← España

PS-00399-2024

1/22  Expediente N.º: EXP202404875 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 15 de febrero de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, B.B.B.). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta haber mantenido una relación contractual con B.B.B., directora ejecutiva de ***EMPRESA.1, consecuencia de la cual B.B.B. incluyó sus datos personales y los de su empresa ***EMPRESA.2 en sistemas comunes de información crediticia (fichero ASNEF), por una deuda pendiente de pago. Según la parte reclamante, la deuda es objeto de controversia dado que presentó contra B.B.B. una querella que fue admitida a trámite, según documentación adjunta, en fecha 02/11/2023. Afirma que pese a ello, la reclamada solicitó de nuevo la inclusión de sus datos personales y los de su empresa en fichero ASNEF Empresas. Junto a la reclamación, la parte reclamante aporta la siguiente documentación:  Contrato de prestación de servicios entre la parte reclamante y B.B.B., de 03/03/2021.  Relación de correos electrónicos entre la parte reclamante y B.B.B., como Directora Ejecutiva de ***EMPRESA.1, en los que se solicita la finalización del contrato, B.B.B. remite una factura que es rechazada por la parte reclamante por considerarla improcedente y B.B.B. advierte de la inclusión en el sistema de información crediticia en caso de no abonar de la factura.  Comunicaciones de la empresa Equifax a la parte reclamante, sobre la solicitud por parte de B.B.B. y de ***EMPRESA.1 de sendas inclusiones en el fichero ASNEF empresas de los datos de la parte reclamante y de la empresa ***EMPRESA.2, de su titularidad.  Comunicaciones de la parte reclamante a Equifax solicitando la retirada de sus datos del citado fichero y de Equifax a la parte reclamante, de 13 de marzo de 2023, informando de la baja cautelar de sus datos hasta la contestación del acreedor sobre su solicitud.  Auto del Juzgado de instrucción nº 35 de Madrid, de 2 de noviembre de 2023, en el que se admite a trámite la querella de la parte reclamante contra B.B.B., por un supuesto delito de Falsedades, Estafa y Coacciones, en el que se cita a declarar como investigada a B.B.B. el 5 de diciembre de 2023.  Comunicaciones de Equifax a la parte reclamante, sobre nuevas solicitudes por parte de B.B.B. y de ***EMPRESA.1, de inclusión de los datos de la empresa ***EMPRESA.2 y de la parte reclamante en el fichero ASNEF.  Escrito de la parte reclamante a Equifax, solicitando la oposición al tratamiento de sus datos en el fichero ASNEF por ser objeto de litigio y contestaciones de Equifax. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ***EMPRESA.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), a través de notificación a la Dirección Electrónica Habilitada Única (DEHÚ), fue notificado el 27 de marzo de 2024 y rechazado por caducidad el 7 de abril de 2024. Posteriormente se reiteró por correo postal el 16 de abril de 2024, siendo devuelto por “desconocido” el 17 de abril de 2024. TERCERO: Con fecha 21 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 25 de noviembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: El citado acuerdo de inicio fue notificado conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). Con fecha 12/12/2024, la parte reclamada presentó escrito de alegaciones en el que solicita el archivo del procedimiento sancionados, señalando lo siguiente: “(…) parte de la base alegada por el reclamante: el auto de admisión dictado por el Juzgado de Instrucción número 35 de Madrid en fecha 2 de noviembre de 2023, ocultando de manera maliciosa que, tras las correspondientes diligencias de instrucción, se dictó auto de sobreseimiento por el Juzgado, confirmado por la Audiencia Provincial de Madrid por auto de fecha 9 de septiembre de 2024.” (…) Esto ya sería motivo para el archivo sin más trámites del presente expediente, pero es que además como bien expone en el auto la Audiencia Provincial de Madrid en su fundamento jurídico Primero “Las partes, empresarios, acordaron, ambos, contractualmente, la inscripción en el ASNEF de las deudas de su relación profesional en caso de impago”. Por lo que se ha actuado conforme a lo acordado contractualmente. Resulta necesario en este punto advertir, que existió litis pendencia en un procedimiento penal para la averiguación de los mismos hechos imputados en el presente expediente sancionador. Lo que determina necesariamente, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 pesar de su falta absoluta de fundamento, el archivo del expediente como así lo ha dictaminado la Audiencia Provincial de Madrid.” En relación con la inclusión de los datos de la parte reclamante en el fichero de ASNEF, manifiesta que “de la documentación aportada y a que se hace referencia en el apartado III de la fundamentación jurídica, se acredita que no ha existido ninguna obligación incumplida por esta parte ya