← España

REPOSICION-PS-00150-2024

1/26  Expediente nº.: EXP202404645 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por IBERINFORM INTERNACIONAL, S.A. (en lo sucesivo, la parte recurrente o IBERINFORM) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 14 de abril de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 14 de abril de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202404645, en virtud de la cual se imponía a IBERINFORM: - Por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 360.000,00 euros. - Por la infracción del artículo 14 del RGPD, tipificada en el artículo 83.5 de dicha norma, multa administrativa de cuantía 360.000,00 euros. Dicha resolución, que fue puesta electrónicamente a disposición de la parte recurrente en fecha 14 de abril de 2025 y aceptada la notificación por la recurrente el 15 de abril de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia de los siguientes: “PRIMERO: En fecha 29 de julio de 2008 se formalizó y firmó un contrato para el suministro de información entre CAMERDATA e IBERINFORM que sigue vigente hasta la fecha. Dicho hecho queda acreditado de la propia manifestación de la parte reclamante en su contestación al requerimiento de la presente autoridad que tuvo entrada el 11 de febrero de 2025 y según la cual: “El contrato original, firmado el 29 de julio de 2008, entre IBERINFORM INTERNACIONAL, S.A.U. (en adelante, “IBERINFORM”) y CAMERDATA S.A. (en adelante, “CAMERDATA”), sigue vigente (Documento núm. 1). Este contrato establece que CAMERDATA proporcionará información sobre empresarios individuales a IBERINFORM, la cual será utilizada para diversos fines comerciales y de análisis. La continuidad de este contrato ha sido fundamental para el enriquecimiento de ficheros propios, ya que nos permite ofrecer servicios de alta calidad a nuestros clientes basados en datos precisos y actualizados, y asegurarnos de que damos de baja a los empresarios individuales cuando dejan de tener actividad comercial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/26 El contrato original se ha ido renovando tácitamente garantizando la continuidad del suministro de información y en cumplimiento de las normativas de protección de datos vigentes.” SEGUNDO: Consta acreditado que la cláusula primera del contrato para el suministro de información de 29 de julio de 2008 y el cual obra en el expediente del presente procedimiento establece que “El objeto del presente contrato es regular las condiciones de suministro al CLIENTE, por parte de CAMERDATA, de la información contenida en el fichero “Fichero de Empresas Españolas de CAMERDATA ”(en adelante, el Fichero), de conformidad con el detalle de servicios que se especifican en el ANEXO al presente contrato, y que queda incorporado al mismo a todos los efectos. Asimismo, se recoge en la cláusula segunda que “CAMERDATA suministrará al CLIENTE un listado de información con información de empresas, según las características (perfil de búsqueda, campos de información, formato y soporte técnico) que se especifican en el ANEXO (punto 1)”. Según el punto 1 del ANEXO los campos de información son los siguientes: Razón social (nombre empresa) Dirección completa Código(

  1. s)de actividad CIF Actividad negocial Teléfonos y faxes disponibles Volumen de negocio Tramo de empleados Cargas disponibles TERCERO: El “Fichero de empresas españolas” es un fichero cuya titularidad corresponde a CAMERDATA con información de las empresas y empresarios individuales de España y que integra el censo de todas las Cámaras de Comercio Españolas: “I. Que CAMERDATA es una empresa creada por las Cámaras de Comercio a fin de elaborar un fichero de las actividades negociales que se desarrollan en su ámbito de actuación (denominado Fichero de Empresas Españolas), así como de ofrecer el servicio de información pública sobre la información contenida en dicho fichero, de conformidad con lo previsto en la Ley Básica 3/1993 de 22 de marzo de Cámaras Oficiales de Comercio, Industria y Navegación.” Punto I. del citado contrato) CUARTO: Consta que CAMERDATA a requerimiento de la inspección ha manifestado que la Cámara de Comercio de España elabora el censo público de empresas bajo la denominación de "Censo Básico de Empresas" y que CAMERDATA viene desarrollando y explotando comercialmente un sistema de información empresarial denominado "Fichero de Empresas Españolas", que es una base de datos diferente del "Censo Básico de Empresas" elaborado por la CDE. En este sentido, en el contrato fechado a 15/02/2016 y firmado entre CAMERDATA y CDE consta que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/26 “[…] V. Sobre la base de los indicados datos que recibe de las Administraciones públicas colaboradores (que actualmente son la Agencia Estatal de la Administración Tributaria, la Agencia Diputación Foral de Navarra y las Cámaras de Comercio del País Vasco), la Cámara de Comercio de España elabora el censo público de empresas bajo la denominación de "Censo Básico de Empresas", garantizando la confidencialidad en el tratamiento y el uso exclusivo de la información recibida.” “[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un sistema de información empresarial denominado "Fichero de Empresas Españolas", que es una base de datos diferente del "Censo Básico de Empresas" elaborado por la Cámara de Comercio de España, si bien para desarrollarlo está interesada en obtener una copia de la información empresarial del "Censo Básico de Empresas". “[…] Primera. Objeto. Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez, recibe y adquiere para sí, una copia de la totalidad de los datos empresariales obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual contiene los campos de información que se indican en el Anexo 1 de 3.160.984 Registros de Empresas. A estos efectos se entiende por Registro de Empresa todos los campos de información del Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos Cedida, tomándose como identificador de dicho registro el NIF de las mismas. […] Segundo. Finalidad. La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y los tratará, completará y enriquecerá en los términos convenidos en el presente Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros interesados como base de datos de información de las empresas que operan en territorio español. […]” Consta en el ANEXO 1, los campos de “NIF de la empresa”, “nombre o denominación social de la empresa”, “domicilio principal”, “domicilio de actividad”, “sección actividad IAE”, “actividad IAE”. En el ANEXO 2 al contrato de cesión de 15/02/2016 en las “Condiciones de la cesión de la Base de Datos Cedida” consta que: “los datos incluidos en la Base de Datos Cedida y sus actualizaciones se obtienen del censo público de empresas que regula la Ley 4/2014 elaborado por la Cedente bajo la denominación de Censo Básico de Empresas.” QUINTO: Como consecuencia del requerimiento de información efectuado por la inspección, con fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente información y manifestaciones (REGAGE23e00077082890): 1.Que, en relación con los autónomos, tratan los siguientes datos, entre otros: “NIF”: Significado: Número de identificación fiscal Origen del dato: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/26 Censo público de empresas publicado por CÁMARA conforme a los dispuesto en la Ley 4/2014 (en adelante Censo público de empresas). Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “nombre empresa” Significado: Manera en la que se identifica la empresa respecto a sus obligaciones formales, normalmente con los agentes que se relaciona, como Seguridad Social, Hacienda, proveedores o clientes. Conocido como Razón social. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “email genérico” Significado: Correo electrónico de contacto general de la empresa. Origen del dato: Kompass, a través del enriquecimiento de datos del censo público de empresas. Se cede a: A clientes finalistas que lo solicitan para su uso exclusivo interno. “dirección” Significado: Dirección de la empresa formado por nombre de vía, número de vía y resto de dirección. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “código postal” Significado: Código postal de la dirección de la empresa. Origen del dato: Censo público de empresas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/26 Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. “municipio” Significado: Población de la dirección de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. “provincia” Significado: Provincia de la dirección de la empresa. Origen del dato: DMOVO. Se obtiene en el proceso de normalización de direcciones cada vez que se carga un nuevo censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “teléfono” Significado: Número de teléfono de contacto general de la empresa. Origen del dato: INFORMA y ***EMPRESA.3. Se obtiene en el proceso de enriquecimiento de datos del censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “Tipo empresa” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/26 Significado: Forma jurídica de la empresa. Origen del dato: Censo público de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. “Género empresa” Significado: Indicador del tipo de nombre de la empresa. Origen del dato: DMOVO. Se obtiene en el proceso de normalización de nombres cada vez que se carga un nuevo censo de empresas. Se cede a: A los clientes que solicitan los servicios de información de empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas infomediarias o reutilizadoras de información (***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4, IBERINFORM, ***EMPRESA.5) y por otro lado clientes finalistas que lo solicitan para su uso exclusivo interno. A la empresa DMOVO para que realice el proceso de normalización de direcciones. Así las cosas, en relación con los autónomos, el "Fichero de Empresas Españolas" según la declaración de CAMERDATA contiene, entre otros, los siguientes datos: “NIF”: “nombre empresa” “email genérico” “dirección” “código postal” “municipio” “provincia” “teléfono” “Tipo empresa” y “Género empresa”. SEXTO: Consta que, a requerimiento de la inspección, CAMERDATA lista y detalla todos los datos que contiene la base de datos de empresas de CAMERDATA con relación a autónomos: NIF, Nombre empresa, Nombre comercial, Email genérico, Dirección, Código Postal, Municipio, Provincia, Comarca, Sección censal, Teléfono, Teléfono2, Tipo empresa, Actividad Principal IAE, Todas las actividades IAE, Tipo dirección, Número sucursales, Web, Año constitución, Empleados, Importa/exporta, Género Empresa, Actividad CNAE, Latitud wgs84, Longitud wgs84, Tipo coor wgs84, ID Camerdata (folio 551 del expediente). Asimismo, detalla que el número total de autónomos que consta actualmente en la base de datos es de 1.665.049. SÉPTIMO: Consta que se publica en abierto y de forma gratuita a través de la página web de CDE, www.camara.es, en concreto en la dirección https://www.camara.es/funcion-consultiva/consulta-del-censo-publico-de-empresas, el censo público de empresas bajo la denominación “Censo Nacional de Empresas” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/26 donde se ofrece información respecto de los empresarios personas físicas relativa al nombre, apellidos, dirección, código postal, municipio y actividad. En el apartado “Descripción”, se ofrece la siguiente información relativa al “Censo Público de Empresas”: “Te facilitamos los datos incluidos en el Censo Público que contiene todas las entidades jurídicas y físicas de las Cámaras Oficiales de Comercio, Industria, Servicios y, en su caso, de Navegación de España.” Que el fichero “recoge un registro por actividad (no acumula varias actividades en una misma dirección) y recopila los siguientes datos por registro: Nombre, Dirección, Código Postal, Municipio, Actividad.” Por tanto, consta acreditado que el censo público de empresas que publica CDE, a través de la página web www.camara.es, no contiene el dato del NIF de los empresarios. OCTAVO: El Convenio celebrado entre la AEAT y CDE “para la cesión de información de carácter tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-administrativas”, suscrito el 25/11/2019 (BOE 20/12/2019), prorrogado por cuatros años y modificado en virtud de una “Adenda” suscrita el 19/12/2023 (BOE 16/02/2024), en sus cláusulas estipula: -Sobre la finalidad de la cesión (cláusula segunda): La “finalidad exclusiva” de la comunicación de los datos a la CDE y a las Cámaras es “colaborar en el desarrollo de las funciones públicas que tienen atribuidas”, las cuales se especifican mediante una remisión expresa al Anexo III del Convenio que, a su vez, reproduce los artículos 5.1, 5.2 y 21.1, letras
  2. d)a
  3. i)de la Ley 4/2014. Añade que “La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de las empresas tendrá como finalidad exclusiva la elaboración del censo público de empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que hace referencia el artículo 17 de la misma Ley.” - Sobre los destinatarios (cláusula cuarta): La información que cede la AEAT solo puede tener como destinatarios “a los órganos de la Cámara de Comercio de España y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión (…). En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen funciones distintas de las descritas en la cláusula segunda de este Convenio”. Concluye la citada clausula cuarta que “Todo ello sin perjuicio de la estricta afectación de la información remitida por la Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia Tributaria.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/26 NOVENO: CAMERDATA ha manifestado que la base de datos de empresas en el caso de autónomos tiene la siguiente finalidad: “La finalidad concreta del tratamiento es la elaboración de un sistema o servicio de información de empresas con datos de calidad para la promoción, directa o indirecta, de los bienes o servicios de una empresa, organización o persona que realice una actividad empresarial o profesional, sea en su propio nombre o en nombre de un tercero.” DÉCIMO: Queda acreditado que en la cláusula CUARTA del contrato para el suministro de información de 29 de julio de 2008 entre CAMERDATA e IBERIFORM se establece que “EL CLIENTE utilizará la información entregada para el enriquecimiento de ficheros propios” Queda acreditado que IBERINFORM utiliza la información de empresarios individuales cedidos por CAMERDATA, para enriquecer sus productos y bases de datos de información comercial. Dicho hecho ha sido confirmado por IBERINFORM en su contestación al requerimiento de esta entidad y en la cual se detalla el número de contratos y/o acuerdos suscritos con terceras personas que permiten acceder a información de autónomos. “A continuación, detallamos el número de contratos y/o acuerdos suscritos con terceras empresas y que permiten acceder a información de autónomos derivada de CAMERDATA, incluyendo un desglose por la tipología de producto que se explicará más adelante en el apartado 5: • Ejercicio 2022: Número de contratos suscritos: 2.688 (Insight View), 728 (EO), 19 (Findato), 15 (APIs), 5 (grandes cuentas). Sin perjuicio del número total de contratos suscritos, las estadísticas de uso muestran que únicamente 252 clientes accedieron a información de autónomos derivada de CAMERDATA durante el ejercicio 2022. • Ejercicio 2023: Número de contratos suscritos: 2.760 (Insight View), 703 (EO), 22 (Findato), 21 (APIs), 5 (grandes cuentas). Sin perjuicio del número total de contratos suscritos, las estadísticas de uso muestran que únicamente 306 clientes accedieron a información de autónomos derivada de CAMERDATA durante el ejercicio 2023. • Ejercicio 2024: Número de contratos suscritos: 3.236 (Insight View), 462 (EO), 30 (Findato), 35 (APIs), 5 (grandes cuentas). Sin perjuicio del número total de contratos suscritos, las estadísticas de uso muestran que únicamente 287 clientes accedieron a información de autónomos derivada de CAMERDATA durante el ejercicio 2024. • Ejercicio actual

(2025): Número de contratos suscritos: 3.266 (Insight View), 449 (EO), 29 (Findato), 34 (APIs), 4 (grandes cuentas). La información anterior abarca desde el año 2022 en adelante, decisión que se fundamenta en el cumplimiento de los plazos de prescripción establecidos en la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).” UNDÉCIMO: Queda acreditado que IBERINFORM, en virtud de la cláusula NOVENA del contrato de 29 de julio de 2008, procedió a abonar a CAMERDATA importes anuales por la cesión del Fichero de autónomos. Este hecho ha sido confirmado por IBERINFORM en la contestación al requerimiento de la presente autoridad y según el cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/26 “En cumplimiento del requerimiento de información emitido por la Agencia, procedemos a adjuntar las facturas abonadas por IBERINFORM a CAMERDATA por la información suministrada, conforme a lo estipulado en la cláusula novena del acuerdo firmado el 29 de julio de 2008. Dicha cláusula establece lo siguiente: «El CLIENTE abonará a CAMERDATA los importes anuales que quedan establecidos en el ANEXO al presente documento por la información suministrada». “A lo largo del periodo de referencia, IBERINFORM ha cumplido rigurosamente con sus obligaciones contractuales, realizando los pagos correspondientes de manera puntual y transparente. Adjunto con el presente escrito, se presenta un desglose detallado de las facturas trimestrales emitidas y abonadas durante los años 2022, 2023 y 2024 (Documento núm. 9). “ DUODÉCIMO: Ha quedado acreditado que IBERINFORM recibió durante el año 2024 un total de 38 de solicitudes de ejercicio de derechos relacionados con los datos personales procedentes de CAMERDATA. Ello ha venido confirmado asimismo por IBERINFORM en la contestación del requerimiento realizado por la presente autoridad: “Durante el año 2024, IBERINFORM ha gestionado un total de 38 solicitudes de ejercicio de derechos relacionados con datos personales procedentes de CAMERDATA. Estas solicitudes se desglosan en 36 solicitudes de supresión y 2 solicitudes de rectificación de datos personales de empresarios individuales. En cuanto a la atención de estas solicitudes, IBERINFORM ha demostrado un compromiso absoluto con el cumplimiento de la normativa de protección de datos, atendiendo todas las solicitudes recibidas dentro de los plazos y procedimientos establecidos. En concreto, las 36 solicitudes de supresión se procesaron y atendieron en su totalidad, lo que implica que el 100% de las solicitudes de supresión se resolvieron favorablemente.” DÉCIMOTERCERO: El anuncio que CAMERDATA manifiesta haber publicado en las webs de siete Cámaras de Comercio con la finalidad de informar a los interesados del tratamiento de sus datos, toda vez que estima que es aplicable la excepción del artículo 14.5.
