PS-00157-2024

1/60  Expediente N.º: EXP202305732 (PS/00157/2024) RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Reclamación Con fecha 15/03/23, A.A.A. (en adelante, a parte reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD). La reclamación se dirigía contra la entidad ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.: B82064833 (la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en adelante, RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD) y en su escrito manifiesta lo siguiente: 1.- Que con fechas 15/11/22, 16/01/23 y 14/03/23 a petición propia y previa consulta en ASNEF, tuvo conocimiento de que sus datos personales estaban incluidos en el fichero de solvencia a iniciativa de la entidad SD IBERIAN PORTFOLIOS, S. A., (SD IBERIAN) con fechas de alta en el citado fichero, el 02/11/22, 09/01/23 y 07/03/23, y en las que se hace referencia a unas presuntas cantidades impagadas con las que no estaba de acuerdo. 2.- Que, en esas mismas fechas, tras recibir los informes de ASNEF, solicitó ejercitar el derecho de cancelación de los datos personales incluidos en el fichero por utilización ilegal de los mismos sin haber acreditado ni la existencia de la deuda, ni la licitud de su reclamación, ni haber sido notificado de la inclusión en el fichero, no sólo por SD IBERIAN, sino también por la propia ASNEF. Además, indicaba que, en los informes recibidos de ASNEF aparecía una dirección que según manifiesta no había vivido nunca. 3.- Que las respuestas de ASNEF a las citadas solicitudes fueron las siguientes, a la solicitud del 15/11/22, ASNEF nunca le dio una respuesta; a la solicitud del 16/01/23, ASNEF le notifica, mediante correo electrónico que ha procedido a dar de baja cautelar sus datos personales incluidos a instancia de la entidad SD IBERIAN y respecto a la solicitud del 14/03/23, no ha recibió aún respuesta. Junto al escrito de reclamación se acompaña la siguiente documentación: - Copia de la comunicación que ASNEF le proporciona el 25/01/23, a través del correo electrónico (***EMAIL.1), sobre la inclusión de sus datos personales en el fichero a instancias de la entidad SD IBERIAN y donde le informan que se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/60 procedido a la baja cautelar en el fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. - Copia de la carta enviada con fecha 14/03/23, al SERVICIO DE PROTECCIÓN AL CONSUMIDOR; FICHERO DATOS RELATIVOS AL EJERCICIO DE DERECHOS DE LOS INTERESADOS; Apdo. (...) Madrid, solicitando la cancelación de los datos inscritos en el fichero manifestando que no le consta ningún tipo de relación con SD IBERIAN PORTFOLIO, ni tampoco haber recibido comunicación alguna sobre su pretendido derecho de crédito. SEGUNDO: Traslado a la parte reclamada Con fecha 26/04/23, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Contestación de la parte reclamada Con fecha 24/05/23, la parte reclamada presenta escrito de contestación manifestando, entre otras cuestiones, lo siguiente: - Que tras la consulta al Servicio de Atención al Consumidor, se procedió a dar traslado de la misma a la entidad SD IBERIAN, y en ninguno de los tres casos, la entidad acreedora se pronunció al respecto, por lo que se actuó dando de baja cautelarmente los datos del reclamante y así le fue comunicado al mismo a través de correo electrónico (***EMAIL.1), pues se detectó que la dirección de correo electrónico a la que se remitió la respuesta a la primera solicitud, de fecha 15/11/22 (***EMAIL.2), resultó ser errónea, motivo por el que el consumidor no pudo recibir la primera respuesta, tal y como manifiesta en su escrito de reclamación. Que tras la consulta en los ficheros ASNEF y ASNEF EMPRESAS con los datos del reclamante, a fecha 05/05/23, únicamente constaban deudas registradas en el fichero ASNEF a instancias de la entidad EOS SPAIN SL. No obstante, el 10/05/23 se comprobó que existía una nueva inclusión a instancias de la entidad SD IBERIAN pero tras la petición de confirmación de datos a dicha entidad no se ha obtenido respuesta alguna, por lo que el 24/05/23 se procede a cancelar cautelarmente los datos del reclamante cedidos por esta entidad. Que se ha emitido contestación al reclamante informando de las gestiones llevadas a cabo y de su situación actual en el fichero ASNEF. Al escrito de contestación se acompaña copia de los siguientes documentos: a).- Sobre las comunicaciones enviadas al reclamante respecto de sus solicitudes de cancelación de datos en el fichero: - Respecto a la solicitud de cancelación de datos realizada el 15/11/22: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/60 - - o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3, fechado el 15/11/22, con el asunto, “Solicitud ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente: “Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho de Cancelación, para lo que les aporto la siguiente documentación: 1.Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de fecha 15-11-2022 (…)”. o Copia del “Comprobante de envío de e-mail” de fecha 24/11/22, enviado desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con “Bcc: ***EMAIL.4”, en el Expediente 2022/XXXXXX conteniendo como anexo, el fichero “2022/XXXXXX.pdf”. o Copia del escrito enviado al reclamante de fecha 24/11/22 y N EXP. 2022/XXXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada en nuestras oficinas con fecha 15 de noviembre de 2022, le comunicamos que, tras las comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la información que finalmente aparece en ASNEF (…)”. Respecto a la solicitud de cancelación de datos realizada el 16/01/23: o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3, fechado el 16/01/23, con el asunto, “Solicitud ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente: “Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho de Cancelación, para lo que les aporto la siguiente documentación: 1.Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de fecha 16-01-2023 (…)”. o Copia del “Comprobante de envío de e-mail” de fecha 25/01/23, enviado desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc: ***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo 2023/XXXXX.pdf. o Copia del escrito enviado al reclamante de fecha 25/01/23 y N EXP. 2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada en nuestras oficinas con fecha 16 de enero de 2023, le comunicamos que, tras las comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la información que finalmente aparece asociada en el Fichero ASNEF (…)”. Respecto a la solicitud de cancelación de datos realizada el 14/03/23: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/60 o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3, fechado el 14/03/23, con el asunto, “Solicitud ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente: “Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho de Cancelación, para lo que les aporto la siguiente documentación: 1.Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de fecha 14-03-2023 (…)”. o Copia del “Comprobante de envío de e-mail” de fecha 24/03/23, enviado desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc: ***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo 2023/XXXXX.pdf. o Copia del escrito enviado al reclamante de fecha 24/03/23 y N EXP. 2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada en nuestras oficinas con fecha 14 de marzo de 2023, le comunicamos que, tras las comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la información que aparece asociada a su identificador en ASNEF (…)”. b).- Sobre las notificaciones de inclusión en el fichero: - Pantallazo del fichero Auxiliar de Notificaciones donde consta la relación de notificaciones remitidas al reclamante correspondientes a SD IBERIAN: o o o - ***REFERENCIA.1 03/11/2022 ***REFERENCIA.2 10/01/2023 ***REFERENCIA.3 08/03/2023 SD IBERIAN PORTFOLIO ***CANTIDAD.1 SD IBERIAN PORTFOLIO ***CANTIDAD.2 SD IBERIAN PORTFOLIO ***CANTIDAD.3 Respecto al envido de referencia ***REFERENCIA.1, remitido el 03/11/22, mediante correo postal ordinario se presenta: o Copia de la carta, con número de referencia ***REFERENCIA.1, de fecha 03/11/22, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 02/11/22 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.1. o Copia del certificado expedido por SERVINFORM, S.A. indicando:  C/ Jorge Juan, 6 28001 – Madrid Que con fecha 03/11/22, se recibió el fichero ***FICHERO.1, remitido por Equifax Ibérica, con un total de 53671 registros, www.aepd.es sedeaepd.gob.es 5/60 figurando en el mismo como primera comunicación a procesar la de referencia (...), y última comunicación a procesar la de referencia (...), de acuerdo a criterios de clasificación ascendente por número de código postal. -  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.1 dirigida a A.A.A. en ***DIRECCIÓN.1.  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 9942 con un total de 23429 comunicaciones y número 60901 con un total de 30242 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 04/11/22, conteniendo el fichero ***FICHERO.1. o Albarán y nota de entrega en la oficina (...) de Correos, con fecha valor 04/11/23 y la admisión de 30242 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del acuse de devolución de fecha 21/11/22, emitido por HISPAPOST de la carta con referencia ***REFERENCIA.1, enviada a A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”. Respecto al envido de referencia ***REFERENCIA.2 remitido el 10/01/23, mediante correo postal ordinario: o Copia de la carta, con número de referencia ***REFERENCIA.2, de fecha 10/01/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 09/01/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.2. o Copia del certificado expedido por SERVINFORM, S.A. indicando:  C/ Jorge Juan, 6 28001 – Madrid Que con fecha 10/01/23, se recibió el fichero ***FICHERO.2, remitido por Equifax Ibérica, con un total de 35444 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…), y última comunicación a procesar la de referencia (…), de acuerdo a criterios de clasificación ascendente por número de código postal www.aepd.es sedeaepd.gob.es 6/60 -  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.2 dirigida a A.A.A. en ***DIRECCIÓN.1  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 10753 con un total de 16875 comunicaciones y número 62952 con un total de 18569 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 12/01/23, conteniendo el fichero ***FICHERO.2. o Albarán de entrega en la oficina (...) de Correos, con fecha 12/01/23 y la admisión de 18565 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del acuse de devolución de fecha 24/01/23, emitido por HISPAPOST de la carta con referencia ***REFERENCIA.2, enviada a A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”. Respecto al envío de referencia 2023(…) remitido el 08/03/23, mediante correo postal ordinario: C/ Jorge Juan, 6 28001 – Madrid o Copia de la carta, con número de referencia ***REFERENCIA.3, de fecha 08/03/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 07/03/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.3. o Copia del certificado expedido por SERVINFORM, S.A. indicando:  Que con fecha 08/03/23, se recibió el fichero ***FICHERO.3, remitido por Equifax Ibérica, con un total de 8019 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…), y última comunicación a procesar la de referencia (…), de acuerdo a criterios de clasificación ascendente por número de código postal.  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.3 dirigida a A.A.A. en ***DIRECCIÓN.1 www.aepd.es sedeaepd.gob.es 7/60  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 11504 con un total de 3569 comunicaciones y número 64797 con un total de 4450 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 10/03/23, conteniendo el fichero ***FICHERO.3. o Albarán de entrega en la oficina (...) de Correos, con fecha 10/03/23 y la admisión de 4450 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del acuse de devolución de fecha 29/03/23, emitido por HISPAPOST de la carta con referencia ***REFERENCIA.3, enviada a A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”. c).