Serbest Çalışan Verilerinin Ticari Yeniden Kullanımı

1/204

 Expediente N.º: EXP202301678

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y con
base en los siguientes

ANTECEDENTES

PRIMERO: La Agencia Española de Protección de Datos tiene conocimiento a través
de una denuncia de la asociación Institut per a la Cultura Democratica a L´era Digital
(Instituto para la Cultura Democrática en la Era Digital) recibida el 27/12/2022 de
ciertos hechos que podrían vulnerar la legislación en materia de protección de datos
de carácter personal.

A fin de esclarecer los hechos puestos en conocimiento de esta Agencia, en fecha
13/04/2023, mediante nota interior, la Directora de la Agencia Española de Protección
de Datos insta a la Subdirección General de Inspección a iniciar actuaciones previas
de investigación -previstas en el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD)- ante diversas entidades, entre ellas la CÁMARA DE
COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA, con NIF
Q2802216H (en adelante, CÁMARA DE ESPAÑA o CDE), entidad frente a quien se
dirige el presente procedimiento sancionador.

La nota interior que ordena a la Subdirección General de Inspección la apertura de
actuaciones de investigación previa refleja, entre otras, estas cuestiones:

“[…] En concreto, se denuncia que, desde el momento en que alguien se registra
como autónomo dándose de alta en el censo de actividades económicas de la
Agencia Estatal de la Administración Tributaria, el nombre, DNI, teléfono, correo
electrónico y dirección que se notifiquen son tratados como información de
interés profesional. Como consecuencia de este tratamiento, si los datos
coinciden con los datos privados, por ejemplo, el caso de aquellos que trabajan
desde su domicilio personal, dicha información de trabajadores autoempleados
queda expuesta en internet, fácilmente accesible desde los buscadores. Además
de lo anterior, en algunos casos, los datos que aparecen al acceder a alguno de
los enlaces, además del nombre y apellidos, DNI, dirección, correo electrónico,
teléfono y actividad comercial, se refieren a información financiera o incidencias
judiciales y probabilidades de impago, habiendo sido obtenidos del Registro
Mercantil, Boletín Oficial del Estado, cámaras de comercio, etcétera.
[…]”

La denuncia recibida en la Agencia explica que las personas físicas interesadas en
darse de alta como empresarios autónomos deben proporcionar su nombre, su DNI,
un teléfono, un email y su dirección. Datos que son tratados posteriormente por la
Agencia Estatal de Administración Tributaria (AEAT), la CÁMARA DE ESPAÑA, la
empresa CAMERDATA y diversas consultoras privadas. Explica, asimismo, que las
cadenas de tratamientos que actualmente se llevan a cabo entre la AEAT, la CDE,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/204

CAMERDATA y consultoras privadas conducen a que los datos de empresarios
autónomos que coinciden con sus datos personales queden expuestos e incluso sean
vendidos en internet, pudiendo generar con ello varios incumplimientos de la normativa
en materia de protección de datos de carácter personal.

La denuncia presentada en la Agencia incluye como anexo un documento denominado
“La venta de los datos de las personas en régimen de autónomos”, que, según indica
en su primera página, se corresponde con el “Apartado 5 del informe: Privacidad,
Protección de Datos vs Abusos Institucionalizados:https://xnet-x.net/es/datos-por-
liebre-xnet-abusos-reforma-ley-proteccion-datos/”. El documento anexado incorpora,
entre otras, las siguientes capturas de pantalla:

(i) Captura de pantalla de los resultados obtenidos -dice el documento- tras una
búsqueda en Google efectuada por el nombre y apellidos de un empresario autónomo.
Muestra los resultados correspondientes a la web de www.expansion.com y de
https://autonomos.axesor.es. Los datos de la persona física son ilegibles por estar
sombreados y corresponden, supuestamente, al nombre y apellidos del empresario
autónomo. El documento indica que al entrar en alguno de esos enlaces se accede,
además de al nombre y los apellidos, a datos tales como el DNI, la dirección, el correo
electrónico, el teléfono, la actividad comercial e, incluso, a información financiera,
incidencias judiciales y probabilidades de impago.

(ii) Captura de pantalla de la información supuestamente asociada a la misma persona
anterior, cuyos datos personales son ilegibles por estar sombreados, obtenida al
consultar una página de rating. Consta en el documento:

“[…] es un autónomo cuyo negocio está censado en ***LOCALIDAD.1,
***PROVINCIA.1 la actividad CNAE del negocio es comercio al por mayor de
productos alimenticios, bebidas y tabaco y su actividad SIC es comestibles en general.
Nuestros informes le proporcionarán la información más completa sobre la actividad
empresarial de como el NIF, teléfono, dirección en ***LOCALIDAD.1
(***PROVINCIA.1), scoring y calificación de crédito, probabilidad de impago y
capacidad máxima de solvencia, incidencias judiciales […].

Por otro lado nuestros informes investigados sobre la actividad comercial de […] están
especialmente indicados para operaciones de riesgo elevado y/o para clientes
morosos […] La información contenida en esta ficha es solo un extracto de toda la
información de autónomos y profesionales disponible en axesor […] También puede
acceder a los informes de los ejecutivos o administradores cuyo nombre coincida con
[…] (en caso de existir según las publicaciones del Boletín Oficial del Registro
Mercantil).”

(iii) Captura de pantalla del resultado de una búsqueda efectuada -dice el documento-
a través de la web de CDE, en el Censo Público de Empresas. Consta que “Si desea
obtener más información, consulte el Fichero de Empresas de Camerdata Online”.

SEGUNDO: La Subdirección General de Inspección procede a realizar actuaciones
previas de investigación para el esclarecimiento de los hechos en cuestión en virtud de
las funciones asignadas a las autoridades de control en el artículo 57.1 y de los
poderes otorgados en el artículo 58.1, ambos del Reglamento (UE) 2016/679
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/204

(Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad
con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se
tiene conocimiento, entre otros, de los siguientes extremos recogidos en el Informe
firmado por el inspector actuante del que se transcriben estos fragmentos:

<< […]
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

Con fecha 18/10/2023 se comprueba que:

1. En la web www.expansion.com, se selecciona un autónomo dentro del directorio de
autónomos comprobando que los datos publicados son exclusivamente los de nombre
y apellidos, código postal, provincia, municipio, año de inicio de actividad, actividad,
SIC, CNAE. Consta que los datos han sido proporcionados por AXESOR CONOCER
PARA DECIDIR S.A. Consta también que para ampliar más información sobre el
autónomo se ofrece un enlace a la web de autonomos.axesor.es.

Pinchando en ese enlace se redirige a la web de autonomos.axesor.es y se muestran
exclusivamente los datos de nombre y apellidos, código postal, municipio, provincia,
CNAE, SIC e información sobre su actividad.

Asimismo, consta en la web de autonomos.axesor.es el texto “Nuestros informes le
proporcionarán la información más completa sobre la actividad empresarial de […]
como el NIF, teléfono. dirección en Madrid (Madrid), scoring calificación de crédito,
probabilidad de impago y capacidad máxima de solvencia. incidencias judiciales…”.

2. Seleccionando un autónomo cualquiera de los de la web de www.axesor.es , se
puede consultar exclusivamente sus datos de nombre y apellidos, código postal,
municipio, provincia, CNAE, SIC e información sobre su actividad.

Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, no se
ofrecen resultados de búsqueda.

Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio axesor.es, se ofrecen
resultados de búsqueda, pero no son coincidentes con el nombre y apellidos
buscados.

Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio expansion.com, se
ofrecen resultados de búsqueda, pero no son coincidentes con el nombre y apellidos
buscados.

3. Que en la web einforma.com realizando una búsqueda por nombre y apellidos sí
constan resultados mostrándose exclusivamente los datos de nombre y apellidos,
provincia, actividad de la sociedad vinculada.

4. Que en la web de censo.camara.es realizando una búsqueda por el campo nombre
e introduciendo los apellidos de un autónomo, se ofrecen resultados con los datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/204

nombre y apellidos, dirección postal, código postal, provincia, municipio y actividad. A
su vez se ofrece un enlace al fichero de empresas de Camerdata Online
(www.camerdata.es) para obtener más información.

5. Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42 “Censo
de Actividades económicas” consta:

Con fecha 17/10/2023 se comprueba que:

1.Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42 “Censo
de Actividades económicas” consta:

“Descripción de la actividad
Control fiscal: gestión, liquidación y recaudación del impuesto sobre actividades
económicas.
Finalidad
Aplicación efectiva del sistema tributario estatal y aduanero.
Interesados
Empresarios, profesionales y artistas
Datos
NIF/DNI, Nombre y Apellidos, Dirección
Información comercial
Tratamientos
Recogida
Registro
Almacenamiento
Estructuración
Modificación
Actualización
Copia
Análisis
Consulta
Extracción
Difusión
Interconexión
Limitación
Supresión
Destrucción
Otros
Destinatarios
INE
Otros órganos de la Comunidad Autónoma
Diputaciones Provinciales
Otros órganos de la Administración Local
Cámaras de comercio, industria y navegación
Diputaciones forales vascas, Comunidad foral de Navarra
[…]”

6. Dentro de la información sobre protección de datos publicada en internet por la
AEAT apartado 3.6 “Destinatarios” consta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/204

“De acuerdo al artículo 95 de la Ley General Tributaria todos los datos,
informes o antecedentes obtenidos por la Administración tributaria en el
desempeño de sus funciones tienen carácter reservado y sólo podrán ser
utilizados para la efectiva aplicación de los tributos o recursos cuya gestión
tenga encomendada y para la imposición de las sanciones que procedan, sin
que puedan ser cedidos o comunicados a terceros.

Sin embargo, el artículo 95 de la Ley General Tributaria también establece una
serie de casos tasados donde sí se contempla que la Agencia Tributaria pueda
ceder o comunicar datos a terceros, que podrán ser de dos tipos:

-Cesiones o comunicaciones de datos en casos del tipo la colaboración en el
cumplimiento de obligaciones fiscales con otras administraciones públicas, la
lucha contra el delito fiscal y contra el fraude en diferentes ámbitos, la
colaboración con investigaciones de los órganos judiciales y el ministerio fiscal,
el control de la propia actividad de la Agencia Tributaria.

En estos casos, de acuerdo con el artículo 6 del Reglamento UE 2016/679 no
será necesario recabar el consentimiento expreso del ciudadano, para que se
puedan realizar estas cesiones o comunicaciones. Por otro lado, de acuerdo
con el artículo 14 del Reglamento UE 2016/670, de producirse una cesión o
comunicación no será necesario informar al ciudadano.

-Resto de cesiones y comunicaciones que no se contemplan expresamente en
el artículo 95, y que son necesarias en el ámbito de la colaboración entre
Administraciones públicas para facilitar la prestación de servicios públicos al
ciudadano.
En estos casos siempre será necesario que la Administración que solicita los
datos cuente con el consentimiento expreso del ciudadano.
[…]”

7. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html consta un primer apartado con el hiperenlace con
texto “Información sobre protección de datos” que reenvía a la URL del punto
siguiente. Consta más abajo en la sección de “Ayuda” otro hiperenlace con texto
“Información al interesado sobre protección de datos”.

8. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sede-
electronica/datos-personales/informacion-sobre-proteccion-datos.html consta:

“Información sobre protección de datos”. La Agencia Estatal de Administración
Tributaria (en adelante “Agencia Tributaria”) responsable de todos los tratamientos de
datos de carácter personal que se realicen en el desarrollo de su actividad, salvo que
se indique lo contrario en un tratamiento concreto.
Estos tratamientos se realizarán sobre los datos de carácter personal de las personas
que usan los servicios que ofrece en el desarrollo de su actividad que podrán ser los
sujetos obligados tributarios, sus representantes, empleados o empleadas públicos o
cualquier otra persona que utilice sus servicios. En adelante nos referiremos a ellas
como personas interesadas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/204

En relación con el uso de la web de la Agencia Tributaria por parte de las personas
interesadas, se informa de que […]”

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 02/11/2023, el Delegado de Protección de Datos de la AEAT, según manifiesta,
remite a esta agencia la siguiente información y manifestaciones:

1. Que en relación a la información sobre protección de datos en relación a los datos
aportados al censo de empresarios, profesionales y retenedores (modelos 036 y 037)
y la cesión de estos datos a CÁMARA, manifiesta que se proporciona:

a. A través del registro de actividades del tratamiento “tratamiento 5.1 Censo”
en la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-
personales/tratamiento-datos-personales/informacioninteresado-sobre-
proteccion-datos/5-registro-actividades-tratamiento/5_1-censo.html.

b. Cuando se cumplimentan los modelos 036 y 037 aparece el texto en la
pantalla de "firmar y enviar":

"De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, se informa que los datos personales que va
a facilitar serán tratados por la Agencia Estatal de Administración Tributaria con
la finalidad de la aplicación efectiva del sistema tributario estatal y aduanero.
Podrá encontrar más información sobre los posibles tratamientos, cesiones y el
procedimiento para ejercer los derechos establecidos en los artículos 15 a 22
del reglamento en el siguiente enlace
(https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html)"

c. Que, además, en la sede electrónica se encuentra disponible el registro de
información suministrada, en las URL siguientes:

https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA
02/drIAE_CamCom08.pdf

2. Que en relación a los datos cedidos manifiesta que se encuentran en el Anexo I del
Convenio firmado entre AEAT y CÁMARA accesible en
https://www.boe.es/buscar/doc.php?id=BOE-A-2019-18316 .

Se comprueba, conforme a dicho Convenio y la Ley 4/2014, que los datos cedidos
conforme al art. 8 de la Ley 4/2014 son “Datos censales de empresas” y “Datos del
Impuesto sobre Actividades Económicas”.

3. Que la cesión de los datos censales de empresas según art. 8 Ley 4/2014 no
requiere de consentimiento del interesado ya que se realizan en base a la normativa

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/204

en materia cameral. Que se realizan en base a la obligación legal del art. 8 Ley
4/2014.

4. Que en el art. 22.3 del Real Decreto 669/2015, de 17 de julio, por el que se
desarrolla la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación, en relación al censo electoral se menciona:

“3. La Agencia Estatal de Administración Tributaria, así como las otras
administraciones territoriales competentes en materia tributaria colaborarán
con los órganos de gobierno de las Cámaras para proporcionarles la
información necesaria para la elaboración y constitución de los censos,
garantizando que solo tendrán acceso a dicha información los empleados de
cada Cámara que determine el pleno con el obligatorio deber de sigilo respecto
de dichos datos. A tal efecto, la Agencia Estatal de Administración Tributaria
suministrará la información que se desprenda del censo del Impuesto sobre
Actividades Económicas junto con los datos de las empresas que sean
necesarios y que obren en otros censos que ésta elabora y gestiona, en
particular el Censo de Empresarios, Profesionales y Retenedores.”

5. Que “Respecto a la información habilitada a ceder relativa al Impuesto sobre
Actividades Económicas (IAE) y la que tenga carácter censal, entendiendo por tal a la
contenida en el Censo de Empresarios, Profesionales y Retenedores cuyo contenido
se establece en el art. 5 del Real Decreto 1065/2007, de 27 de julio, por el que se
aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e
inspección tributaria y de desarrollo de las normas comunes de los procedimientos de
aplicación de los tributos, se realiza sólo para la elaboración del censo público de
empresas.”

6. Que en el protocolo de intercambio de información de IAE ubicado en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf se menciona que los datos transferidos solo pueden ser
utilizados para los supuestos que contempla la normativa y no para otros usos.” >>
(El subrayado es nuestro)

--En relación con la entidad CAMERDATA, S.A., consta en el Informe emitido por la
Inspección de Datos lo siguiente:

<<Como consecuencia del requerimiento de información efectuado por la inspección,
con fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente información y
manifestaciones:
1. Que, en relación a los autónomos, tratan los siguientes datos, entre otros:
“NIF”:
Significado:
número de identificación fiscal
Origen del dato:
Censo público de empresas publicado por CÁMARA conforme a los
dispuesto en la Ley 4/2014 (en adelante Censo público de empresas).
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/204

denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“nombre empresa”
Significado:
Manera en la que se identifica la empresa respecto a sus obligaciones
formales, normalmente con los agentes que se relaciona, como
Seguridad Social, Hacienda, proveedores o clientes. Conocido como
Razón social.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“email genérico”
Significado:
Correo electrónico de contacto general de la empresa.
Origen del dato:
Kompass, a través del enriquecimiento de datos del censo público de
empresas.
Se cede a:
A clientes finalistas que lo solicitan para su uso exclusivo interno.
“dirección”
Significado:
Dirección de la empresa formado por nombre de vía, número de vía y
resto de dirección.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“código postal”
Significado:
Código postal de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/204

MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“municipio”
Significado:
Población de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“provincia”
Significado:
Provincia de la dirección de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de direcciones
cada vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“teléfono”
Significado:
Número de teléfono de contacto general de la empresa.
Origen del dato:
INFORMA y DATACENTRIC. Se obtiene en el proceso de
enriquecimiento de datos del censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“Tipo empresa”
Significado:
Forma jurídica de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/204

A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“Género empresa”
Significado:
Indicador del tipo de nombre de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de nombres cada
vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.

Aporta un extracto de su base de datos relativo a 500 registros donde, en la columna
“Nombre empresa” constan datos de nombres y apellidos, en la columna “Tipo
empresa” consta “11 AUTONOMO”, en la columna “Dirección” constan datos de lo que
parece nombre de vía, número de vía en todos los registros y en parte de los registros
consta también, piso y puerta. Consta asimismo en la columna “Género Empresa” una
“V” o “M” dependiendo de si el nombre dentro de la columna “Nombre empresa” se
considera de varón o de mujer.

2. Que tratan datos de un total de 1.665.049 autónomos, aunque no todos los registros
tienen informados todos los datos.

3. Sobre el sector de empresas infomediarias manifiesta:

a. Recopilan, analizan, transforman y tratan información del sector
público/privado para crear productos de valor añadido destinados a terceras
empresas o ciudadanía en general, sirviendo para la toma eficaz de decisiones.

b. Que las entidades que se valen de sus servicios y productos son todas las
entidades del IBEX35, todas las entidades financieras, administraciones
públicas, entre ellas las fuerzas y cuerpos de seguridad del Estado, pymes y
empresarios individuales para sus actividades comerciales y empresariales,
cualquier ente obligado a acceder a la información por cumplimiento de
diferentes leyes que así se lo exigen, cualquier ciudadano o entidades sin
ánimo de lucro.

c. “Las empresas del sector infomediario operan en el mercado desde hace
más de dos décadas, siendo vital en su desempeño la reutilización y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/204

distribución de la información que libremente se puede obtener de las
diferentes fuentes públicas existentes en su más amplio concepto y contexto.