  1. b)del RGPD, tiene el siguiente texto: “Información para trabajadores autónomos relativa a la protección de datos personales Mediante la presente comunicación se informa, a toda persona que tenga la condición de trabajador autónomo, del tratamiento de sus datos personales por parte de Camerdata y de las empresas asociadas a ASEDIE que están sujetas a su código de conducta del sector infomediario de protección de datos que se relacionan: ***EMPRESA.1, ***EMPRESA.3, Iberinform, Informa y también ***EMPRESA.4. Los datos tratados por CAMERDATA y las empresas relacionadas, han sido recabados por CAMERDATA de forma legítima y obtenidos de un Censo oficial elaborado por organismo público, correspondiendo a persona sujeto pasivo de los datos (el trabajador autónomo) en el ejercicio de una actividad de las recogidas en el Real Decreto de 2007 (RD 475/ 2007). El tratamiento de estos datos tiene por finalidad el envío de comunicaciones comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/26 de su interés, así como la información comercial sobre la actividad empresarial llevada a cabo por el Autónomo. Si usted desea ejercer sus derechos de acceso […]” TERCERO: La parte recurrente ha presentado en fecha 14 de mayo de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente en lo siguiente: PREVIO. - Alegación de caducidad del procedimiento sancionador La recurrente alega que el procedimiento sancionador ha incurrido en caducidad, al haberse dictado la resolución sancionadora el 14 de abril de 2025, cuando el acuerdo de inicio fue dictado el 12 de abril de 2024, excediéndose así el plazo máximo de 12 meses previsto en el artículo 64.2 LOPDGDD y el artículo 25.1.
  2. b)de la Ley 39/2015. Considera que ello determina la nulidad de la resolución sancionadora y la obligación de archivar las actuaciones. PRIMERO.- Importancia de la actividad de IBERINFORM y valor económico del tratamiento La recurrente destaca la relevancia de su actividad infomediaria, que considera esencial para el tráfico mercantil, la prevención del fraude, la evaluación del riesgo crediticio y la seguridad jurídica de las transacciones. Alega que su actividad beneficia tanto a grandes empresas como a pymes, e incluso a los propios empresarios individuales. Subraya además que otras entidades del sector infomediario han sido objeto de procedimientos sancionadores, lo que, a su juicio, pone de manifiesto la importancia económica y social del sector. Considera que sancionar de manera inflexible esta actividad puede generar un "apagón informativo" perjudicial para el mercado. SEGUNDO.- Vulneración del principio de confianza legítima IBERINFORM sostiene que la AEPD ha vulnerado su confianza legítima, al haber mantenido durante años relaciones de colaboración con el sector infomediario, especialmente en el marco de los trabajos para la elaboración del Código de Conducta sectorial y el reconocimiento previo de buenas prácticas a la asociación ASEDIE, de la cual forma parte. Alega que durante años la AEPD no cuestionó la licitud de su actividad, generando así una expectativa razonable de conformidad legal, que ahora se ve quebrada de forma sorpresiva y sin advertencia previa. TERCERO.- Base legal para el tratamiento de datos La recurrente defiende que el tratamiento de datos está amparado en el interés legítimo (artículo 6.1.f RGPD y artículo 19.2 LOPDGDD), dado que se limita a datos estrictamente profesionales de empresarios individuales. Argumenta que su finalidad es legítima (seguridad mercantil, prevención del fraude, verificación de solvencia, etc.), que los datos no afectan a la esfera privada de los interesados, y que ha realizado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/26 ponderación de intereses correspondiente, sin que se acrediten perjuicios a los afectados. CUARTO.- Cumplimiento del deber de información IBERINFORM sostiene que ha cumplido el deber de información mediante la publicación de su política de privacidad en su página web y otros medios accesibles. Invoca la aplicación de la excepción del artículo 14.5.
  3. b)RGPD, al considerar que el envío individualizado de información supondría un esfuerzo desproporcionado, dadas las características de su base de datos (más de un millón de registros). Además, señala que los afectados conocen el tratamiento, como lo demuestra el número significativo de solicitudes de ejercicio de derechos que han sido atendidas. QUINTO.- Desproporcionalidad de la sanción y concurrencia de atenuantes La recurrente considera que la sanción impuesta (720.000 euros) es desproporcionada. Invoca como circunstancias atenuantes: la ausencia de perjuicios acreditados a los afectados, la inexistencia de datos sensibles, la falta de antecedentes sancionadores, su actitud colaboradora durante todo el procedimiento, y las medidas correctoras adoptadas. Alega que no se ha valorado correctamente su volumen real de negocio y que la sanción tiene un impacto económico muy grave para la entidad. SEXTO.- Impacto negativo de la sanción en el mercado Finalmente, la recurrente insiste en que la sanción y la medida de cese de tratamiento producirían un "apagón informativo" perjudicial para el mercado, afectando la seguridad jurídica, la prevención de fraudes y el acceso al crédito, especialmente para pymes y empresarios individuales. Además, considera que el NIF es imprescindible para mantener la exactitud de la base de datos y que la AEPD no ha ofrecido alternativas viables al respecto. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/26 En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, si bien varias de ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho se procede a la contestación de cada una de ellas de manera pormenorizada: PREVIO. ANTECEDENTES DE HECHO Y CADUCIDAD DEL PROCEDIMIENTO SANCIONADOR Se aduce por IBERINFORM la caducidad del procedimiento sancionador. Para responder a esta cuestión se ha de acudir a las normas previstas en la LOPDGDD. Pues bien, el último párrafo del artículo 64.2 de la LOPDGDD dispone “El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de las actuaciones”. La Disposición adicional tercera de la LOPDGDD, sobre el cómputo de plazos, establece lo siguiente: “Los plazos establecidos en el Reglamento (UE) 2016/679 o en esta ley orgánica, con independencia de que se refieran a relaciones entre particulares o con entidades del sector público, se regirán por las siguientes reglas: (…)
  4. c)Si el plazo se fija en meses o años, concluirá el mismo día en que se produjo el hecho que determina su iniciación en el mes o el año de vencimiento. Si en el mes de vencimiento no hubiera día equivalente a aquel en que comienza el cómputo, se entenderá que el plazo expira el último día del mes.