que, en todo momento, ha actuado en virtud de las facultades y obligaciones para ambas partes contenidas en el contrato suscrito entre ambas, derivando la licitud de la inclusión en el ASNEF del mismo por lo que, reiteramos que no se ha infringido la LOPDGG en ningún momento”. A su escrito aporta, en calidad de medio probatorio, dos documentos que se incorporan al expediente: - Contrato de Prestación de Servicios entre las partes interesadas en este expediente administrativo. Auto nº ***REFERENCIA.1 de la Sección 15 de la Audiencia Provincial de Madrid (Recurso de Apelación ***REFERENCIA.2). Con fecha 09/05/2025, la parte reclamada presentó un nuevo escrito en el que manifestaba lo siguiente: Afirma que los hechos alegados por el reclamante no se corresponden con la realidad y que “Cuando por el mismo se formula el presente escrito de denuncia el día 15 de febrero de 2024 es cierto que el procedimiento penal al que hace alusión se encontraba en marcha a su instancia, no a instancia de mis representadas, pero por parte del mismo, se ha silenciado que por parte del Juzgado de Instrucción número 35 de los de Madrid, en las Diligencias Previas número ***REFERENCIA.3 se había dictado el día 17 de marzo de 2024 el correspondiente Auto de Sobreseimiento, siendo confirmado el mismo por la Sección 15 de la Ilma. Audiencia Provincial de Madrid el día 9 de septiembre de 2024, mediante el Auto número ***REFERENCIA.1 dictado en el Recurso de Apelación número ***REFERENCIA.4 confirmando el sobreseimiento provisional y el archivo de dichas actuaciones judiciales penal al no haber quedado acreditado el hecho delictivo objeto de tales actuaciones judiciales” Alega que debe tenerse en cuenta el contrato suscrito el 03/03/2021 y, en concreto, su cláusula sexta, en la que se menciona la posibilidad de inclusión en los ficheros dependientes de ASNEF y ASNEF EMPRESAS (EQUIFAX) en caso de incumplimiento de las obligaciones económicas descritas en el contrato. En este sentido, afirma que en el momento en que se incluyeron los datos en dicho fichero de solvencia, la deuda era cierta, vencida y exigible, ya que estaba legalmente establecida en el contrato y señala lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22 “En dicho momento la deuda objeto del presente procedimiento no se encontraba en disputa, ya que la misma no estaba siendo reclamada en vía judicial, administrativa o a través de un procedimiento de resolución administrativo. (…) Antes de proceder a la inclusión de los datos del ahora denunciante se le ha requerido fehacientemente de pago al denunciante, lo que tuvo como respuesta por su parte la interposición de la querella a la que se ha hecho puntual referencia en el presente escrito” Afirma también que se superaban los umbrales mínimos de cuantía que determinan la posibilidad de inclusión en el fichero ASNEF (50 euros para particulares y 300 para empresas), ya que la cuantía de la deuda ascendía a 8.000 euros y que la deuda inscrita cumple con los requisitos temporales para la incorporación en el fichero. Por otro lado, afirma que el tratamiento se ampara en el interés legítimo y que la inclusión en el fichero se ha limitado a los datos estrictamente necesarios para la finalidad informativa del mismo, en atención al principio de minimización de datos. Por último, señala que no se ha recibido solicitud alguna del reclamante en ejercicio de sus derechos de cancelación o rectificación vinculados a la inclusión y que el reclamante ha dispuesto de los medios necesarios para ejercer sus derechos ante el responsable del fichero (ASNEF) y ante esa entidad (en referencia a la empresa ***EMPRESA.1). A este segundo escrito de alegaciones acompaña de nuevo el citado Auto de la Audiencia Provincial de Madrid, el citado contrato de 03/03/2021 y el anterior escrito de alegaciones presentado el 12/12/2024 que se ha citado anteriormente. Adjunta también certificado firmado por B.B.B. con fecha 06/05/2025 con el siguiente contenido: “B.B.B., con DNI ***NIF.1 CERTIFICA Que la deuda inicial por la cual ***EMPRESA.2 y A.A.A., fue incluido/a en los ficheros de ASNEF ascendía a la cantidad de 8000 € más IVA (9.680 €), siendo el vencimiento de la factura el 16 de febrero de 2023 En Madrid, 06 de mayo de 2025” SEXTO: Con fecha 03/10/2025 se dictó Propuesta de Resolución, en la que se proponía que por la Presidencia de la Agencia Española de Protección de Datos - se sancionase a B.B.B., por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de DOS MIL euros (2.000,00 euros) y se ordenase requerir a B.B.B. para que, en el plazo de diez días, acreditara haber procedido a solicitar la supresión de los datos personales relativos a la parte reclamante informados a la entidad responsable del fichero ASNEF. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 SÉPTIMO: Con fecha 14/10/2025, B.B.B. presentó alegaciones a la Propuesta de Resolución, en las que, en síntesis, manifiesta lo siguiente (la numeración es de la AEPD): 1. Señala que la conclusión de la propuesta de resolución no se ajusta a la realidad de los hechos, puesto que: “la querella presentada por el denunciante se dirigió contra esta parte, y no versaba sobre la existencia ni la legitimidad de la deuda, sino sobre supuestos delitos de falsedad, estafa y coacciones, totalmente ajenos a la relación crediticia. Como se acredita en el escrito de defensa presentado por los Letrados de Zaballos Abogados con fecha 17 de enero de 2024, la querella fue una maniobra dilatoria de la parte deudora para evitar el pago de los honorarios profesionales pactados en contrato”. 2. Añade que dicha querella fue objeto de sobreseimiento y archivo definitivo mediante Auto de la Audiencia Provincial de Madrid, de fecha 17 de septiembre de 2024, que declaró la inexistencia de delito alguno y que las cuestiones planteadas eran estrictamente civiles, manifestando que “por tanto, no puede considerarse que existiera controversia judicial sobre la deuda a los efectos del artículo 20 LOPDGDD”. Alega la reclamada que “la existencia de una querella penal archivada, cuyo objeto no era la deuda sino acusaciones infundadas de carácter penal, no convierte la deuda en controvertida, ni invalida la base legítima del tratamiento. La AEPD ha de atender al principio de proporcionalidad y al archivo judicial firme, que acredita la plena licitud de la actuación”. 3. Señala que “la deuda en cuestión fue reclamada previamente por esta parte mediante procedimiento monitorio, acreditándose su existencia, vencimiento y exigibilidad”, por lo que la inclusión en ASNEF se habría realizado conforme al principio de licitud del tratamiento previsto en el artículo 6.1.

  1. f)del RGPD. A estas alegaciones adjunta tres documentos: - - Auto nº ***REFERENCIA.1 de la Audiencia Provincial de Madrid, de 9 de septiembre de 2024, en el que se acuerda desestimar el recurso de apelación interpuesto por el reclamante contra el auto de 30 de mayo de 2024 del Juzgado de instrucción nº 35 de Madrid. En dicho auto la Audiencia confirma el criterio del Juzgado de que los hechos objeto de la querella (su inclusión en el fichero de ASNEF) no eran constitutivos de un ilícito penal (ni se estafa, ni de coacciones), como pretendía el reclamante. Escrito de alegaciones dirigido al Juzgado de Instrucción nº 35 de Madrid, en relación con las diligencias previas ***REFERENCIA.3, firmado con fecha 17/01/2024, solicitando el sobreseimiento y archivo de las actuaciones. Cédula de citación del Juzgado de Instrucción nº 35 de Madrid, en la que se cita a la reclamada para prestar declaración como investigada. Escrito del procurador del reclamante por el que se interpone la querella contra la reclamada, con fecha de firma de 25/04/2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Que la parte reclamante como administrador y socio único y en representación de las Social ***EMPRESA.2 y la parte reclamada como agente comercial, suscribieron con fecha 03/03/2021 un contrato de prestación de servicios. Dicho contrato incluía en su cláusula sexta la previsión de que, en caso de no cumplir con las obligaciones económicas previstas en el mismo, el agente comercial podría incluir sus datos en los sistemas comunes de información crediticia, en concreto en los ficheros dependientes de ASNEF y ASNEF EMPRESAS (mantenidos por la empresa Equifax). SEGUNDO: El 10/02/2023 la parte reclamante comunicó por correo electrónico a B.B.B. su intención de no continuar con la prestación objeto del contrato, a lo que esta contestó el 16/02/2023 manifestando su disconformidad con la forma de rescisión del contrato y proponiendo su resolución previo abono de una última factura de importe de 8.000 euros más IVA. A estas comunicaciones sigue un intercambio de correos electrónicos que obran en el expediente, entre la parte reclamante y B.B.B., como Directora Ejecutiva de ***EMPRESA.1, en los que por la parte reclamante se reitera la finalización del contrato y la disconformidad con la emisión de una última factura y por parte de B.B.B. se advierte de la inclusión en el sistema de información crediticia en caso de no abonarla. TERCERO: Que el 22/02/2023 ***EMPRESA.1 remite a la parte reclamante factura a nombre de ***EMPRESA.2 / C.C.C., con fecha de factura 20/02/2023, fecha de vencimiento 23/02/2023 e importe de 9.848 euros (8.000 euros más IVA) en concepto de “Finalización del contrato a requerimiento del cliente”. En el correo electrónico en el que se envía la factura, B.B.B. comunica a la parte reclamante lo siguiente: “Por la presente, queda debidamente notificado de que en caso de no pagarse esta factura, procederemos mañana a la inclusión en los ficheros de morosidad, tal y como le indicamos en el anterior email y ejercitaremos las acciones legales oportunas”. A esta comunicación sigue un intercambio de correos electrónicos, que constan en el expediente, en los que la parte reclamante, su abogado y B.B.B. discuten la existencia de la deuda y la procedencia de la factura. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 CUARTO: Con posterioridad al intercambio de correos electrónicos anterior, constan en el expediente diferentes comunicaciones en las que Equifax informa a la parte reclamante sobre la solicitud por parte de B.B.B. y de ***EMPRESA.1 de la inclusión en el fichero ASNEF empresas de los datos de la parte reclamante y de la empresa ***EMPRESA.2, de su titularidad. En orden cronológico constan en el expediente los siguientes documentos: - 25/02/2023, escrito en el que Equifax comunica a la parte reclamante que el 24/02/2023 ***EMPRESA.1 ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia 740/IN23023006338 - 03/03/2023, correo electrónico de la parte reclamante a Equifax en el que manifiesta que la factura no se corresponde con una deuda realmente existente y pendiente de pago, considerando que se está utilizando como medida de presión y solicitando que sus datos sean retirados del fichero. - 13/03/2023, escrito en que Equifax comunica a la empresa ***EMPRESA.2 que ha recibido su solicitud, ha procedido a la baja cautelar de los datos, a la espera de que ***EMPRESA.1 se pronuncie sobre ella. Asimismo, de que podrán ser incluidos de nuevo si la entidad acreedora los aporta de nuevo. - 15/03/2023, escrito en que Equifax comunica a la parte reclamante que el 14/03/2023 B.B.B. ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia 740/IN23033006017 - 16/01/2024, escrito en que Equifax comunica a la parte reclamante que el 13/01/2024 ***EMPRESA.1 ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia 740/IN24013001023 - 16/01/2024, escrito en que Equifax comunica a ***EMPRESA.2 que el 13/01/2024 ***EMPRESA.1 ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia 740/IN24013001024 - 22/01/2024, escrito de la parte reclamante a Equifax, haciendo referencia a los expedientes 740/IN24013001023 y 740/IN24013001024, en el que comunica a Equifax que considera indebida su inclusión en el fichero ASNEF e informa del Auto de 02/11/2023 en el que se admite a trámite una querella contra B.B.B.. - Pantallazo del registro de ASNEF en el que figuran los detalles de las solicitudes de oposición de la parte reclamante y de su empresa, ***EMPRESA.2, a su inclusión en el fichero, en los que constan la fecha de los requerimientos realizados por Equifax a la parte reclamante (con fecha 22/01/2024) y las solicitudes de oposición con la documentación adjunta sobre la querella citada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/22 - 31/01/2024, escrito en que Equifax comunica a la parte reclamante que ha recibido su solicitud de oposición, ha procedido a la baja cautelar de los datos, pero le indica que solo ha aportado evidencia de la interposición de la reclamación y no de la admisión a trámite de la misma, por lo que, de no hacerlo, se reactivarían sus datos en el fichero. Asimismo, adjunta el histórico de consultas de sus datos en el fichero, en el que constan quince consultas de diferentes entidades bancarias y una empresa de telefonía entre los días 02/01/2024 y 12/01/2024. - 31/01/2024, escrito en que Equifax comunica a ***EMPRESA.2 que ha recibido su solicitud de oposición, ha procedido a la baja cautelar de los datos, en los mismos términos que la comunicación anterior remitida a la parte reclamante. - 07/02/2024, escrito en que Equifax comunica a la parte reclamante que el 06/02/2024, B.B.B. ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia 740/IN24023000643 - 07/02/2024, escrito en que Equifax comunica a ***EMPRESA.2 que el 06/02/2024, B.B.B. ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia 740/IN24023000644 - 07/02/2024, escrito en que Equifax comunica a ***EMPRESA.2 que el 06/02/2024, ***EMPRESA.1 ha solicitado el alta en el fichero ASNEF Empresas los datos relativos al impago de la factura. Nº de referencia ***REFERENCIA.5 QUINTO: Consta en el expediente el Auto del Juzgado de instrucción nº 35 de Madrid, de 2 de noviembre de 2023, aportado por la parte reclamante, en el que se admite a trámite querella interpuesta por la parte reclamante contra B.B.B. por delitos de falsedad, estafa y coacciones en relación con los hechos objeto de este procedimiento. En dicho Auto se cita a declarar como investigada a B.B.B. el 5 de diciembre de 2023. SEXTO: Consta en el expediente el Auto de la Sección nº 15 de la Audiencia Provincial de Madrid, de 09/09/2024 (Auto nº ***REFERENCIA.1), aportado por B.B.B., en el que se desestima el recurso de apelación interpuesto por la parte reclamante contra el auto de 30/05/2024, que desestimaba el recurso de reforma interpuesto contra el auto de fecha de 17/03/2024, confirmando dichas resoluciones. En este Auto nº ***REFERENCIA.1 figura la siguiente