En un mundo en el que tanto el acceso como la transparencia de la
información son clave para la seguridad en cualquier operación mercantil, las
empresas de este sector son el referente que dota de la necesaria seguridad al
tráfico mercantil global y actúa como una pieza imprescindible en el impulso de
la economía general mediante la aplicación de las mejores técnicas del
tratamiento de la información en aras de garantizar la calidad, seguridad,
veracidad y fiabilidad de la misma. La labor de las empresas infomediarias
debe considerarse, por tanto, como de interés público general.

Adicionalmente, es importante destacar la labor que se realiza para las Pymes,
como parte esencial del tejido empresarial español. Así, por un lado, se permite
que empresarios individuales, con reducidos recursos, puedan utilizar sistemas
de información de alto valor añadido, sin tener que asumir costes individuales
elevados por la consulta directa a la fuente de origen, respecto de sus clientes
y proveedores y por otro lado, también se facilita que su propia información
empresarial sea accesible a sus proveedores y entidades financiera en aras a
promover su actividad y operaciones mercantiles.

El sector infomediario es cada vez más indispensable a la hora de agilizar y
mejorar la gestión de los negocios, y el impacto directo de las oportunidades
generadas es mayor tanto a nivel económico como político y/o social.

Además, este sector interactúa con el resto de sectores, generando valor en
muchas de sus actividades, por lo que a la hora de valorar dicho sector hay
que tener en cuenta que crece tanto en vertical, como el resto de los sectores,
como también en horizontal, siendo esta innegable transversalidad compleja de
valorar.

La actuación del sector infomediario tiene un impacto directo no solo en la
comunidad de la información, sino también muy relevante en la actividad
empresarial y en la ocupación en la economía española. Según datos tomados
del Informe del Sector Infomediario presentado el pasado 14 de abril del 2023:

- A 31 de diciembre de 2019 existían 700 empresas Infomediarias activas
identificadas en España.
-Las ventas agregadas del ejercicio 2019 de las 591 empresas infomediarias
de las que se disponen de datos financieros ascendió a 2.543.042.052 €.
- El número agregado de empleados del ejercicio 2019 de las 588 empresas de
las que se disponen de datos de empleados ascendió a 21.998.
-El capital suscrito conjunto a 31 de diciembre de 2020 de las 700 empresas
identificadas como infomediarias ascendía a 311.911.961€.”

d. Que las principales fuentes de datos de las que se valen las empresas del
sector para la creación de los servicios y producto que prestan a la sociedad
son:
•Boletines Oficiales, del Estado, de comunidades autonómicas y
Provinciales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/204

•Boletín Oficial del Registro Mercantil y de la Propiedad Intelectual.
•Censo público de empresas de las Cámaras de Comercio, regulado por
Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación.
•Información abierta, no protegida, del Catastro inmobiliario según Texto
Refundido de la Ley del Catastro Inmobiliario (TRLCI), aprobado por
Real Decreto Legislativo 1/2004, de 5 de marzo.
•Guías y Repertorios profesionales.
•Guías de abonados a servicios de telefonía.
•Cualquier fuente referenciada por las propias Administraciones públicas
en el catálogo opendata bajo la Iniciativa de datos abiertos del Gobierno
de España.

4. Sobre la información aportada a los interesados según art. 14 RGPD manifiesta:

a. Se considera un esfuerzo desproporcionado según art. 14.5.b y
considerando 62 RGPD y según Informe WP260.rev01 17/ES (última revisión
de 11 de abril de 2018) el enviar una comunicación a cada interesado para
notificarle el tratamiento como autónomo o empresario individual.
i. Que hay 1.665.049 autónomos en la base de datos de
CAMERDATA que cabría notificar lo cual es un costo inasumible.

ii. Que según presupuesto de MEYDIS S.L. y Sociedad Estatal de
Correos y Comunicaciones S.A. las labores de manipulación,
distribución, materiales de las comunicaciones ascienden a 9.409.000€
y 4.266.900€ respectivamente.

Aporta copia de presupuestos de MEYDIS, S.L. de fecha 01/07/2021
donde consta la cantidad de “1.600.000”. No consta un precio total.

Aporta copia de presupuestos de CORREOS donde no consta el
presupuesto antes mencionado, sí consta el texto “PRESUPUESTO
CAMERDATA, CAMPAÑA COMUNICACIÓN 2021” y “PRESUPUESTO
TOTAL PARA 1.650.000 ENVÍOS”.

iii. Que CAMERDATA tiene unos ingresos anuales em 2019, 2020,
2021, 2022 de 941.238,83 €, 836.093,46 €, 885.999,51 €, 895.950,29 €
respectivamente.
Aporta copia de auditorías de cuentas anuales a fechas 31/12/2019,
31/12/2020, ejercicio 2021, 31/12/2022 con las mencionadas cifras en el
apartado de “1. Importe neto de la cifra de negocios”.

b. Que debido a este esfuerzo desproporcionado han iniciado un proceso de
publicación en las webs de las cámaras de comercio del texto siguiente, que
actualmente está publicado en la Cámara de Comercio de Madrid, Valencia,
Barcelona, Sabadell, Girona, Alicante, Castellón.

“Información para trabajadores autónomos relativa a la protección de
datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/204

Mediante la presente comunicación se informa, a toda persona que
tenga la condición de trabajador autónomo, del tratamiento de sus datos
personales por parte de Camerdata y de las empresas asociadas a
ASEDIE que están sujetas a su código de conducta del sector
infomediario de protección de datos que se relacionan: Axesor,
Datacentric, Iberinform, Informa y también Equifax.

El tratamiento de estos datos tiene por finalidad el envío de
comunicaciones comerciales y de marketing, ofreciendo diferentes
bienes o servicios que pudieran ser de su interés, así como la
información comercial sobre la actividad empresarial llevada a cabo por
el Autónomo.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión,
limitación de su tratamiento u oposición al tratamiento de sus datos de
contacto, puede dirigir su solicitud a las direcciones que se indican a
continuación. Le recordamos que puede ejercer su derecho de
oposición a la recepción de comunicaciones comerciales de forma
centralizada, utilizando los servicios de la Lista Robinson en:
https://www.listarobinson.es/:

Empresas asociadas a ASEDIE que están sujetas a su Código de
conducta CAMERDATA, S.A. Avda. Diagonal, 452, 3ª planta, 08006 en
Barcelona o enviando un email a: [email protected]
Adjuntando en todo caso copia de documento que acredite su identidad
(DNI, pasaporte, o similar).

Puede también contactar con el Delegado de Protección de datos de
CAMERDATA utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de CAMERDATA en el siguiente enlace:
https://www.camerdata.es/politica-privacidad

AXESOR CONOCER PARA DECIDIR S.A.
[…]
Puede también contactar con el Delegado de Protección de datos de
AXESOR utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de AXESOR en el siguiente enlace:
https://www.axesor.es/informacion-tratamientos-rgpd

DATACENTRIC S.A.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/204

[…]
Puede también contactar con el Delegado de Protección de datos de
DATACENTRIC utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de DATACENTRIC en el siguiente enlace:
https://www.datacentric.es/politica-de-privacidad/

IBERINFORM S.A.
[…]
Puede también contactar con el Delegado de Protección de datos de
IBERINFORM utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de IBERINFORM en el siguiente enlace:
https://www.iberinform.es/aviso-legal#section6

INFORMA S.A.
[…]
Puede también contactar con el Delegado de Protección de datos de
INFORMA utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de INFORMA en el siguiente enlace:
https://www.informa.es/textos-legales
Empresa No asociada a ASEDIE

EQUIFAX S.A.
[…]
Puede también contactar con el Delegado de Protección de datos de
EQUIFAX utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de EQUIFAX en el siguiente enlace:
https://www2.equifax.es/ederechos/asnef_20024.html.”

c. Incorporar dicho texto anterior a boletines y newsletters que las Cámaras
editen periódicamente consiguiendo con ellos una mayor difusión de la
información.

d. Que se tiene intención, iniciando en el año 2024 y posteriormente con
periodicidad anual, de llevar a cabo la difusión del texto informativo en varios
periódicos de mayor circulación en España.

e. Que considera que con estas medidas se cumplen los criterios para validar
la excepción de la obligación de informar individualmente.

5. Sobre el código de conducta de ASEDIE manifiesta:
“[…]

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/204

En desarrollo de sus funciones estatutarias, ASEDIE ha elaborado el Código de
Conducta del Sector Infomediario (en adelante, Código de Conducta o Código).
En la elaboración del Código ha tenido en cuenta la opinión de los principales
actores que intervienen de una forma u otra en el sector infomediario, sobre
todo de los asociados, tanto en la faceta jurídica como en la de negocio, pero
también de consultores y otras personas con conocimiento de los aspectos
relevantes del sector. La necesidad de la seguridad jurídica y el reforzamiento
del compromiso de los asociados con el cumplimiento normativo en materia de
protección de datos, entendido como un requisito ineludible de negocio, han
llevado a los órganos estatutarios de ASEDIE a considerar necesario promover
el Código de Conducta. El Código establece un marco general que debe ser
cumplido necesariamente por todas las empresas asociadas a ASEDIE.
En todo caso, cualquier actuación derivada del cumplimiento del Código de
Conducta se realizará en estricto cumplimiento de la normativa vigente, en
especial, de la normativa de defensa de la competencia y de la normativa que
resulte de aplicación a la protección de datos de carácter personal.
En la elaboración y mejora del Código, ASEDIE ha contado con una importante
colaboración e implicación por parte de la AEPD, si bien han existido
discrepancias que han llevado a la Asociación a impugnar en vía contenciosa
la denegación de la aprobación del Código.
[…]”

Con fecha 22/01/2024 se obtiene de internet el contenido en estado borrador del
código de conducta de ASEDIE el cual se incorpora al expediente mediante diligencia.

6. Que en relación al tratamiento que supone la base de datos de empresas en el caso
de autónomos, manifiesta que:

a.“La finalidad concreta del tratamiento es la elaboración de un sistema o
servicio de información de empresas con datos de calidad para la promoción,
directa o indirecta, de los bienes o servicios de una empresa, organización o
persona que realice una actividad empresarial o profesional, sea en su propio
nombre o en nombre de un tercero.”

b. Que se basan en interés legítimo, y manifiesta:

“Camerdata realiza el tratamiento de datos personales de personas físicas en
cuanto relativos a su condición de empresarios individuales o profesionales
liberales, es decir, concernientes exclusivamente a su actividad empresarial. En
tales casos, se presume amparado por el interés legítimo conforme al artículo
6.1 f) RGPD, salvo prueba en contrario, siempre que cumplan los siguientes
requisitos:
(ii) Que el tratamiento se refiera únicamente a los datos necesarios para
las finalidades indicadas en el punto b.- de esta respuesta, que permita
a los clientes de los responsables, o a ellos mismos, mantener
relaciones con el interesado en el contexto del desarrollo empresarial o
profesional de la actividad que el interesado explote o realice,
respectivamente, como empresario individual o como profesional liberal.
A estos efectos, se considerará lícito el tratamiento amparado en dicho artículo
6.1 f) del RGPD bajo la ponderación hecha más adelante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/204

(ii) El tratamiento se realice conforme lo establecido en el artículo 19 de la
LOPDGDD, es decir siempre que se cumplan los siguientes requisitos:
- Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
- Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el interesado preste sus
servicios, o con la actividad empresarial o profesional desempeñada por el
empresario individual o profesional liberal.

El interés legítimo previsto en los apartados anteriores se extiende, por
cumplirse dichos requisitos, al supuesto de que los datos sean tratados para
informar estrictamente sobre la actividad económica desempeñada por
empresarios individuales y profesionales liberales, y que ayuden a la toma de
decisiones a terceros clientes de los responsables del tratamiento a los efectos
de contactar, iniciar y mantener relaciones empresariales o profesionales,
favoreciendo con ello la promoción y desarrollo empresarial o económico.

No quedará amparada por la presunción de interés legítimo establecido en los
casos (i) y (ii) el uso de los datos para tratamientos que tenga como finalidad
entablar una relación con los interesados en su faceta personal, no empresarial
o profesional.

Fuera de estos dos supuestos, conforme a lo establecido en el Considerando
(47) y el art. 6.1.f) del RGPD, cuando se trate estos datos fuera del alcance, los
criterios y/ o las finalidades indicadas, el responsable del tratamiento, o el
tercero por cuenta de quien actúe aquel, deberá haber llevado a cabo una
ponderación propia entre su interés legítimo y los intereses, derechos y
libertades de los interesados, que determine que el tratamiento pretendido no
vulnera esos intereses, derechos y libertades del interesado, debiendo en todo
caso aplicar las medidas de seguridad necesarias.

Interés legítimo del responsable o de los terceros.

La existencia de un interés legítimo por parte de Camerdata y de sus clientes
(a los que presta los servicios relacionados con la finalidad del tratamiento)
para el tratamiento de los datos personales indicados, tiene su fundamento en
la necesidad de conocer los datos identificativos de los empresarios
individuales y profesionales liberales, como un dato necesario dentro del
conjunto total de datos empresariales o profesionales que se ofrecen en los
diferentes productos y servicios de información que comercializa Camerdata.
Datos que son relevantes para las relaciones comerciales o profesionales de
los interesados y que solo pueden ser tratados para esos fines, de tal manera
que no pueden ser utilizados para relaciones directas con las personas físicas.

El interés legítimo de Camerdata sería doble. Por un lado, el que deriva de su
vertiente de fuente de financiación, propio de toda actividad empresarial, y, por
otro lado, contribuir al desarrollo y fomento de las relaciones empresariales o
profesionales, ofreciendo un sistema de información de calidad a los actores
del tejido empresarial y a los particulares, dando cobertura a la seguridad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/204

jurídica demandada por las partes de cualquier relación mercantil o contractual
en su operativa en el mercado, dando, con ello, satisfacción a un interés
económico y social general.

En efecto, hay que señalar que Camerdata obtiene los datos de fuentes
públicas y el tratamiento que realiza sobre ellos obedece al objetivo de
incrementar la calidad de los datos y ofrecer así a los clientes interesados un
sistema de información de empresas que operan en todo el territorio nacional,
cumpliendo, con ello, un interés general para el sector empresarial.

En el tratamiento de datos por parte de Camerdata subyace también un interés
legítimo de sus clientes y de los propios interesados, que necesitan conocer
esta información, bien para dar a conocer sus servicios y productos, bien para
ofrecerlos a terceros o bien para realizar operaciones mercantiles o
profesionales con terceros, o incluso para poder ejercitar las oportunas
acciones legales que en su caso les correspondan. Por otro lado, cada vez
más el acceso, conocimiento y valoración de dichos datos empresariales viene
impuesto por ley, por ejemplo, por la Ley 10/2010 de prevención del blanqueo
de capitales y la financiación del terrorismo.

Nos encontramos, por tanto, ante un tratamiento de datos empresariales que
garantiza de forma general el interés legítimo de cualquier tercero de conocer
esta información. Cabe destacar, una vez más, que las fuentes de obtención de
la información, que se tratan para estas finalidades, tienen la consideración de
públicas en su más amplio sentido, bien porque la publicación de los datos
responde a la exigencia y aplicación de una norma legal que exige que dicha
información sea conocida y accesible para todo el mundo, o bien por haber
sido hecha manifiestamente pública por el propio interesado.

Derechos y libertades fundamentales de los interesados:

Los derechos y libertades fundamentales de los interesados son los generales
que requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento expuesto
en este documento, por cuanto:
1º. La información de los interesados objeto del tratamiento se ceñirá
únicamente a la tipología de datos empresariales o profesionales, y para las
finalidades y según el alcance expuesto en este documento.
2º. Los datos se han obtenido fuentes públicas.
3º. Se garantiza el ejercicio de los derechos de los interesados regulados en
los artículos 15 a 22 del RGPD.
Además, los propios interesados tienen interés en el tratamiento de sus datos
empresariales o profesionales, pues pueden acceder a la base de datos de
Camerdata para contactar con terceros empresarios o profesionales para el
ofrecimiento de sus servicios y productos, y tienen interés en ser localizados
por terceros que acceden a la base de datos de Camerdata para iniciar
relaciones comerciales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/204

A mayor abundamiento y en cumplimiento del principio de minimización de
datos (art. 5.1.c RGPD UE) los datos tratados, relacionados en el punto 1 del
presente escrito de respuesta, son pertinentes, adecuados y limitados a los
estrictamente necesarios para la finalidad para la que son tratados.

Resultado de la ponderación:

1º - El tratamiento de esta información es lícito: El tratamiento de los datos es
necesario para conseguir las finalidades empresariales y económico-sociales
que se pretenden.

2º - Las fuentes de obtención de la información tienen la consideración de
fuentes públicas en su más amplio sentido, bien porque la publicación de los
datos responde a la exigencia y aplicación de una norma legal que requiera
que dicha información sea conocida y esté accesible al público en general. En
este sentido, los datos se podrán obtener de las siguientes fuentes:
a) Fuentes públicas: Principalmente, las que se han citado anteriormente.
b) Datos que el interesado hubiese hecho manifiestamente públicos. Se
entenderá que este tipo de datos pueden ser objeto del tratamiento, sobre la
base de licitud del interés legítimo, en la medida en que el art. 9.2. apartado e)
del RGPD permite tratar datos de categorías especiales de datos por el hecho
de que el interesado los haya hecho manifiestamente públicos, por lo que con
mayor razón se podrán tratar datos que no comprendan dichas categorías,
como es el caso de los tratamientos de datos que realizarán los responsables
del tratamiento.
c) Cualesquiera otras fuentes públicas siempre que su tratamiento no esté
impedido por normativa legal o por derechos de legítimo autor o beneficiario
del fichero de procedencia de los datos, y el responsable del tratamiento haya
llevado a cabo previamente a la construcción del fichero una ponderación entre
su interés legítimo o el del tercero a los que se preste el servicio y los intereses
o los derechos y libertades fundamentales del interesado que requieran la
protección de datos personales. En el tratamiento de las fuentes públicas a que
se refiere este párrafo, los responsables del tratamiento cumplirán con los
principios del tratamiento del art. 5 del RGPD.

3º - Las categorías de datos que se tratan son mínimamente invasivos en el
derecho a la intimidad del interesado, pues son datos ceñidos al desempeño
de una actividad empresarial o profesional, sin que en ningún momento existan
datos de su esfera familiar, ni mucho menos datos de categorías especiales de
datos (artículo 9 RGPD).
Por lo demás, la base de datos de empresas de Camerdata no refiere ninguna
información crediticia ni sobre solvencia patrimonial.

