momento se le advirtió que el tratamiento pudiera considerarse ilícito. Explica que si la AEPD hubiese manifestado cualquier objeción al tratamiento durante la negociación del Código de Conducta del Sector Infomediario (CCSI) o en su labor habitual de supervisión, INFORMA habría cesado inmediatamente la actividad o habría adoptado medidas correctivas. Argumenta que su conducta no puede considerarse dolosa ni negligente, ya que siempre ha actuado con la diligencia debida y ha mantenido una relación de transparencia con la AEPD, colaborando activamente en la elaboración del CCSI. Considera que si hubiese existido una interpretación ambigua de la normativa, ello no justificaría la imposición de una sanción, ya que la incertidumbre normativa genera error de prohibición invencible. En relación con la imputación de la infracción del artículo 14 del RGPD, INFORMA sostiene que, de haberse producido un incumplimiento en la obligación de informar a los interesados, ello se debería a un error de prohibición invencible en la aplicación de la excepción del artículo 14.5.
  47. b)del RGPD. Explica que no existen directrices claras de la AEPD sobre cuándo un esfuerzo puede considerarse desproporcionado, y que, en ausencia de este criterio, INFORMA aplicó las Directrices WP260 del Comité Europeo de Protección de Datos, optando por la publicación de la información en su sitio web y en otras páginas como las de ASEDIE, Camerdata y diversas Cámaras de Comercio territoriales. Defiende que actuó conforme a la normativa y a la interpretación razonable de las excepciones, sin intención de vulnerar el RGPD. INFORMA concluye que, si se llegara a considerar que ha incurrido en alguna infracción, esta no puede ser sancionada debido a la concurrencia de un error de prohibición invencible. En virtud del principio de culpabilidad, establecido en los artículos 24.1 y 25 de la Constitución Española, argumenta que no puede imponerse sanción alguna cuando el presunto infractor ha actuado con la convicción de que su conducta era lícita, y esa creencia se basa en interpretaciones previas de la propia AEPD y en la ausencia de advertencias previas sobre su supuesta ilicitud. En consecuencia, solicita la exención completa de responsabilidad y el archivo del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/108 Cuarta alegación.- De la omisión de los principios de buena fe y confianza legítima. De la infracción del artículo 3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Y de la aplicación de la doctrina de los actos propios. INFORMA sostiene que la AEPD ha vulnerado los principios de buena fe, confianza legítima y la doctrina de los actos propios, regulados en el artículo 3.1 de la Ley 40/2015 y desarrollados por la jurisprudencia del Tribunal Supremo. Argumenta que la AEPD ha mantenido durante años una postura coherente respecto a la licitud del tratamiento de datos de empresarios individuales obtenidos del censo público de empresas elaborado por la Cámara de Comercio. En este sentido, considera que el cambio repentino de criterio en el Acuerdo de inicio, sin advertencias previas ni actuaciones de requerimiento, supone una lesión de las expectativas legítimas de las empresas del sector infomediario, que han confiado en la doctrina previa de la AEPD para estructurar su actividad económica. Asimismo, INFORMA subraya que la AEPD ha hecho uso de bases de datos similares a las que ahora cuestiona e, incluso, ha contratado servicios que incluyen información mercantil sobre autónomos, lo que refuerza la idea de que consideraba lícito este tratamiento hasta la apertura del procedimiento sancionador. Además, destaca que la AEPD ha participado activamente en la negociación del Código de Conducta del sector infomediario sin haber manifestado objeciones a la licitud del tratamiento de estos datos, lo que demuestra que la compañía ha actuado con plena diligencia y transparencia. Por otro lado, se argumenta que la actuación de la AEPD incumple el principio de proporcionalidad al no haber optado por medidas menos gravosas antes de incoar el procedimiento sancionador. En este sentido, se invoca la jurisprudencia del Tribunal Supremo, que establece que las administraciones públicas deben aplicar el principio de proporcionalidad en sus intervenciones y elegir la medida menos restrictiva para garantizar los fines perseguidos. Según INFORMA, la AEPD podría haber adoptado otras vías menos perjudiciales, como la formulación de advertencias o requerimientos previos, en lugar de proceder directamente a la incoación del expediente sancionador. En conclusión, INFORMA sostiene que el cambio de criterio de la AEPD resulta arbitrario y supone una vulneración del principio de seguridad jurídica. Argumenta que, de haber sido advertida con antelación sobre la nueva interpretación administrativa, habría adaptado su actividad a los requisitos exigidos, evitando así el procedimiento sancionador. QUINTO: Con fecha 3/10/2024, el instructor del procedimiento acordó abrir un período de practica de pruebas por un plazo quince días, acordando practicar las siguientes pruebas: Se dan por reproducidas a efectos probatorios la reclamación interpuesta por ***ENTIDAD.1 y su documentación, así como las alegaciones al acuerdo de inicio del procedimiento sancionador, presentadas por INFORMA y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/108 Se incorporan al expediente, mediante Diligencia, el informe del Gabinete Jurídico firmado con fecha 16 de marzo de 2021 por la que se informa desfavorablemente la aprobación, por esta Agencia, del Código de conducta del sector infomediario de protección de datos de carácter personal presentado por la Asociación Multisectorial de la Información (ASEDIE), y la resolución en materia de Códigos de Conducta de fecha 24 de marzo de 2021 a través de la cual se deniega la aprobación del “CÓDIGO DE CONDUCTA DEL SECTOR INFOMEDIARIO DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL”, cuyo promotor es ASEDIE. Se requiere a INFORMA para que remita a esta Agencia la siguiente información y documentación: 1. Confirmación de si el contrato de colaboración unificado entre CAMERDATA, S.A. e INFORMA de 29 de septiembre de 2022 que forma parte del expediente administrativo sigue vigente, así como la remisión de cualquier otro contrato y/o acuerdo posterior entre ambas entidades. 2. En relación con el contrato mencionado de fecha 29 de septiembre de 2022 se solicita que aporte e

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.