información relevante para este procedimiento: Las actuaciones a las que pone fin dicho Auto se iniciaron por la interposición de una querella de la parte reclamante contra B.B.B. por delitos de falsedad en documento mercantil, estafa y coacciones, en relación con la emisión de factura objeto de este procedimiento sancionador y la solicitud de inclusión de la parte reclamante y de su empresa, ***EMPRESA.2, en el fichero ASNEF Empresas por impago de la misma. En el auto se menciona que el juez instructor, tras admitir la querella y practicar las diligencias solicitadas por la parte querellante (entre ellas la declaración de la querellada, B.B.B.), acordó el sobreseimiento provisional de la causa. Dicho sobreseimiento tuvo lugar, según transcribe, porque C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/22 “de lo actuado no aparece debidamente justificada la perpetración del delito que ha dado lugar a la formación de la causa, pues nos encontramos ante una cuestión de índole civil. Las partes firmaron un contrato de prestación de servicios que funcionó con normalidad hasta que surgieron discrepancias sobre su cumplimiento. Momento en que la querellada considera que existe una deuda y los querellados lo discuten. No ha quedado acreditado el engaño bastante necesario para que nos encontremos ante una infracción penal”. Dicha resolución fue recurrida por la parte reclamante, el recurso impugnado por el Ministerio fiscal y B.B.B., y finalmente desestimado por auto de la juez instructora, manteniendo y ampliando las argumentaciones iniciales, en el sentido de que no se aprecia delito y es en vía civil donde debe dilucidarse si la deuda existe o no. En relación con la inclusión de los datos de la parte reclamante en el fichero de ASNEF, el auto de la Audiencia Provincial señala que la inclusión en sí no supone un acto coactivo, sin perjuicio de que puedan ejercitarse acciones civiles si esta le perjudica. En dicho auto se menciona, además, que existe un procedimiento civil interpuesto en relación con la procedencia o no de la factura, de la que se menciona demanda de juicio monitorio suscrita en fecha 30/03/2023, si bien no consta en el expediente documentación sobre dicho procedimiento, ni las fechas de interposición o decisiones al respecto, si las hubiera. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Consideraciones previas La parte reclamante dirige su reclamación contra B.B.B. y contra la empresa ASNEF/EQUIFAX, por los hechos anteriormente descritos. A efectos de determinar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 responsabilidad, hay que tener en cuenta que ésta se deriva del incumplimiento de los artículos 6.1 del RGPD y 20 de la LOPDGDD. En concreto, la obligación del acreedor de garantizar que concurren los requisitos exigidos en dicho artículo 20 para la inclusión en el sistema de una deuda. De las evidencias que constan en el expediente, no queda acreditado que ASNEF/EQUIFAX tuviera la documentación precisa para comprobar la existencia de una reclamación relativa a la deuda, sino las comunicaciones remitidas por el reclamante, que serían contradictorias con las aportadas por B.B.B.. Sin embargo, sí consta el Auto en el que se admite a trámite de una querella de la parte reclamante contra B.B.B., en el que se la cita a declarar como investigada. En este sentido sí habría evidencia del conocimiento por parte de B.B.B. de la existencia de una reclamación y el incumplimiento de los requisitos del artículo 20 de la LOPDGDD. Por otro lado, B.B.B., como agente comercial, firma el contrato de servicios con la parte reclamante, que daría lugar a la deuda en cuestión cuyo pago exige y es objeto de controversia. Por este motivo, se considera responsable del incumplimiento a B.B.B.. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: La argumentación del primer escrito de alegaciones (aportado con fecha 12/12/2024) se basa en dos puntos. Por un lado, en que existía un contrato en el que expresamente estaba prevista la posibilidad de que, en caso de impago, se incluyeran los datos de la parte reclamante en el fichero ASNEF Empresas y que, al negarse la parte reclamante a abonar la factura que se le remitió, se hizo uso de esa facultad prevista en el contrato y conocida por la parte reclamante. Por otro, en que la querella interpuesta por la parte reclamante fue admitida a trámite para la averiguación de los hechos, pero el procedimiento fue finalmente archivado. Si bien ambos datos son ciertos, cabe aclarar que el objeto del presente procedimiento sancionador no es determinar si existe o no una deuda efectivamente exigible ni si la forma en que se ha exigido el pago es constitutiva o no de delito (que es lo que se desestima en el procedimiento judicial). El objeto del presente procedimiento sancionador es determinar si el tratamiento de datos personales que consistió en la inclusión de los datos de la