- Sobre otras medidas tomadas se presenta la siguiente documentación: Respecto a la primera inclusión de datos en el fichero el día 02/11/22: - Pantallazo del documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX 05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS: Identificador : Ref. de carta : Entidad: 1137 Tipo de Notif .: Fecha de Alta : Fec. visualizac: Fec. de emision: Fec. cierre Ctb: Fec. devolución: (…) ***REFERENCIA.1 SD IBERIAN PORTFOLIO Inclusión 02/11/2022 01/12/2022 (Fecha a partir de la cual sus datos son visibles al resto de entidades). 03/11/2022 31/10/2022 26/11/2022 Respecto a la segunda inclusión de datos en el fichero el día 09/01/23: - Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX 05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS: Identificador : Ref. de carta : Entidad: 1137 - C/ Jorge Juan, 6 28001 – Madrid (…) ***REFERENCIA.2 SD IBERIAN PORTFOLIO www.aepd.es sedeaepd.gob.es 8/60 Tipo de Notif .: Fecha de Alta : Fec. visualizac: Fec. de emisión: Fec. cierre Ctb: Fec. devolución: Inclusión 09/01/2023 08/02/2023 (Fecha a partir de la cual sus datos son visibles al resto de entidades). 10/01/2023 06/01/2023 04/02/2023 Respecto de la tercera inclusión de datos en el fichero el día 07/03/23: - Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX 05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS: Identificador : Ref. de carta : Entidad: 1137 Tipo de Notif .: Fecha de Alta : Fec. visualizac: Fec. de emisión: Fec. cierre Ctb: Fec. devolución: (…) ***REFERENCIA.3 SD IBERIAN PORTFOLIO Inclusión 07/03/2023 06/04/2023 (Fecha a partir de la cual sus datos son visibles al resto de entidades). 08/03/2023 06/03/2023 05/04/2023 - Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha 05/05/23 donde solamente consta deudas registradas a nombre del reclamante en el fichero ASNEF a instancias de la entidad EOS SPAIN SL. - Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha 10/05/23 donde constan deudas registradas a nombre del reclamante en el fichero ASNEF a instancias de la entidad EOS SPAIN SL. y de SD IBERIAN PORTFOLIO con un saldo impagado de un saldo impagado de ***CANTIDAD.4. - Copia del correo electrónico enviado el 10/05/23 desde el a dirección de correo ***EMAIL.5 a la dirección de correo ***EMAIL.6 solicitando una confirmación de datos del reclamante. - Copia de la carta remitida por el reclamado al reclamante, con fecha 24/05/23 donde se le informa de que se ha procedido a la baja cautelar de los datos aportados a instancias de SD IBERIAN PORTFOLIOS. - Pantallazo de la página de la aplicación “ASNEF/EQUIFAX APLICACIONES INTERNAS DE ASNEF-EQUIFAX- S.I.C. CONSULTA DE BAJAS” de fecha 05/05/23, referente al reclamado, con la siguiente información: OP C/ Jorge Juan, 6 28001 – Madrid ENTIDAD TIPO NATUR. MOT. BJ F. BAJA www.aepd.es sedeaepd.gob.es 9/60 1137 1137 1137 1137 SD IBERIAN P. SD IBERIAN P. SD IBERIAN P. SD IBERIAN P. T CREDITO T CREDITO T CREDITO T CREDITO TITULAR TITULAR TITULAR TITULAR GDPR GDPR GDPR CLIENTE 24/11/22 25/01/23 24/03/23 24/05/23 CUARTO: Inadmisión a trámite inicial Con fecha 25/05/23, de conformidad con el artículo 65 de la LOPDGDD, por parte de la Directora de la Agencia de Protección de Datos, se dicta acuerdo de inadmisión a trámite de la reclamación presentada, en el procedimiento AT/02204/2023, al considerar que había quedado atendido el derecho solicitado. QUINTO: Presentación de recurso de reposición Con fecha 25/06/23 se presenta en esta Agencia escrito de recurso de reposición (RR/00448/2023), presentado por el reclamante en el que manifiesta, entre otras cuestiones, lo siguiente: - Que, si bien, ASNEF EQUIFAX dio respuesta a sus solicitudes de derecho de cancelación de fechas, 09/01/23 y 07/03/23, no fue así en el caso de la solicitud del 02/11/22, a la que nunca le respondieron. - Que ASNEF-EQUIFAX, indica que las notificaciones fueron remitidas al reclamante con numero de referencias ***REFERENCIA.1, ***REFERENCIA.2 y ***REFERENCIA.3, con fechas 03/11/22, 10/01/23 y 08/03/23 respectivamente, mediante correo postal ordinario a la dirección consignada por la entidad acreedora, pero en dicha documentación se incluye la copia de la devolución de las notificaciones, manifestando que nunca las recibió. - Que la reclamación, no solo hacía alusión a la vulneración del art. 20.1c de la LOPDGDD respecto a “no haber sido informado de la inclusión de sus datos personales en el fichero ASNEF”, sino que también se alude al art. 20.1b respecto a “que los datos se refieran a deudas ciertas, vencidas y exigibles”, puesto que el supuesto acreedor jamás aportó documentación que acreditara la existencia de la supuesta deuda, y el domicilio indicado era inexistente. - Que tampoco se responde en la resolución respecto a “que el acreedor haya sido informado al efecto en el contrato, o en el momento de requerir el pago sobre la posible inclusión en el fichero de morosidad”. SEXTO: Alegaciones de la parte reclamada al recurso de reposición Con fecha 26/02/24, se recibe en esta Agencia escrito de contestación de la entidad reclamada en el que manifiesta, entre otras cuestiones, lo siguiente: - Sobre el punto número 1 de las alegaciones del reclamante, indican que, tal y como ya se acreditó en la respuesta del 24/05/23, esa solicitud fue gestionada bajo el número de expediente 2022/XXXXXX pero que se utilizó como dirección de respuesta un correo electrónico erróneo y por consiguiente la contestación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/60 no fue recibida por el reclamante. No obstante, los trámites de la cancelación solicitada por el reclamante se gestionaron correctamente. - Que se procedió a dar traslado de las solicitudes del reclamante a la entidad acreedora, SD IBERIAN PORTFOLIO, sin que ésta se pronunciase al respecto por lo que se realizó una baja cautelar de los datos del reclamante del fichero. - Que el histórico de consultas que se incluye en la contestación al siguiente ejercicio de derecho que remite el reclamante durante el mes de enero de 2023, y que fue atendido bajo el número de expediente 2023/XXXXX, recoge también las dos consultas de la primera contestación que no recibió. - Que sobre las alegaciones referentes a las notificaciones de inclusión en el fichero, en las que manifiesta que no ha recibido ningún tipo de comunicación al respecto, indican que la dirección a la que se remiten dichas notificaciones fue proporcionada por el acreedor, responsable de la calidad de los datos cedidos al fichero y que tal y como ya se documentó el 24/05/23, las inclusiones que hubo por parte del acreedor hasta ese momento se comunicaron al reclamante mediante las notificaciones de referencia ***REFERENCIA.1, ***REFERENCIA.2 y ***REFERENCIA.3, si bien es cierto que todas ellas resultaron devueltas. - Que consta haber tramitado el envío de notificaciones de inclusión posteriores a instancias de SD IBERIAN PORTFOLIO de referencias ***REFERENCIA.4 y ***REFERENCIA.5, enviadas el 09/05/23 y 08/07/23 respectivamente, a la misma dirección de contacto que las remitidas con anterioridad, sin que hasta la fecha hayan llegado devueltas. Respecto al envío de referencia ***REFERENCIA.4 remitido el 09/05/23, mediante correo postal, se presenta la siguiente documentación: o Copia de la carta, con número de referencia ***REFERENCIA.4, de fecha 09/05/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.4. o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373 indicando:  C/ Jorge Juan, 6 28001 – Madrid Que con fecha 09/05/23, se recibió el fichero ***FICHERO.4, remitido por Equifax Ibérica, con un total de 18421 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…) y última comunicación a procesar la de referencia (…), de acuerdo a criterios de clasificación ascendente por número de código postal. www.aepd.es sedeaepd.gob.es 11/60  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.4 dirigida a A.A.A. en ***DIRECCIÓN.1.  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 12276 con un total de 8624 comunicaciones y número 66488 con un total de 9797 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 11/05/23, conteniendo el fichero CREDI_INCLU_SP. o Albarán de entrega en la oficina (...) de Correos, con fecha 11/05/23 y la admisión de 9797 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del Certificado emitido por ILUNION CEE CONTACT CENTER, S.A (anteriormente ILUNION IT SERVICES S.A) de fecha 23/02/24, donde manifiesta: “Que, consultados los archivos relativos a la prestación de servicio que se mantiene con Equifax, actualmente no consta en depósito y custodia en las oficinas de Ilunión CEE Contact Center, S.A. la Notificación de Referencia ***REFERENCIA.4 ni ha sido objeto de su tratamiento por algún motivo de devolución”. Respecto al envido de referencia ***REFERENCIA.5 remitido el 08/07/23, mediante correo postal, se presenta la siguiente documentación: o Copia de la carta, con número de referencia ***REFERENCIA.5, de fecha 08/07/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.6. o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373 indicando:  C/ Jorge Juan, 6 28001 – Madrid Que con fecha 08/07/23, se recibió el fichero ***FICHERO.5, remitido por Equifax Ibérica, con un total de 18421 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…) y última comunicación a procesar la de www.aepd.es sedeaepd.gob.es 12/60 referencia (…) de clasificación ascendente por número de código postal.  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.5 dirigida a A.A.A. en ***DIRECCIÓN.1  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 68319 con un total de 5924 comunicaciones y número 13208 con un total de 6523 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 21/07/23, conteniendo el fichero CREDI_INCLU_SP. o Albarán de entrega en la oficina (...) de Correos, con fecha 20/07/23 y la admisión de 5924 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del Certificado emitido por Ilunion CEE Contact Center, S.A (anteriormente Ilunion IT Services S.A) de fecha 23/02/24, donde manifiesta: “Que, consultados los archivos relativos a la prestación de servicio que se mantiene con Equifax, actualmente no consta en depósito y custodia en las oficinas de Ilunion CEE Contact Center, S.A. la Notificación de Referencia ***REFERENCIA.5 ni ha sido objeto de su tratamiento por algún motivo de devolución”. SÉPTIMO: Resolución del recurso de reposición Con fecha 07/03/24, por parte de la Directoria de la Agencia de Protección de datos se dicta resolución estimatoria del recurso de reposición (RR/00448/2023), en base a que había quedado constado que las notificaciones de inclusión en el fichero de solvencia ASNEF por SD IBERIAN PORTFOLIO no fueron gestionadas debidamente por la parte de la reclamada, habida cuenta que las cartas le fueron devueltas al ser enviadas a una dirección donde el reclamante era desconocido, no constando que se cumpliera con la obligación establecida en el artículo 40.5 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), de comprobar con la entidad acreedora si la dirección utilizada para la notificación correspondía con la contractualmente pactada a efectos de comunicaciones. OCTAVO: Acuerdo de inicio de procedimiento sancionador Con fecha 30/05/24, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ASNEF-EQUIFAX, SERVICIOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/60 DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (ASNEF) con CIF.: B82064833, por la presunta infracción del Artículo 17 del RGPD, tipificada en el artículo 83.5.

