← España

PS-00151-2024

1/98  Expediente N.º: EXP202404646 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: INSTITUT PER A LA CULTURA DEMOCRATICA A L'ERA DIGITALASSOCIACIO CONSERVAS (en adelante, la parte denunciante) con fecha 27 de diciembre de 2022 interpuso denuncia ante la Agencia Española de Protección de Datos en relación a unos hechos que, a su juicio, podían ser susceptibles de infracción en materia de protección datos. En la mencionada denuncia se afirma que, para poder darse de alta como autónomos en el censo de actividades económicas de la AEAT, se exige que los interesados proporcionen el nombre, DNI, teléfono, correo electrónico y dirección, los cuales son tratados como información de interés profesional. Asimismo, deben facilitar los datos al Registro Mercantil. Indica en su escrito que los citados datos, en el caso de trabajadores autónomos que no poseen un domicilio profesional específico, pueden coincidir con datos personales como el domicilio habitual de dichos trabajadores. Sostiene la parte reclamante que, sin embargo, dichos datos son posteriormente tratados por AEAT, CÁMARA, CAMERDATA así como consultoras privadas. Señala que varios datos de los mencionados quedan expuestos libremente en Internet, permaneciendo accesibles a un solo clic mediante buscadores pudiendo generarse, a su juicio, varios incumplimientos de la normativa de protección de datos. Sigue indicando en su escrito que el interés legítimo previsto en el art. 19.2 LOPDGDD para el tratamiento de datos de autónomos únicamente sirve con el fin de mantener relaciones de carácter profesional; sin embargo, se utilizan por CAMERDATA y terceras empresas para publicarlos, indexarlos y realizar campañas de marketing con ellos. De la misma forma afirma que los datos de autónomos están siendo utilizados para finalidades para las que no se ha recibido información en el momento de proporcionarlos a la AEAT. Que tampoco informan correctamente CÁMARA ni toda la restante cadena de empresas que se benefician de estos datos. Indica, asimismo, que se produce un sesgo de los datos publicados en función del poder adquisitivo, siendo más publicados los datos de aquellos autónomos de menor poder adquisitivo. Entre la documentación aportada por la parte reclamante se encuentra: Captura de pantalla de resultados de búsqueda del buscador de GOOGLE tras buscar por nombre y apellidos de un autónomo. Constan resultados correspondientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/98 a las web de www.expansion.com, y https://autonomos.axesor.es y constan datos ilegibles por estar sombreados, supuestamente correspondientes al nombre y apellidos del autónomo buscado. Manifiesta que al entrar en alguno de esos enlaces se muestra información relativa al nombre y apellidos, DNI, dirección, correo electrónico, teléfono, actividad comercial e incluso ciertos datos de información financiera o incidencias judiciales y probabilidades de impago. Captura de pantalla de información de la misma persona en una página como resultado de la búsqueda anterior donde destaca el siguiente texto: “[…] es un autónomo cuyo negocio está censado en Marbella, Málaga la actividad CNAE del negocio es comercio al por mayor de productos alimenticios, bebidas y tabaco y su actividad SIC es comestibles en general. Nuestros informes le proporcionarán la información más completa sobre la actividad empresarial de como el NIF, teléfono, dirección en Marbella (Málaga), scoring y calificación de crédito, probabilidad de impago y capacidad máxima de solvencia, incidencias judiciales[…]. Por otro lado nuestros informes investigados sobre la actividad comercial de […] están especialmente indicados para operaciones de riesgo elevado y/o para clientes morosos[…] La información contenida en esta ficha es solo un extracto de toda la información de autónomos y profesionales disponible en axesor[…] También puede acceder a los informes de los ejecutivos o administradores cuyo nombre coincida con […] (en caso de existir según las publicaciones del Boletín Oficial del Registro Mercantil).” Captura de pantalla de la web de CÁMARA donde consta un resultado de búsqueda del Censo Público de Empresas de dicha entidad, donde consta “Si desea obtener más información, consulte el Fichero de Empresas de Camerdata Online”. Capturas de gráficos correspondientes a un estudio de la publicación de datos en relación a la actividad donde consta que se encuentran publicados más datos de autónomos cuya actividad es comercio al por menor, que el comercio al por mayor. SEGUNDO: Con fecha de 13/04/2023 la Directora de la Agencia Española de Protección de Datos acuerda iniciar actuaciones previas de investigación en relación con AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA (en lo sucesivo, AEAT), CAMERDATA, S.A. (en lo sucesivo CAMERDATA) y CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA (en lo sucesivo CDE o CÁMARA) por los hechos que se describen a continuación: “[…] En concreto, se denuncia que, desde el momento en que alguien se registra como autónomo dándose de alta en el censo de actividades económicas de la Agencia Estatal de la Administración Tributaria, el nombre, DNI, teléfono, correo electrónico y dirección que se notifiquen son tratados como información de interés profesional. Como consecuencia de este tratamiento, si los datos coinciden con los datos privados, por ejemplo, el caso de aquellos que trabajan desde su domicilio personal, dicha información de trabajadores autoempleados queda expuesta en Internet, fácilmente accesible desde los buscadores. Además de lo anterior, en algunos casos, los datos que aparecen al acceder a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/98 alguno de los enlaces, además del nombre y apellidos, DNI, dirección, correo electrónico, teléfono y actividad comercial, se refieren a información financiera o incidencias judiciales y probabilidades de impago, habiendo sido obtenidos del Registro Mercantil, Boletín Oficial del Estado, cámaras de comercio, etcétera. […]” TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 17/10/2023 se comprueba que:

  1. Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42 “Censo de Actividades económicas” consta: “Descripción de la actividad Control fiscal: gestión, liquidación y recaudación del impuesto sobre actividades económicas. Finalidad Aplicación efectiva del sistema tributario estatal y aduanero. Interesados Empresarios, profesionales y artistas Datos NIF/DNI, Nombre y Apellidos, Dirección Información comercial Tratamientos Recogida Registro Almacenamiento Estructuración Modificación Actualización Copia Análisis Consulta Extracción Difusión Interconexión Limitación Supresión Destrucción Otros Destinatarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/98 INE Otros órganos de la Comunidad Autónoma Diputaciones Provinciales Otros órganos de la Administración Local Cámaras de comercio, industria y navegación Diputaciones forales vascas, Comunidad foral de Navarra […]”
  2. Dentro de la información sobre protección de datos publicada en Internet por la AEAT apartado 3.6 “Destinatarios” consta: “De acuerdo al artículo 95 de la Ley General Tributaria todos los datos, informes o antecedentes obtenidos por la Administración tributaria en el desempeño de sus funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva aplicación de los tributos o recursos cuya gestión tenga encomendada y para la imposición de las sanciones que procedan, sin que puedan ser cedidos o comunicados a terceros. Sin embargo, el artículo 95 de la Ley General Tributaria también establece una serie de casos tasados donde sí se contempla que la Agencia Tributaria pueda ceder o comunicar datos a terceros, que podrán ser de dos tipos: -Cesiones o comunicaciones de datos en casos del tipo la colaboración en el cumplimiento de obligaciones fiscales con otras administraciones públicas, la lucha contra el delito fiscal y contra el fraude en diferentes ámbitos, la colaboración con investigaciones de los órganos judiciales y el ministerio fiscal, el control de la propia actividad de la Agencia Tributaria. En estos casos, de acuerdo con el artículo 6 del Reglamento UE 2016/679 no será necesario recabar el consentimiento expreso del ciudadano, para que se puedan realizar estas cesiones o comunicaciones. Por otro lado, de acuerdo con el artículo 14 del Reglamento UE 2016/670, de producirse una cesión o comunicación no será necesario informar al ciudadano. -Resto de cesiones y comunicaciones que no se contemplan expresamente en el artículo 95, y que son necesarias en el ámbito de la colaboración entre Administraciones públicas para facilitar la prestación de servicios públicos al ciudadano. En estos casos siempre será necesario que la Administración que solicita los datos cuente con el consentimiento expreso del ciudadano. […]”
  3. En la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sedeelectronica/datos-personales.html consta un primer apartado con el hiperenlace con texto “Información sobre protección de datos” que reenvía a la URL del punto siguiente. Consta más abajo en la sección de “Ayuda” otro hiperenlace con texto “Información al interesado sobre protección de datos”.
  4. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-usosede-electronica/datos-personales/informacion-sobre-proteccion-datos.html consta: “Información sobre protección de datos La Agencia Estatal de Administración Tributaria (en adelante “Agencia Tributaria”) responsable de todos los tratamientos de datos de carácter personal que se realicen en el desarrollo de su actividad, salvo que se indique lo contrario en un tratamiento concreto. Estos tratamientos se realizarán sobre los datos de carácter personal de las personas que usan los servicios que ofrece en el desarrollo de su actividad que podrán ser los sujetos obligados tributarios, sus representantes, empleados o empleadas públicos o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/98 cualquier otra persona que utilice sus servicios. En adelante nos referiremos a ellas como personas interesadas. En relación con el uso de la web de la Agencia Tributaria por parte de las personas interesadas, se informa de que sus datos de carácter personal sólo podrán obtenerse para su tratamiento cuando sean adecuados, pertinentes y no excesivos, en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. La Agencia Tributaria realiza estos tratamientos de acuerdo con la normativa vigente en materia de protección de los datos personales, de seguridad de la información y la propia normativa específica que regula su actividad y que recoge todos los aspectos relativos a las condiciones en las que se pueden realizar tratamientos de datos de las personas interesadas. En este sentido, se han adoptado las medidas técnicas y organizativas necesarias para evitar la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales. Las medidas adoptadas tienen en cuenta el estado de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos y se revisan periódicamente para garantizar su adaptación a nuevas situaciones o escenarios de riesgo. La Agencia Tributaria, como responsable de todos los tratamientos de los datos de carácter personal de las personas interesadas y de acuerdo con los requisitos de información al mismo recogidos en el artículo 14 del Reglamento (UE) 2016/679, indica a continuación la información básica relativa a estos tratamientos:”. Y asimismo consta: a. En “Finalidad” consta exclusivamente: “Aplicación efectiva del sistema tributario estatal y aduanero” b. En el apartado de “Destinatarios” consta exclusivamente: “Otras administraciones públicas del ámbito nacional e internacional” c. En “Procedencia” consta exclusivamente: “De la misma persona interesada, de otras Administraciones Públicas, de otras personas físicas distintas a la interesada, de entidades privadas, de registros públicos y de fuentes accesibles al público.” Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 02/11/2023, el Delegado de Protección de Datos de la AEAT remite a esta agencia la siguiente información y manifestaciones:
  5. Que en relación a la información sobre datos aportados al censo de empresarios, profesionales y retenedores (modelos 036 y 037) y la cesión de estos datos a CÁMARA, manifiesta que se proporciona: a. A través del registro de actividades del tratamiento “tratamiento 5.1 Censo” en la URL https://sede.agenciatributaria.gob.es/Sede/todasgestiones/procedimientos-notributarios/tratamiento-datospersonales/tratamiento-datos-personales/informacioninteresado-sobreproteccion-datos/5-registro-actividades-tratamiento/5_1-censo.html b. Cuando se cumplimentan los modelos 36 y 37 aparece el texto en la pantalla de "firmar y enviar": "De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/98 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, se informa que los datos personales que va a facilitar serán tratados por la Agencia Estatal de Administración Tributaria con la finalidad de la aplicación efectiva del sistema tributario estatal y aduanero. Podrá encontrar más información sobre los posibles tratamientos, cesiones y el procedimiento para ejercer los derechos establecidos en los artículos 15 a 22 del reglamento en el siguiente enlace (https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sedeelectronica/datos-personales.html)" c. Que, además, en la sede electrónica se encuentra disponible el registro de información suministrada, en las URL siguientes: https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA 02/drIAE_CamCom08.pdf
  6. Que en relación a los datos cedidos manifiesta que se encuentran en el Anexo I del Convenio firmado entre AEAT y CÁMARA accesible en https://www.boe.es/buscar/doc.php?id=BOE-A-2019-18316 .Se comprueba, conforme a dicho Convenio y la Ley 4/2014, que los datos cedidos conforme al art. 8 de la Ley 4/2014 son “Datos censales de empresas” y “Datos del Impuesto sobre Actividades Económicas”.