  5. d)Cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer día hábil siguiente.” En este caso, el acuerdo de inicio del procedimiento sancionador se produjo el 12 de abril de 2024 y la puesta a disposición de la notificación de la resolución el día 14 de abril de 2024. Teniendo en cuenta dichos preceptos, en el presente caso el día que se cumplía el cómputo de los doce meses y que en consecuencia poseía la presente autoridad hubiera sido el 12 de abril de 2025. No obstante, dado que dicho día era sábado y, por tanto, inhábil, el plazo ha de entenderse prorrogado hasta el primer día hábil, esto es, el 14 de abril de 2024. Tal y como consta en el acuse de recibo del procedimiento administrativo, la puesta a disposición de la resolución por parte de la recurrente tuvo lugar el 14 de abril y por tanto debe entenderse perfectamente resuelta en plazo con independencia del acceso a su contenido, tal y como dispone expresamente el artículo 43.3 de la LPACAP: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/26 “3. Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única.” PRIMERO. IMPORTANCIA DE LA ACTIVIDAD DE IBERINFORM Y VALOR ECONÓMICO DEL TRATAMIENTO. En síntesis, manifiesta IBERINFORM que la labor que realiza aporta seguridad jurídica en las transacciones, facilita la prevención de fraudes y cumple un papel clave en la evaluación de decisiones comerciales que las empresas realizan a diario. Cabe recordar que los datos utilizados por IBERINFORM proceden del censo público de empresas, regulado en el artículo 8 de la Ley 4/2014. Este censo constituye un registro institucional cuya finalidad principal es identificar y mantener actualizado el conjunto de personas físicas o jurídicas, nacionales o extranjeras, que ejercen actividades económicas —comerciales, industriales, de servicios o navieras— en el territorio nacional. Su elaboración -y gestión- corresponde a las Cámaras de Comercio y se basa en datos facilitados por las administraciones tributarias, así como por otras administraciones públicas que puedan aportar información necesaria. Cabe señalar que según se deduce de la ley, la finalidad de este censo no es comercial, sino estrictamente público-administrativa. Por un lado, sirve de base para el cumplimiento de las funciones que la ley atribuye a las Cámaras de Comercio en su calidad de corporaciones de derecho público, como órganos de representación, promoción y asesoramiento del tejido empresarial. También tiene como finalidad específica adicional la conformación del censo electoral que determina quiénes pueden participar en los procesos de elección de los órganos representativos de las propias Cámaras. La misma limitación al personal específico respecto del acceso a los datos tributarios utilizados para la elaboración del censo refleja que el censo tiene una naturaleza institucional, vinculada al funcionamiento del sistema cameral y a la gestión pública del tejido empresarial, y no puede entenderse como una fuente general de publicidad económica ni confundirse con bases de datos de naturaleza privada utilizadas con fines informativos o comerciales. Dicha ley no atribuye al censo la finalidad de que sirva como herramienta de verificación empresarial a disposición de terceros, ni que facilite a empresas, administraciones públicas o profesionales el acceso a datos para valorar la existencia, continuidad o capacidad económica de un empresario antes de contratar o establecer relaciones jurídicas. Aunque esa finalidad puede ser útil para mitigar riesgos o reforzar la seguridad en el tráfico mercantil, no está prevista en la ley como función propia del censo cameral. Tampoco se recoge entre sus objetivos permitir la verificación de la condición profesional o empresarial de una persona física. Pero, es más, en cualquier caso, los tratamientos de datos que sean adecuados y pertinentes para el censo de empresas según su diseño legal han de cumplir con las disposiciones del RGPD, de manera que los preceptos de la Ley 4/2014 relativos al censo público que versen o estén relacionados con el tratamiento de los datos personales de los empresarios personas físicas sólo pueden interpretarse a la luz del RGPD y de la LOPDGDD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/26 Respecto de esta cuestión, tal y como indica el artículo 6 del RGPD y ha manifestado de forma reiterada del TJUE, todo tratamiento de datos personales deberá cumplir los principios relativos al tratamiento de dichos datos, establecidos en el artículo 5 del Reglamento, y satisfacer las condiciones de licitud enumeradas en el artículo 6 del Reglamento. Como ha declarado el TJUE, el artículo 6, apartado 1, párrafo primero, del RGPD establece una lista exhaustiva y taxativa de los casos en que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en alguno de los casos contemplados en esa disposición [sentenciade 4 de julio de 2023, Meta Platforms y otros, asunto C-252/21, apartado 90]. En definitiva, para que el tratamiento realizado por IBERINFORM pueda ser considerado lícito, ha de justificarse en alguna de las causas de licitud que recoge el artículo 6 del RGPD, lo que IBERINFORM no ha acreditado que suceda. SEGUNDO. VULNERACIÓN DEL PRINCIPIO DE CONFIANZA LEGÍTIMA IBERINFORM basa esta alegación en la colaboración en la elaboración del Código de Conducta del sector infomediario. El principio de confianza legítima se vulnera cuando la Administración realiza actuaciones que claramente permiten a los ciudadanos entender que en el futuro va actuar del mismo modo, siempre que haya obrado con sujeción a la ley, tal y como ha afirmado la Audiencia Nacional en su sentencia de dieciséis de mayo de dos mil veinticinco, Recurso: 0000864/2022. El hecho de que la recurrente colaborara en el código de conducta de ASEDIE no pudo inducir a confusión a la recurrente acerca de la postura de la AEPD, por cuanto La AEPD denegó la aprobación del Código de Conducta de ASEDIE (Expediente Nº CC/0003/2018). Además, la mera colaboración en reuniones o la remisión de versiones del Código de Conducta a la AEPD no genera una exención implícita de responsabilidad, ya que el cumplimiento del RGPD es una obligación individual e intransferible de cada responsable del tratamiento, tal y como establece el principio de responsabilidad proactiva (artículo 5.2 del RGPD). En este sentido, el TJUE ha reiterado que "La confianza legítima no puede invocarse cuando un operador prudente y diligente podía prever la ilegalidad de su conducta." (STJUE de 14 de septiembre de 2006, C-181/04, Elmeka). En consecuencia, no puede considerarse infringido el principio de confianza legítima. TERCERO. BASE LEGAL PARA EL TRATAMIENTO DE DATOS Sostiene el recurrente que el tratamiento de datos llevado a cabo por IBERINFORM descansa en la base jurídica del interés legítimo, contemplado tanto en el artículo 6.1.