1. b)del RGPD y por la presunta infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
2. a)del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura del expediente ascendería 100.000 euros (cien mil euros), por la infracción del artículo 17 del RGPD y de 100.000 euros (cien mil euros), por la infracción del artículo 6.1 del RGPD, siendo la sanción total de 200.000 euros (doscientos mil euros). NOVENO: Alegaciones al acuerdo de inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el 20/06/24, en el que manifestaba, en esencia, lo siguiente: En relación con la inclusión y accesibilidad de los datos en el fichero de solvencia patrimonial, indica que los datos personales del reclamante no llegaron a ser publicados ni accesibles en el fichero común de solvencia patrimonial (ASNEF), de modo que las operaciones impagadas atribuidas al reclamante no fueron visibles para ninguna entidad financiera o de crédito. En consecuencia, no se ha producido perjuicio alguno ni vulneración del derecho al honor del reclamante, puesto que los datos permanecieron bloqueados y solo pudieron ser consultados por el propio afectado mediante el ejercicio de su derecho de acceso por lo que no cabe considerar la existencia de un tratamiento ilícito de datos, en tanto que el tratamiento de las operaciones impagadas no llegó a materializarse. - Que en relación con la presunta infracción del artículo 17 del RGPD, alega que el ejercicio de supresión solicitado por el reclamante carecía de soporte o justificación suficiente que acreditara la inexistencia, improcedencia o inexactitud de la deuda, tratándose de meras manifestaciones de parte y defiende la imposición a ASNEF de la obligación de proceder a la baja definitiva de los datos, sin prueba alguna que desvirtúe la veracidad de la deuda, supondría una quiebra del principio de seguridad jurídica y desnaturalizaría la función del fichero común de solvencia patrimonial como instrumento esencial para garantizar la adecuada evaluación de la solvencia en el tráfico económico y financiero y que no obstante, ASNEF procedió a la cancelación cautelar de los datos del reclamante en las fechas oportunas (24/11/2022, 25/01/2023 y 24/03/2023), al no recibir contestación de la entidad acreedora, cumpliendo así con su obligación de bloqueo de los datos mientras se resolvía la controversia. - Que en relación con la actuación exigible al responsable del fichero común en caso de solicitud de supresión de datos, indica que, a la luz de esta doctrina del TS (Sentencia núm. 2040/2014, Sentencia núm. 247/2021), resulta evidente que ASNEF actuó conforme a la normativa vigente, ya que, sin tener participación directa en la relación contractual subyacente entre el reclamante y SD Iberian, procedió diligentemente a realizar las gestiones que le eran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/60 exigibles trasladó la solicitud de supresión al acreedor responsable de la inclusión y verificó la permanencia de la deuda antes de resolver. Que debe destacarse que la apertura del procedimiento sancionador por parte de la AEPD supone un quiebre del principio de confianza legítima y de seguridad jurídica que debe regir las relaciones entre los administrados y la Administración pues la conducta observada por ASNEF ha venido siendo aceptada y conocida por la propia AEPD en múltiples expedientes anteriores, sin que se hubiera reprochado dicha actuación hasta la fecha. El cambio de criterio sancionador, basado en resoluciones judiciales posteriores a los hechos objeto de análisis, exige que la Administración lo comunique previamente mediante recomendaciones, instrucciones o guías, y no mediante la imposición directa de sanciones, tal y como ha reconocido la AN. - En cuanto a la condición de ASNEF como corresponsable del tratamiento de datos y su actuación ante las solicitudes de supresión formuladas por el reclamante, alegaba que el artículo 26.3 RGPD únicamente establece que el interesado podrá ejercitar sus derechos frente a cualquiera de los corresponsables del tratamiento, sin que ello implique que todos ellos deban asumir idénticas obligaciones materiales en la resolución de dichas solicitudes y que por tanto, la AEPD, al atribuir a ASNEF-EQUIFAX responsabilidad sancionadora derivada de no haber procedido a la supresión definitiva de los datos, interpreta de forma extensiva y contraria al tenor literal del precepto la responsabilidad de los corresponsables, ignorando además la doctrina consolidada del Tribunal de Justicia de la Unión Europea (TJUE) y las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) y en este sentido, ASNEF ha actuado conforme a Derecho, al remitir las solicitudes de supresión al acreedor responsable de la inclusión de los datos y, en ausencia de respuesta, proceder a la cancelación cautelar de los mismos. La asignación de competencias entre corresponsables, recogida en el acuerdo de corresponsabilidad suscrito, delega expresamente en el acreedor la valoración y resolución sobre el fondo de las solicitudes de cancelación. - En relación con la presunta infracción del artículo 6.1 del RGPD, defiende que, según la jurisprudencia del Tribunal Supremo (Sentencias núm. 226/2012, 614/2018 y otras) el titular del fichero no tiene obligación ni competencia para comprobar la existencia o certeza de las deudas comunicadas, por tratarse de una cuestión que excede sus competencias y está fuera de su esfera de control y en cuanto a la gestión de las notificaciones de inclusión y las cartas devueltas, defiende que ha actuado conforme a lo dispuesto en el artículo 40 del Real Decreto 1720/2007, siguiendo un procedimiento auditado, independiente y automatizado de confirmación con la entidad acreedora, en aquellos casos en los que las notificaciones resultan devueltas y debe destacarse que en el presente caso, las fechas de devolución de las notificaciones fueron posteriores a las fechas en las que ASNEF ya había procedido a la baja cautelar de los datos del reclamante, en atención al ejercicio del derecho de supresión. - En relación con la alegada ausencia de base legitimadora para el tratamiento de datos personales por parte de ASNEF, defiende que, a tenor de lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/60 en el artículo 20 LOPDGDD, debe destacarse que dicho precepto no implica que la ausencia de alguno de estos requisitos determine automáticamente la ilicitud del tratamiento de datos, sino que establece un marco en el que, salvo prueba en contrario, se presume la existencia de un interés legítimo prevalente que justifica dicho tratamiento, conforme al artículo 6.1 del RGPD y por tanto, la interpretación sistemática del artículo 20 de la LOPDGDD y de la normativa europea en materia de protección de datos impide considerar que ASNEF tenga la obligación legal de verificar la existencia, veracidad o certeza de la deuda antes de proceder a su tratamiento, responsabilidad que corresponde exclusivamente al acreedor, de acuerdo con el artículo 20.2 de la LOPDGDD y en consecuencia, no resulta procedente la imputación de responsabilidad sancionadora a ASNEF al no haber realizado tratamiento de datos contrario a derecho, y habiendo actuado dentro del marco normativo aplicable y en estricto cumplimiento de las obligaciones que le corresponden como entidad gestora del sistema de información crediticia. - Que ASNEF tramitó correctamente las solicitudes de supresión formuladas por el reclamante, procediendo a la cancelación cautelar de sus datos dentro de los plazos legalmente previstos y tras no recibir contestación del acreedor, tal y como establece el artículo 44 del Real Decreto 1720/2007. Asimismo, cumplió con lo dispuesto en el artículo 40.5 del citado Reglamento respecto de la gestión de las notificaciones de inclusión devueltas, sin que procediera consulta adicional a la entidad acreedora por cuanto los datos ya habían sido dados de baja y no existía tratamiento activo de los mismos y que la eventual discrepancia de criterio de la AEPD respecto a la necesidad de proceder a la cancelación definitiva de los datos no puede fundamentar la existencia de negligencia, dado que ASNEF aplicó razonablemente los criterios de cautela y diligencia exigibles en función de su posición. - En cuanto a la proporcionalidad de las sanciones propuestas por AEPD resultan absolutamente desproporcionadas y contrarias a los principios que rigen el Derecho sancionador pues en primer lugar, las infracciones imputadas se encuentran íntimamente conectadas entre sí y conforme a lo dispuesto en el artículo 29.5 de la Ley 40/2015, de Régimen Jurídico del Sector Público, procede la aplicación del principio de concurso medial de infracciones, imponiéndose únicamente la sanción correspondiente a la infracción más grave y por otra parte, la aplicación de circunstancias agravantes por parte de la AEPD carece de justificación, toda vez que los datos personales del reclamante nunca llegaron a ser visibles en el fichero común de solvencia patrimonial (ASNEF), dado que fueron cancelados cautelarmente antes de que finalizara el plazo de bloqueo de treinta días previsto en el artículo 20 de la LOPDGDD. Ello evidencia la ausencia de perjuicio alguno para el afectado, lo que excluye la procedencia de considerar la gravedad o duración de la supuesta infracción como elementos agravantes. En definitiva, imponer a ASNEF las sanciones propuestas por la AEPD resultaría contrario a los principios de proporcionalidad y culpabilidad. Como contestación a dichas alegaciones, esta Agencia manifestó, en síntesis, lo siguiente, incluido en la Propuesta de Resolución: a).- Sobre el artículo 17 del RGPD y artículo 32 de la LOPDGDD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/60 Primero: En sus alegaciones, la entidad reclamada sostiene que los datos personales del reclamante nunca fueron accesibles a terceros, ya que permanecieron bloqueados y únicamente eran visibles para el propio afectado, mediante el ejercicio del derecho de acceso. En consecuencia, defiende que no se produjo un tratamiento de datos susceptible de infringir la normativa aplicable. No obstante, del análisis efectuado por esta Agencia se desprende que la conducta imputada no deriva de la supuesta visibilidad de los datos, sino de la inadecuada gestión del derecho de supresión ejercido por el reclamante. La entidad reclamada se limitó a trasladar las solicitudes al acreedor SD IBERIAN, sin analizarlas ni emitir una respuesta sustantiva, incumpliendo así el deber de atender directamente los derechos del interesado. Del mismo modo, se ha constatado que las solicitudes de baja cautelar de los datos personales en el fichero de solvencia se efectuaron pocos días antes de que fuesen accesibles a terceros. Sin embargo, este bloqueo previo no exime a la entidad de su obligación de haber gestionado adecuadamente el derecho de supresión, conforme al artículo 17 del RGPD y al artículo 32 de la LOPDGDD, que exige medidas técnicas y organizativas para impedir el tratamiento de datos en determinadas circunstancias. Además, se ha identificado un defecto en la notificación de la resolución de las solicitudes al reclamante, al haber sido enviadas a una dirección de correo electrónico incorrecta, a pesar de que la entidad disponía de la dirección correcta, como lo demuestra una notificación anterior enviada correctamente. Por tanto, se confirma que la parte reclamada incurrió en una actuación pasiva ante el ejercicio de un derecho fundamental, lo que constituye un incumplimiento material de la normativa vigente en materia de protección de datos personales. - Segundo: La parte reclamada alegó que, al no contar con documentación justificativa por parte del reclamante, procedió únicamente a la baja cautelar de los datos sin llegar a su supresión definitiva, argumentando que ello podría comprometer la estabilidad del sistema de información crediticia. Sin embargo, esta interpretación no se ajusta a lo señalado en el acuerdo de inicio del procedimiento sancionador, donde se dejó claro que la entidad reclamada debía resolver la solicitud de supresión del reclamante mediante el bloqueo de los datos, conforme al artículo 17 del RGPD en relación con el artículo 32 de la LOPDGDD, con el fin de impedir su tratamiento mientras se resolvía la reclamación. La Agencia subraya que no se exigía una baja definitiva sin justificación, sino una tramitación diligente y conforme a derecho de la solicitud presentada, obligación que recae directamente en cada corresponsable del tratamiento según el artículo 26.3 del RGPD. Lejos de ello, la entidad reclamada se limitó a remitir las solicitudes al acreedor (SD IBERIAN) y a constatar su falta de respuesta, sin llevar a cabo un análisis propio ni emitir una contestación sustantiva al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/60 En apoyo de esta posición, se invoca jurisprudencia del Tribunal Supremo (STS 01/02/2014), que establece que el responsable del fichero no puede actuar de forma automática ni acrítica ante la falta de documentación o respuesta del acreedor, sino que debe valorar el ejercicio del derecho de supresión. Por tanto, la conducta de la reclamada evidencia una omisión en su deber de actuación activa y diligente como corresponsable del tratamiento, incumpliendo con ello los principios de responsabilidad proactiva y tutela efectiva de los derechos del interesado consagrados en la normativa de protección de datos. - Tercero: La entidad reclamada sostiene que cumplió con lo dispuesto en el artículo 44 del Real Decreto 1720/2007 al gestionar las solicitudes de supresión presentadas por el reclamante y proceder a la baja cautelar de los datos, una vez constatada la falta de respuesta del acreedor. Añade que el reclamante no aportó pruebas documentales que acreditaran la improcedencia de la inclusión, y cita jurisprudencia del Tribunal Supremo (STS 247/2021 y 562/2020) en apoyo de la idea de que no toda oposición convierte la deuda en incierta o dudosa. Asimismo, considera que la sanción impuesta por la AEPD representa una alteración del criterio interpretativo previamente aplicado, lo que, en su opinión, vulneraría el principio de confianza legítima. Invoca para ello la STS 4607/2022, en relación con la aplicación del procedimiento establecido en el RD 1720/2007 para la gestión de los derechos ejercidos ante sistemas de información crediticia. No obstante, esta Agencia aclara que la base del procedimiento sancionador no se encuentra en la supuesta obligación de proceder a la baja definitiva de los datos sin pruebas, sino en la inobservancia del deber de tramitación diligente del derecho de supresión, conforme al artículo 26.3 del RGPD. Lejos de cumplir con esta exigencia, la entidad reclamada se limitó a trasladar las solicitudes al corresponsable del tratamiento (SD IBERIAN), sin realizar valoración propia ni emitir una contestación motivada al reclamante, y sin agotar las obligaciones derivadas de su posición como corresponsable del fichero. En este sentido, la jurisprudencia citada por la propia reclamada, lejos de exonerarla, refuerza el criterio de esta Agencia: el responsable del fichero común no puede actuar de forma automática ni trasladar sin más las solicitudes, sino que debe valorar razonadamente su contenido y resolver conforme a la normativa aplicable. El hecho de que se optara por una baja cautelar, sin más actuaciones, no subsana la omisión del deber de respuesta efectiva al reclamante ni exime del cumplimiento íntegro de la normativa