  7. Que la cesión de los datos censales para elaborar el censo de empresas, según art. 8 Ley 4/2014 no requiere de consentimiento del interesado ya que se realizan en base a la obligación legal establecida en dicho artículo.
  8. Que, asimismo, en el art. 22.3 del Real Decreto 669/2015, de 17 de julio, por el que se desarrolla la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación, en relación al censo electoral se menciona: “
  9. La Agencia Estatal de Administración Tributaria, así como las otras administraciones territoriales competentes en materia tributaria colaborarán con los órganos de gobierno de las Cámaras para proporcionarles la información necesaria para la elaboración y constitución de los censos, garantizando que solo tendrán acceso a dicha información los empleados de cada Cámara que determine el pleno con el obligatorio deber de sigilo respecto de dichos datos. A tal efecto, la Agencia Estatal de Administración Tributaria suministrará la información que se desprenda del censo del Impuesto sobre Actividades Económicas junto con los datos de las empresas que sean necesarios y que obren en otros censos que ésta elabora y gestiona, en particular el Censo de Empresarios, Profesionales y Retenedores.”
  10. Que “Respecto a la información habilitada a ceder relativa al Impuesto sobre Actividades Económicas (IAE) y la que tenga carácter censal, entendiendo por tal a la contenida en el Censo de Empresarios, Profesionales y Retenedores cuyo contenido se establece en el art. 5 del Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e inspección tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación de los tributos, se realiza sólo para la elaboración del censo público de empresas.”
  11. Que en el protocolo de intercambio de información de IAE ubicado en https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt ercambioIAE2006.pdf se menciona que los datos transferidos solo pueden ser utilizados para los supuestos que contempla la normativa y no para otros usos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/98 Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente información y manifestaciones:
  12. Que, en relación a los autónomos, tratan los siguientes datos, entre otros: “NIF”: Significado: Número de identificación fiscal Origen del dato: Censo público de empresas publicado por CÁMARA conforme a los dispuesto en la Ley 4/2014 (en adelante Censo público de empresas). Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “nombre empresa” Significado: Manera en la que se identifica la empresa respecto a sus obligaciones formales, normalmente con los agentes que se relaciona, como Seguridad Social, Hacienda, proveedores o clientes. Conocido como Razón social. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “email genérico” Significado: Correo electrónico de contacto general de la empresa. Origen del dato: Kompass, a través del enriquecimiento de datos del censo público de empresas. Se cede a: A clientes finalistas que lo solicitan para su uso exclusivo interno. “dirección” Significado: Dirección de la empresa formado por nombre de vía, número de vía y resto de dirección. Origen del dato: Censo público de empresas. Se cede a: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/98 A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “código postal” Significado: Código postal de la dirección de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. “municipio” Significado: Población de la dirección de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. “provincia” Significado: Provincia de la dirección de la empresa. Origen del dato: DMOVO. Se obtiene en el proceso de normalización de direcciones cada vez que se carga un nuevo censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “teléfono” Significado: Número de teléfono de contacto general de la empresa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/98 Origen del dato: INFORMA y DATACENTRIC. Se obtiene en el proceso de enriquecimiento de datos del censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “Tipo empresa” Significado: Forma jurídica de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “Género empresa” Significado: Indicador del tipo de nombre de la empresa. Origen del dato: DMOVO. Se obtiene en el proceso de normalización de nombres cada vez que se carga un nuevo censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. Aporta un extracto de su base de datos relativo a 500 registros donde, en la columna “Nombre empresa” constan datos de nombres y apellidos, en la columna “Tipo empresa” consta “11 AUTONOMO”, en la columna “Dirección” constan datos relativos a nombre de vía, número de vía en todos los registros y en parte de los registros también piso y puerta. Consta asimismo en la columna “Género Empresa” una “V” o “M” dependiendo de si el nombre dentro de la columna “Nombre empresa” se considera de varón o de mujer.
  13. Que tratan datos de un total de 1.665.049 autónomos, aunque no todos los registros tienen informados todos los datos.
  14. Sobre el sector de empresas infomediarias manifiesta: a. Recopilan, analizan, transforman y tratan información del sector público/privado para crear productos de valor añadido destinados a terceras empresas o ciudadanía en general, sirviendo para la toma eficaz de decisiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/98 b. Que las entidades que se valen de sus servicios y productos son todas las entidades del IBEX35, todas las entidades financieras, administraciones públicas, entre ellas las fuerzas y cuerpos de seguridad del Estado, pymes y empresarios individuales para sus actividades comerciales y empresariales, cualquier ente obligado a acceder a la información por cumplimiento de diferentes leyes que así se lo exigen, así como cualquier ciudadano o entidades sin ánimo de lucro. c. “Las empresas del sector infomediario operan en el mercado desde hace más de dos décadas, siendo vital en su desempeño la reutilización y distribución de la información que libremente se puede obtener de las diferentes fuentes públicas existentes en su más amplio concepto y contexto. En un mundo en el que tanto el acceso como la transparencia de la información son clave para la seguridad en cualquier operación mercantil, las empresas de este sector son el referente que dota de la necesaria seguridad al tráfico mercantil global y actúa como una pieza imprescindible en el impulso de la economía general mediante la aplicación de las mejores técnicas del tratamiento de la información en aras de garantizar la calidad, seguridad, veracidad y fiabilidad de la misma. La labor de las empresas infomediarias debe considerarse, por tanto, como de interés público general. Adicionalmente, es importante destacar la labor que se realiza para las Pymes, como parte esencial del tejido empresarial español. Así, por un lado, se permite que empresarios individuales, con reducidos recursos, puedan utilizar sistemas de información de alto valor añadido, sin tener que asumir costes individuales elevados por la consulta directa a la fuente de origen, respecto de sus clientes y proveedores y por otro lado, también se facilita que su propia información empresarial sea accesible a sus proveedores y entidades financiera en aras a promover su actividad y operaciones mercantiles. El sector infomediario es cada vez más indispensable a la hora de agilizar y mejorar la gestión de los negocios, y el impacto directo de las oportunidades generadas es mayor tanto a nivel económico como político y/o social. Además, este sector interactúa con el resto de sectores, generando valor en muchas de sus actividades, por lo que a la hora de valorar dicho sector hay que tener en cuenta que crece tanto en vertical, como el resto de los sectores, como también en horizontal, siendo esta innegable transversalidad compleja de valorar. La actuación del sector infomediario tiene un impacto directo no solo en la comunidad de la información, sino también muy relevante en la actividad empresarial y en la ocupación en la economía española. Según datos tomados del Informe del Sector Infomediario presentado el pasado 14 de abril del 2023: - A 31 de diciembre de 2019 existían 700 empresas Infomediarias activas identificadas en España. -Las ventas agregadas del ejercicio 2019 de las 591 empresas infomediarias de las que se disponen de datos financieros ascendió a 2.543.042.052 €. - El número agregado de empleados del ejercicio 2019 de las 588 empresas de las que se disponen de datos de empleados ascendió a 21.
  15. -El capital suscrito conjunto a 31 de diciembre de 2020 de las 700 empresas identificadas como infomediarias ascendía a 311.911.961€.” d. Que las principales fuentes de datos de las que se valen las empresas del sector para la creación de los servicios y productos que prestan a la sociedad son: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/98 • Boletines Oficiales, del Estado, de comunidades autonómicas y Provinciales. • Boletín Oficial del Registro Mercantil y de la Propiedad Intelectual. • Censo público de empresas de las Cámaras de Comercio, regulado por Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación. • Información abierta, no protegida, del Catastro inmobiliario según Texto Refundido de la Ley del Catastro Inmobiliario (TRLCI), aprobado por Real Decreto Legislativo 1/2004, de 5 de marzo. • Guías y Repertorios profesionales. • Guías de abonados a servicios de telefonía. • Cualquier fuente referenciada por las propias Administraciones públicas en el catálogo opendata bajo la Iniciativa de datos abiertos del Gobierno de España.
  16. Sobre la información aportada a los interesados según art. 14 RGPD manifiesta: a. Se considera un esfuerzo desproporcionado según art. 14.5.b y considerando 62 RGPD y según Informe WP260.rev01 17/ES (última revisión de 11 de abril de 2018) el enviar una comunicación a cada interesado para notificarle el tratamiento como autónomo o empresario individual. i. Que hay 1.665.049 autónomos en la base de datos de CAMERDATA que cabría notificar lo cual es un costo inasumible. ii. Que según presupuesto de MEYDIS S.L. y Sociedad Estatal de Correos y Comunicaciones S.A. las labores de manipulación, distribución, materiales de las comunicaciones ascienden a 9.409.000€ y 4.266.900€ respectivamente. Aporta copia de presupuestos de MEYDIS, S.L. de fecha 01/07/2021 donde consta la cantidad de “1.600.000”. No consta un precio total. Aporta copia de presupuestos de CORREOS donde no consta el presupuesto antes mencionado, sí consta el texto “PRESUPUESTO CAMERDATA, CAMPAÑA COMUNICACIÓN 2021” y “PRESUPUESTO TOTAL PARA 1.650.000 ENVÍOS”. iii. Que CAMERDATA tiene unos ingresos anuales em 2019, 2020, 2021, 2022 de 941.238,83 €, 836.093,46 € , 885.999,51 € , 895.950,29 € respectivamente. Aporta copia de auditorías de cuentas anuales a fechas 31/12/2019, 31/12/2020, ejercicio 2021, 31/12/2022 con las mencionadas cifras en el apartado de “
  17. Importe neto de la cifra de negocios”. a. Que debido a este esfuerzo desproporcionado han iniciado un proceso de publicación en las webs de las cámaras de comercio del texto siguiente, que actualmente está publicado en la Cámara de Comercio de Madrid, Valencia, Barcelona, Sabadell, Girona, Alicante, Castellón. “Información para trabajadores autónomos relativa a la protección de datos personales Mediante la presente comunicación se informa, a toda persona que tenga la condición de trabajador autónomo, del tratamiento de sus datos personales por parte de Camerdata y de las empresas asociadas a ASEDIE que están sujetas a su código de conducta del sector infomediario de protección de datos que se relacionan: Axesor, Datacentric, Iberinform, Informa y también Equifax. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/98 Los datos tratados por CAMERDATA y las empresas relacionadas, han sido recabados por CAMERDATA de forma legítima y obtenidos de un Censo oficial elaborado por organismo público, correspondiendo a persona sujeto pasivo de los datos (el trabajador autónomo) en el ejercicio de una actividad de las recogidas en el Real Decreto de 2007 (RD 475/ 2007). El tratamiento de estos datos tiene por finalidad el envío de comunicaciones comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser de su interés, así como la información comercial sobre la actividad empresarial llevada a cabo por el Autónomo. Si usted desea ejercer sus derechos de acceso, rectificación, supresión, limitación de su tratamiento u oposición al tratamiento de sus datos de contacto, puede dirigir su solicitud a las direcciones que se indican a continuación. Le recordamos que puede ejercer su derecho de oposición a la recepción de comunicaciones comerciales de forma centralizada, utilizando los servicios de la Lista Robinson en: https://www.listarobinson.es/: Empresas asociadas a ASEDIE que están sujetas a su Código de conducta CAMERDATA, S.A. Avda. Diagonal, 452, 3ª planta, 08006 en Barcelona o enviando un email a: informacion@camerdata.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de CAMERDATA utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de CAMERDATA en el siguiente enlace: https://www.camerdata.es/politica-privacidad AXESOR CONOCER PARA DECIDIR S.A. C/ Graham Bell, s/n, Edificio Axesor - 18100 Armilla, Granada o enviando un email a: dpd@axesor.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de AXESOR utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de AXESOR en el siguiente enlace: https://www.axesor.es/informacion-tratamientos-rgpd DATACENTRIC S.A. C/ José Echegaray 9, 28232 Las Rozas, Madrid o enviando un email a: dpd@datacentric.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de DATACENTRIC utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de DATACENTRIC en el siguiente enlace: https://www.datacentric.es/politica-de-privacidad/ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/98
  18. IBERINFORM S.A. Calle Raimundo Fernández Villaverde, 57 Bis, Madrid 28003 (Madrid) o enviando un email a: infogdpr@iberinform.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de IBERINFORM utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de IBERINFORM en el siguiente enlace: https://www.iberinform.es/aviso-legal#section6 INFORMA S.A. Avenida de la Industria, 32, 28108 - Alcobendas (Madrid) o enviando un email a: clientes@informa.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de INFORMA utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de INFORMA en el siguiente enlace: https://www.informa.es/textos-legales Empresa No asociada a ASEDIE EQUIFAX S.A. Paseo de la Castellana, 259D, 28046 Madrid, o enviando un email a: sac@equifax.es Adjuntando en todo caso copia de documento que acredite su identidad (DNI, pasaporte, o similar). Puede también contactar con el Delegado de Protección de datos de EQUIFAX utilizando los mismos datos de contacto que los proporcionados para ejercer sus derechos. También puede consultar información adicional sobre el tratamiento de sus datos por parte de EQUIFAX en el siguiente enlace: https://www2.equifax.es/ederechos/asnef_20024.html.” c. Incorporar dicho texto anterior a boletines y newsletters que las Cámaras editen periódicamente consiguiendo con ellos una mayor difusión de la información. d. Que se tiene intención, iniciando en el año 2024 y posteriormente con periodicidad anual, de llevar a cabo la difusión del texto informativo en varios periódicos de mayor circulación en España. e. Que considera que con estas medidas se cumplen los criterios para validar la excepción de la obligación de informar individualmente. Sobre el código de conducta de ASEDIE manifiesta: “[…] En desarrollo de sus funciones estatutarias, ASEDIE ha elaborado el Código de Conducta del Sector Infomediario (en adelante, Código de Conducta o Código). En la elaboración del Código ha tenido en cuenta la opinión de los principales actores que intervienen de una forma u otra en el sector infomediario, sobre todo de los asociados, tanto en la faceta jurídica como en la de negocio, pero también de consultores y otras personas con conocimiento de los aspectos relevantes del sector. La necesidad de la seguridad jurídica y el reforzamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/98 del compromiso de los asociados con el cumplimiento normativo en materia de protección de datos, entendido como un requisito ineludible de negocio, han llevado a los órganos estatutarios de ASEDIE a considerar necesario promover el Código de Conducta. El Código establece un marco general que debe ser cumplido necesariamente por todas las empresas asociadas a ASEDIE. En todo caso, cualquier actuación derivada del cumplimiento del Código de Conducta se realizará en estricto cumplimiento de la normativa vigente, en especial, de la normativa de defensa de la competencia y de la normativa que resulte de aplicación a la protección de datos de carácter personal. En la elaboración y mejora del Código, ASEDIE ha contado con una importante colaboración e implicación por parte de la AEPD, si bien han existido discrepancias que han llevado a la Asociación a impugnar en vía contenciosa la denegación de la aprobación del Código. […]” Con fecha 22/01/2024 se obtiene de Internet el contenido en estado borrador del código de conducta de ASEDIE el cual se incorpora al expediente mediante diligencia.