4º - Es parte del interés legítimo que se considera para el tratamiento de esta
información el perjuicio que supondría para el interés general del tráfico
mercantil el no tratar esta información, en los términos expuestos dada la
seguridad jurídica que aportan en cualquier transacción del mercado. La
inexistencia de referencias informativas sobre la actividad empresarial de estos
interesados en el mercado tendría como consecuencia directa repercusiones

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/204

claramente negativas en la actividad económica, con el consiguiente perjuicio a
la actividad económica general.

5º - El principio a la libre circulación de los datos, establecido y amparado por
la propia normativa europea en la materia (RGPD).

6ª - Las finalidades pretendidas para el tratamiento de estos datos por
Camerdata no difieren de las que tienen las fuentes de procedencia de los
datos, la publicidad registral de los Registro oficiales y el censo público de
empresas de las Cámaras de Comercio, (fuentes principales de obtención de
esta información), pues persiguen ofrecer a los consultantes la transparencia y
seguridad jurídica necesarias. Este hecho, junto a la amplia y reconocida
existencia en el mercado y en la sociedad en general de sistemas de
información empresarial, influyen directamente en la existencia de una
expectativa razonable, por parte de los interesados, sobre la posibilidad de que
los datos de su desempeño empresarial o profesional puedan llegar a ser
tratados. En ocasiones, son los propios interesados quienes directamente
hacen pública la información o permiten su difusión porque tienen interés en
que se conozcan sus datos de contacto y actividades empresariales o
profesionales.

7º.- En el caso de los datos que sean públicos por cualquier causa, la
Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de
2011 (asuntos acumulados C-468/10 y C-469/10) indica, en sus
Considerandos (44) y (45), que cuando los datos figuran en fuentes accesibles
al público, el responsable del tratamiento y, en su caso, el tercero o terceros a
quienes se comuniquen los datos, no acceden a datos relativos a la vida
privada del interesado, dado que la información ya es de público conocimiento.
Como consecuencia, hay un impacto menor en los derechos del interesado, lo
que debe ser apreciado en su justo valor en la ponderación con el interés
legítimo perseguido por el responsable del tratamiento o por el tercero o
terceros a los que se comuniquen los datos.”

7. Que en relación al tratamiento que supone la cesión de la base de datos de
empresas en el caso de autónomos a terceras entidades, manifiesta que se basan en
interés legítimo y la finalidad tal y como se indica en el punto anterior.

Aporta copia de contrato fechado a 15/02/2016 y firmado entre CAMERDATA y
CÁMARA donde consta que […]:

a. CÁMARA es la cedente y CAMERDATA es la cesionaria.

b. “[…]
V. Sobre la base de los indicados datos que recibe de las Administraciones
públicas colaboradores (que actualmente son la Agencia Estatal de la
Administración Tributaria, la Agencia Diputación Foral de Navarra y las
Cámaras de Comercio del País Vasco), la Cámara de Comercio de España
elabora el censo público de empresas bajo la denominación de "Censo Básico
de Empresas", garantizando la confidencialidad en el tratamiento y el uso
exclusivo de la información recibida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/204

[…]”
c. “Que la información empresarial es una de las áreas tradicionales donde las
Cámaras de Comercio, con arreglo a sus funciones y finalidades, han venido
ofreciendo servicios a las empresas. Con el fin principal de gestionar adecuada
y coordinadamente dichos servicios, el ahora extinguido Consejo Superior de
Cámaras de Comercio (hoy sustituido por la Cámara de Comercio de España)
y las Cámaras de Comercio constituyeron en 1985 la mercantil CAMERDATA,
S.A., entidad instrumental cameral para el desarrollo de dicha actividad.
Según el artículo 4 de los Estatutos sociales de CAMERDATA, S.A., el objeto
social de la misma consiste en el desarrollo y explotación de un sistema de
información empresarial y las aplicaciones derivadas del mismo.”

d. “[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un
sistema de información empresarial denominado "Fichero de Empresas
Españolas", que es una base de datos diferente del "Censo Básico de
Empresas" elaborado por la Cámara de Comercio de España, si bien para
desarrollarlo está interesada en obtener una copia de la información
empresarial del "Censo Básico de Empresas".

e. “[…]
Primera. Objeto.
Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su
vez, recibe y adquiere para sí, una copia de la totalidad de los datos
empresariales obrantes en el Censo Básico de Empresas referido en el anterior
Expositivo V (en adelante la Base de Datos Cedida) actualizada a fecha de
enero de 2016, la cual contiene los campos de información que se indican en el
Anexo 1 de 3.160.984 Registros de Empresas.
A estos efectos se entiende por Registro de Empresa todos los campos de
información del Anexo 1 relativos a cada una de las empresas que consten en
la Base de Datos Cedida, tomándose como identificador de dicho registro el
NIF de las mismas.
[…]

f. Consta en el Anexo 1, los campos de “NIF de la empresa”, “nombre o
denominación social de la empresa”, “domicilio principal”, “domicilio de
actividad”, “sección actividad IAE”, “actividad IAE”.

g. “Segundo.- Finalidad.
La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la
de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su
propiedad, y los tratará, completará y enriquecerá en los términos convenidos
en el presente Contrato con la finalidad de ofrecerlo comercialmente a las
empresas y a terceros interesados como base de datos de información de las
empresas que operan en territorio español.”

h.“12.2.- Asimismo manifiesta la Cedente que la Base de Datos Cedida y sus
actualizaciones contiene datos relativos a empresarios individuales y a datos
de personas físicas que prestan sus servicios a personas jurídicas, relativos
únicamente al nombre y apellidos, las funciones o puestos desempeñados, así

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/204

como la dirección postal o electrónica, teléfono y número de fax profesionales,
todo ello de conformidad con lo dispuesto en el artículo 2 del RLOPD.”

i.En el ANEXO 2 al contrato de cesión de 15/02/2016 con las “Condiciones de
la cesión de la Base de Datos Cedida” consta que:

i. “Que los datos incluidos en la Base de Datos Cedida y sus
actualizaciones se obtienen del censo público de empresas que regula
la Ley 4/2014 elaborado por la Cedente bajo la denominación de Censo
Básico de Empresas.”

ii. Obligaciones de CAMERDATA:
“B) Obligaciones de la Cesionaria

b. 1) La Cesionaria se obliga a incorporar la información de la Base de
Datos Cedida en el Fichero de Empresas Españolas y a tratarla y
comercializarla en los términos convenidos en el Contrato y sus Anexos.

b.2) La Cesionaria se compromete a tener siempre actualizados los
datos empresariales del Fichero de Empresas Españolas y a tal efecto
se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de
Datos Cedida que ésta realice periódicamente dentro de los
quince (15) días laborables siguientes a la fecha en que reciba la
comunicación escrita al efecto de la Cedente.
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus
actualizaciones, y a no realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la
información de los Registros de Empresa de la Base de Datos
Cedida actualizada dentro de los treinta (30) días laborales
siguientes a la fecha en que la reciba de la Cedente y a tratarla
en los términos que se indican en el siguiente párrafo b.4).
(iv) Efectuar dicha actualización sobrescribiendo el Fichero de
Empresas Españolas con la información de la Base de Datos
Cedida actualizada por cada Código Administración remitido. En
consecuencia, la Cesionaria quedará obligada a suprimir del
Fichero de Empresas Españolas la información de la Base de
Datos Cedida entregada anteriormente relativa a dichos Códigos
Administración, la cual quedará completamente sustituida y sin
efecto, y sin que la Cesionaria pueda usar dicha información
para la finalidad del Contrato ni para ninguna otra; únicamente
podrá conservarla bloqueada a disposición de las
Administraciones públicas, Jueces y Tribunales para la atención
de las posibles responsabilidades que eventualmente se deriven
del tratamiento y comercialización de dicha información durante
el plazo de prescripción de éstas.

b.3) La Cesionaria únicamente podrá informar a los terceros interesados
de que la fuente de información del Fichero de Empresas Españolas
referente a los campos del Anexo I del Contrato se corresponde con la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/204

del Censo Básico de Empresas cuando dicho fichero haya incorporado
la información de la última Base de Datos Cedida actualizada de la
Cedente. En caso contrario, no podrá informar dicha fuente.

b.4) Recibida la Base de Datos Cedida o la actualización de la misma, la
Cesionaria procederá a:
(i) Homogeneizar nombres y direcciones expresados en
diferentes elementos (a modo de ejemplo: calle / rua / Kale /
carrer, homogeneizando todas ellas a calle) sin que ello suponga
modificar el contenido esencial de la información empresarial
contenida en dicha Base de Datos Cedida.
(ii) Incorporar la información de la Base de Datos Cedida o sus
actualizaciones tratada de esta forma al Fichero de Empresas
Españolas propiedad de la Cesionaria.

b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y
comercializa tendrá las siguientes características:

(i) El registro de la empresa y los campos de la misma de la
Base de Datos Cedida indicados en el Anexo 1 del Contrato. Los
restantes campos de dicho Fichero incluidos por la Cesionaria no
modificarán, alterarán ni contradecirán los campos de la Base de
Datos Cedida y sus actualizaciones.
(ii) Campos desarrollados por la Cesionaria a partir de algoritmos
creados por ella misma.
(iii) Campos aportados por la Cesionaria: como Forma jurídica,
actividad principal, sede social, sucursales, actividad negocial.
(iv) Campos aportados por otras fuentes legítimas y
actualizadas: Nombre comercial, teléfono, fax, CNAE, web, fecha
constitución, número de empleados, volumen de negocio,
importaciones/exportaciones, cargos (hasta 5 cargos con
nombre y apellidos), género de la empresa (para distinguir
cuando se trata de autónomos no sección 2 0 3), coordenadas
geodésicas (en 3 sistemas universales) u otros.
[…]”
Aporta copia de contrato fechado a 01/07/2022 y firmado entre CAMERDATA e
INFORMA D&B S.A.U. (en adelante INFORMA) donde consta que:
a. CAMERDATA autoriza a INFORMA a comercializar su base de datos de
autónomos a través de la empresa BUREAU VAN DIJK EDITIONS
ELETRONIQUES SRL (en adelante, BVD), empresa de MOODY’S
ANALYTICS.
b. Que INFORMA será responsable y se obliga a que MOODY’S
ANALYTICS únicamente podrá utilizar la información para:
“Servicios de marketing.
Enriquecimiento de NIF (dado un documento se devolverán los campos
que se soliciten provenientes de la base de datos entregada).
Elaboración de informes comerciales y de negocio del empresario
individual en su faceta empresarial, nunca en lo relativo a su actividad
personal.
Segmentación en procesos de venta y pricing
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/204

Prestación de servicios de prevención de fraude relativos a la validación
de información e identificadores
Servicios de solvencia patrimonial y crédito (servicios de Analytics
Scores) en su faceta empresarial.”

Aporta copia de contrato fechado a 29/09/2022 y firmado entre CAMERDATA e
INFORMA donde consta que:
a. INFORMA facilita a CAMERDATA información de empresas que conste
en su base de datos con el fin de que CAMERDATA pueda incluirla en su base
de datos y comercializarla. Que dicha información comprende, entre otros
datos, CIF, nombre de la empresa, dirección completa, teléfono de la empresa,
ventas.
Asimismo, INFORMA facilita a CAMERDATA el fichero FIBAEMP
PRENORMALIZADO con el fin de que CAMERDATA pueda incluirlo en su base
de datos y comercializarla entre sus clientes. Consta como contenido de dicho
fichero los datos de CIF/NIF, nombre o razón social, estado de la empresa y
fecha del dato, CNAE, web y fecha del dato.
b. CAMERDATA facilita a INFORMA el fichero de empresas españolas
(FIBAEMP) con el fin de que INFORMA pueda incluir en su fichero dicha
información y comercializarla entre sus clientes. Consta que entre esos datos
se incluyen, CIF/NIF, nombre o razón social (en los empresarios individuales),
IAE, domicilio completo (calle, municipio, provincia), teléfonos.
Asimismo, CAMERDATA facilita a INFORMA el fichero FIBAEMP PRENORM
con el fin de que INFORMA pueda realizar el tratamiento para devolver a
CAMERDATA el fichero FIBAEMP PRENORMALIZADO. Consta como
contenido de dicho fichero FIBAEMP PRENORM los datos de CIF/NIF, nombre
o razón social, IAE (actividad económica).
c. CAMERDATA autoriza a INFORMA a comercializar su base de datos de
empresarios individuales a la empresa BVD.
d. Que BVD únicamente podrá utilizar la información para:
“Servicios de marketing.
Enriquecimiento de NIF (dado un documento se devolverán los campos
que se soliciten provenientes de la base de datos entregada).
Elaboración de informes comerciales y de negocio del empresario
individual en su faceta empresarial, nunca en lo relativo a su actividad
personal.
Segmentación en procesos de venta y pricing
Prestación de servicios de prevención de fraude relativos a la validación
de información e identificadores
Servicios de solvencia patrimonial y crédito (servicios de Analytics
Scores) en su faceta empresarial.”
e. “SEPTIMA. PROTECCIÓN DE DATOS
7.1 En el suministro de información entre las partes
Ambas partes se someten expresamente al Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de Abril de 2016 (en adelante,
RGPD), a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (en adelante, LOPDGDD), a la
Ley 34/2002 de 11 de julio, de servicios de la sociedad de la información y
comercio electrónico (en adelante, LSSI) y a restante normativa aplicable en
esta materia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/204

A estos efectos CAMERDATA declara que los datos que comunica al amparo
del presente Acuerdo (fichero Camerdata) contienen datos personales de
empresarios individuales (interesados) relacionados con la actividad mercantil
de los mismos, y nunca con su ámbito privado, y, que se trata de un
tratamiento lícito en los términos del Artículo 6.1.f) del RGPD y, en la medida
en que CAMERDATA garantiza que los mismos provienen de lo que se ha
venido conociendo como fuentes de acceso público, CAMERDATA garantiza
que los mismos podrán ser utilizados para entablar una relación con dichos
interesados en su condición de empresarios individuales.
De igual manera, INFORMA declara que los datos que facilita al amparo del
presente Acuerdo (Fichero Informa) contienen datos personales de personas
de contacto (interesados), relacionados con su localización profesional y con la
finalidad de mantenimiento de relaciones de cualquier índole con la persona
jurídica en la que el interesado preste sus servicios, y nunca con su ámbito
privado, y que se trata de un tratamiento lícito en los términos del artículo 6.1.f)
del RGPD y, en la medida en que INFORMA garantiza que los mismo
provienen de lo que se ha venido conociendo como fuentes de acceso público
y encuestas telefónicas a las propias empresas, de forma tal que INFORMA
garantiza que los mismos podrán ser utilizados para contactar con los
interesados, siempre que la finalidad sea mantener relaciones de cualquier
índole con la persona jurídica en la que el interesado presta sus servicios.

Que tanto INFORMA como CAMERDATA son responsables de sus respectivas
políticas de privacidad sobre los datos y las adaptarán, en su caso, a los
requerimientos establecidos en la normativa para garantizar el cumplimiento de
la legislación aplicable.

Asimismo, como consecuencia de la cesión por parte de CAMERDATA a
INFORMA de los datos contenidos en el Fichero Camerdata, INFORMA pasará
a ser considerada como responsable del tratamiento de los mismos,
comprometiéndose a cumplir con cuantas obligaciones legales le correspondan
como tal.

Adicionalmente, como consecuencia de la cesión por parte de INFORMA a
CAMERDATA de los datos contenidos en el Fichero Informa, CAMERDATA
pasará a ser responsable del tratamiento de los mismos, comprometiéndose a
cumplir con cuantas obligaciones legales le correspondan como tal.
[…]”

Aporta copia de contratos fechados a 15/09/2009, 25/07/2012 (extensión del contrato
anterior), 25/07/2014 (prórroga del anterior), 24/05/2018 y firmados entre CAMERDATA
y AXESOR CONOCER PARA DECIDIR S.A. (en adelante AXESOR) o, en su
denominación anterior, INFOTEL Información y Telecomunicaciones, S.A. (en adelante
INFOTEL) donde consta que:
a. En el contrato de fecha 15/09/2009 consta que:
i. “l.- Que INFOTEL como sociedad mercantil, es proveedor de
información empresarial y comercial y dispone de un amplio
Datawarehouse con datos sobre Entidades Mercantiles, no Mercantiles,
Negocios y Empresarios Autónomos a través de su página en Internet,
www.axesor.es.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/204

ll.- Que CAMERDATA es una empresa creada por las Cámaras de
Comercio a fin de elaborar ficheros de las actividades negociales que
se desarrollan en su ámbito de actuación, así como de ofrecer el
servicio de información pública sobre la información contenida entre
otros, en su fichero denominado Empresarios Individuales, de
conformidad con lo previsto en la Ley Básica 3/1993 de 22 de marzo de
Cámaras Oficiales de Comercio, Industria y Navegación y de
conformidad con la Ley Orgánica 15/1999 de Protección de Datos.
III.- Que INFOTEL se halla interesada en acceder a dicha información
pública, obteniendo un listado de actividades negociales de
Empresarios Autónomos con el objeto de permitirle enriquecer parte de
su fichero, en concreto los Empresarios Autónomos que INFOTEL
obtiene de diversas fuentes de acceso público, y que son parte del
Datawarehouse que INFOTEL o sus Clientes utilizan en sus actividades
de prospección comercial para la realización de acciones marketing
promocional y publicitario además de proveer de dicha información
empresarial y comercial a sus clientes a través de los servicios y
productos de su página en internet www.axesor.es.”
ii. “PRIMERA: OBJETO.
Mediante el presente documento, CAMERDATA suministrará a
INFOTEL:
1º. Información contenida en el Fichero de su propiedad, denominado
Empresarios Individuales, de conformidad con el detalle de servicios
contenido en el ANEXO al presente contrato, y que queda incorporado
al mismo a todos los efectos. La información a suministrar procede del
Fichero elaborado por CAMERDATA a partir de los datos de gestión e
inscripción de los Autónomos en las Cámaras de Comercio, así como,
en tanto el campo de teléfono no se hallare informado en origen, de los
repertorios de abonados a servicios de telecomunicaciones.”
iii. Que en el ANEXO al contrato consta los datos de identificadores,
nombre (razón social y nombre comercial, si está disponible), dirección
completa (sigla, calle, número, resto de dirección, código postal,
municipio, provincia, comarca), IAE (Impuesto de Actividades
Económicas), teléfono correspondiente a la dirección de la sede, entre
otros datos.
iv. “En el uso de la información del fichero de CAMERDATA objeto
de este contrato para el enriquecimiento de los registros del
Datawarehouse de INFOTEL, a efectos de que el titular de los datos
que se facilitan pueda ejercer los derechos que le asisten en virtud de
que pudiera aplicarle lo dispuesto en la Ley Orgánica 15/1999, por dejar
de operar la excepción del art. 2.3 del RD 1720/2007, INFOTEL
procederá a indicar a sus clientes que en las acciones publicitarias o de
prospección comercial que realicen a raíz de la consulta a este
Datawarehouse, deberán incluir en todo caso la siguiente mención
obligatoria:
"Conforme al artículo 2.3 RD 1720/2007, del Reglamento de desarrollo
de la Ley 15/1999, de 13 de diciembre de Protección; de datos de
carácter personal, los datos de empresarios individuales de contacto
utilizados quedan fuera del ámbito de dicha Ley. No obstante, si en
adelante concurrieran las circunstancias que hicieran que sus datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/204