en materia de protección de datos. - Cuarto: La entidad reclamada sostiene que la interpretación realizada por la AEPD del artículo 26.3 del RGPD es incorrecta, argumentando que la corresponsabilidad en el tratamiento de datos no implica una responsabilidad equivalente entre los distintos agentes involucrados, conforme a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/60 jurisprudencia del TJUE y del Tribunal Supremo. Señala que dicha corresponsabilidad no obliga a cada agente a atender por igual el ejercicio de derechos, especialmente cuando no se aporta documentación que acredite la improcedencia del tratamiento de los datos. No obstante, la Agencia recuerda que el artículo 26.3 del RGPD establece con claridad que los interesados podrán ejercer sus derechos frente a cualquiera de los corresponsables del tratamiento, independientemente de los términos del acuerdo interno entre ellos. Por tanto, todos los corresponsables están legalmente obligados a atender las solicitudes de derechos de forma directa, no bastando con su mero traslado a otro agente del tratamiento. Se enfatiza que ASNEF, en su calidad de corresponsable, debía dar respuesta fundada a las solicitudes de supresión recibidas, valorando la información y los antecedentes disponibles, y proceder conforme a derecho, lo que incluye el bloqueo previo de los datos si se cumplen las condiciones establecidas en el artículo 32 de la LOPDGDD. Lejos de ello, la entidad reclamada se limitó a reenviar las solicitudes al acreedor (SD IBERIAN), y tras la falta de contestación, practicó una baja cautelar sin motivación ni resolución formal. La jurisprudencia invocada por la reclamada, lejos de eximir su responsabilidad, confirma la obligación de cada corresponsable de actuar con diligencia y transparencia. En particular, la sentencia del Tribunal Supremo citada reconoce que el responsable del fichero no puede escudarse en la ausencia de documentación o en la actuación del acreedor para eludir su deber de resolver adecuadamente las solicitudes de derechos. Finalmente, se aclara que el presente procedimiento no introduce un cambio de criterio normativo, como insinúa la parte reclamada, sino que se fundamenta en la inadecuada tramitación de las solicitudes de supresión del reclamante. Si bien el Real Decreto 1720/2007 mantiene su vigencia en cuanto a la legitimidad de la inclusión de datos en ficheros de solvencia, la atención de los derechos de supresión debe regirse exclusivamente por el RGPD y la LOPDGDD. Respecto a la presunta infracción del artículo 6.1 RGPD: - Primero: La entidad reclamada alega que no queda claro qué precepto del artículo 20 de la LOPDGDD se considera vulnerado por parte de esta Agencia. Sin embargo, el acuerdo de incoación del expediente sancionador ya especificaba que a ASNEF-EQUIFAX, como entidad que mantiene el sistema de información crediticia en calidad de corresponsable, le resulta de aplicación lo dispuesto en el art. 20.2 de la LOPDGDD, en conexión con el art. 26 del RGPD. Dicho artículo atribuye a las entidades que mantienen el fichero, así como a las acreedoras, la condición de corresponsables, debiendo ambas garantizar que el tratamiento de datos personales se ajusta a la legalidad, incluida la existencia de una base legitimadora conforme al artículo 6.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/60 En este sentido, el artículo 40 del Real Decreto 1720/2007 (vigente en este extremo conforme a la STS de 20/12/2022, rec. 2737/2022), impone al responsable del fichero común la obligación de notificar cada inclusión de datos al afectado mediante un medio fiable y auditable, debiendo abstenerse de tratar los datos si dicha notificación resulta devuelta y no se ha verificado la dirección con el acreedor. De la documentación aportada por la propia reclamada se desprende que las notificaciones de inclusión dirigidas al reclamante fueron devueltas por Correos por tratarse de una dirección incorrecta, situación conocida por la entidad, que no adoptó medida alguna para verificar la dirección con el acreedor antes de efectuar nuevos envíos. Así, se vulneró el artículo 40.5 del RLOPD, al no haberse comprobado la veracidad del domicilio antes de proceder con posteriores notificaciones. Esta falta de diligencia demuestra la ausencia de una base legitimadora válida para el tratamiento de los datos del reclamante, ya que no se garantizó un cumplimiento adecuado del principio de licitud recogido en el artículo 6.1 del RGPD. La reiteración en el uso de una dirección conocida como errónea refleja una actuación contraria al principio de diligencia debida que rige en materia de protección de datos personales. - Segundo: La entidad reclamada sostiene que cumplió con las obligaciones legales en materia de notificación, conforme al artículo 20 de la LOPDGDD y el artículo 40 del Real Decreto 1720/2007, y argumenta que la responsabilidad sobre la exactitud de la dirección postal corresponde exclusivamente a la entidad acreedora. Alega también que el sistema de notificaciones cuenta con procesos automáticos de gestión de devoluciones y que, en este caso, las notificaciones fueron devueltas una vez que los datos ya habían sido dados de baja en el sistema, eximiéndola de nuevas verificaciones. Asimismo, la reclamada afirma que, al no ser quien facilita los datos al fichero de solvencia, no tiene responsabilidad sobre su exactitud o veracidad, atribuyendo esta al acreedor conforme al artículo 20.1.a de la LOPDGDD. No obstante, esta Agencia recuerda que el artículo 20.2 de la LOPDGDD establece la corresponsabilidad en el tratamiento entre las entidades que gestionan el sistema y los acreedores, conforme al artículo 26 del RGPD. En virtud de esta corresponsabilidad, la reclamada tiene la obligación de velar por que el tratamiento de los datos personales sea conforme a derecho, lo que incluye la verificación de que las condiciones de inclusión en el fichero se cumplan debidamente. En este caso, consta acreditado que las notificaciones postales enviadas al reclamante fueron devueltas por el servicio de correos con la indicación de “Desconocido” en tres ocasiones consecutivas, en un intervalo de cuatro meses, sin que la reclamada comprobara con el acreedor si la dirección utilizada coincidía con la contractualmente pactada, tal como exige el artículo 40.5 del RLOPD. Esta omisión demuestra una actuación negligente y contraria al principio de diligencia debida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/60 En consecuencia, al no haberse llevado a cabo una notificación válida y persistir en el tratamiento de los datos personales del reclamante, la entidad reclamada incurrió en una falta de licitud en el tratamiento conforme al artículo 6.1 del RGPD, al carecer de una base legitimadora válida para continuar registrando los datos en el fichero de solvencia. - Tercero: La entidad reclamada defiende que el artículo 20 de la LOPDGDD establece una presunción iuris tantum sobre la legitimidad del tratamiento de datos en los sistemas de información crediticia, y que, en virtud de ello, la responsabilidad de garantizar la base legitimadora recae exclusivamente en el acreedor. Argumenta también que, al no haberse publicado finalmente los datos, no se habría producido infracción alguna. Sin embargo, el artículo 20 de la LOPDGDD establece claramente que, si bien corresponde al acreedor acreditar que concurren los requisitos materiales para la inclusión de una deuda en el fichero (cierta, vencida, exigible, no impugnada, notificada adecuadamente), también impone a la entidad que gestiona el sistema la condición de corresponsable del tratamiento de los datos, conforme al artículo 26 del RGPD. Como tal, esta última debe verificar que el tratamiento se realice conforme a la legalidad y con respeto a los derechos del interesado. En este contexto, el artículo 40.5 del Real Decreto 1720/2007 impone al responsable del fichero la obligación de verificar con el acreedor la validez de la dirección cuando una notificación de inclusión resulte devuelta. En el caso presente, las tres notificaciones enviadas al reclamante entre noviembre de 2022 y marzo de 2023 fueron devueltas con la mención "Desconocido", sin que la reclamada tomara medidas para corregir la dirección ni para contactar con el acreedor, como exige la norma. Esta reiterada omisión evidencia una falta de diligencia debida en la gestión de los datos personales y vulnera el principio de exactitud del artículo 5.1.d del RGPD, que exige garantizar que los datos personales sean precisos y actualizados, y que se adopten medidas razonables para rectificar cualquier inexactitud. La alegación de que los datos no llegaron a ser publicados porque se practicaron “bajas cautelares” no elimina la infracción, ya que la ilicitud se materializa en el momento en que se registra y trata un dato sin base legitimadora válida, hecho que no se subsana por la actuación posterior del afectado al ejercer su derecho de supresión. Asimismo, la reclamada sostiene que no puede ser considerada responsable de la infracción del artículo 6.1 del RGPD por no ser quien facilita los datos. Sin embargo, esta interpretación ignora que el responsable del fichero tiene el deber de abstenerse de tratar datos cuando no se hayan verificado adecuadamente los requisitos formales, entre ellos, la correcta notificación al interesado. La corresponsabilidad implica una obligación activa de control y verificación, no una mera gestión pasiva de los datos que le remite el acreedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/60 Por tanto, queda acreditado que la reclamada no cumplió con las obligaciones legales que le corresponden como corresponsable del tratamiento, lo que supone una infracción del artículo 6.1 del RGPD al haberse realizado un tratamiento de datos sin una base jurídica válida. - Cuarto: La entidad reclamada alega que, según la jurisprudencia del TJUE (asunto C-683/21) y el considerando 148 del RGPD, sólo pueden imponerse sanciones si se acredita que la infracción fue cometida con dolo o negligencia. Defiende que su actuación no fue intencionada ni negligente, al haber adoptado medidas como la baja cautelar de los datos antes de su publicación, por lo que solicita que, en su caso, se opte por un apercibimiento en lugar de una multa. No obstante, el artículo 28.1 de la (LRJSP) establece que puede imponerse responsabilidad administrativa no sólo por dolo, sino también por culpa, entendida esta última como negligencia o imprudencia. En este sentido, basta con que el sujeto haya omitido las medidas que razonablemente eran exigibles para evitar la infracción, aunque no exista intención directa de causar perjuicio. En el presente caso, ha quedado acreditado que la reclamada intentó notificar en tres ocasiones la inclusión de los datos del reclamante en el fichero de solvencia utilizando la misma dirección incorrecta, a pesar de haber recibido una devolución en el primer intento. No adoptó, por tanto, la medida que exigía el artículo 40.5 del RLOPD: verificar con la entidad acreedora si la dirección era la contractualmente pactada con el cliente antes de continuar con el tratamiento de los datos personales. Esa omisión constituye un comportamiento negligente, por cuanto no se actuó con la diligencia debida esperada en la gestión de un sistema de información crediticia que implica tratamiento de datos personales de especial sensibilidad. Esta falta de actuación proactiva y preventiva configura una infracción a título de culpa, suficiente en el marco del derecho sancionador para justificar la imposición de una sanción. Por tanto, la conducta de la reclamada no puede considerarse exenta de responsabilidad. La reiteración de los intentos de notificación a una dirección incorrecta, sin verificación posterior, evidencia una actuación negligente y contraria a las exigencias legales de exactitud, licitud y diligencia en el tratamiento de datos personales, en particular cuando dicho tratamiento puede afectar significativamente a los derechos del interesado. - Quinto: La entidad reclamada alega que, aun en el caso de que se considerara su conducta negligente o dolosa, la sanción propuesta sería desproporcionada, solicitando la aplicación del principio de concurso medial de infracciones previsto en el artículo 29.5 de la Ley 40/2015 (LRJSP), de modo que sólo se impusiera la sanción más grave. Asimismo, solicita la aplicación de atenuantes conforme al artículo 83.2 del RGPD, alegando la breve duración de la infracción y la supuesta ausencia de perjuicio efectivo al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/60 Sin embargo, el concurso medial requiere que una infracción sea el medio necesario para cometer otra, circunstancia que no concurre en este caso. La infracción del artículo 17 del RGPD, relativa a la deficiente atención del derecho de supresión, y la del artículo 6.1 del RGPD, relativa a la falta de base legítima para el tratamiento de datos, responden a hechos distintos, independientes entre sí, y no interdependientes. Cada una tiene su propia causa y efectos, por lo que procede su valoración y sanción individual. En cuanto a la alegación de desproporción de la sanción y solicitud de atenuante, cabe recordar que el artículo 83.2 del RGPD exige ponderar diversas circunstancias para determinar la procedencia y cuantía de la sanción. En este caso, se han tenido en cuenta agravantes, tanto en la infracción del artículo 17 RGPD (por limitar indebidamente el ejercicio de derechos por parte de los interesados y actuar con conocimiento previo de su obligación legal), como en la infracción del artículo 6.1 RGPD (por tratarse de una vulneración del principio básico de licitud del tratamiento, con perjuicio potencial para la solvencia económica del afectado y sin la diligencia exigible). No procede por tanto aplicar atenuantes, ya que el breve lapso temporal alegado no enerva la gravedad de los hechos ni la falta de medidas correctoras adecuadas por parte de la reclamada. Por último, en relación con la petición de prueba formulada por la reclamada — consistente en requerir al acreedor SD IBERIAN la confirmación de la dirección y el envío de la comunicación de deuda—, esta se considera improcedente y no pertinente. No es objeto de la imputación la dirección en sí misma, sino la reiteración de notificaciones a un domicilio que la entidad sabía que era erróneo, sin haber verificado la información conforme exige el artículo 40.5 del RLOPD. El incumplimiento en ese punto es autónomo y se basa en la omisión de diligencia tras la devolución sistemática de las notificaciones. En consecuencia, se desestima la alegación relativa a la concurrencia de infracciones y la aplicación de atenuantes, ratificándose que la conducta de la reclamada vulneró de manera diferenciada el artículo 6.1 del RGPD, al tratar datos personales sin contar con una base legitimadora válida, y sin haber gestionado con la diligencia debida los intentos de notificación legalmente exigidos. DÉCIMO: Propuesta de resolución Con fecha 12/03/25, el órgano instructor del presente procedimiento dictó propuesta de resolución en la que se proponía que por la Presidencia de la Agencia Española de Protección de Datos se sancionara a la entidad ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.: B82064833, con arreglo a lo dispuesto en los artículos 63.3 de la LPACAP, por la presunta infracción del artículo 17 del RGPD con respecto al artículo 32 de la LOPDGDD, tipificada en el artículo 83.5.