  19. Que en relación al tratamiento que supone la base de datos de empresas en el caso de autónomos, manifiesta que: a. “La finalidad concreta del tratamiento es la elaboración de un sistema o servicio de información de empresas con datos de calidad para la promoción, directa o indirecta, de los bienes o servicios de una empresa, organización o persona que realice una actividad empresarial o profesional, sea en su propio nombre o en nombre de un tercero.” b. Que se basan en interés legítimo, y manifiesta: “Camerdata realiza el tratamiento de datos personales de personas físicas en cuanto relativos a su condición de empresarios individuales o profesionales liberales, es decir, concernientes exclusivamente a su actividad empresarial. En tales casos, se presume amparado por el interés legítimo conforme al artículo 6.1 f) RGPD, salvo prueba en contrario, siempre que cumplan los siguientes requisitos: (i) Que el tratamiento se refiera únicamente a los datos necesarios para las finalidades indicadas en el punto b.- de esta respuesta, que permita a los clientes de los responsables, o a ellos mismos, mantener relaciones con el interesado en el contexto del desarrollo empresarial o profesional de la actividad que el interesado explote o realice, respectivamente, como empresario individual o como profesional liberal. A estos efectos, se considerará lícito el tratamiento amparado en dicho artículo 6.1 f) del RGPD bajo la ponderación hecha más adelante. (ii) El tratamiento se realice conforme lo establecido en el artículo 19 de la LOPDGDD, es decir siempre que se cumplan los siguientes requisitos: - Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional. - Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el interesado preste sus servicios, o con la actividad empresarial o profesional desempeñada por el empresario individual o profesional liberal. El interés legítimo previsto en los apartados anteriores se extiende, por cumplirse dichos requisitos, al supuesto de que los datos sean tratados para informar estrictamente sobre la actividad económica desempeñada por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/98 empresarios individuales y profesionales liberales, y que ayuden a la toma de decisiones a terceros clientes de los responsables del tratamiento a los efectos de contactar, iniciar y mantener relaciones empresariales o profesionales, favoreciendo con ello la promoción y desarrollo empresarial o económico. No quedará amparada por la presunción de interés legítimo establecido en los casos (i) y (ii) el uso de los datos para tratamientos que tenga como finalidad entablar una relación con los interesados en su faceta personal, no empresarial o profesional. Fuera de estos dos supuestos, conforme a lo establecido en el Considerando

(47)y el art. 6.1.
  1. f)del RGPD, cuando se trate estos datos fuera del alcance, los criterios y/ o las finalidades indicadas, el responsable del tratamiento, o el tercero por cuenta de quien actúe aquel, deberá haber llevado a cabo una ponderación propia entre su interés legítimo y los intereses, derechos y libertades de los interesados, que determine que el tratamiento pretendido no vulnera esos intereses, derechos y libertades del interesado, debiendo en todo caso aplicar las medidas de seguridad necesarias. Interés legítimo del responsable o de los terceros. La existencia de un interés legítimo por parte de Camerdata y de sus clientes (a los que presta los servicios relacionados con la finalidad del tratamiento) para el tratamiento de los datos personales indicados, tiene su fundamento en la necesidad de conocer los datos identificativos de los empresarios individuales y profesionales liberales, como un dato necesario dentro del conjunto total de datos empresariales o profesionales que se ofrecen en los diferentes productos y servicios de información que comercializa Camerdata. Datos que son relevantes para las relaciones comerciales o profesionales de los interesados y que solo pueden ser tratados para esos fines, de tal manera que no pueden ser utilizados para relaciones directas con las personas físicas. El interés legítimo de Camerdata sería doble. Por un lado, el que deriva de su vertiente de fuente de financiación, propio de toda actividad empresarial, y, por otro lado, contribuir al desarrollo y fomento de las relaciones empresariales o profesionales, ofreciendo un sistema de información de calidad a los actores del tejido empresarial y a los particulares, dando cobertura a la seguridad jurídica demandada por las partes de cualquier relación mercantil o contractual en su operativa en el mercado, dando, con ello, satisfacción a un interés económico y social general. En efecto, hay que señalar que Camerdata obtiene los datos de fuentes públicas y el tratamiento que realiza sobre ellos obedece al objetivo de incrementar la calidad de los datos y ofrecer así a los clientes interesados un sistema de información de empresas que operan en todo el territorio nacional, cumpliendo, con ello, un interés general para el sector empresarial. En el tratamiento de datos por parte de Camerdata subyace también un interés legítimo de sus clientes y de los propios interesados, que necesitan conocer esta información, bien para dar a conocer sus servicios y productos, bien para ofrecerlos a terceros o bien para realizar operaciones mercantiles o profesionales con terceros, o incluso para poder ejercitar las oportunas acciones legales que en su caso les correspondan. Por otro lado, cada vez más el acceso, conocimiento y valoración de dichos datos empresariales viene impuesto por ley, por ejemplo, por la Ley 10/2010 de prevención del blanqueo de capitales y la financiación del terrorismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/98 Nos encontramos, por tanto, ante un tratamiento de datos empresariales que garantiza de forma general el interés legítimo de cualquier tercero de conocer esta información. Cabe destacar, una vez más, que las fuentes de obtención de la información, que se tratan para estas finalidades, tienen la consideración de públicas en su más amplio sentido, bien porque la publicación de los datos responde a la exigencia y aplicación de una norma legal que exige que dicha información sea conocida y accesible para todo el mundo, o bien por haber sido hecha manifiestamente pública por el propio interesado. Derechos y libertades fundamentales de los interesados: Los derechos y libertades fundamentales de los interesados son los generales que requieren la protección de datos personales, sin que haya ninguno que específicamente destaque en esta situación particular. En todo caso, los mismos no se verán vulnerados por el tratamiento expuesto en este documento, por cuanto: 1º. La información de los interesados objeto del tratamiento se ceñirá únicamente a la tipología de datos empresariales o profesionales, y para las finalidades y según el alcance expuesto en este documento. 2º. Los datos se han obtenido fuentes públicas. 3º. Se garantiza el ejercicio de los derechos de los interesados regulados en los artículos 15 a 22 del RGPD. Además, los propios interesados tienen interés en el tratamiento de sus datos empresariales o profesionales, pues pueden acceder a la base de datos de Camerdata para contactar con terceros empresarios o profesionales para el ofrecimiento de sus servicios y productos, y tienen interés en ser localizados por terceros que acceden a la base de datos de Camerdata para iniciar relaciones comerciales. A mayor abundamiento y en cumplimiento del principio de minimización de datos (art. 5.1.c RGPD UE) los datos tratados, relacionados en el punto 1 del presente escrito de respuesta, son pertinentes, adecuados y limitados a los estrictamente necesarios para la finalidad para la que son tratados. Resultado de la ponderación: 1º - El tratamiento de esta información es lícito: El tratamiento de los datos es necesario para conseguir las finalidades empresariales y económico-sociales que se pretenden. 2º - Las fuentes de obtención de la información tienen la consideración de fuentes públicas en su más amplio sentido, bien porque la publicación de los datos responde a la exigencia y aplicación de una norma legal que requiera que dicha información sea conocida y esté accesible al público en general. En este sentido, los datos se podrán obtener de las siguientes fuentes:
  2. a)Fuentes públicas: Principalmente, las que se han citado anteriormente.
  3. b)Datos que el interesado hubiese hecho manifiestamente públicos. Se entenderá que este tipo de datos pueden ser objeto del tratamiento, sobre la base de licitud del interés legítimo, en la medida en que el art. 9.2. apartado
  4. e)del RGPD permite tratar datos de categorías especiales de datos por el hecho de que el interesado los haya hecho manifiestamente públicos, por lo que con mayor razón se podrán tratar datos que no comprendan dichas categorías, como es el caso de los tratamientos de datos que realizarán los responsables del tratamiento.