  6. f)del RGPD como en el artículo 19.2 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/26 El RGPD especialmente y la LOPDGDD son la regulación general que a efectos constitucionales permite tratamientos de datos sin consentimiento. Una vía de legitimación sin consentimiento es el interés legítimo amparado por el RGPD (art. 6.1 f). Cabe señalar que nuestro legislador en la LOPDGDD ha generado unos casos de presunción de interés legítimo, en los que hay más certeza si se dan esos presupuestos. En todo caso, la vía de legitimación de tratamientos sin consentimiento por interés legítimo no requiere una "presunción normativa". El interés legítimo constituye una base legal autónoma, que no depende de la existencia de una norma nacional que lo presuma. Así lo reconoce expresamente el CEPD en sus recientes directrices. La ausencia de presunción normativa por una ley (como en nuestro caso el artículo 19.2 LOPDGDD, en modo alguno excluye la posibilidad de legitimación por interés legítimo. Así, el “interés legítimo” puede operar válidamente incluso en contextos no regulados expresamente en las legislaciones nacionales como en supuestos de presunción de legitimidad. Eso sí, obliga para su evaluación a un análisis más intensivo y en estos casos, su aplicación requiere una visión más restrictiva y garantista, no hay presunción, por lo que el responsable del tratamiento basado en interés legítimo debe justificar, con base en el principio de responsabilidad proactiva, la idoneidad, necesidad y proporcionalidad del tratamiento, así como la prevalencia efectiva de su interés frente a los derechos y libertades del afectado. La ausencia de presunción legal incrementa la carga argumental y documental del responsable del tratamiento. Hay que contemplar casos en los que hay una regulación de interés legítimo afín o cercano al que se pretende sustentar (como el artículo 19.2º cuyos presupuestos aquí no se dan). De igual modo hay que tener en cuenta regulaciones específicas (como la Ley de Cámaras). En la regulación legal pueden darse prohibiciones expresas que sin duda no permitirán los tratamientos de datos, también se pueden dar normas que determinen u orienten la finalidad del uso de datos. En estos supuestos, ya caso por caso, habrá que analizar si el desvío de la finalidad de los datos es o no compatible y en su caso si puede legitimar esta nueva finalidad una base de legitimación nueva, como una regulación específica o, en su caso, el interés legítimo. En estos supuestos, la admisibilidad de la legitimación habrá de pasar, sin duda, por el cumplimiento de toda una serie presupuestos, requisitos y garantías. Tales exigencias se harán más intensas en razón de la naturaleza de los datos, el impacto en los colectivos afectados y en diversos derechos, además de la protección de datos y las propias finalidades del tratamiento. Procede analizar, por ello, en primer lugar, si en este caso se dan los requisitos del artículo 19 de la LOPDGDD. El artículo 19.1 de la LOPDGDD articula una presunción iuris tantum de licitud. Se funda en el artículo 6.1.
  7. f)y tiene por objeto los datos de contacto o eventualmente la función o puesto desempeñado. La presunción así definida en el artículo 19.1 atañe a las personas físicas que prestan sus servicios en una persona jurídica. Cuando el artículo 19.2. de la LOPDGDD se refiere a la aplicación de “la misma presunción”, está haciendo referencia a que se establece la misma presunción respecto de los datos de contacto que se aplicará al tratamiento de los datos de los empresarios autónomos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/26 El dictamen 757/2017, de 26 de octubre, del Consejo de Estado sobre el anteproyecto de Ley Orgánica de Protección de datos (actual LOPDGDD) que al comentar el que era en el anteproyecto de Ley Orgánica el artículo 20 (actual artículo 19) dice: “El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las personas físicas que presten servicios en una persona jurídica (apartado 1) y de empresarios individuales (apartado 2), en ambos casos invocando como amparo normativo lo dispuesto en el artículo 6.1.
  8. f)del Reglamento. En el primer caso, para entender que existe licitud al amparo de ese artículo, el precepto exige que el tratamiento se refiera única-mente a los datos necesarios para la localización profesional del interesado y que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios; en el segundo, que el trata-miento se refiera únicamente a los datos de los empresarios en dicha condición y no se traten para entablar una relación con los mismos como personas físicas”. Por tanto, el dictamen 757/2017 del Consejo de Estado confirma que la presunción que en él se establece opera, exclusivamente, sobre los datos de contacto de los empresarios autónomos. Esto, porque indica que el artículo 20 del Anteproyecto “regula el tratamiento de los datos de contacto” y a renglón seguido precisa de quiénes; quiénes son las personas a las que conciernen tales datos: las personas físicas que prestan servicios en una persona jurídica (apartado 1) “y” los empresarios individuales (apartado 2). Si lo que el dictamen hubiera querido decir es que el artículo 20 del Anteproyecto regula el tratamiento de los datos de contacto sólo respecto a las personas físicas que prestan sus servicios en una persona jurídica y respecto a los empresarios individuales todos sus datos, la conjunción copulativa “y” no existiría. A mayores, el comentario añade que “en ambos casos”, es decir, en los tratamientos de datos de contacto del apartado 1 y del 2 del artículo 20 del Anteproyecto, la base de licitud se encuentra en el artículo 6.1.
  9. f)del Reglamento. Y, a partir de ahí, el comentario reseñado examina cuáles son los requisitos, respectivamente, del apartado 1 y 2, sobre la base del artículo 6.1.
  10. f)RGPD, para que el tratamiento – claramente, de los datos de contacto se presuma lícito. Es más, El TJUE en su sentencia de 4 de octubre de 2024, asunto C 200/23, considera que el artículo 6 del RGPD establece una lista exhaustiva de las causas que pueden legitimar el tratamiento de datos personales debiendo ser objeto de una interpretación restrictiva las que no se basan en el consentimiento del interesado. “94 A este respecto, cabe recordar que el artículo 6, apartado 1, párrafo primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, un tratamiento de datos personales debe estar comprendido en uno de casos contemplados en dicha disposición [véase, en ese sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico), C 439/19, EU:C:2021:504, apartados 99 y jurisprudencia citada]. 95 A falta de consentimiento del interesado para el tratamiento de sus datos personales en virtud de dicho artículo 6, apartado 1, párrafo primero, letra a), o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento puede, no obstante, estar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/26 justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras
  11. b)a f), del mencionado dicho Reglamento [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 92]. 96 En este contexto, las justificaciones previstas en esta última disposición, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 93 y jurisprudencia citada].” Siguiendo esta línea argumental ha de considerarse que la presunción de interés legítimo contenida en el art. 19.2 de la LOPDGDD ha de interpretarse en sentido estricto, por cuanto se trata de una disposición que no sólo permite el tratamiento de datos personales sin consentimiento de los interesados, sino que legitima el tratamiento de los datos personales de los empresarios individuales, sobre la base de licitud del art. 6.1.