3. b)del RGPD, con una sanción de 100.000 euros (cien mil euros) y por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD con una sanción de 100.000 euros (cien mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/60 DECIMO PRIMERO: Alegaciones a la propuesta de resolución Con fecha 02/04/25, la parte reclamada presentó escrito de alegaciones a la propuesta de resolución en el que manifestaba, en síntesis, lo siguiente: Primera.- Sobre la supuesta incongruencia entre la Propuesta de Resolución y la Resolución dictada en el recurso de reposición previo: La parte reclamada manifiesta que la Propuesta de Resolución incurre en incongruencia y vulnera los principios de seguridad jurídica y confianza legítima, al contradecir lo ya resuelto previamente por la propia AEPD en la Resolución de 7 de marzo de 2024, dictada en el marco del recurso de reposición interpuesto por el reclamante frente a la inadmisión de su reclamación inicial. Sostiene que dicha resolución, que da origen al presente procedimiento sancionador, ya valoró los hechos objeto de examen, tanto en lo relativo a la atención del derecho de supresión conforme al artículo 17 del RGPD, como respecto a la alegada falta de notificación de la inclusión de datos en el fichero ASNEF. En particular, señala que la AEPD consideró justificada la actuación de la reclamada al haber bloqueado cautelarmente los datos y haber remitido respuesta al reclamante, sin perjuicio de que esta última se enviara a una dirección electrónica incorrecta por error humano. Aduce además que no existe reproche alguno respecto a las dos solicitudes de supresión posteriores, cuya gestión fue considerada conforme a derecho en la resolución administrativa previa. Concluye que el único reparo formulado por la AEPD en dicha resolución se refería exclusivamente a la falta de notificación de la inclusión en el fichero, pero no a un tratamiento ilícito de datos, ni a una falta de atención del derecho de supresión. Por tanto, la apertura del presente procedimiento sancionador, en especial en lo relativo a la presunta infracción del artículo 17 del RGPD, sería contraria al principio de vinculación de la Administración a sus propios actos y a la doctrina de los actos propios, generando un efecto equivalente al de la cosa juzgada administrativa que invalida la reapertura de cuestiones ya resueltas sin nuevos elementos de juicio. Segundo. Sobre la supuesta vulneración del artículo 17 del Reglamento General de Protección de Datos por parte de ASNEF-EQUIFAX La parte reclamada alega que la Propuesta de Resolución incurre en una incorrecta interpretación del régimen jurídico aplicable a los sistemas de información crediticia (SIC), desconociendo no sólo la doctrina consolidada de la Agencia Española de Protección de Datos (AEPD) sino también el marco normativo específico que históricamente ha regulado dichos sistemas. En primer lugar, se recalca que los SIC constituyen una herramienta esencial para el funcionamiento del sistema financiero español, encontrando su fundamento legal en diversas disposiciones con rango legal —entre ellas, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/60 artículo 29 de la Ley 2/2011, la Ley 5/2019 de Contratos de Crédito Inmobiliario y la Ley 16/2011 de Contratos de Crédito al Consumo—, que reconocen expresamente su existencia y la posibilidad de tratamiento de datos personales sin necesidad de consentimiento, siempre que se respeten las garantías previstas en la normativa de protección de datos. Sostiene que históricamente, la AEPD ha reconocido la distinción entre el acreedor, como responsable del tratamiento de los datos, y el gestor del sistema, como responsable del fichero, lo cual ha sido corroborado por jurisprudencia del Tribunal Supremo (STS 5 de junio de 2004, rec. 39/2004). En virtud de este modelo dual, se atribuye al acreedor la responsabilidad de verificar la existencia de una deuda cierta, vencida, exigible e impagada, así como la obligación de acreditar que ha informado al interesado sobre su posible inclusión en el SIC. A la luz del artículo 20.2 de la LOPDGDD, así como del artículo 38 del RLOPD —norma reglamentaria que sigue vigente en lo que no se oponga al RGPD—, la entidad acreedora debe garantizar el cumplimiento de los requisitos para la inclusión de datos en el sistema, conservando documentación acreditativa a disposición del gestor del SIC y de la AEPD. La entidad reclamada insiste en que la llamada “baja cautelar” de los datos, practicada en ausencia de respuesta del acreedor a las solicitudes de supresión, no es una práctica discrecional, sino una obligación prevista expresamente en el artículo 44.3 1ª del RLOPD. En este sentido, el bloqueo o supresión cautelar constituye el mecanismo previsto legalmente para asegurar los derechos del interesado en caso de inacción por parte del acreedor, sin que la entidad gestora esté legalmente facultada para valorar la procedencia material de la supresión de los datos. Por tanto, la imputación de una infracción del artículo 17 del RGPD se basa, según la parte reclamada, en una errónea traslación de las obligaciones propias del acreedor al corresponsable que gestiona el fichero. Se recuerda que el artículo 26 del RGPD establece un marco de corresponsabilidad que permite la distribución de funciones entre los responsables, sin que dicha corresponsabilidad implique necesariamente una obligación solidaria ni una identidad de deberes. Adicionalmente, la reclamación cuestiona que la AEPD exija a ASNEFEQUIFAX un análisis de fondo de la procedencia de la deuda comunicada por el acreedor, cuando la normativa reconoce que la entidad gestora del fichero no tiene acceso a los elementos necesarios para tal valoración. La Propuesta de Resolución ignora así el principio de legalidad y de previsibilidad de las sanciones, al imponer una obligación que no deriva de ninguna norma en vigor, vulnerando el principio de confianza legítima y la doctrina del Tribunal Supremo sobre la exigencia de lex certa en el ámbito sancionador. la parte reclamada sostiene que actuó conforme al marco normativo aplicable, atendiendo formalmente las solicitudes del interesado dentro del plazo legal y procediendo a la supresión cautelar de los datos conforme al artículo 32 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/60 LOPDGDD. Censura además que la AEPD, en lugar de cuestionar el incumplimiento de la obligación sustantiva, critique el razonamiento lógico seguido por la entidad para dar cumplimiento a la normativa, lo cual excede las potestades sancionadoras legalmente reconocidas a dicha Autoridad. sostiene que la Propuesta de Resolución incurre en una interpretación errónea del régimen jurídico aplicable a los sistemas de información crediticia (SIC), particularmente en lo que respecta al alcance de las obligaciones que recaen sobre el gestor del fichero común en el contexto del ejercicio del derecho de supresión. En primer lugar, la figura de la “cancelación cautelar” aplicada por ASNEFEquifax no constituye una construcción ad hoc, sino que se encuentra expresamente prevista en el artículo 44.3 del Reglamento de desarrollo de la LOPD (RD 1720/2007), el cual mantiene vigencia supletoria tras la entrada en vigor del RGPD y la LOPDGDD. Esta disposición impone al responsable del fichero común la obligación de proceder a la supresión o bloqueo de los datos cuando, tras ser trasladada la solicitud al acreedor responsable del tratamiento, no se reciba respuesta en el plazo legalmente previsto. En tal caso, el dato queda automáticamente suprimido del sistema y exclusivamente bloqueado, conforme al artículo 32 de la LOPDGDD. De igual forma, la normativa vigente establece de manera categórica —artículo 20.2 de la LOPDGDD— que corresponde exclusivamente al acreedor garantizar que concurren los requisitos legales para la inclusión de la deuda en el sistema, siendo este el único obligado a acreditar tales extremos. El gestor del fichero común, en este contexto, carece de competencia o facultades para verificar por sí mismo la concurrencia de dichos requisitos, circunstancia que ha sido reconocida de forma reiterada por la Agencia Española de Protección de Datos (AEPD) en informes e instrucciones previas, así como por la jurisprudencia del Tribunal Supremo. Sostiene que, en relación con el ejercicio del derecho de supresión por parte del interesado, ASNEF-Equifax cumplió con la obligación legal de dar respuesta en plazo, procediendo a la supresión de los datos ante la falta de contestación del acreedor, lo cual constituye la vía prevista por la normativa aplicable. No puede imputarse incumplimiento alguno por no haberse realizado una valoración sustantiva del fondo de la reclamación, puesto que, careciendo del conocimiento de las circunstancias del crédito, ello excedería de sus competencias como corresponsable técnico del fichero. Adicionalmente, debe tenerse presente que las obligaciones derivadas de la corresponsabilidad del tratamiento, conforme al artículo 26 del RGPD, deben ser entendidas como “respectivas” y no solidarias. Tal criterio ha sido confirmado por las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) y por la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE), que limitan la responsabilidad de los corresponsables a aquellas fases del tratamiento sobre las que ejerzan control efectivo. Sostiene que se ha ajustado en todo momento a la normativa vigente y a la doctrina consolidada. Cualquier pretensión de la AEPD de imponer una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/60 obligación adicional —como la exigencia de análisis sustantivo del crédito por parte del gestor del fichero común— supone una innovación normativa de facto y una infracción del principio de legalidad en materia sancionadora, conforme ha recordado el Tribunal Supremo en su Sentencia de 15 de julio de 2024 (casación 5039/2022). En virtud de dicho principio, no resulta admisible sancionar una conducta que no era razonablemente previsible como infractora al momento de su realización. Defiende por tanto que la conducta desplegada por ASNEF-Equifax no sólo ha respetado el artículo 17 del RGPD, sino que se ha guiado por los principios de diligencia, legalidad y respeto a la distribución de responsabilidades establecida normativamente en el ámbito de los SIC, siendo improcedente el reproche que pretende imputarse en la Propuesta de Resolución. Tercero.- Sobre la inexistencia de vulneración del artículo 6.1 del RGPD por parte de ASNEF y la improcedencia de imputación de tratamiento ilícito de datos ASNEF-Equifax sostiene que la imputación de un tratamiento ilícito de datos personales en virtud del artículo 6.1 del RGPD carece de fundamento, toda vez que los datos del reclamante nunca fueron tratados con fines propios del sistema de información crediticia (SIC), permaneciendo en todo momento en situación de bloqueo preventivo, conforme a lo previsto en el artículo 20.1.