parte reclamante en el fichero de ASNEF se realizó conforme a las disposiciones que establecen el RGPD y la LOPDGDD ya que, de no ser así, esa inclusión sería constitutiva de una infracción conforme al RGPD. En este sentido, el RGPD y la LOPDGDD prevén expresamente la posibilidad de incluir los datos de una persona en un sistema de información crediticia, pero establecen determinadas condiciones para que esa inclusión pueda realizarse. En primer lugar, el artículo 6.1 del RGPD prevé las bases jurídicas para que un tratamiento de datos personales se pueda considerar lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Por su parte, el artículo 20 de la LOPDGDD desarrolla ese artículo 6.1 del RGPD en relación con el tratamiento de datos relativos a obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia. Para ese tratamiento concreto, establece lo siguiente: Artículo 20. Sistemas de información crediticia. 1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  8. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  9. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  10. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  11. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22
  12. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  13. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  14. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. Es decir, el citado artículo 20 establece una presunción de licitud para ese tratamiento cuando se den una serie de condiciones. Esas condiciones hacen referencia a diferentes obligaciones de los acreedores y de las entidades que mantienen dicho sistema. En lo que afecta al presente caso, cabe destacar las siguientes: - Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes. - Que el acreedor haya informado al afectado, en el contrato o en el momento de requerir el pago, acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. - Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. En el presente caso, existe una factura cuya fecha de vencimiento se ha cumplido y se da la condición de que B.B.B., como acreedora, ha informado a la parte reclamante de la posibilidad de inclusión en el fichero ASNEF Empresas, tanto en el contrato como en el momento de requerirle el pago de la factura. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 Sin embargo, en el procedimiento ha quedado acreditado que la existencia de esa deuda había sido objeto de una reclamación judicial y que cuando ese procedimiento estaba pendiente de resolución, B.B.B. solicitó a EQUIFAX la inclusión de los datos del reclamante. En concreto, la querella interpuesta por la parte reclamante fue admitida a trámite el 02/11/2023 y el 17/03/2024 se dictó auto de sobreseimiento en relación con esa querella (posteriormente sería recurrido y finalmente archivado el 09/09/2024). Por su parte, consta que B.B.B. solicitó la inclusión de los datos en el fichero ASNEF empresas el 13/01/2024 y el 06/02/2024, es decir, una vez interpuesta la querella y antes del auto de sobreseimiento. En sus alegaciones, B.B.B. alude a que, si bien existió litispendencia, fue para la averiguación de los hechos, desestimándose finalmente la existencia de delito. Sin embargo, de nuevo, el hecho de que se determinara que no existió delito, e incluso de que la deuda sea considerada o no exigible en un procedimiento civil, no es el objeto de este procedimiento sancionador. Por otro lado, en la fecha en que se interpone la reclamación (15/02/2024) el proceso judicial seguía pendiente de decisión (ni la parte reclamante ni la reclamada conocían cuál sería finalmente la resolución judicial) y la resolución judicial se limita a descartar que haya pruebas de los delitos objeto de la querella, dejando la cuestión sobre la existencia o no de la deuda y de la obligación de pago a las reclamaciones que procedan en la vía civil. Por tanto, en relación con la cuestión que se debe determinar por tanto en este procedimiento (si se cumplieron las condiciones del artículo 20 de la LOPDGDD para considerar la inclusión de los datos en el fichero un tratamiento lícito), cabe concluir que al haber existido un procedimiento abierto en relación con la deuda en el momento en que B.B.B. comunica los datos del cual ésta tenía conocimiento, no se cumplieron dichas condiciones, independientemente de cuál haya sido el resultado final de dicho procedimiento. En este sentido, la condición prevista por el artículo 20.1