queden al amparo de la LOPD, puede ejercer sus derechos de Acceso,
Rectificación, Cancelación y Oposición, dirigiéndose a Infotel
Información y Comunicaciones adjuntando documento oficial de
acreditación de su persona a [email protected] o al fax
902101062.
INFOTEL deberá advertir a sus clientes que deben utilizar dicha
información única y exclusivamente para promocionar productos o
servicios directamente relacionados con el sector de actividad al que
pertenecen las actividades que se le suministran no pudiendo utilizarla
para otros fines que no sean los anteriormente señalados, ni
comunicarla a terceros siquiera sea para su conservación. "
b. En el contrato de fecha 25/07/2012 consta que CAMERDATA
suministrará a AXESOR los datos de empresas jurídicas y empresas físicas
con los datos, entre otros:
i. “CIF” con descripción “CIF jurídicas/secuencial físicas”
ii. “nombre empresa”
iii. “calle”, “número”, “resto” con descripción de “resto dirección
(escalera, piso, puerta,…)”
iv. Solo para empresas jurídicas: “código postal”, “municipio”,
“provincia”, “comarca”, “teléfono”, “fax”.
c. En el contrato de fecha 24/05/2018 consta el título “ADDENDA AL
CONTRATO DE SUMINISTRO DE DATOS, SUSCRITO EL 15 DE
SEPTIEMBRE DE 2009 ENTRE CAMERDATA S.A. E INFOTEL
INFORMACIÓN Y TELECOMUNICACIONES S.A. (ACTUALMENTE AXESOR
CONOCER PARA DECIDIR S.A.)” y consta que:
i. CAMERDATA (o EL TITULAR) y AXESOR adecúan el contrato
anterior, suscrito con fecha 15/09/2009, al RGPD.
ii. Que CAMERDATA es cedente de los datos y responsable del
tratamiento de los mismos y AXESOR es cesionario.
iii. Que CAMERDATA garantiza tener la base jurídica suficiente para
la cesión objeto del contrato, así como la legalidad de la construcción
del fichero.
iv. Que “A estos efectos, CAMERDATA declara que los datos
contenidos en su directorio de Empresas y empresarios y que facilita al
amparo del citado Contrato (en adelante el FICHERO) contienen datos
de carácter personal de personas físicas identificados como
empresarios individuales (en adelante, los INTERESADOS o
DESTINATARIOS), considerando que los tratamientos que se realizan
sobre los mismos se refieren únicamente en dicha condición, es decir
estrictamente en lo relacionado con la actividad mercantil, nunca sobre
su ámbito privado de los mismos.”
v. “AXESOR gestionará y responderá directamente y por su cuenta
los derechos que confiere el RGPD que reciba directamente a su
nombre de los INTERESADOS, en la forma y plazos indicados en la
normativa.”
vi. “CAMERDATA gestionará y responderá directamente y por su
cuenta los derechos que confiere el RGPD que reciba directamente a
su nombre de los INTERESADOS, en la forma y plazos indicados en la
normativa.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/204

vii. En las obligaciones de AXESOR consta “1º. Utilizar los datos
personales objeto de tratamiento, o los que recoja para su inclusión,
sólo para la prestación de los servicios indicados en el Contrato
Principal.”
No consta explícitamente el rol de AXESOR en relación al tratamiento.
viii. Que en las obligaciones sobre protección de datos comunes a
ambas partes consta:
“CUARTO. OBLIGACIONES SOBRE PROTECCION DE DATOS
COMUNES A LAS PARTES.
1º. Código de Conducta ASEDIE: Mientras ambas partes sean
asociados de la Asociación multisectorial de la Información (ASEDIE),
quedan sujetas al cumplimiento del Código de Conducta en materia de
Protección de datos aprobado por la Asociación, debiendo extender las
obligaciones impuestas en el mismo a los servicios que CAMERDATA
presta a AXESOR en el Contrato Original, y AXESOR por su parte a los
servicios que presta a sus clientes, utilizando para ello los registros del
FICHERO, conforme lo establecido en el Anexo I de dicho Código de
Conducta.
[…]
2º. Gestión de los derechos de los INTERESADOS:
Las partes deberán comunicarse de inmediato y en cualquier caso
como máximo, todos los viernes y en su defecto en último día hábil de
la semana, todas las solicitudes atendidas efectivamente de supresión ,
rectificación, oposición de datos de aquellos Autónomos que hayan
acreditado la baja de su actividad empresarial y por tanto dejando de
tener la consideración de Empresario individual, o bien se encuentren
en alguna situación especial que haga que el tratamiento que cada
parte realice con sus datos, implique una posible vulneración de sus
derechos fundamentales.
Las comunicaciones de las supresiones de los datos de cada parte,
deberán hacerse llegar en un listado que agrupe todas las efectuadas
por semana, mediante la remisión de un email con inclusión de las
referencias cifradas o con cualquier otra medida de seguridad
equivalente a las siguientes direcciones de email:
Envíos a Axesor: [email protected]
Envíos a Camerdata: [email protected]

3º. Notificaciones sobre Brechas de Seguridad:
Cada parte notificará a la otra, utilizando los datos del apartado
"Notificaciones sobre protección de datos" de esta adenda, lo más
inmediatamente posible cualquier destrucción, pérdida, alteración,
divulgación o acceso a Datos Personales de la que tenga conocimiento
y que afecte a los tratamientos de la otra parte ("Violación de
Seguridad"), siempre dentro del plazo de las 24 horas posteriores a la
toma de conocimiento de la misma.
La parte que haya sufrido la violación de seguridad deberá colaborar
con la otra parte, para mitigar cualquier efecto que pueda afectar a los
datos que ésta trate.
Será responsabilidad de la parte que sufra la brecha de seguridad,
comunicar a los INTERESADOS y a la autoridad de control, en los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/204

casos en que así fuera necesario según lo indicado en el RGPD, así
como responder ante cualquier perjuicio que sufra la contraria.

4º. Medidas de seguridad aplicables a los datos facilitados:
EL TITULAR y AXESOR, adoptarán las medidas de índole técnica y
organizativas necesarias que garantizarán la seguridad,
confidencialidad e integridad de los datos de carácter personal y
evitarán su alteración, pérdida, tratamiento o acceso no autorizado de
conformidad con lo dispuesto en el RGPD, y habida cuenta del estado
de la tecnología, la naturaleza de los datos y los riesgos a que estos
están expuestos.”

Aporta copia de contrato fechado a 29/07/2008 y firmados entre CAMERDATA e
IBERINFORM INTERNACIONAL S.A. (en adelante IBERINFORM o EL CLIENTE)
donde consta que:
“l.- Que CAMERDATA es una empresa creada por las Cámaras de Comercio a
fin de elaborar ficheros de las actividades negociales que se desarrollan en su
ámbito de actuación (denominado Fichero de Empresas Españolas), así como
de ofrecer el servicio de información pública sobre la información contenida en
dicho fichero, de conformidad con lo previsto en la Ley Básica 3/1993 de 22 de
marzo de Cámaras Oficiales de Comercio, Industria y Navegación.
lI.- Que EL CLIENTE se halla interesada en acceder a dicha información
pública, obteniendo un listado de actividades negociales.
[…]
PRIMERA: OBJETO.
El objeto del presente contrato es regular las condiciones de suministro al
CLIENTE, por parte de CAMERDATA, de la formación contenida en el Fichero
de Empresas Españolas de CAMERDATA (en adelante, el Fichero), de
conformidad con el detalle de servicios que se especifican en el ANEXO al
presente contrato, y que queda incorporado al mismo a todos los efectos.
Segunda: Condiciones de suministro y utilización
CAMERDATA suministrará al CLIENTE un listado con información de
empresas, según las características (perfil de búsqueda, campos de
información, formato y soporte técnico) que se especifican en el ANEXO (punto
1).
[…]
Cuarta: Protección de datos
En el marco de este contrato, ambas partes se comprometen a respetar la
legislación vigente en materia de protección de datos de carácter personal.
En particular CAMERDATA como titular del FEE es la responsable de éste ante
cualquier organismo administrativo o judicial. No obstante, toda la información
contenida en el FEE es relativa a sociedades mercantiles y empresarios
individuales únicamente en su faceta mercantil, quedando fuera del ámbito
legislativo en materia de Protección de datos, de acuerdo con el artículo 2 del
Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre.
El CLIENTE utilizará la información entregada para el enriquecimiento de
ficheros propios.
Si el CLIENTE realizase campañas de prospección comercial con la
información suministrada deberá informar previamente a CAMERDATA e incluir
en todo caso la siguiente mención obligatoria:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/204

"El listado de direcciones comerciales utilizado para la realización de
esta campaña publicitaria ha sido elaborado por Camerdata, S.A. (Av.
Diagonal, 452, 3' planta, 08006 Barcelona, teléfono 902 21 42 21,
[email protected] ), entidad participada por las Cámaras de
Comercio y responsable del Fichero de Empresas españolas, ante la
cual usted podrá informarse del origen de los datos.
De acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley
15/1999, de 13 de diciembre de Protección de datos de carácter
personal, éstas quedan excluidas del ámbito de aplicación de la LOPD.
No obstante, de acuerdo con la Ley General de Telecomunicaciones, en
su artículo 38.3-h), usted podrá cancelar sus datos electrónicos cuando
concurran los requisitos establecidos en el citado artículo"
Además, en este supuesto, cuando la información suministrada sea relativa a
empresarios individuales el CLIENTE deberá incorporar en las etiquetas o
soportes de envío los códigos de actividad negocial de éstos, incluidos en el
listado que se entrega, a fin de identificar que nos dirigimos a ellos en su faceta
mercantil (Ejemplo. Act. Negocial: 1, 7). El CLIENTE se compromete a utilizar
dicha información para incorporarla a los informes que realice para sus
clientes, así como transmitirla de forma parcial en el desarrollo de sus
actividades comerciales.
El CLIENTE no utilizará dicha información para otros fines que no sean los
anteriormente señalados.
[…]”
Y en el ANEXO al contrato consta, los datos de “razón social (nombre
empresa)”, “dirección completa”, “teléfonos y faxes disponibles”, “CIF”, entre
otros.

Aporta copia de contrato fechado a 25/04/2017, 24/05/2018 (ADDENDA AL
CONTRATO DE INTERMEDIACIÓN SUSCRITO EL 25 DE ABRIL DE 2017 ENTRE
CAMERDATA S.A. Y DATACENTRIC, PDM, S.A.), 19/07/2019 y firmados entre
CAMERDATA y DATACENTRIC PDM S.A. (en adelante DATACENTRIC) donde consta
que:
a. En el contrato de 25/04/2017 consta:
i. “PRIMERA. OBJETO
El objeto del presente contrato es regular las condiciones de
colaboración entre CAMERDATA y DATACENTRIC relativas a la
prestación de los siguientes servicios:
- La cesión del fichero de Autónomos, por parte de CAMERDATA a
favor de DATACENTRIC con la finalidad de que DATACENTRIC pueda
hacer uso de la misma en su actividad empresarial.
- La cesión de datos o campos de información por parte de
DATACENTRIC a CAMERDATA, para su tratamiento informatizado.
El contenido de los servicios y productos objeto de cesión se regula en
la siguiente Estipulación.
SEGUNDA.CONDICIONES DE SUMINISTRO DE LOS DATOS
CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos
(empresarios individuales) en la modalidad Premium. Esta modalidad
incluye el derecho: de uso interno por parte de DATACENTRIC de
distribución y comercialización de los datos a terceras empresas (a
excepción de las empresas infomediarias, a modo de ejemplo se citan;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/204

Informa, Experian, Arvato, Equifax, Iberinform, Axesor, Ardan, etc...),
con la finalidad de que sea utilizado por los destinatarios para uso
exclusivo interno, nunca para su posterior distribución o venta.”
ii. La información contendrá, entre otros datos, nombre o razón
social, NIF, dirección completa, teléfono.
iii. Que los registros que componen los ficheros entregados a
DATACENTRIC son de empresarios individuales y se encuentran
excluidos del régimen de aplicación de la normativa de protección de
datos de acuerdo con el art. 2 Real Decreto 1720/2007.
b. En el contrato de 24/05/2018 consta:
i. La finalidad es adaptar el contrato referenciado al RGPD. El
contrato referenciado continúa en vigor en lo no modificado.
ii. “A estos efectos, CAMERDATA declara que los datos que facilita
al amparo del citado Contrato (en adelante el FICHERO) contienen
datos de carácter personal de personas (en adelante, los
INTERESADOS o DESTINATARIOS), considerando que se trata de
datos personales relacionados con la actividad mercantil del usuario, no
con su ámbito privado, y que se trata de un tratamiento lícito en los
términos del art. 6.1 .f) del RGPD, de forma tal que permite enviarles
publicidad de los sectores incluidos en la política de privacidad de
DATACENTRIC[…]”
iii. DATACENTRIC es responsable y encargado del tratamiento y
CAMERDATA es responsable del tratamiento.
iv. “[…]CAMERDATA como titular del FICHERO y responsable del
tratamiento de los datos autoriza a DATACENTRIC a comercializar el
fichero a CLIENTES que contraten la realización de las campañas
reguladas en el correspondiente contrato con encargados de
tratamiento que no estuvieran alojados en territorio del EEE, siempre
que los clientes en su condición de EXPORTADOR DE DATOS cuenten
con la debida autorización del Director de la Agencia Española de
Protección de datos para llevar a cabo la citada transferencia
internacional[…]”

Y anexo al contrato consta un “CONTRATO DE PRESTACIÓN DE
SERVICIOS DE TRATAMIENTO DE DATOS” donde consta que:
i. CAMERDATA es responsable del tratamiento y DATACENTRIC
es encargado del tratamiento.
ii. DATACENTRIC prestará los servicios de tratamiento necesarios
para la realización de campañas publicitarias.
c. En el contrato de 19/07/2019 consta que en relación al contrato de
25/04/2017, CAMERDATA autoriza a DATACENTRIC a distribuir y comercializar
la base de datos de autónomos titularidad de la primera, a la empresa
infomediaria EQUIFAX IBÉRICA, S.L. y a las empresas pertenecientes a su
grupo. Y que la distribución del fichero se realizará con finalidad de “servicios
de marketing” limitados al ámbito empresarial y nunca privado, enriquecimiento
de NIF, identificación de si la persona en autónomo con la finalidad de su
localización.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/204

Aporta copia de contrato fechado a 23/08/2021 y firmados entre CAMERDATA y
CERVED GROUP S.p.A. (una entidad localizada en Italia, en adelante CERVED)
donde consta, de su traducción no oficial del inglés, que:
a. Que CERVED es una empresa que se dedica al ejercicio de actividades
de información comercial.
b. CAMERDATA cederá a CERVED la base de datos de empresas y
autónomos para su actividad de negocio para su uso interno y el de sus
empresas subsidiarias. Que CERVED también usará la información para
distribución y comercialización a terceras empresas excepto a empresas
infomediarias señaladas.
c. La información contendrá, entre otros datos, nombre o razón social, NIF,
dirección completa, teléfono, coordenadas geográficas.
d. Que los registros que componen los ficheros entregados a CERVED
incluyen información de autónomos y datos personales en relación a su
actividad comercial, no en relación a su esfera privada y que es un tratamiento
lícito bajo el art. 6.1.f. RGPD.

Aporta clausulado general utilizado en la firma de contratos con entre 500 y 900
clientes al año a los que se les ceden los datos para su uso propio exclusivo. En dicho
clausulado consta (se añade subrayado):

“CONDICIONES GENERALES DE CONTRATACIÓN
Primera: Objeto
El objeto de estas Condiciones Generales de contratación es regular las
condiciones de adquisición, por parte del CLIENTE y de suministro, por parte
de CAMERDATA, relativas a la información sobre empresas contenida en el
Fichero de Empresas Españolas de CAMERDATA.
Segunda: Suministro y utilización del Fichero
CAMERDATA suministrará al CLIENTE un fichero con información de
empresas, según las características (perfil de búsqueda, campos de
información, formato y soporte técnico) que se especifican en el presupuesto
aceptado por el CLIENTE.
El CLIENTE deberá utilizar la información tal y como se le suministra, sin
manipular el contenido de los campos de información del listado entregado.
La información suministrada por CAMERDATA podrá ser utilizada por el
CLIENTE durante doce meses, a partir de la fecha de suministro.
La información facilitada al CLIENTE es propiedad de CAMERDATA, por lo
que, sin el consentimiento de ésta última, no podrá ser suministrada total o
parcialmente a un tercero. El CLIENTE adoptará las medidas necesarias en
orden a su almacenamiento, manipulación y, en su caso, destrucción,
eliminando con ello la posibilidad de uso indebido por terceros.
Queda expresamente prohibida la venta o cesión a terceros por parte del
CLIENTE de una parte o de la totalidad de la información suministrada.
El incumplimiento por parte del CLIENTE de las obligaciones contenidas en
esta cláusula podrá dar lugar a que CAMERDATA ejercite las correspondientes
acciones judiciales y, en todo caso, a que el CLIENTE la indemnice en los
daños causados que, de común acuerdo, ambas partes fijan en una cantidad
mínima consistente en el quíntuplo del precio de la información suministrada.
CAMERDATA utiliza el servicio de exclusión publicitaria que proporciona la
Asociación Española de Economía Digital (Adigital), también conocido como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/204

servicio de listas Robinson. Por lo que la información objeto de este contrato
relativa a los empresarios individuales (en caso de que la hubiera), se puede
utilizar en el ámbito de la publicidad personalizada dentro de los plazos que
contempla el reglamento. Una vez pasado dicho plazo, el CLIENTE deberá
excluir de la información suministrada los nuevos Robinson que pudieran haber
aparecido antes de utilizarla en el ámbito de la publicidad personalizada.
Tercera: Fuentes de la información
CAMERDATA certifica que dicho fichero sólo contiene datos de sociedades
mercantiles y empresarios individuales que realizan actividades mercantiles.
CAMERDATA garantiza la legalidad de las fuentes utilizadas para la
elaboración del fichero.
Asimismo, están protegidas por el Real Decreto Legislativo 1/1996, de 12 de
abril, en su redacción introducida en la Ley 5/1998, de 6 de marzo, de
incorporación al derecho español de la directiva 96/9 de la Comunidad Europea
de 11 de marzo de 1996, sobre la protección jurídica de las bases de datos.
[…]
Sexta: Protección de datos
Los datos objeto de este contrato puede contener datos de carácter personal
que pueden constituir un fichero de datos personales. Estos datos, de acuerdo
con la normativa en materia de protección de datos, han sido recogidos y se
distribuyen con la única finalidad de facilitar el contacto con las empresas
identificadas en relación con su actividad empresarial, de acuerdo con las
restricciones que establece el Reglamento Europeo (UE) 2016/679, General de
Protección de Datos. En el caso de que el CLIENTE almacene los datos
contenidos en este archivo para su uso futuro, se convertirá en responsable de
su tratamiento en los términos previstos en el Reglamento Europeo (UE)
2016/679, General de Protección de Datos (en adelante RGPD), asumiendo
todas las obligaciones que esta normativa impone a los responsables del
tratamiento de datos de carácter personal.
Para dar cumplimiento al principio de transparencia y a las obligaciones
descritas en los artículos 14.1 y 14.2 del RGPD, el CLIENTE debe realizar
comunicaciones individuales a los interesados cuando los datos no han sido
obtenidos directamente del interesado.
Al ser los datos provenientes de fuentes de acceso público y en el caso de
existir alguno de los motivos legalmente previstos, si el CLIENTE no realiza
comunicación individual a los interesados, adoptará como medidas adecuadas
para proteger los derechos, libertades e intereses legítimos de los interesados,
las siguientes:
El CLIENTE, deberá facilitar la información indicada en los apartados 1 y 2 del
artículo 14 del RGPD con un lenguaje claro y sencillo, de forma concisa,
transparente, inteligible y de fácil acceso, a más tardar en el momento de la
primera comunicación que se realice a los interesados. Esta comunicación
podrá consistir en la inclusión del texto siguiente, incorporándolo claramente
visible en las comunicaciones publicitarias que remitan a los interesados, o
mediante una locución en caso de que el comunicado se realice por medio
telefónico.
“Los datos de contacto utilizados para el envío de esta comunicación
han sido obtenidos por (el CLIENTE ) tras haber sido recabados de
(CAMERDATA).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/204