5. c)de la LOPDGDD. La entidad acredita que, en los tres supuestos analizados, la inclusión de los datos fue seguida, en un breve plazo, por el ejercicio del derecho de supresión por parte del reclamante y, ante la ausencia de respuesta del acreedor, por la inmediata supresión cautelar o bloqueo definitivo de los datos, lo que impidió su acceso por parte de terceros o su uso para la evaluación de solvencia. De conformidad con la LOPDGDD, los datos comunicados al SIC deben permanecer bloqueados durante 30 días desde su notificación, a fin de que el afectado pueda ejercer sus derechos. Durante este período, según lo estipulado en el artículo 32, el tratamiento de los datos se limita exclusivamente al cumplimiento de obligaciones legales y no puede servir de base para la evaluación de la solvencia del afectado. ASNEF-Equifax actuó conforme a este marco normativo, suprimiendo los datos antes de que concluyera dicho plazo. Adicionalmente, la entidad procedió en cada caso a la notificación formal de la inclusión de los datos, utilizando la dirección facilitada por el acreedor, y cumplió con los requisitos establecidos por el artículo 40 del RLOPD, incluyendo la verificación de devoluciones y la comprobación de domicilios. La devolución de notificaciones no puede imputarse a una deficiencia en el envío si se utilizó la dirección declarada como contractual. Asimismo, en ninguno de los casos se incumplió el deber de verificación, ya que los datos fueron suprimidos antes de que se cumpliera el plazo para dicha comprobación. ASNEF-Equifax denuncia la contradicción de la AEPD al reprocharle no haber actuado ante devoluciones cuando, simultáneamente, el acceso a datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/60 bloqueados con fines distintos a los previstos en el artículo 32 constituiría una vulneración de la normativa de protección de datos. Además, pone de relieve la peculiar coincidencia temporal entre la supuesta falta de recepción de notificaciones por parte del reclamante y el ejercicio sistemático del derecho de supresión a escasos días de la comunicación de la deuda, lo que, como mínimo, genera dudas razonables sobre el conocimiento real del afectado. Por todo ello, ASNEF-Equifax concluye que su actuación fue plenamente lícita, ajustada a los principios de legalidad, exactitud y responsabilidad proactiva, y que la infracción del artículo 6.1 RGPD que se le imputa es improcedente, en tanto que no existió en ningún momento un tratamiento de los datos personales del reclamante sin base jurídica válida ni con fines propios del SIC. Cuarto.- Sobre la vulneración del principio de culpabilidad y, subsidiariamente, del principio de proporcionalidad en el Acuerdo de Inicio Asnef-Equifax sostiene que el procedimiento sancionador incoado por la Agencia Española de Protección de Datos (AEPD) infringe de forma manifiesta el principio de culpabilidad, núcleo esencial del Derecho administrativo sancionador, reconocido por reiterada jurisprudencia del Tribunal Constitucional (SSTC 18/1981, 76/1990, 59/2014, entre otras), así como por el artículo 28.1 de la Ley 40/2015, y por la jurisprudencia consolidada del Tribunal Supremo (STS 3 de abril de 2000, 14 de julio de 1998, 22 de noviembre de 2004). Este principio exige, con carácter insoslayable, la concurrencia de dolo o negligencia en la conducta sancionada, prohibiendo cualquier tipo de responsabilidad objetiva. La imputación realizada por la AEPD en el presente expediente se formula sin acreditar el elemento subjetivo de culpabilidad, dado que Asnef-Equifax ha desplegado una conducta diligente, conforme a la normativa vigente y a los propios criterios hasta ahora mantenidos por la AEPD en materia de sistemas de información crediticia. Asimismo, la aplicación del principio de culpabilidad ha sido reafirmada por el Tribunal de Justicia de la Unión Europea en su sentencia de 5 de diciembre de 2023 (asunto C-807/21), en la que se declara que el artículo 83 del RGPD exige demostrar la intencionalidad o negligencia del responsable del tratamiento para imponer sanciones, y que la ilicitud de la conducta no puede resultar imprevisible para el sujeto sancionado. En el presente caso, la conducta de Asnef-Equifax se ajustó en todo momento a las disposiciones normativas aplicables, incluyendo el bloqueo temporal de los datos durante el plazo legal de 30 días, la notificación al afectado a través del domicilio facilitado por el acreedor, la gestión diligente de los derechos de supresión, y la supresión efectiva de los datos ante la falta de respuesta del acreedor. En ningún momento los datos fueron tratados con fines de evaluación de solvencia ni estuvieron accesibles para entidades del SIC. A ello se suma la vulneración del principio de confianza legítima, al haberse producido un giro interpretativo imprevisto por parte de la AEPD, en contra de sus propios precedentes administrativos. Conforme a la jurisprudencia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/60 Tribunal Supremo (STS 15 de julio de 2024) y de la Audiencia Nacional (SAN 6 de octubre de 2010, SAN 23 de abril de 2019), la Administración no puede alterar criterios consolidados mediante resoluciones sancionadoras, ni exigir comportamientos cuya ilicitud no era razonablemente previsible. En consecuencia, al no haberse acreditado la existencia de una conducta dolosa o negligente, y al haber actuado mi representada conforme a los estándares normativos y a la confianza legítima generada por la propia AEPD, no concurre el presupuesto de culpabilidad exigido para imponer una sanción, lo que debe conllevar el archivo del expediente o, subsidiariamente, una exoneración de responsabilidad conforme al principio de proporcionalidad. Sobre la vulneración del principio de proporcionalidad en la propuesta: Para el caso no admitido de que se desestime la falta de culpabilidad alegada, Asnef-Equifax sostiene, con carácter subsidiario, que la AEPD ha vulnerado el principio de proporcionalidad en la determinación de la sanción, al no haber valorado adecuadamente las circunstancias concretas del caso ni la intensidad real de la supuesta infracción. De conformidad con doctrina reiterada del Tribunal Supremo (v. gr., STS de 20 de noviembre de 2001, rec. 7686/1997), la Administración está obligada a ponderar las circunstancias del caso concreto para imponer sanciones ajustadas a la gravedad efectiva de los hechos y no puede ampararse en una discrecionalidad ilimitada. En particular, se cuestiona la aplicación de dos agravantes:
6. a)La relativa a la naturaleza, gravedad y duración de la infracción, y
7. b)La referida a la supuesta intencionalidad o negligencia de la conducta de Asnef-Equifax. Respecto de la primera, la propuesta sostiene —sin prueba alguna y mediante una generalización inadmisible— que la actuación de Asnef habría afectado a la totalidad de los deudores exonerados que hubiesen ejercitado sus derechos. Tal afirmación carece de respaldo fáctico y resulta completamente ajena al expediente, en el que ni se acredita la exoneración de la deuda del reclamante, ni consta perjuicio alguno. Además, se evidencia que el pasaje ha sido transcrito de otro procedimiento sancionador sin conexión con el presente, lo que vulnera el principio de individualización de la sanción. En cuanto a la supuesta infracción del artículo 6.1 del RGPD, la AEPD fundamenta la agravación simplemente en la referencia al tipo infringido y en perjuicios hipotéticos derivados de una supuesta inclusión en el sistema de información crediticia, cuando consta en el expediente que los datos nunca llegaron a ser accesibles para terceros ni se produjo perjuicio alguno en la esfera económica del reclamante. Tal razonamiento no supera el test de proporcionalidad, pues se basa en valoraciones infundadas e irreales. Respecto de la agravante de intencionalidad o negligencia, la propuesta resulta aún más injustificada. La AEPD reprocha a Asnef-Equifax no haber conocido un supuesto cambio de criterio basado en una sentencia del Tribunal Supremo de 2014, obviando que esta fue matizada por jurisprudencia posterior y que la propia AEPD ha venido manteniendo durante décadas un criterio contrario al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/60 ahora pretendido. Imputar intencionalidad o culpa a quien ha seguido fielmente las instrucciones y criterios históricos de la propia autoridad sancionadora, vulnera flagrantemente el principio de confianza legítima y convierte la diligencia en reproche sancionador. Aún más grave resulta que se pretenda agravar la conducta de Asnef por el mero hecho de dedicarse a la gestión de sistemas de información crediticia, lo que implicaría la aplicación de una triple penalización: por la actividad, por una supuesta mayor diligencia exigible, y por su vinculación con el tratamiento de datos personales. Tal razonamiento supone una inversión inadmisible de los principios de legalidad, culpabilidad y proporcionalidad, transformando el régimen sancionador en un sistema de responsabilidad objetiva. Por todo lo anterior, y para el caso de no archivarse el expediente conforme a lo solicitado con carácter principal, se solicita a la AEPD la inaplicación de los agravantes referidos, o subsidiariamente, la sustitución de la sanción por una medida de apercibimiento conforme al artículo 58.2.
8. b)del RGPD, o una reducción significativa de la cuantía sancionadora, en atención a las circunstancias concurrentes que disminuyen sustancialmente la gravedad y culpabilidad atribuible a la conducta de Asnef-Equifax. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS Primero: Queda constancia en el expediente: - la comunicación que ASNEF-EQUIFAX envía a la parte reclamante, el 25/01/23, dirigida a la dirección de correo electrónico (***EMAIL.1), sobre la inclusión de sus datos personales en el fichero ASNEF a instancias de la entidad SD IBERIAN pero no obstante, le informan que se han procedido a la baja cautelar de los mismos. - Carta enviada por la parte reclamante, el 14/03/23, al SERVICIO DE PROTECCIÓN AL CONSUMIDOR – FICHERO DATOS RELATIVOS AL EJERCICIO DE DERECHOS DE LOS INTERESADOS; ***EMAIL.3, solicitando la supresión de los datos inscritos en el fichero. Estas comunicaciones han sido aportadas por la parte reclamante junto con su reclamación. Segundo: Constan en el expediente las siguientes comunicaciones: a).- Sobre las solicitudes de la parte reclamante de supresión de datos en el fichero: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/60 - - Respecto a la solicitud de cancelación de datos realizada el 15/11/22: o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3, fechado el 15/11/22, con el asunto, “Solicitud ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente: “Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho de Cancelación, para lo que les aporto la siguiente documentación: 1.Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de fecha 15-11-2022 (…)”. o Copia del “Comprobante de envío de e-mail” de fecha 24/11/22, enviado desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con “Bcc: ***EMAIL.4”, en el Expediente 2022/XXXXXX conteniendo como anexo, el fichero “2022/XXXXXX.pdf”. o Copia del escrito enviado al reclamante de fecha 24/11/22 y N EXP. 2022/XXXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada en nuestras oficinas con fecha 15 de noviembre de 2022, le comunicamos que, tras las comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la información que finalmente aparece asociada a su identificador en el Fichero ASNEF (…)”. Respecto a la solicitud de cancelación de datos realizada el 16/01/23: C/ Jorge Juan, 6 28001 – Madrid o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3, fechado el 16/01/23, con el asunto, “Solicitud ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente: “Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho de Cancelación, para lo que les aporto la siguiente documentación: 1.Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de fecha 16-01-2023 (…)”. o Copia del “Comprobante de envío de e-mail” de fecha 25/01/23, enviado desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc: ***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo 2023/XXXXX.pdf. o Copia del escrito enviado al reclamante de fecha 25/01/23 y N EXP. 2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada en nuestras oficinas con fecha 16 de enero de 2023, le comunicamos que, tras las comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo, www.aepd.es sedeaepd.gob.es 31/60 le adjuntamos la información que finalmente aparece asociada a su identificador en el Fichero ASNEF (…)”. - Respecto a la solicitud de cancelación de datos realizada el 14/03/23: o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección ***EMAIL.3, fechado el 14/03/23, con el asunto, “Solicitud ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente: “Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho de Cancelación, para lo que les aporto la siguiente documentación: 1.Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de fecha 14-03-2023 (…)”. o Copia del “Comprobante de envío de e-mail” de fecha 24/03/23, enviado desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc: ***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo 2023/XXXXX.pdf. o Copia del escrito enviado al reclamante de fecha 24/03/23 y N EXP. 2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada en nuestras oficinas con fecha 14 de marzo de 2023, le comunicamos que, tras las comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la información que finalmente aparece asociada a su identificador en el Fichero ASNEF (…)”. b).