  5. c)Cualesquiera otras fuentes públicas siempre que su tratamiento no esté impedido por normativa legal o por derechos de legítimo autor o beneficiario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/98 del fichero de procedencia de los datos, y el responsable del tratamiento haya llevado a cabo previamente a la construcción del fichero una ponderación entre su interés legítimo o el del tercero a los que se preste el servicio y los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales. En el tratamiento de las fuentes públicas a que se refiere este párrafo, los responsables del tratamiento cumplirán con los principios del tratamiento del art. 5 del RGPD. 3º - Las categorías de datos que se tratan son mínimamente invasivos en el derecho a la intimidad del interesado, pues son datos ceñidos al desempeño de una actividad empresarial o profesional, sin que en ningún momento existan datos de su esfera familiar, ni mucho menos datos de categorías especiales de datos (artículo 9 RGPD). Por lo demás, la base de datos de empresas de Camerdata no refiere ninguna información crediticia ni sobre solvencia patrimonial. 4º - Es parte del interés legítimo que se considera para el tratamiento de esta información el perjuicio que supondría para el interés general del tráfico mercantil el no tratar esta información, en los términos expuestos dada la seguridad jurídica que aportan en cualquier transacción del mercado. La inexistencia de referencias informativas sobre la actividad empresarial de estos interesados en el mercado tendría como consecuencia directa repercusiones claramente negativas en la actividad económica, con el consiguiente perjuicio a la actividad económica general. 5º - El principio a la libre circulación de los datos, establecido y amparado por la propia normativa europea en la materia (RGPD). 6ª - Las finalidades pretendidas para el tratamiento de estos datos por Camerdata no difieren de las que tienen las fuentes de procedencia de los datos, la publicidad registral de los Registro oficiales y el censo público de empresas de las Cámaras de Comercio, (fuentes principales de obtención de esta información), pues persiguen ofrecer a los consultantes la transparencia y seguridad jurídica necesarias. Este hecho, junto a la amplia y reconocida existencia en el mercado y en la sociedad en general de sistemas de información empresarial, influyen directamente en la existencia de una expectativa razonable, por parte de los interesados, sobre la posibilidad de que los datos de su desempeño empresarial o profesional puedan llegar a ser tratados. En ocasiones, son los propios interesados quienes directamente hacen pública la información o permiten su difusión porque tienen interés en que se conozcan sus datos de contacto y actividades empresariales o profesionales. 7º.- En el caso de los datos que sean públicos por cualquier causa, la Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011 (asuntos acumulados C-468/10 y C-469/10) indica, en sus Considerandos
(44)y
(45), que cuando los datos figuran en fuentes accesibles al público, el responsable del tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos, no acceden a datos relativos a la vida privada del interesado, dado que la información ya es de público conocimiento. Como consecuencia, hay un impacto menor en los derechos del interesado, lo que debe ser apreciado en su justo valor en la ponderación con el interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/98 7. Que en relación al tratamiento que supone la cesión de la base de datos de empresas en el caso de autónomos a terceras entidades, manifiesta que se basan en interés legítimo y la finalidad tal y como se indica en el punto anterior. Aporta copia de contrato fechado a 15/02/2016 y firmado entre CAMERDATA y CÁMARA donde consta que (se añade subrayado): a. CÁMARA es la cedente y CAMERDATA es la cesionaria. b. “[…] V. Sobre la base de los indicados datos que recibe de las Administraciones públicas colaboradores (que actualmente son la Agencia Estatal de la Administración Tributaria, la Agencia Diputación Foral de Navarra y las Cámaras de Comercio del País Vasco), la Cámara de Comercio de España elabora el censo público de empresas bajo la denominación de "Censo Básico de Empresas", garantizando la confidencialidad en el tratamiento y el uso exclusivo de la información recibida. […]” c. “Que la información empresarial es una de las áreas tradicionales donde las Cámaras de Comercio, con arreglo a sus funciones y finalidades, han venido ofreciendo servicios a las empresas. Con el fin principal de gestionar adecuada y coordinadamente dichos servicios, el ahora extinguido Consejo Superior de Cámaras de Comercio (hoy sustituido por la Cámara de Comercio de España) y las Cámaras de Comercio constituyeron en 1985 la mercantil CAMERDATA, S.A., entidad instrumental cameral para el desarrollo de dicha actividad. Según el artículo 4 de los Estatutos sociales de CAMERDATA, S.A., el objeto social de la misma consiste en el desarrollo y explotación de un sistema de información empresarial y las aplicaciones derivadas del mismo.” d. “[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un sistema de información empresarial denominado "Fichero de Empresas Españolas", que es una base de datos diferente del "Censo Básico de Empresas" elaborado por la Cámara de Comercio de España, si bien para desarrollarlo está interesada en obtener una copia de la información empresarial del "Censo Básico de Empresas". e. “[…] Primera. Objeto. Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez, recibe y adquiere para sí, una copia de la totalidad de los datos empresariales obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual contiene los campos de información que se indican en el Anexo 1 de 3.160.984 Registros de Empresas. A estos efectos se entiende por Registro de Empresa todos los campos de información del Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos Cedida, tomándose como identificador de dicho registro el NIF de las mismas. […] Segundo. Finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/98 La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y los tratará, completará y enriquecerá en los términos convenidos en el presente Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros interesados como base de datos de información de las empresas que operan en territorio español. […]” f. Consta en el Anexo 1, los campos de “NIF de la empresa”, “nombre o denominación social de la empresa”, “domicilio principal”, “domicilio de actividad”, “sección actividad IAE”, “actividad IAE”. g. “Segundo.- Finalidad. La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y los tratará, completará y enriquecerá en los términos convenidos en el presente Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros interesados como base de datos de información de las empresas que operan en territorio español.” h. “12.2.- Asimismo manifiesta la Cedente que la Base de Datos Cedida y sus actualizaciones contiene datos relativos a empresarios individuales y a datos de personas físicas que prestan sus servicios a personas jurídicas, relativos únicamente al nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales, todo ello de conformidad con lo dispuesto en el artículo 2 del RLOPD.” i. En el ANEXO 2 al contrato de cesión de 15/02/2016 con las “Condiciones de la cesión de la Base de Datos Cedida” consta que: i. “Que los datos incluidos en la Base de Datos Cedida y sus actualizaciones se obtienen del censo público de empresas que regula la Ley 4/2014 elaborado por la Cedente bajo la denominación de Censo Básico de Empresas.” ii. Obligaciones de CAMERDATA: “B) Obligaciones de la Cesionaria b. 1) La Cesionaria se obliga a incorporar la información de la Base de Datos Cedida en el Fichero de Empresas Españolas y a tratarla y comercializarla en los términos convenidos en el Contrato y sus Anexos. b.2) La Cesionaria se compromete a tener siempre actualizados los datos empresariales del Fichero de Empresas Españolas y a tal efecto se obliga a: (i) Adquirir de la Cedente todas las actualizaciones de la Base de Datos Cedida que ésta realice periódicamente dentro de los quince
(15)días laborables siguientes a la fecha en que reciba la comunicación escrita al efecto de la Cedente. (ii) A no ceder ni comercializar la Base de Datos Cedida ni sus actualizaciones, y a no realizar más copias que las de seguridad. (iii) Incorporar en el Fichero de Empresas Españolas la información de los Registros de Empresa de la Base de Datos Cedida actualizada dentro de los treinta
(30)días laborales siguientes a la fecha en que la reciba de la Cedente y a tratarla en los términos que se indican en el siguiente párrafo b.4). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/98 (
  1. iv)Efectuar dicha actualización sobrescribiendo el Fichero de Empresas Españolas con la información de la Base de Datos Cedida actualizada por cada Código Administración remitido. En consecuencia, la Cesionaria quedará obligada a suprimir del Fichero de Empresas Españolas la información de la Base de Datos Cedida entregada anteriormente relativa a dichos Códigos Administración, la cual quedará completamente sustituida y sin efecto, y sin que la Cesionaria pueda usar dicha información para la finalidad del Contrato ni para ninguna otra; únicamente podrá conservarla bloqueada a disposición de las Administraciones públicas, Jueces y Tribunales para la atención de las posibles responsabilidades que eventualmente se deriven del tratamiento y comercialización de dicha información durante el plazo de prescripción de éstas. b.3) La Cesionaria únicamente podrá informar a los terceros interesados de que la fuente de información del Fichero de Empresas Españolas referente a los campos del Anexo I del Contrato se corresponde con la del Censo Básico de Empresas cuando dicho fichero haya incorporado la información de la última Base de Datos Cedida actualizada de la Cedente. En caso contrario, no podrá informar dicha fuente. b.4) Recibida la Base de Datos Cedida o la actualización de la misma, la Cesionaria procederá a: (
  2. i)Homogeneizar nombres y direcciones expresados en diferentes elementos (a modo de ejemplo: calle / rua / Kale / carrer, homogeneizando todas ellas a calle) sin que ello suponga modificar el contenido esencial de la información empresarial contenida en dicha Base de Datos Cedida. (
  3. ii)Incorporar la información de la Base de Datos Cedida o sus actualizaciones tratada de esta forma al Fichero de Empresas Españolas propiedad de la Cesionaria. b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y comercializa tendrá las siguientes características: (
  4. i)El registro de la empresa y los campos de la misma de la Base de Datos Cedida indicados en el Anexo 1 del Contrato. Los restantes campos de dicho Fichero incluidos por la Cesionaria no modificarán, alterarán ni contradecirán los campos de la Base de Datos Cedida y sus actualizaciones. (
  5. ii)Campos desarrollados por la Cesionaria a partir de algoritmos creados por ella misma. (iii) Campos aportados por la Cesionaria: como Forma jurídica, actividad principal, sede social, sucursales, actividad negocial. (
  6. iv)Campos aportados por otras fuentes legítimas y actualizadas: Nombre comercial, teléfono, fax, CNAE, web, fecha constitución, número de empleados, volumen de negocio, importaciones/exportaciones, cargos (hasta 5 cargos con nombre y apellidos), género de la empresa (para distinguir cuando se trata de autónomos no sección 2 0 3), coordenadas geodésicas (en 3 sistemas universales) u otros. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/98 Aporta copia de contrato fechado a 25/04/2017, 24/05/2018 (ADDENDA AL CONTRATO DE INTERMEDIACIÓN SUSCRITO EL 25 DE ABRIL DE 2017 ENTRE CAMERDATA S.A. Y DATACENTRIC, PDM, S.A.), 19/07/2019 y firmados entre CAMERDATA y DATACENTRIC PDM S.A. (en adelante DATACENTRIC) donde consta que: a. En el contrato de 25/04/2017 consta: i. “PRIMERA. OBJETO El objeto del presente contrato es regular las condiciones de colaboración entre CAMERDATA y DATACENTRIC relativas a la prestación de los siguientes servicios: - La cesión del fichero de Autónomos, por parte de CAMERDATA a favor de DATACENTRIC con la finalidad de que DATACENTRIC pueda hacer uso de la misma en su actividad empresarial. - La cesión de datos o campos de información por parte de DATACENTRIC a CAMERDATA, para su tratamiento informatizado. El contenido de los servicios y productos objeto de cesión se regula en la siguiente Estipulación. SEGUNDA.CONDICIONES DE SUMINISTRO DE LOS DATOS CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos (empresarios individuales) en la modalidad Premium. Esta modalidad incluye el derecho: de uso interno por parte de DATACENTRIC de distribución y comercialización de los datos a terceras empresas (a excepción de las empresas infomediarias, a modo de ejemplo se citan; Informa, Experian, Arvato, Equifax, Iberinform, Axesor, Ardan, etc...), con la finalidad de que sea utilizado por los destinatarios para uso exclusivo interno, nunca para su posterior distribución o venta.” ii. La información contendrá, entre otros datos, nombre o razón social, NIF, dirección completa, teléfono. iii. Que los registros que componen los ficheros entregados a DATACENTRIC son de empresarios individuales y se encuentran excluidos del régimen de aplicación de la normativa de protección de datos de acuerdo con el art. 2 Real Decreto 1720/2007. b. En el contrato de 24/05/2018 consta: i. La finalidad es adaptar el contrato referenciado al RGPD. El contrato referenciado continúa en vigor en lo no modificado. ii. “A estos efectos, CAMERDATA declara que los datos que facilita al amparo del citado Contrato (en adelante el FICHERO) contienen datos de carácter personal de personas (en adelante, los INTERESADOS o DESTINATARIOS), considerando que se trata de datos personales relacionados con la actividad mercantil del usuario, no con su ámbito privado, y que se trata de un tratamiento lícito en los términos del art. 6.1 .