  12. f)del RGPD, sin requerir que el responsable del tratamiento realice la obligatoria ponderación entre los intereses en conflicto. Las normas han de ser interpretadas teniendo en cuenta no sólo el sentido propio de las palabras, sino también su contexto, la realidad social del tiempo en que han de ser aplicadas y el espíritu y los fines perseguidos por la normativa de la que forma parte (art. 3.1 CC), y en el caso que se examina no puede decirse que la ley ha autorizado el tratamiento de cualesquiera datos de los empresarios, para realizar cualesquiera operaciones de tratamiento con cualquier finalidad sea lícita o no y con independencia del origen lícito de los datos- personales, pues no cabría decir, por ejemplo, que la norma está habilitando una contratación con un empresario individual al margen de su voluntad. El artículo 19 de la LOPD no puede desvincularse del RGPD. No es admisible interpretarlo al margen o prescindiendo del RGPD sino sólo y exclusivamente en el contexto del Reglamento del que trae causa. Y en tal sentido, se subraya que el objetivo que guía la elaboración del RGPD de garantizar una protección eficaz y uniforme del derecho a la protección de datos personales en los Estados miembro de la Unión. Sobre este aspecto del RGPD dice la STJUE de 27/02/2025, asunto C-203/22: "51 Por último, por lo que respecta a las finalidades del RGPD, es necesario recordar que el objetivo de este Reglamento consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la protección de los datos personales, consagrado en el artículo 16 TFUE y garantizado como derecho fundamental en el artículo 8 de la Carta, que completa el derecho a la vida privada garantizado en el artículo 7 de esta [véase, en este sentido, la sentencia de 4 de octubre de 2024, Schrems (Comunicación de datos al público en general), C 446/21, EU:C:2024:834, apartado 45 y jurisprudencia citada]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/26 52 Así, como precisa asimismo su considerando 11, el RGPD tiene como finalidad reforzar y especificar los derechos de los interesados (sentencia de 4 de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C 487/21, EU:C:2023:369, apartado 33 y jurisprudencia citada)" El Considerando
(11)indica que “La protección efectiva de los datos personales en la Unión exige que se refuercen y especifiquen los derechos de los interesados y las obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en los Estados miembros se reconozcan poderes equivalentes para supervisar y garantizar el cumplimiento de las normas relativas a la protección de los datos de carácter personal y las infracciones se castiguen con sanciones equivalentes.” Con el propósito indicado el RGPD ha articulado mecanismos que la Directiva no preveía con los que refuerza la eficacia del derecho fundamental y que no pueden obviarse cuando se pretende interpretar una norma a la luz del RGPD. Cabe mencionar, entre otros, el principio de responsabilidad proactiva (artículo 5.2), que se proyecta sobre la totalidad de los principios del artículo 5.1. del RGPD y que traslada la carga de la prueba de su cumplimiento al responsable del tratamiento. El enfoque del riesgo que para los derechos y libertades fundamentales de las personas físicas puede derivarse del tratamiento de los datos de carácter personal que les conciernen, de manera que la repercusión que puede llegar a tener en los derechos y libertades fundamentales la vulneración del derecho a la protección de datos dota a este derecho fundamental de un carácter instrumental en la protección del conjunto de derechos y libertades fundamentales del individuo. O la protección desde el diseño, que obliga al responsable a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. El nombre, apellidos, el NIF e incluso la dirección del establecimiento mercantil en los casos que es también el domicilio particular del empresario autónomo, son datos personales del individuo y no pierden su naturaleza por la circunstancia de que desarrolle una actividad empresarial. Una interpretación extensiva del artículo 19.2 de la LOPDGDD que propugnara que todos los datos de carácter personal de un empresario autónomo, cuando el tratamiento guarde alguna relación con la actividad empresarial, están excluidos de la protección que el RGDP garantiza a “todas las personas físicas” sería radicalmente contraria al espíritu del RGPD y no tendría soporte en uno solo de sus preceptos. La interpretación del artículo 19.2 de la LOPDGDD que defendiera que el tratamiento de todo dato de un empresario autónomo cuando “se refieran a ellos únicamente en dicha condición” goza, de una presunción de licitud, anula de facto para este colectivo de individuos el principio de responsabilidad proactiva (artículo 5.2) en lo que concierne a la licitud del tratamiento de sus datos personales y con ello las garantías que el RGPD establece para la protección de los derechos de las personas físicas. Esto, insistimos, cuando los datos personales tratados nunca han perdido ese carácter por el hecho de que su tratamiento se refiera a la persona física empresaria en tal condición, expresión muy difícil de concretar en la práctica y que conduce inexorablemente a una permanente situación de incertidumbre jurídica en lo que se refiere a la protección de los datos personales de más de un millón y medio de individuos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/26 La tesis favorable a entender comprendido en el artículo 19.2 de la LOPDGDD todos los datos de las personas físicas que son empresarios autónomos no solo es contraria al espíritu del RGPD y de sus disposiciones, además supondría una restricción de un derecho fundamental desproporcionada en relación con los fines que persigue por cuanto limitaría para un determinado colectivo el nivel de protección de los derechos y libertades fundamentales de las personas físicas que persigue. Interpretación que se refuerza con la reciente STJUE, 3 de abril de 2025, asunto C710/23, que en relación con los datos de las personas físicas que representan a las personas jurídicas indica: “22 Así pues, la información relativa a la identidad de las personas físicas identificadas o identificables que, como órgano legalmente previsto o como miembros de tal órgano, tengan poder para obligar a una sociedad con respecto a terceros constituye «datos personales», en el sentido del artículo 4, punto 1, del RGPD. El hecho de que esa información se integre en el contexto de una actividad profesional no puede privarla de su calificación como datos personales (véase, por analogía, la sentencia de 9 de marzo de 2017, Manni, C-398/15, EU:C:2017:197, apartados 32 y 34 y jurisprudencia citada). 23 Como señala la Comisión, esta interpretación no puede ser invalidada por el considerando 14 del RGPD, porque la segunda frase de este considerando hace referencia al «nombre» y a los «datos de contacto» de la persona jurídica, y no de las personas físicas que actúan en nombre o por cuenta de una persona jurídica. 24 Concretamente, debe señalarse que el nombre y apellidos de una persona física identificada o identificable constituyen datos personales, en el sentido del artículo 4, punto 1, del RGPD. Lo mismo cabe decir de la firma de tal persona física (véase, en este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, apartado 136). (…) 28 En todo caso, del tenor del artículo 4, punto 2, del RGPD no se desprende en modo alguno que el legislador de la Unión quisiera reservar la calificación de «tratamiento» a tales operaciones en función de la finalidad de estas. 29 Esta interpretación es conforme con el objetivo perseguido por el RGPD según resulta del artículo 1 y de los considerandos 1 y 10 de este Reglamento, que consiste, en particular, en garantizar un elevado nivel de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo del derecho al respecto de la vida privada, en relación con el tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 (véase, en este sentido, la sentencia de 9 de enero de 2025, Association Mousse, C-394/23, EU:C:2025:2, apartado 21 y jurisprudencia citada). 30 En concreto, la comunicación de datos como el nombre, los apellidos, la firma y los datos de contacto de una persona física que representa a una persona jurídica está comprendida en el concepto de «tratamiento», en el sentido del artículo 4, punto 2, del RGPD. Como se desprende de los apartados 27 a 29 de la presente sentencia, la circunstancia de que la comunicación de tales datos tenga como única finalidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/26 posibilitar la identificación de una persona física autorizada a actuar en nombre de una persona jurídica carece de pertinencia a efectos de la calificación como «tratamiento», en el sentido de dicha disposición. 31 Habida cuenta de las consideraciones anteriores, procede responder a la primera cuestión prejudicial que el artículo 4, puntos 1 y 2, del RGPD debe interpretarse en el sentido de que la comunicación del nombre, de los apellidos, de la firma y de los datos de contacto de una persona física que representa a una persona jurídica constituye un tratamiento de datos personales. La circunstancia de que esa comunicación se efectúe con el único fin de posibilitar la identificación de una persona física autorizada a actuar en nombre de dicha persona jurídica carece de pertinencia a este respecto.” En consecuencia, esta Agencia entiende con ello que el tratamiento de datos personales de un empresario persona física que no sean datos de contacto no goza de la presunción de licitud basada en el artículo 6.1.