- Sobre las notificaciones realizadas al reclamante de su inclusión en el fichero: - Pantallazo del fichero Auxiliar de Notificaciones donde consta la relación de notificaciones remitidas por la parte reclamante correspondientes a SD IBERIAN: o o o - ***REFERENCIA.1 SD IBERIAN PORTFOLIO ***CANTIDAD.1 03/11/22 ***REFERENCIA.2 SD IBERIAN PORTFOLIO ***CANTIDAD.2 10/01/23 ***REFERENCIA.3 SD IBERIAN PORTFOLIO ***CANTIDAD.3 08/03/23 Respecto al envío de referencia ***REFERENCIA.1, remitido el 03/11/22, mediante correo postal ordinario se presenta: C/ Jorge Juan, 6 28001 – Madrid o Copia de la carta, con número de referencia ***REFERENCIA.1, de fecha 03/11/22, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 02/11/22 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.1euros. o Copia del certificado expedido por SERVINFORM, S.A. indicando: www.aepd.es sedeaepd.gob.es 32/60 -  Que con fecha 03/11/22, se recibió el fichero ***FICHERO.1, remitido por Equifax Ibérica, con un total de 53671 registros, figurando en el mismo como primera comunicación a procesar la de referencia (...), y última comunicación a procesar la de referencia (...), de acuerdo a criterios de clasificación ascendente por número de código postal  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.1 dirigida a A.A.A. en ***DIRECCIÓN.1  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 9942 con un total de 23429 comunicaciones y número 60901 con un total de 30242 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 04/11/22, conteniendo el fichero ***FICHERO.1. o Albarán y nota de entrega en la oficina (...) de Correos, con fecha valor 04/11/23 y la admisión de 30242 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del acuse de devolución de fecha 21/11/22, emitido por HISPAPOST de la carta con referencia ***REFERENCIA.1, enviada D. A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”. Respecto al envío de referencia ***REFERENCIA.2 remitido el 10/01/23, mediante correo postal ordinario: o Copia de la carta, con número de referencia ***REFERENCIA.2, de fecha 10/01/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 09/01/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.2. o Copia del certificado expedido por SERVINFORM, S.A. indicando:  C/ Jorge Juan, 6 28001 – Madrid Que con fecha 10/01/23, se recibió el fichero ***FICHERO.2, remitido por Equifax Ibérica, con un total de 35444 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…), y última comunicación a procesar la de www.aepd.es sedeaepd.gob.es 33/60 referencia (…), de acuerdo a criterios ascendente por número de código postal - de clasificación  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.2 dirigida a A.A.A. en ***DIRECCIÓN.1  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 10753 con un total de 16875 comunicaciones y número 62952 con un total de 18569 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 12/01/23, conteniendo el fichero ***FICHERO.2 . o Albarán de entrega en la oficina (...) de Correos, con fecha 12/01/23 y la admisión de 18565 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del acuse de devolución de fecha 24/01/23, emitido por HISPAPOST de la carta con referencia ***REFERENCIA.2, enviada D. A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”. Respecto al envío de referencia ***REFERENCIA.3 1137 remitido el 08/03/23, mediante correo postal ordinario: C/ Jorge Juan, 6 28001 – Madrid o Copia de la carta, con número de referencia ***REFERENCIA.3, de fecha 08/03/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 07/03/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.3. o Copia del certificado expedido por SERVINFORM, S.A. indicando:  Que con fecha 08/03/23, se recibió el fichero ***FICHERO.3, remitido por Equifax Ibérica, con un total de 8019 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…), y última comunicación a procesar la de referencia (…), de acuerdo a criterios de clasificación ascendente por número de código postal.  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.3 dirigida a A.A.A. en ***DIRECCIÓN.1 www.aepd.es sedeaepd.gob.es 34/60  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 11504 con un total de 3569 comunicaciones y número 64797 con un total de 4450 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 10/03/23, conteniendo el fichero ***FICHERO.3. o Albarán de entrega en la oficina (...) de Correos, con fecha 10/03/23 y la admisión de 4450 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del acuse de devolución de fecha 29/03/23, emitido por HISPAPOST de la carta con referencia ***REFERENCIA.3, enviada a A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”. c).- Sobre otras medidas tomadas se presenta la siguiente documentación: Respecto a la primera inclusión de datos en el fichero el día 02/11/22: - Pantallazo del documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX 05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS: Identificador : Ref. de carta : Entidad: 1137 Tipo de Notif .: Fecha de Alta : Fec. visualizac: Fec. de emision: Fec. cierre Ctb: Fec. devolución: (…) ***REFERENCIA.1 SD IBERIAN PORTFOLIO Inclusión 02/11/2022 01/12/2022 (Fecha a partir de la cual sus datos son visibles al resto de entidades). 03/11/2022 31/10/2022 26/11/2022 Respecto a la segunda inclusión de datos en el fichero el día 09/01/23: - Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX 05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS: Identificador : Ref. de carta : C/ Jorge Juan, 6 28001 – Madrid (…) ***REFERENCIA.2 www.aepd.es sedeaepd.gob.es 35/60 Entidad: 1137 Tipo de Notif .: Fecha de Alta : Fec. visualizac: Fec. de emisión: Fec. cierre Ctb: Fec. devolución: SD IBERIAN PORTFOLIO Inclusión 09/01/2023 08/02/2023 (Fecha a partir de la cual sus datos son visibles al resto de entidades). 10/01/2023 06/01/2023 04/02/2023 Respecto de la tercera inclusión de datos en el fichero el día 07/03/23: - Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX 05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS: Identificador : Ref. de carta : Entidad: 1137 Tipo de Notif .: Fecha de Alta : Fec. visualizac: Fec. de emisión: Fec. cierre Ctb: Fec. devolución: (…) ***REFERENCIA.3 SD IBERIAN PORTFOLIO Inclusión 07/03/2023 06/04/2023 (Fecha a partir de la cual sus datos son visibles al resto de entidades). 08/03/2023 06/03/2023 05/04/2023 - Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha 05/05/23 donde solamente consta deudas registradas a nombre del reclamante en el fichero ASNEF a instancias de la entidad EOS SPAIN SL. - Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha 10/05/23 donde constan deudas registradas a nombre del reclamante en el fichero ASNEF a instancias de la entidad EOS SPAIN SL. y de SD IBERIAN PORTFOLIO con un saldo impagado de un saldo impagado de ***CANTIDAD.4. - Copia del correo electrónico enviado el 10/05/23 desde la dirección de correo ***EMAIL.5 a la dirección de correo ***EMAIL.6 solicitando una confirmación de datos del reclamante. - Copia de la carta remitida por el reclamado al reclamante, con fecha 24/05/23 donde se le informa que se ha procedido a la baja cautelar de los datos aportados a instancias de SD IBERIAN PORTFOLIOS. - Pantallazo de la página de la aplicación “ASNEF/EQUIFAX APLICACIONES INTERNAS DE ASNEF-EQUIFAX- S.I.C. CONSULTA DE BAJAS” de fecha 05/05/23, referente al reclamado, con la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/60 OP 1137 1137 1137 1137 ENTIDAD SD IBERIAN P. SD IBERIAN P. SD IBERIAN P. SD IBERIAN P. TIPO T CREDITO T CREDITO T CREDITO T CREDITO NATUR. TITULAR TITULAR TITULAR TITULAR MOT. BJ GDPR GDPR GDPR CLIENTE F. BAJA 24/11/22 25/01/23 24/03/23 24/05/23 Todas las comunicaciones y documentos mencionados en este hecho probado constan en la documentación aportada al procedimiento por la parte reclamada. Tercero: Queda constancia en el expediente de las documentación, aportadas por la parte reclamada: siguientes comunicaciones y Respecto al envío de referencia ***REFERENCIA.4 remitido el 09/05/23: C/ Jorge Juan, 6 28001 – Madrid o Copia de la carta, con número de referencia ***REFERENCIA.4, de fecha 09/05/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.4. o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373 indicando:  Que con fecha 09/05/23, se recibió el fichero ***FICHERO.4, remitido por Equifax Ibérica, con un total de 18421 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…) y última comunicación a procesar la de referencia (…), de acuerdo a criterios de clasificación ascendente por número de código postal.  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.4 dirigida a A.A.A. en ***DIRECCIÓN.1  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 12276 con un total de 8624 comunicaciones y número 66488 con un total de 9797 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. www.aepd.es sedeaepd.gob.es 37/60 o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 11/05/23, conteniendo el fichero CREDI_INCLU_SP. o Albarán de entrega en la oficina (...) de Correos, con fecha 11/05/23 y la admisión de 9797 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del Certificado emitido por ILUNION CEE CONTACT CENTER, S.A (anteriormente ILUNION IT SERVICES S.A) de fecha 23/02/24, donde manifiesta: “Que, consultados los archivos relativos a la prestación de servicio que se mantiene con Equifax, actualmente no consta en depósito y custodia en las oficinas de Ilunión CEE Contact Center, S.A. la Notificación de Referencia ***REFERENCIA.4 ni ha sido objeto de su tratamiento por algún motivo de devolución”. Respecto al envío de referencia ***REFERENCIA.5 remitido el 08/07/23: C/ Jorge Juan, 6 28001 – Madrid o Copia de la carta, con número de referencia ***REFERENCIA.5, de fecha 08/07/23, que remite la entidad reclamada al reclamante a la dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha 08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de sus datos personales en el fichero ASNEF, relativos al impago de ***CANTIDAD.6. o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373 indicando:  Que con fecha 08/07/23, se recibió el fichero ***FICHERO.5, remitido por Equifax Ibérica, con un total de 18421 registros, figurando en el mismo como primera comunicación a procesar la de referencia (…) y última comunicación a procesar la de referencia (…) de clasificación ascendente por número de código postal.  Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.5 dirigida a A.A.A. en ***DIRECCIÓN.1  Dicha comunicación, se generó, imprimió y ensobró, sin que se generase incidencia alguna que alterarse el resultado final del procedimiento poniéndose a disposición del servicio de envíos postales para su posterior distribución en los albaranes número 68319 con un total de 5924 comunicaciones y número 13208 con un total de 6523 comunicaciones.  Todo el procedimiento de generación de comunicaciones se desarrolló, de acuerdo a las instrucciones y pautas recogidas en www.aepd.es sedeaepd.gob.es 38/60 el contrato señalado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen su normal desarrollo. o Copia de la Nota de Entrega emitida por HISPAPOST del cliente EQUIFAX, de fecha 21/07/23, conteniendo el fichero CREDI_INCLU_SP. o Albarán de entrega en la oficina (...) de Correos, con fecha 20/07/23 y la admisión de 5924 envíos, cuyo depositante es SERVINFORM, S.A. o Copia del Certificado emitido por Ilunion CEE Contact Center, S.A (anteriormente Ilunion IT Services S.A) de fecha 23/02/24, donde manifiesta: “Que, consultados los archivos relativos a la prestación de servicio que se mantiene con Equifax, actualmente no consta en depósito y custodia en las oficinas de Ilunion CEE Contact Center, S.A. la Notificación de Referencia ***REFERENCIA.5 ni ha sido objeto de su tratamiento por algún motivo de devolución”. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con lo dispuesto en los artículos 58.2 y 60 del RGPD y lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la LOPDGDD es competente para resolver este procedimiento la Presidencia de la AEPD. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II. Contestación a las alegaciones presentadas a la Propuesta de Resolución. Primero: Respecto de la posible incongruencia de la Propuesta de Resolución con el contenido de la Resolución recaída en el Recurso de Reposición de fecha 07/03/23. La parte reclamada manifiesta la incongruencia existente entre la Propuesta de Resolución dictada en el presente procedimiento sancionador y lo ya resuelto por esta AEPD en la Resolución previa de 7 de marzo de 2024, recaída en recurso de reposición interpuesto por la parte reclamante. Sostiene que dicha Propuesta de Resolución imputa a la entidad alegante una infracción del RGPD, por no haber atendido el derecho de supresión ejercitado por el reclamante y por realizar un tratamiento de sus datos sin base jurídica adecuada, al no haberse practicado con éxito la notificación previa a su inclusión en el sistema ASNEF, alegando que en la Resolución previa de la AEPD —que trae causa del presente procedimiento sancionador— se declaró expresamente que la entidad reclamada procedió a la supresión de los datos personales del reclamante, habiendo existido un mero error material en la transcripción de su dirección de correo electrónico, lo que impidió la correcta recepción de la respuesta a su primera solicitud de supresión por lo que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/60 Propuesta de Resolución vulnera los principios de seguridad jurídica y confianza legítima, al contradecir los pronunciamientos anteriores de la propia AEPD en relación con los mismos hechos y respecto de las mismas partes. Tal afirmación no puede ser acogida, por cuanto parte de una premisa errónea al confundir el objeto y los efectos jurídicos de dicha Resolución con un pronunciamiento definitivo sobre la inexistencia de infracción pues dicha Resolución (Recurso de reposición de fecha 07/03/23) estimó el recurso interpuesto por el reclamante, al considerar que sí existían indicios suficientes de infracción, constatándose expresamente que las notificaciones de inclusión en el SIC ASNEF efectuadas por SD IBERIAN no fueron llevadas a cabo de conformidad con la normativa aplicable, toda vez que las mismas fueron devueltas por los servicios postales por remitirse a una dirección incorrecta y que, cuando ocurrió esto, la parte reclamada no realizó comprobación alguna de la veracidad de la dirección facilitada por SD IBERIAN, incumpliendo su obligación de verificación previa establecida en el artículo 40.5 del RLOPD. Dicha Resolución concluía que, en ausencia de dicha verificación, “no procedería el tratamiento de los datos de la parte recurrente en el SIC ASNEF”, es decir, reconocía la existencia de indicios de un tratamiento ilícito de datos personales, sustentando con ello la procedencia del inicio del presente