  7. f)del RGPD, de forma tal que permite enviarles publicidad de los sectores incluidos en la política de privacidad de DATACENTRIC[…]” iii. DATACENTRIC es responsable y encargado del tratamiento y CAMERDATA es responsable del tratamiento. iv. “[…]CAMERDATA como titular del FICHERO y responsable del tratamiento de los datos autoriza a DATACENTRIC a comercializar el fichero a CLIENTES que contraten la realización de las campañas reguladas en el correspondiente contrato con encargados de tratamiento que no estuvieran alojados en territorio del EEE, siempre que los clientes en su condición de EXPORTADOR DE DATOS cuenten con la debida autorización del Director de la Agencia Española de Protección de datos para llevar a cabo la citada transferencia internacional[…]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/98 Y anexo al contrato consta un “CONTRATO DE PRESTACIÓN DE SERVICIOS DE TRATAMIENTO DE DATOS” donde consta que: i. CAMERDATA es responsable del tratamiento y DATACENTRIC es encargado del tratamiento. ii. DATACENTRIC prestará los servicios de tratamiento necesarios para la realización de campañas publicitarias. c. En el contrato de 19/07/2019 consta que en relación al contrato de 25/04/2017, CAMERDATA autoriza a DATACENTRIC a distribuir y comercializar la base de datos de autónomos titularidad de la primera, a la empresa infomediaria EQUIFAX IBÉRICA, S.L. y a las empresas pertenecientes a su grupo. Y que la distribución del fichero se realizará con finalidad de “servicios de marketing” limitados al ámbito empresarial y nunca privado, enriquecimiento de NIF, identificación de si la persona en autónomo con la finalidad de su localización. Con fecha 16/11/2023 se comprueba que: 1. En la URL https://sede.agenciatributaria.gob.es/Sede/todasgestiones/procedimientos-notributarios/tratamiento-datos-personales/tratamientodatos-personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividadestratamiento/5_1-censo.html no existe ningún contenido. 2. En la URL https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml y en https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA E_CamCom08.pdf consta información sobre el “Diseño de Registro del Fichero del Impuesto sobre Actividades Económicas para las Cámaras de Comercio para la entrega del fichero Anual del ejercicio 2008 y siguientes” donde consta una tabla descriptiva de los datos intercambiados donde se incluyen los datos, entre otros, de “NIF”, “Apellidos y Nombre o razón social”, “domicilio fiscal actual”, “domicilio tributario” (dentro del cual se encuentra también el dato “teléfono”). 3. En el BOE de 20 de diciembre de 2019, al que se puede acceder a través del enlace https://www.boe.es/boe/dias/2019/12/20/pdfs/BOE-A-2019-18316.pdf, consta (se añade subrayado): “CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICOADMINISTRATIVAS […] Primera. Objeto del Convenio. 1. El presente Convenio tiene por objeto establecer un marco general de colaboración sobre las condiciones y procedimientos por los que se debe regir la cesión de información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia Tributaria) a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Cámaras) y a la Cámara Oficial de Comercio, Industria, Servicios y Navegación de España (en adelante, Cámara de Comercio de España), preservando en todo caso los derechos de las personas a que se refiera la misma. 2. El presente Convenio se entiende sin perjuicio del intercambio de información que pueda tener lugar entre la Agencia Tributaria y las Cámaras conforme al Ordenamiento Jurídico en supuestos distintos de los regulados por el mismo; […] […] Segunda. Finalidad de la cesión de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/98 La cesión de información procedente de la Agencia Tributaria tendrá como finalidad exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el ejercicio de las mismas, la normativa reguladora exija la aportación de una certificación expedida por la Agencia Tributaria o la presentación, en original, copia o certificación, de las declaraciones tributarias de los interesados o de cualquier otra comunicación emitida por la Agencia Tributaria, en particular en el caso de no obligados a declarar. En estos supuestos, la información que debe constar en tales documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte necesaria para el ejercicio de tales funciones y se refiera a un elevado número de interesados o afectados. En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar por las Cámaras. La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de las empresas tendrá como finalidad exclusiva la elaboración del censo público de empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que hace referencia el artículo 17 de la misma Ley. Tercera. Autorización de los interesados en la información suministrada. La cesión de información tributaria deberá contar con la previa autorización expresa de los interesados, según lo establecido en el artículo 95.1.
  8. k)de la LGT, en los términos y con las garantías que se establecen en el artículo 2.4 de la Orden del Ministerio de Economía y Hacienda de 18 de noviembre de 1999. No obstante, la cesión de los datos del Impuesto sobre Actividades Económicas y los censales de las empresas impuesta por el artículo 8 de la citada Ley 4/2014 no requerirá la previa autorización de los interesados. Cuarta. Destinatarios de la información suministrada. La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a los órganos de la Cámara de Comercio de España y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión, incluidos los órganos de fiscalización competentes en la medida en que, por aplicación de su propia normativa, participen en los procedimientos a que se refiere la cláusula segunda del presente Convenio. En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen funciones distintas de las descritas en la cláusula segunda de este Convenio. Todo ello sin perjuicio de la estricta afectación de la información remitida por la Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia Tributaria. […] Séptima. Cesión de información. 1. Para el cumplimiento de las finalidades descritas en la cláusula segunda se establecen los suministros de información que se recogen en el Anexo I al presente Convenio. […] Octava. Control y seguridad de los datos suministrados. […] 2. Se establecen los siguientes controles sobre la custodia y la utilización de la información suministrada al amparo de este Convenio:
  9. a)Control interno por parte del ente cesionario de la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/98 Las Cámaras realizarán controles sobre la custodia y utilización que de los datos recibidos realicen las autoridades, funcionarios o resto de personal dependientes de ellas, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la cláusula decimotercera del presente Convenio de los resultados obtenidos en dicho seguimiento. Contarán con una política de seguridad de la información, un análisis y gestión de riesgos y una asignación explícita de responsabilidades en materia de seguridad adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de seguridad a la información suministrada por la Agencia Tributaria. Impedirán el acceso a la información suministrada por parte de personal no autorizado, estableciendo la trazabilidad de los accesos a la información suministrada, y desarrollando auditorías del acceso a los datos con criterios aleatorios y de riesgo. Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que concurra algún conflicto de intereses. Así como medidas que aseguren el cumplimiento de las condiciones que sustentan cada una de las cesiones. […] Novena. Tratamiento de datos personales. En el caso de que la información incorpore datos personales de los interesados, tanto el cedente, la Agencia Tributaria, como el cesionario, la Cámara de Comercio de España y las Cámaras, tratarán los datos de acuerdo al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Los datos tratados en este Convenio tienen la categorización de información tributaria. En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de la Dirección General. En el caso de los cesionarios de los datos, la Cámara de Comercio de España y las Cámaras, el Responsable del Tratamiento a los efectos del Reglamento General de Protección de Datos será la persona que designe cada Cámara. Décima. Obligación de sigilo. 1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los datos o información suministrados en virtud de este Convenio estarán obligados al más estricto y completo sigilo respecto de ellos. La violación de esta obligación implicará incurrir en las responsabilidades penales, administrativas y civiles que resulten procedentes, así como el sometimiento al ejercicio de las competencias que corresponden a la Agencia de Protección de Datos. […] ANEXO I AL CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICO-ADMINISTRATIVAS […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/98 […] ANEXO III El presupuesto para la celebración y ejecución del presente Convenio es la condición de Administración pública, tanto de la Cámara Oficial de Comercio, Industria, Servicios y Navegación de España como de las propias Cámaras Oficiales, destinándose el suministro de información a realizar por la Agencia Estatal de Administración Tributaria, en todo caso, al ejercicio de funciones públicas. Las funciones públicas a desarrollar por la Cámara Oficial de Comercio, Industria, Servicios y Navegación se relacionan directa e indirectamente en las letras
  10. d)a
  11. i)del artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación: Artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación: «1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España desarrollará las siguientes funciones:
  12. d)Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1 del artículo 5 de esta Ley.
  13. e)Informar, con el carácter y el alcance previstos en la legislación vigente, los anteproyectos de leyes o disposiciones estatales de cualquier rango que afecten directamente al comercio, la industria, los servicios y la navegación.
  14. f)Asesorar a la Administración General del Estado, en los términos que ésta establezca, en temas referentes al comercio, la industria, los servicios y la navegación.
  15. g)Desempeñar las funciones público-administrativas que se le atribuyan, cuando afecten al conjunto del Estado.
  16. h)Gestionar en los términos previstos en los acuerdos con el Ministerio de Economía y Competitividad las actuaciones previstas en el Plan Cameral de Internacionalización y en el Plan Cameral de Competitividad.
  17. i)Desempeñar funciones de mediación y arbitraje mercantil, nacional e internacional, de conformidad con lo establecido en la legislación vigente». […] Artículo 5 de la Ley 4/2014, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/98 «1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tendrán las siguientes funciones de carácter público-administrativo: […]
  18. g)Gestionar, en los términos del artículo 8 de esta Ley, un censo público de todas las empresas, así como de sus establecimientos, delegaciones y agencias radicados en su demarcación. […]” 4. Que en la URL https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt ercambioIAE2006.pdf consta el “PROTOCOLO DE INTERCAMBIO DE INFORMACION DEL I. A. E. ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y ENTIDADES LOCALES / CÁMARAS DE COMERCIO” donde consta: “[…] Por otra parte, la información del censo del Impuesto sobre Actividades Económicas, así como las altas bajas o variaciones del mismo, es necesaria para la Cámaras de Comercio en la gestión de las exacciones integradas en el Recurso Cameral Permanente, motivo por el que a partir del ejercicio 2006 se utilizará el mismo procedimiento telemático para proporcionar esta información a las Cámaras de Comercio. […] 5. PETICIÓN DE FICHEROS DE I.A.E. Aunque la Agencia Tributaria está obligada al suministro de la Información del I.A.E. a todas las entidades locales que tengan competencias gestoras y/o recaudatorias en dicho impuesto y a las Cámaras de Comercio para la gestión y Recaudación de las exacciones integradas en el Recurso Cameral, este procedimiento se basa en una solicitud previa de la información deseada, cosa que aunque pueda parecer un obstáculo, aporta varias e importantes ventajas, como son: • Las entidades locales y Cámaras de Comercio pueden solicitar el tipo de información que deseen, en cualquier momento, y cuantas veces lo estimen oportuno. Las peticiones así efectuadas quedan registradas automáticamente en el Registro de Entrada de Datos de la AEAT, lo que permite un seguimiento posterior de la petición. […] ANEXO II. Modelo de autorización para el intercambio telemático de información de IAE. […] la información solicitada será utilizada exclusivamente para los fines conferidos por la normativa del impuesto sobre actividades económicas a este ayuntamiento/organismo , sin que puedan utilizarse en perjuicio del interesado o afectado, ni cedidos a terceros, salvo en los casos expresamente previstos por la ley" […]“ Con fecha 21/11/2023 se comprueba que: 1. Que en el Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e inspección tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación de los tributos, en su art. 5, consta que “En el Censo de Empresarios, Profesionales y Retenedores, además de los datos mencionados en el artículo 4 de este reglamento, para cada persona o entidad constará la siguiente información” y en el art. 4 constan como datos los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/98 “Artículo 4. Contenido del Censo de Obligados Tributarios. 1. Los datos que se incluirán en el Censo de Obligados Tributarios serán para las personas físicas los siguientes:
  19. a)Nombre y apellidos, sexo, fecha de nacimiento, lugar de nacimiento, estado civil y fecha del estado civil.
  20. b)Número de identificación fiscal español.
  21. c)Número de identificación fiscal de otros países, en su caso, para los residentes.
  22. d)Código de identificación fiscal del Estado de residencia, en su caso, para no residentes.
  23. e)Número de pasaporte, en su caso.
  24. f)Condición de residente o no residente en territorio español.
  25. g)Domicilio fiscal en España y la referencia catastral del inmueble, salvo que no esté obligado a ello de acuerdo con la normativa que le sea de aplicación.
  26. h)En su caso, domicilio en el extranjero.