  15. b)de la LOPDGDD es una garantía establecida por el legislador. Dado que la inclusión incorrecta en un fichero de información crediticia causa un perjuicio grave a la persona cuyos datos se exponen, la norma establece unas condiciones para evitar que esta facultad se utilice cuando una deuda no es pacífica y responsabiliza al acreedor de garantizar que concurren los requisitos (artículo 20.2 de la LOPDGDD). En este sentido B.B.B. era responsable de garantizar que se daban los requisitos del artículo 20 y conocedora de la existencia del procedimiento judicial (en el que era parte, como querellada). A pesar de ello, solicitó la inclusión de los datos de la parte reclamante: el 13/01/2024 y, tras solicitar la parte reclamada a Equifax su retirada alegando la pendencia del proceso, el 06/02/2024. En relación con las alegaciones formuladas por la parte reclamada en su segundo escrito presentado el 06/05/2025, cabe reiterar los argumentos anteriores. Así, en relación con el hecho de que “se ha silenciado que por parte del Juzgado de Instrucción (…) se había dictado el día 17 de marzo el correspondiente Auto de Sobreseimiento”, no afecta a la valoración del hecho de que las fechas en que B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22 solicitó la inclusión de los datos en el fichero ASNEF empresas (el 13/01/2024 y el 06/02/2024) eran anteriores a ese auto de sobreseimiento. En cuanto a la alegación de que el contrato preveía en su cláusula sexta la posibilidad de inclusión en el fichero y la deuda fue previamente reclamada, cabe reiterar que en el presente procedimiento no se pone en cuestión esos dos puntos, sino que se ha evidenciado que en relación con dicha deuda había un procedimiento judicial pendiente de resolución cuando se solicitó la inscripción del reclamante y su empresa en el fichero de ASNEF. En cuanto a la existencia de interés legítimo y el cumplimiento del principio de minimización de datos en la inclusión en el fichero, esos dos aspectos no son objeto del incumplimiento acreditado en este procedimiento, que se enfoca en que la deuda incluida en el fichero era objeto de reclamación en vía judicial por parte del reclamante. En cuanto a la afirmación de que no se ha recibido solicitud del reclamante en el ejercicio de sus derechos de cancelación o rectificación disponiendo de los medios para ejercer los sus derechos ante ASNEF y ante la reclamada, sí consta, como se ha detallado en los hechos probados, que la parte reclamante se dirigió a ASNEF en diferentes ocasiones. IV Contestación a las alegaciones a la propuesta de resolución En relación con las alegaciones presentadas por la reclamada, cabe señalar lo siguiente (se sigue la numeración indicada en el antecedente séptimo de la presente Resolución): 1. Afirma la reclamada que la conclusión de la propuesta de resolución no se ajusta a la realidad de los hechos, puesto que la querella presentada por el denunciante se dirigía contra la reclamada y no versaba sobre la existencia ni legitimidad de la deuda. Al respecto cabe indicar que efectivamente la querella interpuesta por el reclamante se interpone por los delitos de falsedad en documento mercantil y coacciones contra la reclamada. Sin embargo, los hechos que el reclamante considera que constituyen dichos delitos se refieren precisamente de la deuda que la reclamada exige (y con cuya existencia el reclamado no está conforme) y con la forma en que reclama su pago (informándole de que se le incluirá en el fichero de ASNEF en caso de impago). Asimismo, cabe destacar que la posible falsedad del documento o la existencia de coacción sí puede afectar a la legitimidad de la deuda. No cabe por tanto aceptar la interpretación de la reclamada de que dicha querella no se refiere a la existencia de la deuda. 2. Alega a continuación la reclamada, como ya señalaba en las alegaciones al acuerdo de inicio, que la querella fue objeto de sobreseimiento y archivo definitivo por la Audiencia Provincial de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 Al respecto cabe reiterar lo ya argumentado en la propuesta de resolución: el objeto de este procedimiento sancionador no es determinar si la deuda en cuestión era exigible o no, sino si el tratamiento de datos personales consistente en la inclusión de dicha deuda en el fichero de ASNEF cumplió con los requisitos exigidos por el artículo 20 de la LOPDGDD para considerar dicho tratamiento lícito. En ese sentido, el hecho de que estuviera pendiente un proceso judicial que afectaba a la legitimidad de la deuda exigible, hace que no se cumpla, en este caso, el requisito previsto en el apartado 1.
  16. a)de dicho artículo. Dicha reclamación judicial puede acabar en un pronunciamiento favorable a las pretensiones del reclamante o, como en el presente caso, de la reclamada. Sin embargo, ese desenlace no obsta que, en el momento de solicitar la inclusión de los datos del reclamado en el fichero de ASNEF, hubiera sobre dicha deuda una reclamación judicial pendiente de resolverse. 3. Por último, alega la reclamada que “la deuda en cuestión fue reclamada previamente por esta parte mediante procedimiento monitorio, acreditándose su existencia, vencimiento y exigibilidad”, por lo que la inclusión en ASNEF se habría realizado conforme al principio de licitud del tratamiento previsto en el artículo 6.1.