procedimiento sancionador. No existe contradicción alguna entre la Propuesta de Resolución y lo resuelto en el recurso de reposición, sino que esta última resolución constituye precisamente el fundamento y origen de la presente actuación administrativa. Indicar que la Resolución de Recurso de Reposición no exoneró de responsabilidad a la parte reclamada, sino que estimó procedente la admisión a trámite de la reclamación inicial, procediendo esta Agencia con posterioridad a iniciar el expediente sancionador al apreciarse indicios suficientes de infracción por lo que, no procede estimar las alegaciones formuladas por la parte reclamada al no apreciarse vulneración alguna de los principios de seguridad jurídica, confianza legítima o vinculación de la Administración a sus propios actos, al no existe contradicción entre la Propuesta de Resolución y la Resolución de Recurso de Reposición de 7 de marzo de 2024, siendo esta última el fundamento para la continuación del procedimiento sancionador. Segundo: Respecto de la presunta infracción del artículo 17 RGPD respecto del artículo 32 de la LOPDGDD. La parte reclamada defiende que su actuación ha sido plenamente conforme a derecho y al régimen jurídico aplicable a los sistemas de información crediticia (SIC), regulado por el RGPD, la LOPDGDD y el RLOPD, pues sostiene que, según dicho régimen, la responsabilidad de garantizar que la deuda cumple los requisitos legales para su inclusión en el SIC corresponde exclusivamente al acreedor, no al gestor del sistema, que no dispone de información suficiente para valorar la deuda y critica que la Propuesta de Resolución de la AEPD distorsiona este régimen legal, imponiendo al gestor del SIC obligaciones adicionales no previstas normativamente, como analizar el cumplimiento de los requisitos de la deuda, lo que a su juicio excede sus competencias y funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/60 Añade la parte reclamada que el RLOPD prevé expresamente la baja cautelar cuando el acreedor no le conteste en la consulta que le realiza ante la solicitud de supresión. A estos efectos, la expresión “cautelar” no implica que luego se vaya a levantar la baja. En este sentido, ASNEF habría dado respuesta a la solicitud del reclamante y practicó la baja cautelar. A juicio de la parte reclamada, esta cumpliría con lo establecido en el artículo 12 del RGPD al trasladar la reclamación y luego practicar la baja cautelar de la inscripción, y contestar a la parte reclamante. Añade que el régimen de corresponsabilidad incluido en el artículo 26.3 de RGPD no impone que los corresponsables respondan de todos, sino cada uno por lo suyo. De ahí vendría la regla de que si el acreedor no contesta, se supriman los datos. ASNEF no “se limitó” a trasladar la solicitud, sino que dio respuesta y suprimió los datos. Pues bien, tal y como hemos venido declarando y ha reiterado el Tribunal Supremo (entre otras, STS 1 de febrero de 2014), el gestor del SIC no puede limitarse a trasladar al acreedor las solicitudes de supresión recibidas, ni actuar de forma meramente pasiva ante la falta de respuesta de éste pues le corresponde analizar la procedencia de la solicitud y actuar de forma motivada, resolviendo sobre el ejercicio del derecho conforme a los criterios establecidos en el RGPD, la LOPDGDD y el RLOPD, ASNEF-EQUIFAX es la entidad que mantiene el sistema de información crediticia en su condición de corresponsable del tratamiento, por lo que le es de aplicación el artículo 20.2 de la LOPDGDD, dado que, juntamente con la entidad acreedora, es quien determina los fines y medios del tratamiento, siéndole de aplicación por tanto, lo establecido por el artículo 26 del RGPD respecto a los corresponsables del tratamiento: “2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud...” En el presente caso, ASNEF incluye, con fecha 02/11/22, 09/01/23 y 07/03/23 los datos personales del reclamante en su fichero de solvencia, a iniciativa del acreedor. Por su parte, el reclamante, con fechas 15/11/22, 16/01/23 y 14/03/23, traslada a ASNEF las correspondientes solicitudes de supresión de datos personales, y ésta las traslada a la entidad presuntamente acreedora, SD IBERIAN para que se pronuncie sobre dichas solicitudes, sin recibir respuesta alguna, según manifiesta la propia ASNEF. Pues bien, solamente después de no haber recibido contestación alguna de la entidad SD IBERIAN, ASNEF procede a dar de baja cautelar del fichero de solvencia, los datos personales del reclamante con fecha de baja, 24/11/22; 25/01/23 y 24/03/23 respectivamente y así lo describe en su respuesta al requerimiento de información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/60 realizado por esta Agencia el 24/05/23, siendo el motivo de la baja, “C. GDPR”, según consta en la documentación aportada, lo que significa que: “se dan de baja durante la gestión de ejercicios de derecho en nuestro Servicio de Atención al Consumidor (SAC) al no recibir respuesta por parte por parte del acreedor durante el plazo establecido. […] En el presente caso, ha quedado acreditado que la parte reclamada, ante tres solicitudes sucesivas de supresión de datos, se limitó a reenviar las mismas a la entidad acreedora (SD IBERIAN), sin valorar su contenido ni adoptar una decisión sustantiva al respecto. La respuesta ofrecida al reclamante consistió en comunicar una “baja cautelar”, sin más justificación ni pronunciamiento. Esta actuación incumple de forma directa el deber de diligencia exigido, en tanto que el gestor del fichero no puede condicionar su respuesta a la actuación o inacción de un tercero. ASNEF no puede limitarse a trasladar la solicitud a SD IBERIAN, para que ésta decida, y seguir acríticamente sus indicaciones, atribuyendo a SD IBERIAN, como entidad que ha facilitado los datos, la facultad para que resuelva acerca la solicitud del ejercicio del derecho, sino que es la propia ASNEF la que debe dar respuesta fundada al ejercicio del derecho de la parte reclamante, tal y como establece el artículo 26.3 del RGPD: “…los interesados podrán ejercer los derechos que les reconoce el presente Reglamento frente a, y en contra de, cada uno de los responsables.” Concretamente, ASNEF está obligada a resolver la solicitud de ejercicio de derechos realizada por la parte reclamante, procediendo a la supresión, mediante el previo bloqueo de los datos, según establece el artículo 17 del RGPD y el artículo 32 de la LOPDGDD, con objeto de impedir el tratamiento de los datos personales (la inscripción de la deuda). Asimismo, se ha constatado un incumplimiento adicional por parte de ASNEFEQUIFAX al remitir las comunicaciones al reclamante a una dirección de correo electrónico incorrecta. Este error impidió el ejercicio efectivo del derecho por parte del interesado y agrava el reproche de falta de diligencia en la tramitación. Por todo ello, resulta inadmisible la pretensión de exoneración de responsabilidad de la parte reclamada con base en una supuesta imposibilidad de verificar la deuda. El artículo 20.2 de la LOPDGDD, si bien atribuye al acreedor la obligación de garantizar que concurren los requisitos para la inclusión, no libera al gestor del SIC de su deber de cooperar activamente en la tutela de los derechos del interesado. En cuanto a la invocación de la Sentencia del Tribunal Supremo de 15 de julio de 2024, y la alegación de una supuesta infracción del principio de previsibilidad sancionadora, cabe señalar que la obligación de tramitar directamente y de forma motivada el derecho de supresión no constituye en modo alguno un criterio novedoso ni imprevisible, sino una consecuencia directa y lógica del régimen de corresponsabilidad y del principio de tutela efectiva de los derechos recogidos en el RGPD. El artículo 26.3 del RGPD otorga a los interesados la facultad de hacer valer sus derechos ante cualquier corresponsable, y el artículo 32 de la LOPDGDD establece el marco operativo para la supresión segura de los datos bloqueándolos cuando se haya constatado la procedencia del derecho de supresión. Ambos artículos juntos aseguran que los derechos de los interesados se respeten y que los datos se gestionen de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/60 manera segura y conforme a la ley y así se indicaba en el acuerdo de inicio del expediente sancionador: “…ASNEF está obligada a resolver la solicitud de ejercicio de derechos realizada por la parte reclamante, procediendo a la supresión, mediante el previo bloqueo de los datos, según establece el artículo 17 del RGPD y el artículo 32 de la LOPDGDD, con objeto de impedir el tratamiento de los datos personales” El artículo 26.3 del RGPD refuerza la necesidad de transparencia y responsabilidad en el tratamiento de datos. El RGPD garantiza que los interesados puedan ejercer sus derechos frente a cualquier corresponsable. Si un corresponsable recibe la solicitud de supresión, está obligado a iniciar el proceso de tramitación de la atención del derecho solicitado que, en caso de ser concedido, se materializará en el bloqueo de esos datos (art 32 LOPDGDD) El artículo 26.3 del RGPD, impone una obligación clara y operativa: la de tramitar la solicitud de ejercicio del derecho efectuada por la parte reclamante. Y para ello, como bien argumenta la sentencia del Tribunal Supremo reproducida, no basta con enviar un escrito al corresponsable y, ante la falta de contestación proceder a una “baja preventiva”, sino que debe analizarse la documentación, los antecedentes que constan en ella, interpretar la falta de contestación y finalmente, contestar a la parte que ha presentado la solicitud de ejercicio del derecho. Lo que no se hizo en este caso. Por tanto, en base a la documentación aportada por la reclamada se puede concluir que no se ha incumplido lo establecido en el artículo 17 del RGPD. Sobre la observación que hace la reclamada en cuanto que invoca STS sobre la app de la LNFP y el principio de transparencia, indicando que la AEPD no puede introducir requisitos adicionales no previstos en la ley por mucho que el principio sea inconcreto, se debe indicar que esta Agencia no está introduciendo requisito adicional alguno, sino aplicando los ya establecidos por la ley y la jurisprudencia. Tercero: Respecto a la presunta infracción del artículo 6.1 RGPD. La parte reclamada sostiene que no ha existido vulneración del artículo 6.1 del RGPD por cuanto los datos personales del reclamante nunca llegaron a ser tratados con las finalidades propias de un sistema de información crediticia (SIC), es decir, entiende que no puede imputársele la infracción del artículo 6.1 RGPD, pues no existió tratamiento de los datos para los fines propios del SIC, ya que los datos se encontraban bloqueados y no accesibles, conforme a lo previsto en el artículo 32 de la LOPDGDD, pues cumplió con su obligación de notificar al interesado la inclusión de sus datos en el sistema, enviando las comunicaciones a la dirección facilitada por el acreedor. Defiende que, una vez bloqueados los datos, no podía acceder ni visualizar la información. Además, cuestiona la actitud del reclamante por haber ejercitado el derecho de supresión de manera casi inmediata tras las notificaciones de inclusión — que no llegó a recibir—, insinuando que dicha conducta es llamativamente sospechosa o basada en un conocimiento previo de los hechos no explicable. Pues bien, debemos empezar recordando que la "diligencia debida" es el grado de cuidado, atención y precaución que se debe ejercer en el curso de una actuación que tiene consecuencias jurídicas o administrativas e implica una actuación consciente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/60 proactiva y exhaustiva y ha quedado constatado que la reclamada no cumplió con este principio pues intentó enviar al reclamante una segunda y una tercera notificación a un domicilio que conocía inexacto sin previamente requerir al acreedor que justificase si ese dato (el domicilio) era o no el real y por tanto, la parte reclamada, en su calidad de gestora del fichero de solvencia patrimonial, no puede desvincularse de las obligaciones que le impone la normativa vigente, especialmente en lo relativo a la verificación y control de los requisitos necesarios para la inclusión de datos personales en el SIC, siendo plenamente aplicable el principio de diligencia debida y en este sentido, el artículo 40.5 del Real Decreto 1720/2007 (RLOPD), impone al responsable del fichero común la obligación de comprobar con la entidad acreedora la exactitud de la dirección del afectado cuando las notificaciones de inclusión resulten devueltas. En el presente caso, ha quedado acreditado que la parte reclamada remitió hasta en tres ocasiones notificaciones de inclusión de datos a un domicilio que, desde el primer intento, resultó ser incorrecto, siendo las comunicaciones devueltas por el servicio postal con la anotación “desconocido” pero, pese a ello, la reclamada no realizó actuación alguna tendente a verificar con el acreedor (SD IBERIAN) si la dirección utilizada era la contractualmente pactada con el reclamante, incumpliendo de forma flagrante lo dispuesto en el artículo 40.5 del RLOPD y evidenciando una total ausencia de diligencia debida en su actuación. ASNEF-EQUIFAX es la entidad que mantiene el sistema de información crediticia en su condición de corresponsable del tratamiento, por lo que le es de aplicación el artículo 20.2 de la LOPDGDD, dado que, juntamente con la entidad acreedora, es quien determina los fines y medios del tratamiento, siéndole de aplicación por tanto, lo establecido por el artículo 26 del RGPD respecto a los corresponsables del tratamiento. La STJUE de 7 de marzo de 2024 (C-604/22) dispone que se es responsable del tratamiento cuando, atendiendo a sus propios objetivos, influye en el tratamiento de datos personales y participa en la determinación de los fines y medios de dicho tratamiento, indicando que “57 Asimismo, el Tribunal de Justicia ha considerado que una persona física o jurídica que, atendiendo a sus propios objetivos, influye en el tratamiento de datos personales y participa, por ello, en la determinación de los fines y los medios de dicho tratamiento puede ser considerada responsable del tratamiento en el sentido del artículo 4, punto 7, del RGPD (v