  27. i)Nombre y apellidos o razón social o denominación completa y número de identificación fiscal de los representantes legales para las personas que carezcan de capacidad de obrar en el orden tributario […]” Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 21/11/2023, CÁMARA remite a esta agencia la siguiente información: 1. “La base de datos del censo público de empresas de la Cámara de España lo integran, conforme al artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014), las personas jurídicas y físicas, nacionales o extranjeras, que ejerzan actividades comerciales, industriales, de servicios y navieras en territorio nacional. Se incluyen únicamente aquellas actividades económicas de empresas, personas físicas y jurídicas, cuya actividad se halle en alguno de los epígrafes de las Divisiones números 1 a 9, ambas inclusive, de la Sección Primera del Anexo I del Real Decreto Legislativo 1174/1990, de 28 de septiembre, por el que se aprueban las tarifas y la instrucción del Impuesto sobre actividades Económicas, y que no hayan causado baja. El origen de los datos que integran el censo público de empresas de la Cámara España son los datos del Impuesto de Actividades Económicas y los censales de las empresas que sean necesarios cedidos por la Agencia Estatal de la Administración Tributaria, en virtud del Convenio de 25 de noviembre de 2019, suscrito entre la Administración Tributaria y la Cámara de España para la cesión de información de carácter tributario a las Cámaras Oficiales de Comercio, industria, Servicios y Navegación españolas para el cumplimiento de sus finalidades y el ejercicio de sus funciones público-administrativas, que ha sido prorrogado mediante adenda de fecha 19 de diciembre de 2023. Asimismo, también tienen su origen en los datos del Impuesto de Actividades Económicas cedidos por la Diputación Foral de Navarra y en los cedidos por las Cámaras de Comercio del País Vasco.[…]” 2. Que el número total de autónomos o empresarios individuales o personas físicas que constan actualmente en el censo público de empresas es de 1.459.498. 3. Que los datos que contiene el censo público de empresas de CÁMARA son: NIF/CIF Nombre, primer apellido, segundo apellido. Dirección postal de la actividad económica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/98 Código postal de la actividad económica. Provincia de la actividad económica. Municipio de la actividad económica. Descripción de la actividad económica ejercida. Aporta extracto de la base de datos donde constan estos datos, entre otros. 4. “[…]Los campos relacionados anteriormente se proporcionan únicamente a CAMERDATA, S.A., como entidad mercantil constituida por múltiples Cámaras de Comercio españolas y por la Cámara de España, para su inclusión en su Fichero de Empresas Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de forma legítima y disponer de una base de datos de calidad de las empresas que operan en territorio español para poder ofrecerla empresas y a terceros interesados. […]” 5. Que respecto a la obligación de información del art. 14 RGPD, no le resulta de obligación, según el art. 14.5 c). Que la obtención de datos está expresamente establecida por la Ley 4/2014 y a las funciones público-administrativas que ésta atribuye a CÁMARA. Manifiesta que el art. 3 Ley 4/2014 establece: “Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tienen como finalidad la representación, promoción y defensa de los intereses generales del comercio, la industria, los servicios y la navegación, así como la prestación de servicios a las empresas que ejerzan las indicadas actividades. Asimismo, ejercerán las competencias de carácter público que les atribuye esta Ley y las que les puedan ser asignadas por las Administraciones Públicas con arreglo a los instrumentos que establece el ordenamiento jurídico. […]" Que el art. 5.1 Ley 4/2014 establece las funciones público-administrativas de CÁMARA: “
  28. g)Gestionar, en los términos del artículo 8 de esta Ley, un censo público de todas las empresas, así como de sus establecimientos, delegaciones y agencias radicados en su demarcación.
  29. j)Impulsar actuaciones dirigidas al incremento de la competitividad de las pequeñas y medianas empresas, y fomentar la innovación y transferencia tecnológicas a las empresas. (...) " Y que el art. 8 Ley 4/2014 establece en relación al citado censo: "Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación elaborarán un censo público de empresas del que formarán parte las personas físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades comerciales, industriales, de servicios y navieras en territorio nacional (...)." Que el art. 21.1 Ley 4/2014 dispone las siguientes funciones: "[…]
  30. a)Promover los intereses generales del comercio, la industria, los servicios y la navegación, en el ámbito estatal.
  31. b)Representar al conjunto de las Cámaras ante las diversas instancias estatales e internacionales.
  32. c)Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras españolas.
  33. d)Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1 del artículo 5 de esta Ley. […]” 6. Que “la obtención de los datos que integran el censo público de empresas (relacionados en el punto anterior) y su tratamiento para la elaboración de un censo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/98 público de todas las empresas, sean personas físicas o jurídicas, constituye el desempeño de una función público-administrativa de las Cámaras de Comercio españolas y que la Cámara de España ejerce, en el ámbito estatal y en coordinación con las Cámaras de Comercio, para el cumplimiento de las finalidades camerales, promoviendo así los intereses generales del comercio, la industria, los servicios y la navegación e impulsando, en particular, actuaciones dirigidas al incremento de la competitividad de las pequeñas y medianas empresas (en gran parte, autónomos).” 7. Que la legitimación para el tratamiento que supone el censo público de empresas es la obligación legal, según art. 5.1.g y 8 de la Ley 4/2014, así como el interés público. Y manifiesta: “[…] Sin perjuicio del ejercicio de su función público-administrativa de elaborar un censo público de empresas, con su gestión la Cámara de España también cumple un objetivo o misión de interés público o general que (i), de un lado, es inherente a sus funciones propias del artículo 21.1.
  34. d)de la Ley 4/2014, en relación con las finalidades camerales del artículo 3 de la misma Ley, como es la promoción de los intereses generales del comercio, la industria, los servicios y la navegación y del desarrollo empresarial y económico, y la función principal de prestación de servicios a todas las empresas que ejerzan dichas actividades, entre ellos, los servicios de información empresarial, reforzando así su papel de apoyo a las pequeñas y medianas empresas en el ámbito del incremento de su competitividad (párrafo 12, apartado l, del Preámbulo de la Ley 4/2014), y que (ii), de otro lado, se halla implícito en la función públicoadministrativa consistente en impulsar actuaciones dirigidas al incremento de la competitividad de las pequeñas y medianas empresas (artículo 5.1.
  35. j)de la Ley 4/2014). En este sentido, el Preámbulo de la Ley 4/2014 (párrafo 6, apartado
  36. l)destaca el objetivo o misión de interés público de las finalidades, funciones y actividades de las Cámaras de Comercio: "Conscientes de su importancia y necesidad como instituciones básicas para el desarrollo económico y empresarial de nuestro país, se mantiene su naturaleza como corporaciones de derecho público, garantizando el ejercicio de las funciones público-administrativas que, en e/ actual contexto económico, tienen una especial relevancia de cara a la regeneración del tejido económico y la creación de empleo y se consagra su finalidad de representación, promoción y defensa de los intereses generales del comercio, la industria, los servicios y la navegación, así como la prestación de servicios a todas las empresas.” La Ley 4/2014 atribuye a la Cámara de España el ejercicio y cumplimiento de funciones de interés público o general -a/ tratarse de funciones de carácter público- administrativo, entre las que se encuentra la elaboración y gestión de un censo público de empresas, necesario para el cumplimiento de sus finalidades y el ejercicio de las demás funciones público-administrativas camerales. Así, la Ley 4/2014 determina la finalidad del tratamiento y su necesidad para el cumplimiento de una misión realizada en interés público. De este modo, tanto la necesidad del tratamiento de datos realizado, como las finalidades de interés público, vienen impuestas por una norma con rango de Ley.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/98 8. 9. Respecto a la finalidad del tratamiento manifiesta: “La finalidad del tratamiento que realiza la Cámara de España reside en la promoción de los intereses generales del comercio, la industria, los servicios y la navegación y del desarrollo empresarial y económico y la función principal de prestación de servicios a todas las empresas que ejerzan dichas actividades, entre ellos, los servicios de información empresarial, reforzando así su papel de apoyo a las pequeñas y medianas empresas, impulsando así actuaciones dirigidas al incremento de su competitividad. Con la gestión del censo público de empresas se ofrece al público en general y a las empresas, en particular, un sistema o servicio de información de empresas con el objetivo de dar mayor transparencia y seguridad al tráfico jurídico mercantil, ayudando al desarrollo económico y empresarial y, cumpliendo, con ello, un interés público general para el sector empresarial y profesional y la creación de empleo. Finalidad de la que participan los propios interesados, los autónomos o empresarios individuales, que tienen interés en formar parte de esa base de datos tanto para ser localizados por terceros interesados en sus productos y servicios, como para acceder a su vez a esa base de datos para ofrecerlos a terceros.” En relación a la cesión de los datos a CAMERDATA manifiesta: “La Cámara de España proporciona los datos del censo público de empresas a Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima y disponer de una base de datos de calidad de las empresas que operan en territorio español para poder ofrecerla empresas y a terceros interesados. La base de legitimación del tratamiento de los datos del censo público de empresas por Camerdata se ampara en que el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales (artículo 6.1.
  37. f)del RGPD). En este sentido, se contribuye al desarrollo y fomento de las relaciones comerciales e industriales, disponiendo así de un sistema de información empresarial de calidad para los actores del tejido empresarial, impulsando el desarrollo económico y empresarial y confiriendo a una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un interés general. En el tratamiento de los datos del censo público de empresas por parte de Camerdata subyace también un interés legítimo de los propios empresarios, que necesitan disponer de esta información bien para conocer los servicios y productos de otros empresarios o bien dar a conocer los suyos a terceros. Derechos y libertades fundamentales de los interesados: Los derechos y libertades fundamentales de los interesados son los generales que requieren la protección de datos personales, sin que haya ninguno que específicamente destaque en esta situación particular. En todo caso, los mismos no se verán vulnerados por el tratamiento de los datos del censo público de empresas, por cuanto: 1º. La categoría de datos personales tratados se limita a los del censo público de empresas de la Cámara de España y para finalidades acordes con las propias de su elaboración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/98 2º. Los datos que se tratan son los contenidos en el censo público de empresas, base de datos de acceso público en la web de la Cámara de España. 3º. Se garantiza en todo momento el fácil ejercicio de los derechos de los Interesados regulados en los artículos 15 a 22 del RGPD UE. Resultado de la ponderación: 1º - El tratamiento se considera lícito. 2º - Los datos que se tratan son datos públicos, de acceso al público en general en la web corporativa de la Cámara de España. 3º - Las categorías de datos tratados son mínimamente invasivos del derecho a la intimidad del interesado, pues son datos ceñidos al desempeño por el interesado de una actividad empresarial, sin que en ningún momento existan datos de su esfera familiar, ni mucho menos datos de categorías especiales de datos (artículo 9 RGPD). 4º - El principio a la libre circulación de los datos, establecido y amparado por la propia normativa europea en la materia (RGPD). 5º - Las finalidades pretendidas por el tratamiento de los datos por parte de Camerdata son acordes y compatibles de las que tiene el censo público de empresas de las Cámaras de Comercio, pues persiguen disponer de un sistema de información empresarial de calidad para los actores del tejido empresarial, impulsando el desarrollo económico y empresarial y confiriendo a una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un interés económico general. […]” Con fecha 22/03/2024 se comprueba, respecto de un autónomo elegido al azar extraído de los listados aportados por CAMARA y CAMERDATA, que: 1. Se realiza una búsqueda en www.google.es por el nombre y apellidos de un autónomo, constando resultados de la web www.expansion.com. 2. Que en la web www.expansion.com constan datos exclusivamente de nombre y apellidos, código postal, provincia, municipio, año de inicio de actividad, actividad, SIC, CNAE. Consta que los datos han sido obtenidos de fuentes públicas por AXESOR CONOCER PARA DECIDIR S.A. Consta también que para ampliar más información sobre el autónomo se ofrece un enlace a la web de autonomos.axesor.es. Pinchando en ese enlace se redirige a la web de autonomos.axesor.es y se muestran exclusivamente los datos de nombre y apellidos, código postal, municipio, provincia, CNAE, SIC e información sobre su actividad. Asimismo, consta en la web de autonomos.axesor.es el texto “Nuestros informes le proporcionarán la información más completa sobre la actividad empresarial de […] como el NIF, teléfono. dirección en Molledo (Cantabria), scoring calificación de crédito, probabilidad de impago y capacidad máxima de solvencia. incidencias judiciales....”. 3. Buscando con el buscador www.google.com por el nombre y apellidos de ese autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, se ofrecen resultados de búsqueda que pinchando en ellos redirige a la web de einforma.com y donde constan datos de nombre, apellidos, localidad y provincia sobre personas físicas. Que más en detalle constan datos de nombre y apellidos, código postal, provincia, municipio, actividad, SIC, CNAE. Además, en la web einforma.com consta, un enlace con “Acceda al informe ampliado de esta empresa”. Asimismo, consta el texto “elnforma, marca de INFORMA D&B S.A.U. (S.M.E.), es el líder en el mercado Español de información de empresas e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/98 informes de empresas. Contamos con una base de datos de empresas de más de 500 millones de registros de empresas, donde podrás buscar empresas de todo el mundo, más de 7 millones de agentes económicos nacionales y acceso a Prospecta.” 4. Buscando con el buscador www.google.com por el nombre y apellidos de ese autónomo y restringiendo los resultados de búsqueda al dominio axesor.es, no se ofrecen resultados de búsqueda. 5. Que en la web de censo.camara.es realizando una búsqueda por el campo nombre e introduciendo el nombre y apellidos del mismo autónomo anterior, se ofrecen resultados con los datos de nombre y apellidos, dirección postal, código postal, provincia, municipio y actividad. A su vez se ofrece un enlace al fichero de empresas de Camerdata Online (www.camerdata.
