1/8 Expediente N.º: EXP202409576 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fechas 30 de mayo y 4 de junio de 2024 se interpuso reclamación por A.A.A. (en adelante la parte, reclamante) ante la Agencia Española de Protección de Datos. La reclamación se dirige contra REDDO CREDIT SL con NIF B88635487 (en adelante, la parte reclamada o REDDO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que se han incluido sus datos personales en sistemas comunes de información crediticia por parte de REDDO, sin informarle previamente de forma fehaciente acerca de la posibilidad de su inclusión en sistemas de morosidad ni de cuales de ellos es partícipe. Afirma que la deuda incluida en el fichero es inexacta, y sostiene que, tras solicitar la supresión con fecha 29 de abril de 2024 ante ASNEF, no le han suprimido los datos ni le han motivado las razones por las que no lo han hecho. Se adjunta a la reclamación, la siguiente documentación: - Solicitud de supresión de datos personales, de fecha 29 de abril de 2024 firmado por la parte reclamante y dirigida a la entidad ASNEF-EQUIFAX. - Contestación de Equifax de fecha 13 de mayo de 2024 al derecho de supresión de sus datos ejercido por el reclamante el día 29 de abril de 2024. En el mismo consta, entre otros, la inclusión de los datos personales del reclamante en el fichero de solvencia patrimonial ASNEF a instancias de la entidad REDDO CREDIT SL, con fecha 09/08/2023, por una deuda de ***CANTIDAD.1 euros. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de julio de 2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 TERCERO: Con fecha 4 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 18 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. SEXTO: Consultado los datos que obran en AXESOR, se comprueba que no hay disponible información económica o financiera respecto la entidad REDDO CREDIT SL, constituida en el año 2022. SÉPTIMO: Con fecha 2 de diciembre de 2025, se formuló propuesta de resolución proponiendo: “Que por la Presidencia de la Agencia Española de Protección de Datos se proceda al archivo del procedimiento sancionador iniciado contra REDDO CREDIT SL con NIF B88635487, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD”. OCTAVO: Notificada la propuesta de resolución, el día 5 de diciembre de 2025, la parte reclamada no formuló alegaciones a la anterior. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO. – Consta acreditado en el documento aportado por la parte reclamante de fecha 13 de mayo de 2024, su inclusión en el fichero Asnef, constando los siguientes datos: ***NIF.1 (…) ***CANTIDAD.1 A.A.A. ***DIRECCIÓN.1 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Debemos empezar recordando que el artículo 4 del RGPD define, en sus apartados 1 y 2, los términos “dato personal” y “tratamiento” de la siguiente manera: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, limitación, supresión o destrucción; En el presente caso, la presunta inclusión de los datos personales de la parte reclamante en un sistema común de información crediticia a instancias de la parte reclamada constituiría un tratamiento de datos personales conforme a lo dispuesto en el citado artículo. En este sentido, la parte reclamada habría comunicado información sobre una supuesta deuda al fichero de solvencia patrimonial, lo que implica un tratamiento de datos personales sujeto a las disposiciones del RGPD. III. Artículo 6.1 RGPD Sobre la licitud del tratamiento El tratamiento de datos requiere la existencia de una base legal que lo legitime. Así, el artículo 6.1 del RGPD, además del consentimiento, establece otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. En particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Por su parte, la LOPDGDD, en su artículo 20 establece, respecto a los “Sistemas de información crediticia”, una presunción de licitud en el tratamiento de los datos personales siempre y cuando se cumplan una serie de requisitos. “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia”. Por tanto, en el tratamiento de los datos personales en sistemas de información crediticia, la ausencia de alguno o algunos de los requisitos indicados por el mencionado artículo derriba la presunción de licitud del tratamiento prevista en el mencionado artículo, lo que podría llevar a determinar la consideración del tratamiento como ilícito y, como consecuencia, la vulneración del principio de licitud establecido en el artículo 6.1 del RGPD. IV. Presunción de inocencia El artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En relación con lo anterior, conviene señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal. Así, en relación con el principio de responsabilidad se ha manifestado en la STS de 9 de julio de 1994 que señala, entre otros aspectos, que: “la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que, en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa; por consiguiente, en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción y omisión imputables a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable.” En línea con lo anterior, también resulta de aplicación en el ámbito del derecho administrativo sancionador el principio de presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o existan dudas racionales sobre la concurrencia de todos los elementos objetivos y subjetivos que integran la infracción, aplicando el principio “in dubio pro reo” en caso de duda. V. Conclusión En el presente caso, de la solicitud del reclamante el día 29 de abril de 2024 en la que solicita a Equifax la supresión de sus datos y de la contestación a la misma que le comunican el día 13 de mayo de 2024, se desprende la inclusión de sus datos personales en el fichero de solvencia patrimonial ASNEF a instancias de la entidad REDDO CREDIT SL, con fecha 09/08/2023, por una deuda de ***CANTIDAD.1 euros. La parte reclamante sostiene en su escrito de reclamación que no ha sido informada previamente de forma fehaciente acerca de la posibilidad de su inclusión en sistemas de morosidad ni de cuáles de ellos es partícipe. Dicho hecho supondría el incumplimiento del requisito exigido por el citado artículo 20.1
- c)de la LOPDGDD que establece: “Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.” No obstante, revisada la documentación obrante en el expediente, no consta acreditado que tal inclusión de la parte reclamante en el sistema de información crediticia se realizara en incumplimiento de los elementos previstos en el artículo 20 de la LOPDGDD, esto es, no ha podido acreditarse que la deuda no fuera cierta, vencida y exigible, ni tampoco la ausencia de información a la parte reclamante en el contrato o en el momento de requerir el pago de esta, entre otros. De lo anterior, cabe concluir que se plantean dudas razonables acerca de los elementos con los que ha de contar toda infracción en relación con los hechos anteriormente descritos y que, en consecuencia, pueda atribuírsele el incumplimiento del RGPD a la parte reclamada. En consecuencia, procede el archivo del presente procedimiento sancionador, en aplicación del principio in dubio pro reo en virtud del cual en caso de duda sobre la responsabilidad del investigado debe realizarse la interpretación más favorable al presunto infractor. Por ello, y visto lo anterior, por la Presidencia de la Agencia Española de Protección de Datos se RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador con número de expediente EXP202409576 abierto a la entidad REDDO CREDIT SL con NIF B88635487 por una presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a REDDO CREDIT SL con NIF B88635487. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es