Los tratamientos de estos datos tienen por finalidad el envío de
comunicaciones comerciales y de marketing, ofreciéndole diferentes
bienes o servicios que pudieran ser de su interés.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión,
limitación de su tratamiento, u oponerse al mismo, así como el derecho
a la portabilidad de sus datos de contacto, puede dirigir su solicitud a la
siguiente dirección: ________, o enviando un email a __________,
adjuntando en todo caso copia de documento que acredite su identidad
(DNI, pasaporte, o similar)”.
Para conocer la totalidad de la información relacionada con sus datos,
visite por favor nuestra página web: (Enlace a la página web del
CLIENTE , donde se desarrollaran con detalle los derechos relativos al
RGPD)”
Si el CLIENTE tiene obligación de contratar un Delegado de protección de
datos, deberá añadir:
“Puede también contactar con el Delegado de Protección de datos del
Titular a través de la siguiente dirección: ________, o enviando un
email a __________, “
En cualquier caso, la información deberá mantenerse en el resto de
comunicaciones que se realicen tras la primera.
El CLIENTE se compromete a no realizar campañas de telemárketing sin
operador humano, con la información suministrada cuando ésta sea relativa a
datos telefónicos.
[…]”

Aporta copia de contrato fechado a 29/06/2020 y firmado entre CAMERDATA y
KOMPASS S.A. (en adelante KOMPASS) donde consta que:
“[…]
l. Que KOMPASS España es una Compañía fundada a principios de los años 60 y que
forma parte de Kompass Internacional, una empresa francesa con más de 65 años de
experiencia a sus espaldas como proveedor de Información empresarial B2B.
ll. Que CAMERDATA es una empresa creada por las Cámaras de Comercio con la
finalidad de elaborar una Base de Datos, denominada Fichero de Empresas
Españolas (en adelanten FEE), de la cual es titular, en la que se contengan los datos
de todas aquellas personas físicas y jurídicas que desarrollan actividades
empresariales, así como para ofrecer el servicio de información y asesoramiento
empresarial a sus asociados, en relación con dicha Base de Datos. Todo ello de
conformidad con lo previsto en la Ley Básica 4/2014 de 1 de abril, de Cámaras
Oficiales de Comercio, Industria y Navegación.
[…]
PACTOS
Primero: Objeto
El objeto del presente contrato es regular las condiciones de colaboración entre
CAMERDATA y KOMPASS relativas a la prestación de los siguientes servicios:
- La cesión de 107.897 CIFs de registros contenidos en la base de datos
Fichero de Empresas Españolas (en adelante FEE) de los cuales CAMERDATA
no tiene el campo e-mail genérico informado y parcialmente el campo URL
informado, por parte de CAMERDATA a favor de KOMPASS con la finalidad de
que KOMPASS realice un trabajo de "webcrawling"

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/204

- La cesión del campo URL de los 107.897 CIFs en el caso que KOMPASS lo
tenga informado (55.576 registros contabilizados) y los registros de los cuales
se haya obtenido el e-mail genérico fruto del trabajo de "webcrawling" por parte
de KOMPASS a CAMERDATA, para poder hacer uso de la misma en su
actividad empresarial.
El contenido de los servicios y productos objeto de cesión se regula en los siguientes
apartados.
Segundo: Condiciones de suministro de los datos
CAMERDATA cederá a KOMPASS los 107.897 CIFs fruto de un estudio previo
realizado, para su utilización en el mencionado trabajo de "webcrawling".
KOMPASS cederá a CAMERDATA el campo URL de los 55.576 registros analizados.
KOMPASS cederá a CAMERDATA el campo e-mail genérico de los registros
resultantes de los trabajos de "webcrawling" sobre los que se haya conseguido
obtener el campo e-mail genérico, (tantos como se hayan conseguido por registro)
relacionándolos con su CIF's correspondiente
Tercero: "Webcrawllng"
KOMPASS realizará con sus propios medios unos trabajos de "webcrawling" sobre la
base de datos entregada por CAMERDATA consistentes en la aplicación de algoritmos
de búsqueda y reconocimiento de patrones en Internet, para a partir de las URL's
proporcionadas, intentar obtener los e-mails genéricos asociados a dichas URL's.
[…]
Quinto: Protección de datos
KOMPASS y CAMERDATA se comprometen a cumplir con la legislación española
sobre protección de datos y de la intimidad personal. En el caso de que no se pudiera
cumplir con dicha legislación deberá abstenerse de recibir la información u otros
servicios relacionados con ella, de acuerdo con lo previsto en la legislación nacional
sobre la materia.
KOMPASS garantiza que los e-mails genéricos obtenidos no contienen datos
personales y por lo tanto pueden utilizarse como tales.”

Aporta copia de contrato fechado a 20/03/2023 y firmado entre CAMERDATA y
KOMPASS donde consta que:
“[…]
PACTOS
Primero: Objeto
El objeto del presente contrato es regular las condiciones de colaboración entre
CAMERDATA y KOMPASS relativas a la prestación de los siguientes servicios:
- La cesión de los registros contenidos en la base de datos Fichero de
Empresas Españolas (en adelante FEE) que no contengan el campo e-mail
genérico informado, por parte de CAMERDATA a favor de KOMPASS con la
finalidad de que KOMPASS realice un trabajo de "webcrawling" y
posteriormente pueda hacer uso de la misma en su actividad empresarial.
- La cesión de los registros en la base de datos de KOMPASS que contengan
el campo e-mail genérico informado y los registros de los cuales se haya
obtenido el e- mail genérico fruto del trabajo de "webcrawling" y las URL de los
mismos por parte de KOMPASS a CAMERDATA, para poder hacer uso de la
misma en su actividad empresarial.
El contenido de los servicios y productos objeto de cesión se regula en los siguientes
apartados.
Segundo: Condiciones de suministro de los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/204

CAMERDATA cederá a KOMPASS los NIFs de los registros contenidos en la base de
datos FEE que Kompass tenga el campo URL informado y que CAMERDATA no
dispone del campo e-mail genérico (145.101 registros): KOMPASS cederá a
CAMERDATA los registros resultantes de los trabajos de "webcrawling" sobre los que
se haya conseguido obtener el campo e-mail genérico, los siguientes campos:
NIF
URL utilizada para el 'Webcrawling" (sobre todo el universo de los 145.101
registros
E-mail genérico obtenido (tantos como se hayan conseguido por registro)
Tercero: "Webcrawling"
KOMPASS realizará con sus propios medios unos trabajos de "webcrawling" sobre la
base de datos entregada por CAMERDATA consistentes en la aplicación de algoritmos
de búsqueda y reconocimiento de patrones en Internet, para a partir de las URL's
disponibles, intentar obtener los e-mails genéricos asociados a dichas URL's.
[…]”

Aporta copia de contrato fechado a 03/02/2020 y firmado entre CAMERDATA y
DMOVO ANALYTICS, S.L. (en adelante DMOVO) donde consta que:
“[…]
EXPONEN
l.- Que Dmovo es una compañía independiente, dedicada a la Prestación de Servicios
profesionales de consultoría estratégica, organizativa, de negocio, operativa y
tecnológica en los ámbitos de Tecnologías de la Información (TIC) y de Marketing
ll.- Que EL CLIENTE está interesado en contratar a Dmovo la prestación de servicios
de desarrollo tecnológico, tratamiento de la información y consultoría.
[…]
CLÁUSULAS
PRIMERA.- OBJETO DEL PRESENTE CONTRATO
El presente Contrato tiene como objeto establecer un marco de colaboración para la
prestación de servicios de desarrollo tecnológico, tratamiento de la información y
consultoría por parte de Dmovo.
Los servicios constan de un proceso periódico de tratamiento y adecuación de los
datos de nombres y domicilios de los registros de empresas y autónomos de los que
EL CLIENTE es responsable del tratamiento.
Las especificaciones y los requerimientos técnicos de los servicios a prestar quedan
detallados en el ANEXO I (Oferta SmartAddress) al presente Contrato, los cuales
consistirán en los concretos servicios a presentar por Dmovo y aceptados en todos
sus términos por EL CLIENTE, y que quedarán incorporados al presente documento
como parte integrante del mismo a todos los efectos.
[…]
QUINTA.- SERVICIOS INCLUIDOS
Los servicios concretos regulados por el presente contrato son los siguientes:
Proceso de normalización Batch para Camerdata
Dmovo realizará los procesos de normalización de datos 4 veces al año con un
volumen estimado de 10 millones de registros.
Además, se realizará un proceso anual para los registros pertenecientes al País Vasco
y Navarra. Para este caso se estima un volumen aproximado de 500.000 registros.
Procesos a realizar.
Normalización de Poblaciones (INE)
Normalización de vías de Vías. (INE)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/204

Asignación de Código Postal.
Asignación de Sección Censal. (INE)
Asignación de Coordenadas.
Asignación de cuadrícula (GRID 100>(100).
Normalización de Nombres.
Entrega del fichero en el formato definido por EL CLIENTE
SEXTA.- CONFIDENCIALIDAD
Dmovo se compromete a aceptar la Información Confidencial en un marco de
confianza para la debida ejecución de los servicios convenidos y a no facilitarla a
ningún tercero, ni utilizarla para su propio beneficio sin obtener el previo
consentimiento escrito de la otra parte.
[…]”>>

--Consta en el Informe de Actuaciones de Inspección:

<<Con fecha 16/11/2023 se comprueba que:
1. En la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividades-
tratamiento/5_1-censo.html no existe ningún contenido.
2. En la URL
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml y en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA
E_CamCom08.pdf consta información sobre el “Diseño de Registro del Fichero del
Impuesto sobre Actividades Económicas para las Cámaras de Comercio para la
entrega del fichero Anual del ejercicio 2008 y siguientes” donde consta una tabla
descriptiva de los datos intercambiados donde se incluyen los datos, entre otros, de
“NIF”, “Apellidos y Nombre o razón social”, “domicilio fiscal actual”, “domicilio tributario”
(dentro del cual se encuentra también el dato “teléfono”).
3. En el BOE de 20 de diciembre de 2019, al que se puede acceder a través del
enlace consta […]:“CONVENIO ENTRE LA AGENCIA ESTATAL DE
ADMINISTRACIÓN TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO,
INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE
INFORMACIÓN DE CARÁCTER TRIBUTARIO A LAS CÁMARAS OFICIALES PARA
EL EJERCICIO DE SUS FUNCIONES PÚBLICO-ADMINISTRATIVAS
[…]
Primera. Objeto del Convenio.

1. El presente Convenio tiene por objeto establecer un marco general de colaboración
sobre las condiciones y procedimientos por los que se debe regir la cesión de
información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia
Tributaria) a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en
adelante, Cámaras) y a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España (en adelante, Cámara de Comercio de España), preservando
en todo caso los derechos de las personas a que se refiera la misma.
2.
[…]
Segunda. Finalidad de la cesión de información.
La cesión de información procedente de la Agencia Tributaria tendrá como finalidad
exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/204

en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el
ejercicio de las mismas, la normativa reguladora exija la aportación de una
certificación expedida por la Agencia Tributaria o la presentación, en original, copia o
certificación, de las declaraciones tributarias de los interesados o de cualquier otra
comunicación emitida por la Agencia Tributaria, en particular en el caso de no
obligados a declarar. En estos supuestos, la información que debe constar en tales
documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte
necesaria para el ejercicio de tales funciones y se refiera a un elevado número de
interesados o afectados.

En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar
por las Cámaras.

La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas tendrá como finalidad exclusiva la elaboración del censo público de
empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014
Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
atribuye a las Cámaras, así como la elaboración del censo electoral a que hace
referencia el artículo 17 de la misma Ley.

Tercera. Autorización de los interesados en la información suministrada.
[…]
No obstante, la cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas impuesta por el artículo 8 de la citada Ley 4/2014 no
requerirá la previa autorización de los interesados.

Cuarta. Destinatarios de la información suministrada.
La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a
los órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión, […]. En ningún caso podrán
ser destinatarios órganos, organismos o entes que realicen funciones distintas de las
descritas en la cláusula segunda de este Convenio.
Todo ello sin perjuicio de la estricta afectación de la información remitida por la
Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier
caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia
Tributaria.
[…]
Séptima. Cesión de información.
1. Para el cumplimiento de las finalidades descritas en la cláusula segunda se
establecen los suministros de información que se recogen en el Anexo I al presente
Convenio.
[…]
Octava. Control y seguridad de los datos suministrados.
[…]
2. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este Convenio:
a) Control interno por parte del ente cesionario de la información.
Las Cámaras realizarán controles sobre la custodia y utilización que de los datos
recibidos realicen las autoridades, funcionarios o resto de personal dependientes de
ellas, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/204

cláusula decimotercera del presente Convenio de los resultados obtenidos en dicho
seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria. Impedirán el acceso
a la información suministrada por parte de personal no autorizado, estableciendo la
trazabilidad de los accesos a la información suministrada, y desarrollando auditorías
del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el
cumplimiento de las condiciones que sustentan cada una de las cesiones.
[…]
Novena. Tratamiento de datos personales.
En el caso de que la información incorpore datos personales de los interesados, tanto
el cedente, la Agencia Tributaria, como el cesionario, la Cámara de Comercio de
España y las Cámaras, tratarán los datos de acuerdo al Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 y a la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información tributaria.
En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del
Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de
la Dirección General.
En el caso de los cesionarios de los datos, la Cámara de Comercio de España y las
Cámaras, el Responsable del Tratamiento a los efectos del Reglamento General de
Protección de Datos será la persona que designe cada Cámara.

Décima. Obligación de sigilo.
1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los
datos o información suministrados en virtud de este Convenio estarán obligados al
más estricto y completo sigilo respecto de ellos. La violación de esta obligación
implicará incurrir en las responsabilidades penales, administrativas y civiles que
resulten procedentes, así como el sometimiento al ejercicio de las competencias que
corresponden a la Agencia de Protección de Datos.
[…]
ANEXO I AL CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER
TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS
FUNCIONES PÚBLICO-ADMINISTRATIVAS
[…]
ANEXO III
El presupuesto para la celebración y ejecución del presente Convenio es la condición
de Administración pública, tanto de la Cámara Oficial de Comercio, Industria, Servicios
y Navegación de España como de las propias Cámaras Oficiales, destinándose el
suministro de información a realizar por la Agencia Estatal de Administración
Tributaria, en todo caso, al ejercicio de funciones públicas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/204

Las funciones públicas a desarrollar por la Cámara Oficial de Comercio, Industria,
Servicios y Navegación se relacionan directa e indirectamente en las letras d) a i) del
artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:
[…]
Artículo 5 de la Ley 4/2014, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación:
«1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tendrán las
siguientes funciones de carácter público-administrativo:
[…]
g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.
[…]”

4. Que en la URL
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf consta el “PROTOCOLO DE INTERCAMBIO DE
INFORMACION DEL I. A. E. ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y ENTIDADES LOCALES / CÁMARAS DE COMERCIO” donde consta:
“[…]”

5. PETICIÓN DE FICHEROS DE I.A.E.
Aunque la Agencia Tributaria está obligada al suministro de la Información del I.A.E. a
todas las entidades locales que tengan competencias gestoras y/o recaudatorias en
dicho impuesto y a las Cámaras de Comercio para la gestión y Recaudación de las
exacciones integradas en el Recurso Cameral, este procedimiento se basa en una
solicitud previa de la información deseada, cosa que aunque pueda parecer un
obstáculo, aporta varias e importantes ventajas, como son:

• Las entidades locales y Cámaras de Comercio pueden solicitar el tipo de información
que deseen, en cualquier momento, y cuantas veces lo estimen oportuno. Las
peticiones así efectuadas quedan registradas automáticamente en el Registro de
Entrada de Datos de la AEAT, lo que permite un seguimiento posterior de la petición.
[…]

ANEXO II. Modelo de autorización para el intercambio telemático de información de
IAE.
[…]
la información solicitada será utilizada exclusivamente para los fines conferidos
por la normativa del impuesto sobre actividades económicas a este
ayuntamiento/organismo , sin que puedan utilizarse en perjuicio del interesado
o afectado, ni cedidos a terceros, salvo en los casos expresamente previstos
por la ley"
[…]>>

--Consta en el Informe de Actuaciones de Inspección:
<<Con fecha 21/11/2023 se comprueba que:
1. Que en el Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el
Reglamento General de las actuaciones y los procedimientos de gestión e inspección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/204

tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación
de los tributos, en su art. 5, consta que “En el Censo de Empresarios, Profesionales y
Retenedores, además de los datos mencionados en el artículo 4 de este reglamento,
para cada persona o entidad constará la siguiente información” y en el art. 4 constan
como datos los siguientes:
“Artículo 4. Contenido del Censo de Obligados Tributarios.
[…]”.>>

--Como resultado de las actuaciones practicadas ante CÁMARA DE ESPAÑA
(CÁMARA), el inspector actuante hace constar en su informe lo siguiente:

<<Como consecuencia del requerimiento de información efectuado por la inspección,
con fecha 21/11/2023, CÁMARA remite a esta agencia la siguiente información y
manifestaciones (se añade subrayado):
1. “La base de datos del censo público de empresas de la Cámara de España lo
integran, conforme al artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014),
las personas jurídicas y físicas, nacionales o extranjeras, que ejerzan actividades
comerciales, industriales, de servicios y navieras en territorio nacional.