  38. es)para obtener más información. Con fecha 22/03/2024 se comprueba que: 1. En el apartado 5.1. “censo” del registro de actividades del tratamiento de la AEAT ubicado en https://sede.agenciatributaria.gob.es/Sede/todasgestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamientodatos-personales/informacion-interesado-sobre-proteccion-datos/5-registroactividades-tratamiento/5_1-censo.html consta: “Descripción de la actividad Gestión y obtención de información de contribuyentes, ya sean personas físicas o jurídicas. Para ello, se tratan la mayoría de los datos censales, incluyendo el histórico de los mismos. Finalidad. Aplicación efectiva del sistema tributario estatal y aduanero Interesados Contribuyentes y obligados Cualquier español o extranjero con DNI, NIE (DGP) o NIF (AEAT) Datos. DNI y datos asociados al documento, Nombre y Apellidos, Dirección, Teléfono, Correo electrónico, fax, teléfono móvil, estado civil y en su caso cónyuge o excónyuge, país de nacimiento, provincia de nacimiento, población de nacimiento, fecha de nacimiento, nacionalidad, pasaporte, sexo, tipo de administración al que está adscrito el contribuyente, número de identificación fiscal en Administración fiscal extranjera, número de identificación del ayuntamiento, número de identificación electoral, número de hoja padronal, nombre del padre, nombre de la madre. Transacciones de bienes y servicios. Obligaciones tributarias. […] Destinatarios. Organismos SS Órganos CCAA CCAA Órganos Admón. Local Diputaciones Provinciales Diputación Foral Navarra Agencia Tributaria Diputaciones Forales Vascas Cámara Comercio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/98 […]” CUARTO: Con fecha 12 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DATACENTRIC en la actualidad DEYDE DATACENTRIC, S.L.U (en adelante, DATACENTRIC)con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD y Artículo 14 del RGPD, tipificada en el Artículo 83.5.
  39. a)del RGPD y Artículo 83.5.
  40. b)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), DATACENTRIC presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: PRIMERA ALEGACIÓN: SOBRE EL CÓDIGO DE CONDUCTA DEL SECTOR INFOMEDIARIO (CCSI): DATACENTRIC expone su participación activa y prolongada en la elaboración del CCSI, promovido por la asociación ASEDIE, de conformidad con lo dispuesto en los artículos 40.2 y 40.5 del RGPD. Afirma que dicho Código fue concebido como un marco regulador destinado a garantizar el cumplimiento normativo en el tratamiento de datos personales dentro del sector, integrando las aportaciones de distintos actores, como asociados, consultores y expertos en privacidad. La entidad sostiene que este esfuerzo demuestra su compromiso con las mejores prácticas en materia de protección de datos, destacando además que, desde 2017, ha colaborado de manera transparente con la Agencia Española de Protección de Datos (AEPD) durante las diferentes fases de desarrollo del CCSI. Detalla las fechas de presentación formal del Código y sus actualizaciones, entre las que resalta la remisión de versiones en 2018, 2020, 2022 y 2024. Asimismo, recalca que las reuniones mantenidas entre ASEDIE y la AEPD, realizadas hasta marzo de 2024, reflejan un intercambio constante de información y propuestas de mejora, lo que acreditaría un diálogo abierto entre las partes. La entidad enfatiza que este esfuerzo fue reconocido en 2018, cuando la AEPD otorgó a ASEDIE el premio por "Buenas prácticas en privacidad y protección de datos personales". Este reconocimiento, afirma, avala las acciones emprendidas por las empresas asociadas, incluida DATACENTRIC, lo cual, a su juicio, demuestra su alineación con los preceptos del RGPD. En relación con la legitimidad del tratamiento de los datos, DATACENTRIC argumenta que siempre ha actuado conforme al interés legítimo reconocido por la normativa vigente. Apoya esta postura señalando que la propia AEPD, en informes previos como el emitido por su Gabinete Jurídico (Informe 0089/2020) y en la resolución del expediente CC/0003/2018, nunca cuestionó la licitud del tratamiento de datos de carácter profesional realizado por las empresas del sector. Afirma, además, que el Anexo I del CCSI, que regula específicamente el tratamiento de información de autónomos, no fue objeto de objeciones por parte de la Agencia, lo que refuerza la legalidad de su actuación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/98 Sostiene que la apertura del procedimiento sancionador constituye un cambio repentino e injustificado de criterio por parte de la AEPD, lo que vulnera el principio de confianza legítima. Argumenta que desde 2017 la Agencia tuvo conocimiento detallado de las actividades de tratamiento realizadas y nunca planteó reservas al respecto. Subraya que esta actuación contraria a la previsibilidad administrativa es incoherente y genera inseguridad jurídica, citando la doctrina del Tribunal Supremo, que reconoce la obligación de la Administración de actuar de manera previsible y consistente con sus decisiones anteriores. Finalmente, concluye afirmando que su actuación en el desarrollo y promoción del Código de Conducta, sumada a su historial de colaboración con la AEPD, manifiesta su diligencia y buena fe, aspectos que deben ser considerados en la resolución del procedimiento. SEGUNDA ALEGACIÓN: SOBRE LA PRESUNTA VULNERACIÓN DEL ARTÍCULO 6.1 DEL RGPD: DATACENTRIC sostiene que el tratamiento de datos personales realizado por la entidad se encuentra plenamente legitimado bajo el artículo 6.1.
  41. f)del RGPD, que permite el tratamiento cuando sea necesario para la satisfacción de intereses legítimos del responsable del tratamiento o de un tercero, siempre que dichos intereses no prevalezcan sobre los derechos y libertades fundamentales de los interesados. En su alegación, afirma que ha realizado un análisis de ponderación exhaustivo y que sus conclusiones confirman que los intereses del responsable prevalecen sobre cualquier posible impacto en los derechos de los afectados. Insiste en que los datos tratados son estrictamente profesionales e identificativos, excluyendo cualquier información de carácter personal o sensible, lo que, según ellos, minimiza el riesgo de afectación a los derechos fundamentales de los interesados. Asimismo, cita el artículo 19 de la LOPDGDD, que permite el tratamiento de datos de contacto y datos relacionados con la localización profesional en el contexto de relaciones empresariales, para justificar la licitud de su actividad. Argumenta que los datos han sido obtenidos legítimamente de registros públicos y otras fuentes legítimas, como el censo público empresarial cedido por las Cámaras de Comercio. Según la entidad, esta información se utiliza únicamente para crear productos y servicios informativos dirigidos a fines de interés profesional, asegurando que los tratamientos respetan tanto el principio de finalidad como el principio de proporcionalidad establecidos en el RGPD. Asimismo, defiende que, en cumplimiento del principio de minimización, el tratamiento está limitado únicamente a aquellos datos estrictamente necesarios para alcanzar los fines propuestos. La entidad recalca que no se utilizan datos que puedan considerarse excesivos o irrelevantes y que, en todo momento, los datos se mantienen en un entorno seguro mediante medidas técnicas y organizativas adecuadas, de acuerdo con el principio de responsabilidad proactiva del RGPD. Además, asegura que los clientes que adquieren sus productos y servicios están debidamente informados de sus obligaciones como responsables de tratamiento y actúan en conformidad con la normativa de protección de datos. Por último, manifiesta que el tratamiento que realiza contribuye al interés general, al permitir que se ofrezca información relevante para el desarrollo del tejido empresarial y profesional en España. Subraya que este objetivo tiene un impacto positivo en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/98 sociedad al facilitar el acceso a productos informativos necesarios para la actividad económica y empresarial, lo que refuerza la legitimidad de sus operaciones. Sobre esta base, solicita que se archive cualquier imputación de vulneración del artículo 6.1 del RGPD, argumentando que su actuación cumple de forma plena con los requisitos legales y que no existe afectación significativa a los derechos de los interesados. TERCERA. – SOBRE LA PRESUNTA VULNERACIÓN DEL ARTÍCULO 14 DEL RGPD. DATACENTRIC argumenta que no se ha producido una vulneración del artículo 14 del RGPD, el cual regula la obligación de informar a los interesados cuando los datos personales no se obtienen directamente de ellos. La entidad reconoce que no ha informado directamente a los titulares de los datos personales objeto de tratamiento, pero alega que dicha omisión se encuentra amparada en las excepciones previstas en el artículo 14.5 del RGPD, particularmente en su apartado b), que exime de la obligación de informar cuando esta suponga un esfuerzo desproporcionado. En su alegación justifica la imposibilidad de informar directamente a los interesados alegando que los datos tratados provienen de fuentes legítimas, como el censo público de empresas elaborado por las Cámaras de Comercio. Sostiene que el volumen de datos tratados, aproximadamente 1.500.000 registros, y los costes asociados a la notificación individualizada (estimados en 4 millones de euros) hacen inviable el cumplimiento de esta obligación sin generar un impacto económico desproporcionado para la entidad. Además, asegura que ha implementado medidas alternativas para garantizar la transparencia del tratamiento, como la publicación de su política de privacidad en su sitio web. Asimismo, afirma que los datos tratados no incluyen información de carácter sensible y se limitan a datos identificativos y profesionales, lo que, según la empresa, reduce significativamente el riesgo de impacto en los derechos de los interesados. Señala que esta naturaleza limitada de los datos tratados justifica una menor carga informativa, al tratarse de información vinculada al ámbito profesional y no personal. Finalmente, sostiene que los clientes a los que se distribuyen los productos y servicios que contienen dichos datos son plenamente conscientes de las obligaciones que deben cumplir como responsables de tratamiento y que son ellos, en última instancia, quienes deben garantizar el cumplimiento del RGPD en lo relativo al deber de información hacia los interesados. En consecuencia, solicita que no se considere vulnerado el artículo 14 del RGPD, ya que alega haber actuado en conformidad con las excepciones previstas en el reglamento y haber adoptado medidas razonables para garantizar la transparencia del tratamiento. CUARTA ALEGACIÓN: SOBRE LA FALTA DE PROPORCIONALIDAD DE LA SANCIÓN PROPUESTA. DATACENTRIC alega que la sanción propuesta por la Agencia Española de Protección de Datos que asciende a un total acumulado de 60.000 euros por las presuntas infracciones de los artículos 6.1 y 14 del RGPD, resulta desproporcionada y contraria al principio de proporcionalidad consagrado en el artículo 29 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP). La entidad argumenta que ha actuado con la diligencia debida en todo momento, demostrando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/98 haber realizado un análisis ponderado del interés legítimo, adoptando medidas para garantizar la transparencia, y colaborando de forma activa con la AEPD durante el procedimiento. Asimismo, señala que la sanción calculada en base al volumen de negocio de 1,6 millones de euros para el año 2023 se aproxima al límite máximo del 4% previsto en el artículo 83.5 del RGPD, lo que considera injustificado, dado que no concurre ninguna circunstancia agravante significativa que pueda justificar esta decisión. La entidad rebate la consideración de factores agravantes por parte de la AEPD, como la supuesta duración prolongada de la infracción, la negligencia en el cumplimiento normativo, y la vinculación de la actividad empresarial con el tratamiento de datos, argumentando que estos elementos no han sido fundamentados de manera adecuada en el acuerdo de inicio. Por otro lado, alega la concurrencia de múltiples circunstancias atenuantes que no han sido debidamente valoradas por la AEPD, como la ausencia de infracciones previas, el tratamiento de datos no sensibles ni especialmente invasivos, la existencia de un delegado de protección de datos, la participación activa en el desarrollo de códigos de conducta y la colaboración constante con la Agencia. Además, menciona que los datos tratados son de carácter profesional y provienen de fuentes legítimas, lo que minimiza el impacto sobre los derechos de los interesados. Por último, la entidad considera que, incluso si se determinase la existencia de alguna infracción, la sanción debería ajustarse a la escala inferior en gravedad y aplicarse en su grado mínimo, en atención al principio de proporcionalidad y al carácter diligente de su actuación. Concluye solicitando la aplicación de medidas menos gravosas, argumentando que una sanción elevada, como la propuesta, resulta desproporcionada y contraria a los principios del derecho sancionador. SEXTO: Con fecha 3/10/2024, el instructor del procedimiento acordó abrir un período de practica de pruebas por un plazo quince días, acordando practicar las siguientes pruebas: 1. Dar por reproducidos a efectos probatorios la reclamación interpuesta por INSTITUT PER A LA CULTURA DEMOCRATICA A L'ERA DIGITAL-ASSOCIACIO CONSERVAS y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación y las actuaciones previas de investigación AI/00037/2023. 