  1. f)del RGPD. Y esto, aunque el tratamiento se refiera a datos de la persona física en su condición de empresario y aunque el tratamiento no tenga por finalidad entablar una relación personal. La consecuencia es, de conformidad con el principio de responsabilidad proactiva (artículo 5.2 RGPD), que el responsable del tratamiento de datos personales de empresarios individuales distintos de los datos de contacto no goza de la presunción prevista en el artículo 19 de la LOPDGDD y tiene la carga de acreditar que el tratamiento efectuado está amparado en un fundamento de licitud conforme al art. 6 del RGPD. En definitiva, el artículo 19.2 de la LOPDGDD únicamente contempla una presunción de licitud respecto de los datos de contacto, por lo que el responsable estará obligado a demostrar que el tratamiento de otros datos de los empresarios individuales es lícito por concurrir una base jurídica conforme al RGPD. Sentando lo anterior, cabe precisar, en segundo lugar, que la Ley 4/2014 establece expresamente los fines de los datos de los empresarios individuales procedentes de las Administraciones tributarias: la elaboración del censo público, el cumplimiento de funciones público-administrativas y la elaboración del censo electoral, sin que puedan ser utilizados para otra finalidad distinta de la establecida en la ley. La comunicación de datos que realizan las Administraciones tributarias tiene su amparo en la base de legitimación contenida en el art. 6.1.
  2. c)del RGPD, por cuanto viene impuesta en la Ley 4/2014. Se hace especialmente complejo admitir un tratamiento basado en el interés legítimo a partir de una finalidad impuesta por la ley. Ello, en el mejor de los casos exigiría determinar un interés legítimo de intensidad suficiente al tiempo de quedar garantizadas estructuralmente los derechos de los afectados. Aun valorando que los intereses perseguidos podrían ser de intensidad y alcance suficiente, en un supuesto de legitimación por interés legítimo sin un particular sustento o presunción legal, habrían de ir acompañados de una ponderación y evaluación estricta de que el tratamiento sea estrictamente proporcional. Siempre acompañado de una actividad probatoria por quien no goza de una presunción legal de interés legítimo. Así, en su caso, para que el interés legítimo pueda admitirse como base válida de legitimación en un tratamiento de datos personales, especialmente conforme más impactante y masivo sea el tratamiento, como lo sería en el caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/26 presente, sería necesario que se apliquen de forma efectiva una serie de garantías compensatorias que aseguren la protección de los derechos y libertades de las personas afectadas. El tratamiento debe ser estrictamente proporcional, lo que exige que no se exceda en los datos tratados ni en los fines perseguidos. Además, debe garantizarse la transparencia frente al interesado, informando de manera clara y accesible sobre la base jurídica invocada y los intereses perseguidos. Es esencial que el ejercicio del derecho de oposición esté realmente garantizado en la práctica, incluyendo canales sencillos, eficaces y accesibles para su ejercicio. Asimismo, deben adoptarse medidas técnicas y organizativas destinadas a reducir el impacto del tratamiento sobre los derechos de los interesados, lo que puede incluir la anonimización o seudonimización de los datos cuando sea posible. La entidad responsable del tratamiento deberá haber realizado una evaluación previa de impacto en protección de datos en los casos exigidos por la normativa o cuando el tratamiento sea especialmente sensible, y valorar, en su caso, la necesidad de una consulta previa a la autoridad de control. También debe poder demostrar que ha considerado la expectativa razonable del interesado en función del contexto en que los datos fueron recogidos. Por otro lado, es aconsejable disponer de controles internos y auditorías periódicas que verifiquen el cumplimiento de estas garantías, así como establecer mecanismos adicionales de protección, como códigos de conducta o esquemas de certificación. Todo ello puede completarse con una revisión periódica del tratamiento y de sus efectos sobre los derechos de los afectados, con el fin de valorar si las condiciones del interés legítimo y las medidas compensatorias siguen siendo adecuadas y proporcionadas en el tiempo. Esto significa que no debe tratarse más información de la imprescindible, ni conservarla durante más tiempo del necesario. La minimización de datos y la limitación de la finalidad se convierten así en condiciones ineludibles para validar el juicio de necesidad. En el caso presente, además, los interesados no tendrían ninguna expectativa de que sus datos pudieran ser objeto del tratamiento. Pues bien, en este caso, IBERINFORM no ha aplicado las medidas y garantías anteriormente expuestas, por lo que no cabe sostener la existencia de un interés legítimo prevalente, sin olvidar que el interés legítimo invocado no es lícito, ya que entra en conflicto con una norma de rango legal, concretamente el artículo 8 de la Ley 4/2014 pues del tenor literal del precepto resulta, de forma inequívoca, la obligación de las Administraciones tributarias de ceder a la Cámara de Comercio de España y a las Cámaras la información tributaria necesaria para la elaboración del censo, establecimiento los fines del tratamiento y una garantía de confidencialidad y sigilo respecto de los datos que aquellas reciban de las Administraciones tributarias. CUARTO. CUMPLIMIENTO DEL DEBER DE INFORMACIÓN IBERINFORM aduce que no ha vulnerado el artículo 14 del RGPD, argumentando que le resulta aplicable la excepción prevista en el artículo 14.5.
  3. b)del RGPD, y sostiene que informó en su página web. Sin embargo, BERINFORM no cumple los requisitos necesarios para acogerse a la excepción del artículo 14.5.