Se incluyen únicamente aquellas actividades económicas de empresas, personas
físicas y jurídicas, cuya actividad se halle en alguno de los epígrafes de las Divisiones
números 1 a 9, ambas inclusive, de la Sección Primera del Anexo I del Real Decreto
Legislativo 1174/1990, de 28 de septiembre, por el que se aprueban las tarifas y la
instrucción del Impuesto sobre actividades Económicas, y que no hayan causado baja.

El origen de los datos que integran el censo público de empresas de la Cámara
España son los datos del Impuesto de Actividades Económicas y los censales de las
empresas que sean necesarios cedidos por la Agencia Estatal de la Administración
Tributaria, en virtud del Convenio de 25 de noviembre de 2019, suscrito entre la
Administración Tributaria y la Cámara de España para la cesión de información de
carácter tributario a las Cámaras Oficiales de Comercio, industria, Servicios y
Navegación españolas para el cumplimiento de sus finalidades y el ejercicio de sus
funciones público-administrativas, que ha sido prorrogado mediante adenda de fecha
19 de diciembre de 2023. Asimismo, también tienen su origen en los datos del
Impuesto de Actividades Económicas cedidos por la Diputación Foral de Navarra y en
los cedidos por las Cámaras de Comercio del País Vasco.[…]”

2. Que el número total de autónomos o empresarios individuales o personas
físicas que constan actualmente en el censo público de empresas es de 1.459.498.

3. Que los datos que contiene el censo público de empresas de CÁMARA son:
NIF/CIF
Nombre, primer apellido, segundo apellido.
Dirección postal de la actividad económica.
Código postal de la actividad económica.
Provincia de la actividad económica.
Municipio de la actividad económica.
Descripción de la actividad económica ejercida.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/204

Aporta extracto de la base de datos donde constan estos datos, entre otros.

4. “[…]Los campos relacionados anteriormente se proporcionan únicamente a
CAMERDATA, S.A., como entidad mercantil constituida por múltiples Cámaras de
Comercio españolas y por la Cámara de España, para su inclusión en su Fichero de
Empresas Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de
forma legítima y disponer de una base de datos de calidad de las empresas que
operan en territorio español para poder ofrecerla empresas y a terceros interesados.
[…]”

5. Que respecto a la obligación de información del art. 14 RGPD, no le resulta de
obligación, según el art. 14.5 c). Que la obtención de datos está expresamente
establecida por la Ley 4/2014 y a las funciones público-administrativas que ésta
atribuye a CÁMARA.

Manifiesta que el art. 3 Ley 4/2014 establece:
[…]"

Que el art. 5.1 Ley 4/2014 establece las funciones público-administrativas de
CÁMARA:
“g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.
j) Impulsar actuaciones dirigidas al incremento de la competitividad de las
pequeñas y medianas empresas, y fomentar la innovación y transferencia
tecnológicas a las empresas. (...) "

Y que el art. 8 Ley 4/2014 establece en relación al citado censo:
"Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional (...)."

Que el art. 21.1 Ley 4/2014 dispone las siguientes funciones:
"[…]
a) Promover los intereses generales del comercio, la industria, los servicios y la
navegación, en el ámbito estatal.
b) Representar al conjunto de las Cámaras ante las diversas instancias
estatales e internacionales.
c) Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras
españolas.
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de
Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el
apartado 1 del artículo 5 de esta Ley. […]”

6. Que “la obtención de los datos que integran el censo público de empresas
(relacionados en el punto anterior) y su tratamiento para la elaboración de un censo
público de todas las empresas, sean personas físicas o jurídicas, constituye el
desempeño de una función público-administrativa de las Cámaras de Comercio
españolas y que la Cámara de España ejerce, en el ámbito estatal y en coordinación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/204

con las Cámaras de Comercio, para el cumplimiento de las finalidades camerales,
promoviendo así los intereses generales del comercio, la industria, los servicios y la
navegación e impulsando, en particular, actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (en gran parte, autónomos).”

7. Que la legitimación para el tratamiento que supone que censo público de
empresas es la obligación legal, según art. 5.1.g y 8 de la Ley 4/2014. Que también es
el interés público.
Y manifiesta:
“[…]
Sin perjuicio del ejercicio de su función público-administrativa de elaborar un
censo público de empresas, con su gestión la Cámara de España también
cumple un objetivo o misión de interés público o general que (i), de un lado, es
inherente a sus funciones propias del artículo 21.1.d) de la Ley 4/2014, en
relación con las finalidades camerales del artículo 3 de la misma Ley, como es
la promoción de los intereses generales del comercio, la industria, los servicios
y la navegación y del desarrollo empresarial y económico, y la función principal
de prestación de servicios a todas las empresas que ejerzan dichas
actividades, entre ellos, los servicios de información empresarial, reforzando
así su papel de apoyo a las pequeñas y medianas empresas en el ámbito del
incremento de su competitividad (párrafo 12, apartado l, del Preámbulo de la
Ley 4/2014), y que (ii), de otro lado, se halla implícito en la función público-
administrativa consistente en impulsar actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (artículo 5.1.j) de la Ley
4/2014).
En este sentido, el Preámbulo de la Ley 4/2014 (párrafo 6, apartado l) destaca
el objetivo o misión de interés público de las finalidades, funciones y
actividades de las Cámaras de Comercio:
"Conscientes de su importancia y necesidad como instituciones básicas
para el desarrollo económico y empresarial de nuestro país, se
mantiene su naturaleza como corporaciones de derecho público,
garantizando el ejercicio de las funciones público-administrativas que,
en el actual contexto económico, tienen una especial relevancia de cara
a la regeneración del tejido económico y la creación de empleo y se
consagra su finalidad de representación, promoción y defensa de los
intereses generales del comercio, la industria, los servicios y la
navegación, así como la prestación de servicios a todas las empresas.”

La Ley 4/2014 atribuye a la Cámara de España el ejercicio y cumplimiento de
funciones de interés público o general -a/ tratarse de funciones de carácter
público- administrativo, entre las que se encuentra la elaboración y gestión de
un censo público de empresas, necesario para el cumplimiento de sus
finalidades y el ejercicio de las demás funciones público-administrativas
camerales.

Así, la Ley 4/2014 determina la finalidad del tratamiento y su necesidad para el
cumplimiento de una misión realizada en interés público.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/204

De este modo, tanto la necesidad del tratamiento de datos realizado, como las
finalidades de interés público, vienen impuestas por una norma con rango de
Ley.”

8. Respecto a la finalidad del tratamiento manifiesta:

“La finalidad del tratamiento que realiza la Cámara de España reside en la
promoción de los intereses generales del comercio, la industria, los servicios y
la navegación y del desarrollo empresarial y económico y la función principal
de prestación de servicios a todas las empresas que ejerzan dichas
actividades, entre ellos, los servicios de información empresarial, reforzando
así su papel de apoyo a las pequeñas y medianas empresas, impulsando así
actuaciones dirigidas al incremento de su competitividad.

Con la gestión del censo público de empresas se ofrece al público en general y
a las empresas, en particular, un sistema o servicio de información de
empresas con el objetivo de dar mayor transparencia y seguridad al tráfico
jurídico mercantil, ayudando al desarrollo económico y empresarial y,
cumpliendo, con ello, un interés público general para el sector empresarial y
profesional y la creación de empleo.

Finalidad de la que participan los propios interesados, los autónomos o
empresarios individuales, que tienen interés en formar parte de esa base de
datos tanto para ser localizados por terceros interesados en sus productos y
servicios, como para acceder a su vez a esa base de datos para ofrecerlos a
terceros.”

9. En relación a la cesión de los datos a CAMERDATA manifiesta:

“La Cámara de España proporciona los datos del censo público de empresas a
Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima
y disponer de una base de datos de calidad de las empresas que operan en
territorio español para poder ofrecerla empresas y a terceros interesados.

La base de legitimación del tratamiento de los datos del censo público de
empresas por Camerdata se ampara en que el tratamiento es necesario para
la satisfacción de intereses legítimos perseguidos por el responsable del
tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales (artículo 6.1. f) del
RGPD).

En este sentido, se contribuye al desarrollo y fomento de las relaciones
comerciales e industriales, disponiendo así de un sistema de información
empresarial de calidad para los actores del tejido empresarial, impulsando el
desarrollo económico y empresarial y confiriendo a una mayor seguridad en el
tráfico mercantil, dando, con ello, satisfacción a un interés general.

En el tratamiento de los datos del censo público de empresas por parte de
Camerdata subyace también un interés legítimo de los propios empresarios,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/204

que necesitan disponer de esta información bien para conocer los servicios y
productos de otros empresarios o bien dar a conocer los suyos a terceros.

Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales
que requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.

En todo caso, los mismos no se verán vulnerados por el tratamiento de los
datos del censo público de empresas, por cuanto:

1º. La categoría de datos personales tratados se limita a los del censo público
de empresas de la Cámara de España y para finalidades acordes con las
propias de su elaboración.
2º. Los datos que se tratan son los contenidos en el censo público de
empresas, base de datos de acceso público en la web de la Cámara de
España.
3º. Se garantiza en todo momento el fácil ejercicio de los derechos de los
Interesados regulados en los artículos 15 a 22 del RGPD UE.

Resultado de la ponderación:

1º - El tratamiento se considera lícito.
2º - Los datos que se tratan son datos públicos, de acceso al público en
general en la web corporativa de la Cámara de España.
3º - Las categorías de datos tratados son mínimamente invasivos del derecho a
la intimidad del interesado, pues son datos ceñidos al desempeño por el
interesado de una actividad empresarial, sin que en ningún momento existan
datos de su esfera familiar, ni mucho menos datos de categorías especiales de
datos (artículo 9 RGPD).
4º - El principio a la libre circulación de los datos, establecido y amparado por
la propia normativa europea en la materia (RGPD).
5º - Las finalidades pretendidas por el tratamiento de los datos por parte de
Camerdata son acordes y compatibles de las que tiene el censo público de
empresas de las Cámaras de Comercio, pues persiguen disponer de un
sistema de información empresarial de calidad para los actores del tejido
empresarial, impulsando el desarrollo económico y empresarial y confiriendo a
una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un
interés económico general.
[…]”>>
(El subrayado es nuestro)

--Consta también en el Informe de Actuaciones de Inspección:

<<Con fecha 22/03/2024 se comprueba, respecto de un autónomo elegido al azar
extraído de los listados aportados por CAMARA y CAMERDATA, que:

1.Se realiza una búsqueda en www.google.es por el nombre y apellidos de un
autónomo, constando resultados de la web www.expansion.com.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/204

2.Que en la web www.expansion.com constan datos exclusivamente de nombre y
apellidos, código postal, provincia, municipio, año de inicio de actividad, actividad, SIC,
CNAE. Consta que los datos han sido obtenidos de fuentes públicas por AXESOR
CONOCER PARA DECIDIR S.A. Consta también que para ampliar más información
sobre el autónomo se ofrece un enlace a la web de autonomos.axesor.es. Pinchando
en ese enlace se redirige a la web de autonomos.axesor.es y se muestran
exclusivamente los datos de nombre y apellidos, código postal, municipio, provincia,
CNAE, SIC e información sobre su actividad.

Asimismo, consta en la web de autonomos.axesor.es el texto “Nuestros informes le
proporcionarán la información más completa sobre la actividad empresarial de […]
como el NIF, teléfono. dirección en ***LOCALIDAD.2 (***PROVINCIA.2), scoring
calificación de crédito, probabilidad de impago y capacidad máxima de solvencia.
incidencias judiciales…”.

3.Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, se
ofrecen resultados de búsqueda que pinchando en ellos redirige a la web de
einforma.com y donde constan datos de nombre, apellidos, localidad y provincia sobre
personas físicas. Que más en detalle constan datos de nombre y apellidos, código
postal, provincia, municipio, actividad, SIC, CNAE.

Además, en la web einforma.com consta, un enlace con “Acceda al informe ampliado
de esta empresa”. Asimismo, consta el texto “elnforma, marca de INFORMA D&B
S.A.U. (S.M.E.), es el líder en el mercado Español de información de empresas e
informes de empresas. Contamos con una base de datos de empresas de más de 500
millones de registros de empresas, donde podrás buscar empresas de todo el mundo,
más de 7 millones de agentes económicos nacionales y acceso a Prospecta.”

4. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio axesor.es, no se
ofrecen resultados de búsqueda.

5. Que en la web de censo.camara.es realizando una búsqueda por el campo
nombre e introduciendo el nombre y apellidos del mismo autónomo anterior, se
ofrecen resultados con los datos de nombre y apellidos, dirección postal, código
postal, provincia, municipio y actividad. A su vez se ofrece un enlace al fichero de
empresas de Camerdata Online (www.camerdata.es) para obtener más
información.>>

--Consta también en el Informe de Actuaciones de Inspección:

<<Con fecha 22/03/2024 se comprueba que:
1. En el apartado 5.1. “censo” del registro de actividades del tratamiento de la
AEAT ubicado en https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacion-interesado-sobre-proteccion-datos/5-registro-
actividades-tratamiento/5_1-censo.html consta:
“Descripción de la actividad

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/204

Gestión y obtención de información de contribuyentes, ya sean
personas físicas o jurídicas. Para ello, se tratan la mayoría de los datos
censales, incluyendo el histórico de los mismos.
Finalidad.
Aplicación efectiva del sistema tributario estatal y aduanero
Interesados
Contribuyentes y obligados
Cualquier español o extranjero con DNI, NIE (DGP) o NIF (AEAT)
Datos.
DNI y datos asociados al documento, Nombre y Apellidos, Dirección,
Teléfono, Correo electrónico, fax, teléfono móvil, estado civil y en su
caso cónyuge o excónyuge, país de nacimiento, provincia de
nacimiento, población de nacimiento, fecha de nacimiento,
nacionalidad, pasaporte, sexo, tipo de administración al que está
adscrito el contribuyente, número de identificación fiscal en
Administración fiscal extranjera, número de identificación del
ayuntamiento, número de identificación electoral, número de hoja
padronal, nombre del padre, nombre de la madre.
Transacciones de bienes y servicios.
Obligaciones tributarias.
[…]
Destinatarios.
Organismos SS
Órganos CCAA
CCAA
Órganos Admón. Local
Diputaciones Provinciales
Diputación Foral Navarra
Agencia Tributaria
Diputaciones Forales Vascas
Cámara Comercio
[…]>>
(El subrayado es nuestro)

TERCERO: Cifra de negocio.

El artículo 35 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014 o Ley Básica de
Cámaras), “Presupuesto y transparencia”, establece en el apartado 1, último inciso:
“Las cuentas anuales, junto con el informe de auditoría, y el Informe Anual sobre el
Gobierno Corporativo, se depositarán en el registro mercantil correspondiente a la
localidad en la que la Cámara tenga su sede y serán objeto de publicidad por las
Cámaras.” (El subrayado es nuestro)

En fecha 05/04/2024 se encuentran publicadas en la página web de CÁMARA DE
ESPAÑA las Cuentas Anuales y el Informe de Auditoría correspondiente a los
ejercicios 2021 y 2022. Según el Balance de situación a 31/12/2022 el “Importe neto
de la cifra de negocios” en el año 2021 fue de 6.136.662€ y en el año 2022 de
6.308.255€.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/204

CUARTO: Acuerdo de inicio de procedimiento sancionador.

En fecha 15/04/2024 la Directora de la Agencia Española de Protección de Datos
acuerda iniciar procedimiento sancionador a CÁMARA DE ESPAÑA, con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción de las siguientes disposiciones del Reglamento
(UE) 2016/679, de 27 de abril, relativo a la Protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos y por
el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos,
en adelante RGPD):

-Artículo 6.1. RGPD, infracción tipificada en su artículo 83.5.a)
-Artículo 5.1.b) del RGPD, infracción tipificada en su artículo 83.5.a)
-Artículo 5.1.f) del RGPD, tipificada en su artículo 83.5.a)
-Artículo 5.1.a) del RGPD, tipificada en su artículo 83.5.a)

QUINTO: Notificación del acuerdo de inicio.

Tal y como consta acreditado en la documentación que obra en el expediente, la
notificación del citado acuerdo de inicio se recibe por CÁMARA DE ESPAÑA mediante
correo postal en fecha 24/04/2024 (folio 1.725). La notificación por medios electrónicos
se puso a su disposición en la sede electrónica de la AEPD en fecha 15/04/2024
accediendo CDE al contenido en fecha 25/04/2024 (folio 1.726)

El artículo 41.7. de la LPACAP, “Condiciones generales para la práctica de las
notificaciones”, dispone: “Cuando el interesado fuera notificado por distintos cauces,
se tomará como fecha de notificación la de aquélla que se hubiera producido en
primer lugar.”

SEXTO: Ampliación del plazo de alegaciones.

Mediante escrito presentado el 08/05/2024 CDE solicita, al amparo del artículo 32 de
la LPACAP, que se amplíe el plazo para presentar alegaciones y proponer pruebas por
cuanto, a la vista de la complejidad del asunto objeto del expediente, le resulta
extremadamente difícil presentarlas en el plazo inicialmente otorgado (folios 1.808 y
1.823 a 1.824)

Aporta una copia de la escritura notarial de otorgamiento de poder, de fecha
02/09/2020, de la que resulta que la persona física que comparece como apoderado
de CDE está facultada para intervenir en su nombre en este procedimiento
administrativo sancionador en todos sus trámites e instancias con plenitud de
facultades (folio 1.822)

Mediante escrito de fecha 10/05/2024, notificado y aceptado en la misma fecha (folios
1.825 a 1.827) se responde a la entidad que se concede la ampliación de plazo
solicitada.

SÉPTIMO: Alegaciones al acuerdo de inicio.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/204

CDE presenta sus alegaciones en fecha 21/05/2024 (folios 1.829 a 1.854) en las que
solicita que se proceda al archivo del presente procedimiento sancionador. Con
carácter subsidiario, para el caso de que la Agencia llegase a apreciar alguna
infracción del RGPD, solicita la aplicación del artículo 77 de la LOPDGDD y aduce que
“ha actuado en todo momento en su condición de Corporación de Derecho Público”.
Con independencia de las pretensiones procesales precedentes, CDE solicita que la
información contenida en sus alegaciones “no sea comunicada a ningún tercero”.