2. Dar reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por DATACENTRIC PDM S.A., y la documentación que a ellas acompaña. 3. Incorporar al expediente mediante Diligencia: - El informe del Gabinete Jurídico firmado con fecha de 16 de marzo de 2021 por la que se informa desfavorablemente la aprobación, por la Agencia Española de Protección de Datos, del Código de conducta del sector infomediario de protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/98 de datos de carácter personal presentado por la Asociación Multisectorial de la Información (ASEDIE). - La resolución en materia de Códigos de Conducta de fecha 24 de marzo de 2021 a través de la cual se deniega la aprobación del “CÓDIGO DE CONDUCTA DEL SECTOR INFOMEDIARIO DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL”, cuyo promotor es la ASOCIACIÓN MULTISECTORIAL DE LA INFORMACIÓN (ASEDIE). 4. Requerir a DATACENTRIC PDM S.A para que remitiese a esta Agencia en el plazo de 10 días la siguiente información y documentación: -Confirmación de si el contrato de colaboración unificado entre CAMERDATA S.A. DATACENTRIC PDM S.A de 25 de abril de 2017, que forma parte del presente expediente administrativo EXP202404646 sigue vigente, así como la remisión de cualquier otro contrato y/o acuerdo posterior entre ambas entidades, relacionado con el tratamiento de los datos personales de los empresarios individuales. - Confirmación de si se ha producido cualquier tipo de distribución o comercialización de la información de su base de datos de empresarios individuales a terceras entidades, tal y como permite la estipulación segunda del citado contrato de colaboración de 25 de septiembre de 2017: “CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos (empresarios individuales) en la modalidad Premium. Esta modalidad incluye el derecho: […] - de distribución y comercialización de los datos a terceras empresas (a excepción de las empresas infomediarias, a modo de ejemplo se citan; Informa, Experian, Arvato, Equifax, Iberinform, Axesor, Ardan, etc…), con la finalidad de que sea utilizado por los destinatarios para uso exclusivo interno, nunca para su posterior distribución o venta.” En caso afirmativo, especifique el número de contratos y/o acuerdos que se hayan suscrito con esas terceras empresas, con detalle de los correspondientes a cada ejercicio de vigencia del contrato formalizado con CAMERDATA y cuántos de ellos siguen vigentes en la actualidad. Asimismo, se requiere la aportación de una muestra de los contratos de comercialización de los datos esa base de datos suscritos con los clientes de DATACENTRIC PDM SA, integrada por al menos un contrato formalizado en cada uno de esos ejercicios y sus correspondientes adendas o anexos, incluido el ejercicio actual. - Cualquier documento que acredite la recepción de las bases de datos de autónomos, así como de las actualizaciones trimestrales a las que hace referencia la estipulación quinta del contrato de fecha 25 de septiembre de 2017: “Las bases de datos se cederán de forma anual, actualizándose trimestralmente. Siendo el coste anual y por entrega el mostrado en los siguientes cuadros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/98 Las partes han acordado 4 entregas trimestrales por cada año de duración del contrato. por primera entrega nos referimos a la base de datos propiamente dicha y las otras tres entregas, son las actualizaciones de la misma. El período mínimo a transcurrir entre las entregas, durante toda la vigencia del contrato, será de 3 meses.” - Presente las facturas abonadas por parte de DATACENTRIC por el suministro de fichero CAMERDATA (autónomos) al que hace referencia la estipulación quinta del contrato de 25 de septiembre de 2017 desde la firma de dicho contrato hasta la fecha: “Fichero CAMERDATA (Autónomos) - Respecto a las cuatro
(4)primeras entregas, cada una de ellas será por una cuantía de 23.750 €. - Respecto a las restantes y sucesivas entregas pactadas, cada una de ellas será por una cuantía de 22.500 €.” - Información de los distintos productos a la venta que figuran en la página web https://www.datacentric.es/ donde se comercialicen los datos de empresarios individuales existentes en la Base de Datos de DATACENTRIC con origen en CAMERDATA. - Número de solicitudes de supresión y/o rectificación de datos personales registrados en la base de datos procedente de CAMERDATA recibidas durante el último año por parte de empresarios individuales, así como el porcentaje de dichas solicitudes que fueron debidamente atendidas. Asimismo, se expongan en su caso las razones que determinaron la denegación del resto de las solicitudes de ejercicios de derechos. - Se solicita que remita la documentación en la que conste la evaluación de los riesgos, de diversa probabilidad y gravedad, que puede entrañar, para los derechos y libertades de las personas físicas, el incumplimiento de los principios de licitud y transparencia en las operaciones de tratamiento que DATACENTRIC lleva a cabo de los datos personales de los empresarios individuales por CAMERDATA, así como las medidas técnicas y organizativas adecuadas que se hayan implementado para aplicar de forma efectiva dichos principio de licitud y transparencia en las aludidas operaciones de tratamiento de datos que realiza. OCTAVO: En fecha 25/10/2024 se recibe en el registro de la presente autoridad contestación al requerimiento de documentación e información acordado en el período de práctica de prueba del cual destaca lo siguiente: - El Contrato fechado el 25 de abril de 2017 suscrito entre CAMERDATA y DATACENTRIC y las sucesivas Adendas suscritas, respectivamente, el 24 de mayo de 2018 y el 19 de julio de 2019, se mantienen vigentes. En relación con el número de contratos y/o acuerdos suscritos en el período comprendido entre 2017 a 2024 con fines de marketing detalla el número de contratos en los que se puso a disposición el fichero facilitado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/98 CAMERDATA correspondiente a cada ejercicio, facilitando una muestra de los contratos suscritos para cada uno de los ejercicios: - - - - AÑO Nº CONTRATOS 2024 2023 2022 2021 2020 2019 2018 12 13 20 19 18 25 17 Nº CONTRATOS ACTIVOS 12 0 0 0 0 0 0 Se adjunta registro que acredita la recepción de la base de datos de CAMERDATA por parte de DATACENTRIC, así como las actualizaciones trimestrales. Adicionalmente, se informa que la puesta a disposición de la información por parte de CAMERDATA se realiza a través de FTP mediante transferencia segura de datos. Se aporta una muestra de comunicación informando de la puesta a disposición de la base de datos actualizada, así como, del fichero descargado por medio del sistema FTP. Se adjuntan las facturas abonadas por el suministro del fichero a CAMERDATA desde 25 de abril de 2017 hasta la fecha. En relación con los productos de la página web de DATACENTRIC, debemos referenciar que de las distintas soluciones ofertadas única y exclusivamente existe una solución para la que se encuentra disponible el fichero “DATACENTRIC” que contiene información sobre empresas y autónomos cuyo origen es CAMERDATA. La citada solución se localiza en el “Área de Marketing y Audience” “Bases de datos para Telemarketing B2B”. Adicionalmente, dentro de la sección de empresas existía la posibilidad de elegir entre empresas o autónomos que conforman el fichero “DATACENTRIC”. Actualmente, esta segunda posibilidad no puede ser contratada. En cuanto al número total de solicitudes de ejercicios de derechos registrados en la base de datos procedentes de CAMERDATA y recibidas por parte de DATACENTRIC durante año 2024 por parte de empresarios individuales, se corresponde únicamente con seis solicitudes de derecho de supresión. En cuanto a la evaluación, afirma que DATACENTRIC ha elaborado un Análisis de Riesgos con fecha 20/09/2023 y una Evaluación de Impacto de Protección de Datos (PIA) a través de la herramienta SaaS de Global Suite en el que se analizan los distintos riesgos que pueden entrañar para los derechos y libertades de los interesados, entre otros, el incumplimiento de los principios de licitud y transparencia, así como, los controles que han sido debidamente implantados. Tras aplicar los controles implantados, se corresponden con un riesgo residual bajo o muy bajo Dentro del citado Análisis de riesgos que se acompaña al escrito, figura el siguiente resultado de la evaluación: EQUILIBRIO PROVISIONAL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/98 Una vez analizadas las respuestas a cada una de las cuestiones planteadas para evaluar la posible preponderancia del interés legítimo de Deyde DataCentric sobre los intereses o los derechos y libertades de los interesados para llevar a cabo el tratamiento de datos personales objeto de evaluación en este Informe, el resultado de cada uno de los apartados objeto de examen, y la volaración inicial del equilibrio entre ambos factores para considerar factible el tratamiento de datos personales para la prestación de servicios infomediarios, serían los siguientes: TEST DE FINALIDAD: SI TEST DE NECESIDAD: SI TEST DE PONDERACIÓN: DUDOSO EQUILIBRIO PROVISIONAL: DUDOSO GARANTÍAS ADICIONALES Teniendo en cuenta el resultado del equilibrio provisional entre e interés legítimo de Deyde DataCentric y los intereses o los derechos y libertades de los interesados, se considera necesario implementar medidas adicionales de refuerzo de las garantías en torno al tratamiento de datos pretendido, proponiéndose las siguientes: • Se adoptarán medidas para permitir a los interesados conocer el tratamiento de sus datos personales por parte de Deyde DataCentric, tanto a través de su página web, como las de otras empresas infomediarias pertenecientes a la asociación ASEDIE. • Los contratos con los clientes en los que se licencia el uso de la base de datos incluirán la obligación de informar a los interesados, en el momento de comunicarse con ellos, del origen de los datos, con referencia expresa a la posibilidad de ejercitar sus derechos y el modo en cómo obtener información adicional al respecto. SÉPTIMO: En fecha 15/10/2024 se recibió escrito por DATACENTRIC comunicando la absorción, con fecha 26 de junio de 2023, por la que DEYDE CALIDAD DE DATOS, S.L.U. (sociedad absorbente) absorbió a DATACENTRIC SOLUCIONES, S.A.U. (sociedad absorbida), con la consiguiente disolución sin liquidación de esta última y la atribución a la sociedad absorbente de su patrimonio íntegro a título universal. Asimismo, comunica que la sociedad absorbente modificó su denominación social, pasando a denominarse DEYDE DATACENTRIC, S.L.U. (en lo sucesivo DATACENTRIC) con NIF B-83086926 y con domicilio en Calle José Echegaray, 9, de las Rozas de Madrid (Madrid). OCTAVO: Con fecha 3 de marzo de 2025 se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se sancionase a DATACENTRIC, con NIF B83086926, por la comisión de las siguientes infracciones: - Por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.