  4. b)del RGPD, que solo es aplicable si se demuestra que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/26 esfuerzo para informar es objetivamente desproporcionado y si, además, se adoptan medidas alternativas efectivas que garanticen la transparencia. En este caso, IBERINFORM no ha acreditado adecuadamente dicha desproporcionalidad, ni que las medidas adoptadas son suficientes para garantizar el cumplimiento del deber de información exigido por el RGPD. Ni siquiera acredita que se dé una información suficiente y transparente a los autónomos en su página web. Por tanto, la sanción por el incumplimiento del artículo 14 del RGPD queda plenamente justificada. QUINTO. DESPROPORCIONALIDAD DE LA SANCIÓN Y CONCURRENCIA DE ATENUANTES No puede acogerse la alegación formulada por la parte recurrente relativa a la desproporcionalidad de la sanción impuesta y a la supuesta incorrecta valoración de los criterios de graduación de la sanción establecidos en el artículo 83.2 del RGPD. En primer lugar, debe recordarse que la determinación del importe de las sanciones impuestas por infracciones del RGPD no responde a un sistema de sanciones automáticas o tarifadas, sino que requiere de una valoración individualizada y ponderada de las circunstancias concurrentes en cada caso concreto, atendiendo a los criterios establecidos tanto en el artículo 83.2 del RGPD como en las Directrices 04/2022 del Comité Europeo de Protección de Datos (EDPB) sobre el cálculo de multas administrativas. Frente a ello, las alegaciones de la parte recurrente no desvirtúan dicha valoración. La ausencia de antecedentes sancionadores, la colaboración prestada durante el procedimiento y la ausencia de dolo ya fueron expresamente valoradas en la resolución impugnada. Sin embargo, la concurrencia de estos factores no elimina la gravedad de los hechos ni puede justificar, como pretende la recurrente, la reducción de la sanción hasta niveles meramente simbólicos o de mero apercibimiento, máxime cuando persisten los elementos de especial intensidad descritos anteriormente. Por otra parte, la alegación relativa al supuesto bajo impacto del tratamiento en los derechos de los interesados carece de fundamento. La infracción del RGPD no exige la producción efectiva de un daño concreto para que la conducta sea sancionable. Basta, conforme al propio artículo 83 RGPD, con la mera infracción objetiva de las obligaciones impuestas por la norma, sin necesidad de acreditar consecuencias individualizadas para los afectados. En este sentido, la actividad sancionada afecta a información de un altísimo número de personas físicas identificadas o identificables y puede generar riesgos relevantes para sus derechos y libertades, aun cuando no se haya probado un perjuicio material individualizado en cada caso. Del mismo modo, carece de incidencia la alegación relativa al volumen de negocio y estructura económica de la recurrente. La resolución sancionadora ya aplicó los criterios de proporcionalidad previstos en el RGPD, teniendo en cuenta el volumen de negocio total de la entidad, que constituye el parámetro de referencia objetivo fijado en el artículo 83.5 del RGPD para establecer los límites máximos de la sanción. El hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/26 de que una parte de dicho volumen derive de operaciones intragrupo no altera la cifra de negocio consolidada que corresponde tomar en consideración a efectos sancionadores, como ha señalado reiteradamente tanto la normativa europea como la doctrina del EDPB. Por otro lado, en cuanto a las circunstancias atenuantes alegadas, la Agencia sí procedió a valorar debidamente aquellas circunstancias concurrentes de acuerdo con los hechos acreditados. En primer lugar, se tuvo en cuenta la negligencia de la entidad como atenuante, al no apreciarse dolo ni intencionalidad directa en la conducta, en tanto que la entidad actuó bajo una interpretación errónea de la normativa vigente, lo que refleja la ausencia de una voluntad deliberada de infringir la norma. En segundo lugar, en relación con la infracción del artículo 14 del RGPD, se valoró asimismo el esfuerzo operativo asociado a la magnitud del tratamiento, reconociéndose que el elevado volumen de datos gestionados, si bien no era desproporcionada, dificultaba materialmente la remisión individualizada de la información exigida, lo que fue considerado como factor atenuante parcial en la graduación de la sanción. Precisamente la valoración de estas circunstancias atenuantes llevó a fijar finalmente las sanciones en 360.000 euros para cada una de las infracciones, frente a los importes inicialmente propuestos, aplicando así el principio de proporcionalidad previsto en el artículo 83.2 del RGPD y en las Directrices 04/2022 del Comité Europeo de Protección de Datos. En cualquier caso, debe recordarse que según el artículo 83 del RGPD, las infracciones tipificadas en su apartado su apartado 5 “se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por tanto, atendiendo al volumen de negocio anual global de la entidad infractora, 27,6 millones de euros en el año 2023, el 4%, de su volumen de negocio sería de 1 millón de euros, inferior a la cuantía de 20.000.000 de euros, por lo que debe optarse por este importe al ser los de mayor cuantía. Así las cosas, el máximo de la sanción aplicable por cada una de las infracciones cometidas, de conformidad con lo dispuesto en el artículo 83.5 del RGPD, ascendería a 20.000.000 de euros, sin que la sanción finalmente impuesta, de 360.000 euros por cada infracción alcance ni siquiera el 2% del máximo legalmente previsto en el artículo 83.5, lo que evidencia que la cuantía fijada resulta plenamente proporcionada, moderada y ajustada a la capacidad económica de la entidad. Por tanto, no puede compartirse la tesis de la recurrente de que las circunstancias atenuantes invocadas no hayan sido valoradas o que la sanción impuesta carezca de proporcionalidad. Al contrario, la cuantificación final refleja ya una aplicación efectiva del principio de proporcionalidad sancionadora, considerando tanto los factores agravantes como los atenuantes concurrentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/26 En definitiva, la cuantía de la sanción impuesta ha sido fijada con pleno respeto al principio de proporcionalidad, tras ponderar correctamente todas las circunstancias concurrentes, resultando además inferior a los umbrales máximos legales previstos en el artículo 83.5 RGPD, sin que proceda su revisión ni minoración adicional. SEXTO. IMPACTO NEGATIVO DE LA SANCIÓN EN EL MERCADO IBERINFORM considera que la reducción drástica de la información disponible y la consiguiente incertidumbre en el mercado perjudicarían tanto la seguridad del tráfico financiero como el crecimiento económico, haciendo especialmente gravosa la carga para las pequeñas compañías y para los propios empresarios individuales, cuya competitividad e incluso continuidad se verían seriamente comprometidas. En este punto, se ha de reiterar que la regulación del Censo público de empresas se contiene en el artículo 8 de la Ley 4/2014 y es la que es. A pesar de la relevancia funcional y económica que puede representar un ecosistema de información empresarial, lo cierto es que el legislador, pudiendo haber optado por establecer expresamente un régimen jurídico de publicidad o acceso generalizado a estos datos —acompañado de las garantías adecuadas—, no lo ha hecho. La normativa vigente en España -posiblemente a diferencia de otros países de la Unión Europea- no ha articulado un marco normativo que disponga de forma abierta, y con respaldo legal expreso, la disponibilidad de estas bases de datos con información sobre empresarios individuales, incluso cuando tal acceso pudiera servir a intereses públicos o privados legítimos y estuviera mediado por obligaciones de transparencia, control y responsabilidad. De este modo, sólo cabe acudir a las posibilidades que ofrece el ordenamiento, en su caso a una gestión de acceso individualizado o granularizado que no es el actual. No se discute aquí la legitimidad, oportunidad o la utilidad de otras finalidades o intereses, que no son las que ha determinado el legislador para el censo de empresas. El censo de empresas no se ha configurado por el legislador para dar cobertura a un instrumento para finalidades que pueden perseguirse mediante el tratamiento de datos de empresarios individuales por parte de entidades infomediarias, como el interés propio de tales entidades en estructurar y ofrecer información sobre actividades empresariales o profesionales desarrolladas por personas físicas, en respuesta a una demanda continuada de múltiples sectores. Esta finalidad, en su caso podría sustentar un interés legítimo que permitiese crear productos informativos que apoyan la toma de decisiones en entornos comerciales, contractuales o profesionales. En consecuencia, varias finalidades que podrían considerarse legítimas en otros contextos no encuentran encaje en el marco jurídico de este censo. Como se ha dicho anteriormente, la ley no contempla que el censo sirva como herramienta de verificación empresarial a disposición de terceros, por tanto, no cabe sostener el posible impacto negativo de la sanción cuando el tratamiento de datos no tiene encaje en la legislación vigente en España y, además, requiere en todo caso la existencia de al menos una de las bases de legitimación que contiene el artículo 6 del RGPD. III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/26 En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por IBERINFORM INTERNACIONAL, S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de abril de 2025, en el expediente EXP202404645 SEGUNDO: NOTIFICAR la presente resolución a IBERINFORM INTERNACIONAL, S.A. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  5. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  6. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/26 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.