  17. f)del RGPD. Tampoco cabe aceptar dicha alegación por los mismos motivos indicados anteriormente: independientemente de que la deuda hubiera sido previamente reclamada por la reclamada, el objeto del presente procedimiento se limita exclusivamente a la existencia de una reclamación judicial en el momento de solicitar la inclusión de los datos del reclamante en el fichero de ASNEF, por ser un hecho constitutivo de una infracción del artículo 6.1 del RGPD. Por otro lado, la finalización de un proceso judicial no implica la existencia de otros relacionados con la exigencia de la deuda que puedan impedir que la misma pueda ser inscrita en los ficheros. V Obligación incumplida del artículo 6.1 El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales en los siguientes términos: Artículo 6. Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  18. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  19. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  20. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  21. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22
  22. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  23. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  24. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. En relación con dicho artículo 6.1 del RGPD, el artículo 20 de la LOPDGGD, establece una presunción de licitud del tratamiento de datos personales relativos al incumplimiento de obligaciones en los supuestos de inclusión en sistemas de información crediticia, cuando se cumplen determinados requisitos: Artículo 20. Sistemas de información crediticia. 1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  25. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  26. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  27. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  28. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  29. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 artículo 18.1.
  30. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  31. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. En el presente caso, B.B.B. solicitó la inclusión de los datos del reclamante en el fichero ASNEF Empresas en relación con una deuda cuyo pago le exige y, de acuerdo con B.B.B., no se habría realizado. De acuerdo con el citado artículo 20 de la LOPDGGD, para que se aplique la presunción de que dicho tratamiento fue lícito, tendrían que cumplirse los requisitos del apartado 1 y, según el apartado 2, correspondería a B.B.B. y ***EMPRESA.1 garantizar que éstos concurren. Uno de los requisitos mencionados por el artículo 20 de la LOPDGGD (apartado 1 b), es que las deudas sean “ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes”. Entre las evidencias que constan en el expediente figura un Auto del Juzgado de instrucción nº 35 de Madrid, de 2 de noviembre de 2023, en el que se admite a trámite la querella de la parte reclamante contra B.B.B., por un supuesto delito de Falsedades, Estafa y Coacciones y en el que se cita a la reclamada declarar como investigada. Dicho auto fija la fecha de declaración de B.B.B. para el 5 de diciembre de 2023 y, no obstante, ésta comunica de nuevo la deuda a ASNEF el 7 de febrero de 2024, existiendo por tanto un procedimiento judicial abierto. Por tanto, se ha producido un incumplimiento de lo establecido en el artículo 6.1 del RGPD, al no ser lícito el tratamiento por no cumplirse los requisitos del artículo 20 de la LOPDGGD para que el tratamiento de datos personales relativos al incumplimiento de obligaciones en los supuestos de inclusión en sistemas de información crediticia se considere lícito, en concreto “que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor”. De acuerdo con lo anterior, los hechos probados son constitutivos de un incumplimiento, imputable a B.B.B., del artículo 6.1 del RGPD reproducido anteriormente. VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/22 Tipificación y calificación de la infracción del artículo 6.1 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  32. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  33. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/22 VII Sanción por el incumplimiento del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  34. a)a
  35. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  36. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  37. b)la intencionalidad o negligencia en la infracción;
  38. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  39. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  40. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  41. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  42. g)las categorías de los datos de carácter personal afectados por la infracción;
  43. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  44. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  45. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  46. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/22 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  47. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  48. a)El carácter continuado de la infracción.
  49. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  50. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  51. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  52. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  53. f)La afectación a los derechos de los menores.
  54. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  55. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, de acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer, se estiman concurrentes los siguientes factores: - El nivel del daño cabe ser considerado alto, en la medida en que a los datos personales de la parte reclamante se añaden datos sobre de carácter financiero. - Hay una vinculación directa de la actividad de B.B.B. (asesoría financiera) con la realización del tratamiento en cuestión, que se pone de manifiesto en que la posibilidad de inclusión en el fichero ASNEF Empresas se prevé en el contrato y B.B.B. informa reiteradamente a la parte reclamante sobre esta cuestión. Considerando las circunstancias individuales del presente caso, se propone la imposición de una multa por la infracción del artículo 6.1 del RGPD de DOS MIL euros (2.000,00 euros). VIII Adopción de medidas En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/22 En este caso, se propone requerir a B.B.B. para que, en el plazo de diez días, acredite haber procedido a solicitar la supresión de los datos personales relativos a la parte reclamante informados a la entidad responsable del fichero ASNEF. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de DOS MIL euros (2.000,00 euros). SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
  56. d)del RGPD, acredite haber procedido a solicitar la supresión de los datos personales relativos a la parte reclamante informados a la entidad responsable del fichero ASNEF. TERCERO: NOTIFICAR la presente resolución a B.B.B.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  57. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/22 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  58. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.