En defensa de sus pretensiones invoca estos argumentos:

A. Como “cuestiones preliminares” examina las siguientes:

1.Afirma que “no cede” a CAMERDATA el NIF de empresarios personas físicas.

En tal sentido, sostiene que durante la vigencia del RGPD nunca se ha producido una
cesión del NIF de las personas físicas a CAMERDATA. Dice que el dato del NIF “no se
cede a Camerdata, sino que se entrega encriptado en un algoritmo unidireccional e
irreversible”. Esto es, que se entrega un “hash”, resultado de un proceso de
encriptación, “de modo que lo cierto es que Camerdata no recibe dichos NIFs de
CDE.”

Añade que “El ”hash” es parte del Censo Público de Empresas, pues sin él este censo
no podría gestionarse, pero no es accesible en Internet mediante consulta empresa a
empresa, porque no es necesario para ese fin.” Y que “La inclusión del “hash” es
necesaria para discriminar entre empresarios con idéntico nombre y apellido (que de
otro modo se confundirían) o para operar con empresarios que hayan cambiado su
nombre, el orden de sus apellidos o los apellidos mismos: el hash se mantiene
invariable, pero no se opera con el NIF, minimizándose así el riesgo de error en el
tratamiento de datos de carácter personal.”

Que, como ha declarado CAMERDATA, esa entidad obtiene los NIFs por sus propios
medios. Aporta como documento anexo un certificado firmado el 16/05/2024 por el
***PUESTO.1.

Dice también: “Adviértase que según dice el Contrato en su cláusula I, la “Base de
Datos Cedida” es la totalidad del “Censo Básico de Empresas”, y que como aclara el
Expositivo V el “Censo Básico de Empresas” no es otra cosa que el “Censo Público de
Empresas” bajo distinta denominación”.

Igualmente, afirma que “antes de la vigencia del RGPD tampoco se había tratado el
dato del NIF” y dice sobre el particular que, “pese a incluir el NIF con carácter general
en su Anexo I [del contrato entre CDE y Camerdata] dejaba claro que el NIF de las
personas físicas no se incluía en la Base de Datos Cedida, que contiene “únicamente”
los datos a que se refiere la cláusula 12.2.”

El texto de la cláusula 12, “Tratamiento de datos de carácter personal”, punto 2, del
Contrato suscrito entre CDE y CAMERDATA dice:

“Asimismo manifiesta la Cedente que la Base de Datos Cedida y sus
actualizaciones contiene datos relativos a empresarios individuales y a datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/204

personas físicas que prestan sus servicios a personas jurídicas, relativos
únicamente al nombre y apellidos, las funciones o puestos desempeñado, así
como la dirección postal o electrónica, teléfono y número de fax profesionales,
todo ello de conformidad con lo dispuesto en el artículo 2 RLOPD”.

CDE concluye: “De modo que en ningún caso puede imputarse a CDE la cesión del
dato del NIF a Camerdata.”

2. Ningún interesado ha presentado reclamación ante CDE ni se ha acreditado que
CDE haya causado perjuicio a posibles interesados.

Indica que, si bien es consciente de que la AEPD puede actuar de oficio, el RGPD ha
configurado el derecho a presentar una reclamación ante la autoridad de control como
un derecho de los titulares de los datos y el Instituto para la Cultura Democrática en la
era Digital no ha acreditado actuar en representación de ningún autónomo. Subraya en
tal sentido que el RGPD ha supuesto una reforma sustancial en cuanto a la posición
de los interesados y los reclamantes e invoca la STS de 06/05/2021, ECLI:ES:TS:
2021:1584.

B. La alegación primera versa sobre la infracción del principio de licitud, artículo 6.1
RGPD.

Comienza recordando que el acuerdo de apertura atribuyó a CDE “una infracción del
principio de licitud (art. 6.1 del RGPD), materializada en haber transferido a la
mercantil Camerdata, S.A. (en adelante CAMERDATA) datos de empresarios
individuales que obraban lícitamente en su poder, recibidos de las Administraciones
tributarias en cumplimiento de las previsto del artículo 8 de la Ley 4/2014”.

1.Expone que CDE es una Corporación de Derecho Público que persigue finalidades
de interés público, artículo 20.1 de la Ley 4/2014, de 1 de abril, Básica de Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación (Ley 4/2014)

“La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
es una corporación de derecho público, con personalidad jurídica propia y
plena capacidad de obrar para el cumplimiento de sus fines que se configura
como órgano consultivo y de colaboración con la Administración General del
Estado”

Dedica un apartado a examinar “La función jurídico-pública de elaboración y
publicación de un censo público de empresas” y hace en ella una particular
interpretación del artículo 5.1.g) de la Ley 4/2014, precepto que establece: “g)
Gestionar en los términos del artículo 8 de esta Ley, un censo público de todas las
empresas, así como de sus establecimiento, delegaciones y agencias radicados en su
demarcación”.

Así, CDE sostiene que la gestión del censo público comprende: la elaboración
(regulada en el artículo 8 de la Ley 4/2014) y su “efectiva publicación” de manera que
ese precepto le atribuye la función jurídico-pública de “elaboración y publicación de un
censo público de empresas”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/204

Por lo que respecta a la publicación del Censo Público de Empresas, dice que no
existe una regulación que explique (i) de qué forma ha de verificarse, (ii) cuál es el
contenido preciso de la información que se ha incluir en el censo público.

Y, seguidamente, afirma que, por ello, corresponde a CDE, en el ejercicio de la función
jurídico-pública atribuida, determinar qué campos se incorporan al censo público de
empresas y qué medios se utilizan para dar publicidad al censo. En ese sentido dice:
“La Ley tan solo afirma que no toda la información facilitada por la Administración
Tributaria se incorporará al Censo Público de Empresas”.

Sostiene que la AEPD, en el ejercicio de sus competencias, debe de respetar el
ejercicio de las funciones jurídico-públicas asignadas a CDE. La AEPD puede
comprobar que se actúe dentro de los límites establecidos por el RGPD, pero solo
CDE es competente para determinar si un campo en particular debe o no ser incluido
en el censo público de empresas y la forma en la que haya de darse publicidad al
censo público de empresas.

2.Sobre el deber de sigilo establecido en el artículo 8 de la Ley 4/2014 al que hace
mención el acuerdo de inicio manifiesta que está sujeta al deber de sigilo cualquier
información que CDE haya recibido de las autoridades tributarias y que no se haya
incluido en el Censo Público de Empresas. Por lo cual, sostiene que no aplica el deber
de sigilo a la información que conforma el Censo Público de Empresa que “CDE tiene
el mandato legal de publicar”.

3. Sobre las bases legitimadoras del tratamiento de datos que lleva a cabo dice que la
cesión a Camerdata de los datos de carácter personal del Censo Básico de Empresas
está amparada en dos bases de tratamiento: (i)el cumplimiento de una obligación
legal, articulo 6.1.c) RGPD y (ii) la necesidad del tratamiento para cumplir una misión
realizada en interés público, artículo 6.1.e) RGPD.

(i)Artículo 6.1.c): cumplimiento de una obligación legal impuesta al responsable del
tratamiento.
Alega que el artículo 5.1.g), en relación con el artículo 8, ambos de la Ley 4/2014,
“obliga a CDE a gestionar “un censo público de todas las empresas, así como de sus
establecimientos, delegaciones y agencias radicados en su demarcación.””

Dice que, aunque ese precepto “no explique cómo debe hacerse “público” el Censo
Público de Empresas, el mandato legislativo es claro: se trata de una función jurídico-
pública de competencia -en este caso- de CDE.”

Partiendo de la afirmación precedente, manifiesta que:

 Hace público el Censo Público de Empresas por dos vías:

(i) mediante su apertura a la consulta pública en Internet, consulta que puede
hacerse a la página web disponible en https://censo.camara.es/ y
(ii) “mediante la cesión del Censo Básico de Empresas a Camerdata para que
ésta lo utilice […] como fuente fidedigna en la elaboración y actualización de su
Fichero de Empresas Españolas.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/204

 La primera vía (i) solo permite su consulta empresa a empresa, “por lo que no
resulta útil para su tratamiento automatizado”.
La segunda (ii) hace susceptible de tratamiento informatizado el Censo Público
de Empresas en su totalidad “cumpliendo así del mejor modo posible el
mandato del legislador”.

 Advierte que “CDE podría haber ideado más formas en las que cumplir su
obligación legal de dar publicidad al Censo Público de Empresas, dado que la
Ley ni identifica ni restringe las formas en las que deba hacerse público dicho
censo: solo exige que se publique y encomienda a CDE dicha publicación.”

 Afirma: “Y, como se ha visto anteriormente, CDE en ningún caso incorpora al
Censo Público de Empresas el NIF de las personas físicas empresarios o
profesionales, sino que lo sustituye por un “hash” producido mediante un
algoritmo unidireccional e irreversible”.

(ii) Tratamiento necesario para cumplir una misión realizada en interés público (artículo
6.1.e, RGPD)

-La norma de Derecho interno en la que se basa el tratamiento es la Ley 4/2014 que le
obliga a “la publicación del Censo Público de Empresas.”

-Las diferentes actuaciones que CDE lleva a cabo en relación con el Censo Público de
Empresas derivan de la función de carácter público que le atribuye el artículo 5.1.g) de
la Ley 4/2014 en virtud del cual CDE tiene encomendada la función de “gestionar, en
los términos del artículo 8 de esta Ley, un censo público de todas las empresas”.

- El alcance del interés público es amplio. Cita el Informe jurídico 2018/175, página 10:
“el apartado e) “misión de interés público” habrá de interpretarse en un sentido amplio
de forma que permita a las Administraciones, incluso en el ámbito del Derecho
Privado, los tratamientos de datos personales necesarios para las finalidades
legítimas que el ordenamiento les concede o permite.”

- Dice que para valorar la concurrencia o no de un interés público en la cesión del
Censo Público de Empresas a Camerdata, en uso de las competencias legalmente
atribuidas a ella, ha tenido en cuenta las siguientes consideraciones:

 Como se ha visto, CDE en el ejercicio de sus funciones jurídico-públicas, ha
decidido no incluir en el Censo Público de Empresas el NIF de personas
físicas, sino tan solo un “hash” fruto de una encriptación unidireccional e
irreversible.

Añade que “el “hash” es necesario para la gestión del Censo Público de Empresas,
pues como se ha expuesto más arriba la inclusión del “hash” es necesaria para
discriminar entre empresarios con idéntico nombre y apellido (que de otro modo se
confundirían) o para operar con empresarios que hayan cambiado su nombre (incluido
el caso de cambio de género), el orden de sus apellidos o los apellidos mismos: el
hash se mantiene invariable, pero no se opera con el NIF, minimizándose así el riesgo
de error en el tratamiento de datos de carácter personal.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/204

“El “hash” es necesario para dar cumplimiento al deber legal establecido en el artículo
5.1.d) del RGPD de que los datos de carácter personal sean exactos y actualizados.”

 “Respecto de todos los datos incluidos en el Censo Público de Empresas
objeto de cesión, excepto el “hash”, concurre la circunstancia de que son datos
respecto de los que se presume la existencia de una base legitimadora en
virtud del artículo 19.1 LOPDGDD. Se cumplen los dos requisitos establecidos
en la norma, puesto que los datos que se ceden son únicamente los
necesarios para su localización profesional, y la finalidad es permitir que
cualquier tercero pueda mantener relaciones con la empresa (individual o no).”

 Todos los datos incluidos en el Censo Público de Empresas objeto de cesión,
excepto el “hash”, son datos que podrían encontrarse, si se buscaran,
mediante una simple consulta empresa por empresa al Censo Público de
Empresas disponible en Internet en abierto para cualquier persona.

 Existe un interés público en identificar a los empresarios y profesionales que
participan en el tráfico jurídico. Dice que este interés público se satisface de
varias formas, “incluyendo el propio Registro Mercantil (en el que, sin embargo,
no constan todos los empresarios o profesionales individuales) y la obligación
establecida en el artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de
la Sociedad de la Información, a cualquier empresario (individual o no) que
ofrezca servicios en Internet (en la práctica, casi la totalidad de los mismos),
incluyendo expresamente el NIF, etc. Pero solo el Censo Público de Empresas
permite acceder a los datos identificativos de los empresarios y profesionales
(excepto el NIF, como se ha dicho) de forma completa y fiable.” “Es importante
para el tráfico jurídico disponer de esta base de datos, y disponer de ella no
solo en el formato de consulta empresa a empresa (que es lo que permite la
aplicación en Internet) sino también en un formato que pueda tratarse
informáticamente por las empresas. Ello resulta posible mediante la cesión del
Censo Básico de Empresas a Camerdata.”

 El precio del Contrato no constituye el interés que persigue CDE para la cesión
del Censo Público de Empresas, sino que es el medio de recuperar una parte
de los costes que para CDE representa el tratamiento informático de dicho
Censo para hacerlo accesible (publicarlo) en forma completa y no tan solo
consulta a consulta. Obviamente, el interés de CDE no consiste en los
50.259,65 euros más IVA que con arreglo al Anexo 2 del Contrato constituyen
el precio del mismo, pues esa suma no alcanza a sufragar los gastos
informáticos que la puesta a disposición del Censo Básico de Empresas
supone, que alcanzan una cantidad total de 53.358 euros.

 “Para el ejercicio 2024 CDE tiene un presupuesto para el desarrollo de
funciones público-administrativas que asciende a 1.973.480 euros (disponible
en la URL https://www.camara.es/sites/default/files/2024%20PRESUPUESTO
%20ORDINARIO%20PORTAL%20DE%20TRANSPARENCIA.pdf), entre las
que está incluida la relativa a la elaboración y difusión del censo público de
empresas en los términos previstos en la Ley 4/2014. Señalar, como hace la
AEPD, que el interés “real” que se desea satisfacer con el tratamiento son los
intereses comerciales de ambas entidades no responde a la realidad, y no es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/204

más que -dicho sea con todo respeto- una afirmación de la AEPD que no se
sustenta en dato alguno ni en valoración alguna. Más bien, como decimos,
CDE actúa en base a un interés público que no es otro que el de prestar un
mejor servicio público a las empresas y a la comunidad.”

C. La alegación segunda versa sobre la infracción del principio de limitación de la
finalidad (5.1.b)

- CDE expone que el acuerdo de inicio le ha atribuido una infracción de esta
disposición “al considerar, […], que la transmisión de datos a CAMERDATA “es
distinta del tratamiento para el que el artículo 8 de la Ley 4/2014 le faculta a realizar
con los datos de los empresarios autónomos obtenidos de las Administraciones
tributarias”.

- Sostiene que no se ha producido un tratamiento ulterior de los datos procedentes de
las Administraciones tributarias “ya que la única y exclusiva finalidad del tratamiento es
cumplir con la obligación legal de elaborar y gestionar el Censo Público de Empresas
en los términos previstos en la Ley 4/2014. Lo que se ha hecho es precisamente hacer
público el Censo Público de Empresas, siendo la cesión un instrumento para lograr
este fin.”

-Niega que haya existido un tratamiento de datos ulterior para un uso distinto del
inicial, por lo que no habría incurrido en una infracción del principio de limitación de la
finalidad, pues “el tratamiento llevado a cabo por CDE, incluida la transferencia de los
datos a CAMERDATA, tiene como única y exclusivas finalidades cumplir con la
obligación legal de dar publicidad al Censo Público de Empresas establecida en la Ley
4/2014 y perseguir así un interés público, […]”

-Insiste en que la finalidad para la que se tratan los datos recibidos de las
Administraciones Tributarias es para hacer público el censo y con esa misma finalidad
se ceden a Camerdata: “Los datos se tratan para hacer público el Censo Público de
Empresas, y se ceden a Camerdata (entidad íntegramente participada por CDE y
diversas Cámaras) con la misma finalidad. Una vez cedidos, Camerdata podrá usarlos
para sus propios fines, que han de ser en todo caso compatibles con la finalidad de
que los datos se hagan públicos. En cualquier caso, el contrato de cesión incluye una
cláusula que obliga a la Cesionaria a “observar y cumplir estrictamente y en todo
momento, los derechos y obligaciones de cada una en materia de acceso, tratamiento
y cesión de datos”.

D. La alegación tercera versa sobre la infracción del principio de confidencialidad
(artículo 5.1.f RGPD)

Rechaza la infracción que se le imputa. Afirma que “CDE sí ha tomado medidas para
tratar los datos personales, en concreto el dato personal relativo al NIF de los
empresarios individuales, de tal modo que garantice una seguridad adecuada” “tanto
respecto a la consulta empresa a empresa, a través de la página web, como respecto
al Censo Público de Empresas cedido (Censo Básico de Empresas)”.

Afirma: “En las primeras no consta el NIF”. En el segundo caso “no se transfiere el NIF
de los empresarios individuales a Camerdata ni ésta lo recibe de aquella” .
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/204

- En cuanto a lo primero (consulta empresa a empresa en Internet) dice:

“como señala la propia AEPD en su Acuerdo de Inicio, “[e]n el censo público al que se
accede desde la página web de CDE se facilita, respecto a los empresarios
individuales, la información del nombre y apellidos, la dirección (calle, número y en
ocasiones piso) la localidad, la provincia y el código postal. También el número del
epígrafe del IAE y una descripción de la actividad. Sin embargo, no consta el dato del
NIF.” “Esto pone de manifiesto que CDE sí ha tomado medidas para tratar los datos
personales, en concreto el dato personal relativo al NIF de los empresarios
individuales, de tal modo que garantice una seguridad adecuada.”

A través de Internet (https://www.camara.es/funcion-consultiva/consulta-del-censo-
publico-de-empresas) se puede acceder al censo público de empresas y CDE ofrece
la siguiente información: Como puede verse, en el apartado relativo a la descripción
del censo público de empresas en esta URL se mencionan los datos relativos
a:Nombre, Dirección, Código Postal, Municipio, Actividad. “No hay ninguna referencia
al NIF de los empresarios individuales ya que no es un dato que se incluye en el censo
público de empresas. Y tampoco es un criterio de búsqueda a utilizar si se quiere
consultar el censo a través de https://censo.camara.es/, estando este enlace
disponible en la URL indicada anteriormente.”

-En cuanto a lo segundo (publicación del Censo Público de Empresas a través de su
cesión a Camerdata), dice:

“CDE adoptó otra medida de seguridad relevante con el fin de proteger la
confidencialidad del dato relativo al NIF de los empresarios individuales consistente en
la encriptación irreversible del NIF de los empresarios individuales que se logra
mediante la aplicación de un algoritmo de cifrado irreversible.

Ni CDE transfiere el dato del NIF de empresarios individuales a Camerdata ni ésta lo
recibe de aquélla.

CDE aplica el algoritmo de hash MD5 (abreviatura de Message-Digest Algorithm 5),
que es unidireccional o en un solo sentido e irreversible.

Añade: “Como ha explicado el Gabinete Jurídico de la AEPD “el algoritmo de hash
debería permitir que partiendo de un mismo dato o microdato se pueda generar
siempre la misma huella digital pero partiendo de una determinada huella digital nunca
podríamos obtener el dato original, es decir, garantiza la confidencialidad de un
microdato ya que se trata de una operación matemática de un solo sentido.” (Informe
jurídico 0364/2015, consultado en https://www.aepd.es/documento/2015-0364.pdf,
págs. 13 y 14).”

Que el RGPD menciona el cifrado en su Considerando 83, al indicar que “A fin de
mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente
Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al
tratamiento y aplicar medidas para mitigarlos, como el cifrado.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/204

Que es una de las medidas de seguridad técnicas y organizativas apropiadas que
están incluidas en el artículo 32.1.a) del RGPD.

Dice: “Sobre el cifrado, la propia AEPD afirma que “El aspecto característico del
cifrado es que, sin acceso a la clave adecuada, debería resultar inviable acceder al
contenido de la información cifrada o alterar la misma sin que los cambios fueran
detectados.” (Orientaciones para la validación de sistemas criptográficos en la
protección de datos, mayo 2023, consultado en la URL
https://www.aepd.es/guias/orientaciones-criptografia-aepd-isms-apep.pdf).

E. La alegación cuarta versa sobre la infracción del principio de lealtad y transparencia
(artículo 5.1.a, RGPD)

CDE afirma que el acuerdo de inicio le imputa una triple vulneración del principio de
transparencia:
(i) No haber comunicado a las autoridades tributarias la cesión realizada a Camerdata;
(ii) No haber comunicado a los interesados cuyos datos personales han sido objeto de
transferencia el hecho de la cesión;
(iii) “Como parte contratante con Camerdata” no haber “velado por garantizar que se
proporciona a los interesados una información veraz sobre el origen de los datos”.

Argumenta respecto al punto (i), “no haber informado del tratamiento ulterior a las
Administraciones tributarias”:

 Que, “en los términos ya expuestos anteriormente, la transferencia a
CAMERDATA es parte del tratamiento que CDE lleva a cabo con la finalidad de
dar publicidad al Censo Público de Empresas sin que se produzca un
tratamiento ulterior para una finalidad distinta de la original y que, por tanto, es
consustancial a lo previsto en la Ley 4/2014 y en la cláusula segunda del
Convenio entre la Agencia Estatal de Administración Tributaria y CDE para el
ejercicio de las funciones público-administrativas de esta última, […]La cesión
a Camerdata del Censo Público de Empresas está integrada dentro de la
finalidad de hacer pública la información contenida en el mencionado Censo
Público de Empresas, finalidad expresamente contemplada en el Convenio.”
 El modo en que el Censo Público de Empresas deba hacerse público no está
limitado en el Convenio ni en la Ley. Es CDE quien tiene atribuida la función
jurídico-pública de establecerlo.

Respecto al apartado (ii), “haber privado a los empresarios individuales de la
información sobre la cesión de sus datos a terceras entidades y los fines para los que
se comunican”, rechaza esa afirmación, por un triple motivo:

 Excepción del artículo 14.5.a) del RGPD: “En primer lugar, la publicación del
Censo Público de Empresas está prevista en la Ley 4/2014, de manera que es
un tratamiento conocido por los interesados y que entra dentro de la excepción
contemplada en el artículo 14.5.a) del RGPD que dispone que “[l]as
disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información” (subrayado
añadido).”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/204

 Excepción del artículo 14.5.b) RGPD: En segundo lugar, “la notificación de la
cesión a todos y cada uno de los empresarios individuales españoles resultaría
desproporcionada (art. 14.5.b) RGPD), teniendo en cuenta que no se cede el
NIF sino el hash, que el hash forma parte del Censo Público de Empresas y
que el resto de los datos son accesibles en Internet. Hay 1.459.498
empresarios individuales. El RGPD explica en su Considerando 62 que “no es
necesario imponer la obligación de proporcionar información cuando el
interesado ya posea la información, cuando el registro o la comunicación de los
datos personales estén expresamente establecidos por ley, o cuando facilitar la
información al interesado resulte imposible o exija un esfuerzo
desproporcionado” (énfasis añadido).”

 Excepción del artículo 14.5.c) RGPD: En tercer lugar, “dado que el mandato de
hacer público el Censo Público de Empresas está establecido en la Ley, resulta
también de aplicación el artículo 14.5.c) RGPD, puesto que es la Ley la que
ordena que se produzca la publicación del Censo Público de Empresas.”

Respecto al punto (iii), que “CDE, como parte contratante con CAMERDATA, no ha
velado por garantizar a que se proporciona a los interesados una información veraz
sobre el origen de los datos” argumenta:

 Es una información que no está prevista en el artículo 14 del RGPD y que,
incluso aunque lo estuviera, sería únicamente exigible al responsable del
tratamiento que recibe los datos de otro responsable del tratamiento, siendo
CDE en este caso el último responsable.

 Que La AEPD introduce aquí una “garantía adicional” que no está prevista en el
RGPD; que en el presente caso estaría ya cubierta por la previsión relativa a
que “Las Partes se obligan a observar y cumplir, estrictamente y en todo
momento, los derechos y obligaciones de cada una en materia de acceso,
tratamiento y cesión de datos” (cláusula 12.1 del contrato de cesión de datos),
lo que de nuevo da lugar a que sea la cesionaria la que tenga que informar
sobre el origen de los datos cuando procede a cumplir con el artículo 14 del
RGPD, sin necesidad de que el cedente le imponga una obligación que y está
prevista en la legislación aplicable en materia de protección de datos y que
queda englobada dentro de lo previsto en el contrato en los términos ya
indicados.”

F. Alegación quinta, relativa a la imposición de las sanciones.

Con carácter subsidiario, para el caso de que la AEPD apreciara la comisión de alguna
infracción del RGPD, solicita que se aplique el régimen jurídico descrito en el artículo
77 LOPDGDD pues sostiene que ha actuado en todo momento en la condición de
corporación de Derecho público.

Indica que la Ley 4/2014 contempla la actuación de CDE como Corporación de
Derecho Público en el cumplimiento de las funciones público-administrativas que se le
atribuyen, en particular la “relativa a la gestión y publicidad del censo público de
empresas”. Y que, por tanto, de apreciarse alguna infracción del RGPD, procedería
aplicar el artículo 77 LOPDGDD, a tenor del cual la AEPD “dictará resolución
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/204

declarando la infracción y estableciendo, en su caso, las medidas que proceda
adoptar para que cese la conducta o se corrijan los efectos de la infracción que se
hubiese cometido” (art. 77.2 LOPDGDD)

Además, propone como prueba la documental que ya obra en el expediente,
incluyendo las actuaciones previas, y la que aporta con sus alegaciones: un único
documento, un certificado emitido por el ***PUESTO.1.

OCTAVO: Fase de prueba. Apertura y listado de pruebas a practicar.

En fecha 16/09/2024 el órgano instructor acuerda, conforme a lo dispuesto en el
artículo 77.2 de la LPACAP, abrir un periodo de práctica de prueba por un plazo de
treinta días.
Así consta en la Diligencia firmada en esa fecha (16/09/2024) en la que se detallan las
pruebas que acuerda practicar (folios 1.864 y 1.865), en particular las siguientes:

1.Dar por reproducidos a efectos probatorios:
1.1. La denuncia presentada por la asociación Institut per a la Cultura Democratica a L
´era Digital (Instituto para la Cultura Democrática en la Era Digital) el 27/12/2022.
1.2. La nota interior de la Directora de la Agencia, de fecha 13/04/2023, en la que, a la
vista de la denuncia recibida, insta a la Subdirección General de Inspección a iniciar
actuaciones previas de investigación conforme al artículo 67 de LOPDGDD.
1.3. Toda la documentación generada y recibida en el curso de las actuaciones de
investigación previa practicadas, así como el Informe de Actuaciones de Investigación
firmado por el inspector actuante.
1.4. Las alegaciones de la parte reclamada al acuerdo de inicio del expediente
sancionador y su documentación anexa, formada por un único documento de carácter
“confidencial”: Un certificado firmado el 16/05/2024 por el ***PUESTO.1, con NIF
A78035896.

2. Incorporar al presente expediente (EXP202301678):
2.1. Los siguientes documentos que forman parte del expediente sancionador con
referencia EXP202404641, que se tramita frente a la entidad CAMERDATA, S.A., con
NIF A78035896: Sus alegaciones al acuerdo de inicio y los documentos anexos a las
alegaciones números 5 y 6.
2.2. Las capturas de pantalla obtenidas del censo de empresas españolas accesible
desde la página web de CDE.
2.3. El Informe del Gabinete Jurídico de la AEPD número 089/2020.

3. Solicitar a:
3.1. CDE que remita a la AEPD determinada información y documentación.
3.2. CAMERDATA, S.A, con NIF A78035896, que remita a la AEPD determinada
información y documentación.
3.3. A la Agencia Estatal de Administración Tributaria (AEAT) y a las agencias
tributarias de la Diputación Foral de Navarra y de la Comunidad Autónoma del País
Vasco que remitan a la AEPD determinada información y documentación.
(Folios 1864 y 1865)

NOVENO: Fase de prueba. Diligencias de incorporación de documentos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/204

1.Mediante diligencia firmada por el órgano instructor el 16/09/2024 se deja constancia
de la incorporación al expediente del presente procedimiento sancionador, en esa
fecha, de los documentos siguientes (folio 1866):

-Escrito de alegaciones al acuerdo de inicio del EXP202404641 presentado ante esta
Agencia por la mercantil Camerdata, S.A. (Incorporado como Anexo 1 a la diligencia,
folios 1.867 a 1.923)
-Los documentos anexos al escrito de alegaciones presentado por Camerdata, S.A. en
el EXP202404641 identificados con los números 5 y 6. Son, respectivamente, un
escrito firmado por el CEO de Kompass Spain el 10/05/2024 (incorporado como Anexo
2 a la diligencia, folio 1924) y el Convenio de confidencialidad suscrito entre
Camerdata, S.A., y Dmovo Analytics, S.L., en fecha 18/12/2019 (incorporado como
Anexo 3 a la diligencia, folios 1.925 a 1.932)

2.Mediante diligencia firmada por el órgano instructor el 16/09/2024 se deja constancia
de la incorporación al presente expediente sancionador del Informe del Gabinete
Jurídico de la Agencia Española de Protección de Datos número 089/2020. (Folio
1.931, documento incorporado en los folios 1932 a 2.105).

3. Mediante diligencia firmada por el órgano instructor el 17/09/2024 se deja
constancia de la incorporación al presente expediente de cuatro capturas de pantalla
obtenidas en fecha 16/09/2024 de la página web de CDE, en particular del Censo
Público de Empresas accesible desde
https://www.camara.es/funcionconsultiva/consulta-del-censo-publico-de-empresas.

Se hace constar en la diligencia que las capturas de pantalla incorporadas evidencian
los siguientes extremos (folio 2.106, correspondiente a la diligencia y 2.107 a 2.111
capturas incorporadas):

 1. Que CDE en su página web, bajo la rúbrica “Censo Público de
Empresas”, “DESCRIPCIÓN”, informa en estos términos:
“Te facilitamos los datos incluidos en el Censo Público que contiene todas las
entidades jurídicas y físicas de las Cámaras Oficiales de Comercio, Industria,
Servicios y, en su caso, de Navegación de España.”
Que el fichero “recoge un registro por actividad (no acumula varias actividades en
una misma dirección) y recopila los siguientes datos por registro: Nombre,
Dirección, Código Postal, Municipio, Actividad.”

Por tanto, entre los datos que se facilitan no está incluido el NIF.

 2. Que, en relación con los empresarios personas físicas, efectuada una
consulta al censo público de empresas, los datos que se facilitan son: el nombre y
apellidos, la
dirección postal (nombre de la vía y número), el código postal, nombre de la
provincia
y del municipio, código de IAE y descripción de la actividad.

 3. Que, efectuada una consulta de un empresario persona física al censo
público de empresas, debajo de la información indicada en el punto 2 precedente,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/204

se incluye esta leyenda con un enlace directo a CAMERDATA: “Si desea obtener
más información, consulte el Fichero de Empresas de Camerdata On-line”.

DÉCIMO: Fase de prueba. 1.Pruebas practicadas ante CDE. 2.Respuesta

1. Pruebas practicadas ante CDE:

Mediante escrito firmado por el órgano instructor el 16/09/2024, cuya notificación es
aceptada por CDE el 17/09/2024 (folio 1.862) se comunica la apertura de una fase de
prueba en el presente procedimiento por un plazo máximo de treinta días y las
pruebas que se ha acordado practicar.

Se informa a CDE en tal escrito (i) de los documentos que se dan por reproducidos a
efectos de prueba -que son los mismos que se relacionan en el punto 1 del
Antecedente de Hecho octavo, al que nos remitimos para evitar reiteraciones
innecesarias- y (ii) de los documentos que se acuerda incorporar a este procedimiento
-que son los mismos que se relacionan en el punto 2 del Antecedente de Hecho octavo
al que nos remitimos- (folios 1.855 a 1.860).

Se solicita a CDE que facilite a la Agencia la información y documentación que
pasamos a detallar:

1. El artículo 31.2. de la LOPDGDD dispone que los sujetos enumerados en su artículo
77.1 harán público un “inventario de sus actividades de tratamiento accesible por
medios electrónicos”, en el que constará la información establecida en el artículo 30
del RGPD y su base legal. A tal efecto se solicita que remita:
(i) Información del espacio de su página web en el que consta publicado el inventario
de actividades de tratamiento de CDE y una captura de pantalla acreditativa de tal
publicación.
(ii) Copia del registro de la actividad de tratamiento de CDE relacionada con el censo
público de empresarios.

2. En relación con el Convenio que CDE suscribió con la AEAT en 2019 para la cesión
de información de carácter tributario “para el ejercicio de sus funciones público-
administrativas”, prorrogado y modificado en diciembre de 2023, se solicita que aporte
los siguientes documentos que, con carácter preceptivo, tuvo que elaborar durante la
tramitación previa a la suscripción del citado Convenio, y en su caso a su modificación,
de acuerdo con lo dispuesto en el artículo 50 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público (LRJSP) :
(i) La “memoria justificativa” a la que alude el artículo 50.1 de la LRJSP.
(ii) El “Informe de su servicio jurídico” mencionado en el artículo 50.2.a) de la
LRJSP.

3. Se solicita que explique los motivos por los cuales decidió no incorporar el dato del
NIF de los empresarios personas físicas en el censo público accesible desde su
página web. Asimismo, se solicita que explique los motivos por los cuales habría
decidido -según tiene declarado en sus alegaciones- no incluir en la base de datos que
cede a CAMERDATA el dato del NIF de los autónomos en texto plano y sustituirlo por
un algoritmo de “Hash”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/204

4. Se solicita que explique los motivos por los cuales ha optado por no permitir la
descarga global de la información de los empresarios personas físicas que consta en
el Censo de Empresas Españolas accesible desde su página web.

5. CDE ha manifestado (alegaciones al acuerdo de inicio) que la transmisión de datos
a CAMERDATA es un instrumento para lograr la finalidad que, dice, le impone la Ley
4/2014, de “hacer público el Censo Público de Empresas”. Se solicita que explique si
la finalidad para la que recibe los datos de los empresarios autónomos por parte de las
Administraciones Tributarias al amparo de la Ley 4/2014 es la misma que se satisface
cuando cede a CAMERDATA su base de datos, a sabiendas de que esta última tiene
suscritos contratos con terceras entidades cuya actividad empresarial es comercializar
la base de datos y en los que CAMERDATA ha pactado con estas terceras entidades,
a fin de garantizar su negocio, el tratamiento confidencial de la información que consta
en dicha base de datos.

6. En su escrito de alegaciones al acuerdo de inicio ha manifestado que “el hash es
parte del Censo Público de Empresas […] pero no es accesible en Internet mediante
consulta empresa a empresa, porque no es necesario para ese fin” (página 4); que
“CDE en ningún caso incorpora al Censo Público de Empresas el NIF de las personas
físicas empresario o profesionales, sino que lo sustituye por un “hash” (página 10 de
su escrito); que “la “Base de Datos Cedida” es la totalidad del “Censo Básico de
Empresas”, y que, “como aclara el Expositivo V del Contrato”, el “Censo Básico de
Empresas” no es otra cosa que el “Censo Público de Empresas” bajo distinta
denominación” (página 3 de su escrito).
A la luz de tales manifestaciones se le requiere para que explique:

(i) Cuál es la finalidad de emplear en el contrato suscrito con Camerdata tres términos
-Censo Público de Empresas, Censo Básico de Empresas y Base de Datos Cedida- si,
tal y como se infiere de sus declaraciones, los tres ficheros tienen el mismo contenido.
(ii)En caso de que cada uno de los tres términos empleados designe un fichero que
presente alguna/s diferencia/s de contenido o de otra naturaleza en relación con los
demás, deberá especificarlo, aportar la estructura del fichero identificando la tipología
de datos que contiene y acreditar documentalmente su respuesta.

7. A la vista de sus declaraciones -recogidas en el apartado precedente, punto 6.- se le
requiere para que informe y acredite documentalmente a qué fichero -“Censo Público
de Empresas”, “Censo Básico de Empresas” o “Base de Datos Cedida”- pertenece el
extracto de 500 registros que remitió a esta Agencia en el curso de las actuaciones de
investigación previa (“Documento_4.xlsx” aportado por esa parte), del que entonces
manifestó que procedía del Censo Público, y en el que sí consta incluido el NIF de los
referidos 500 autónomos.

8. En sus alegaciones al acuerdo de inicio ha manifestado (página 10) que “CDE en
ningún caso incorpora al Censo Público de Empresas el NIF de las personas físicas
empresarios o profesionales, sino que lo sustituye por un “hash” y ha afirmado que “La
inclusión del “hash” es necesaria para discriminar entre empresarios con idéntico
nombre y apellido (que de otro modo se confundirían) o para operar con empresarios
que hayan cambiado su nombre, el orden de sus apellidos o los apellidos mismos: el
hash se mantiene invariable, pero no se opera con el NIF, minimizándose así el riesgo
de error en el tratamiento de datos de carácter personal.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/204

Añade también que “El ”hash” es parte del Censo Público de Empresas, pues sin él
este censo no podría gestionarse, pero no es accesible en Internet mediante consulta
empresa a empresa, porque no es necesario para ese fin.”

(i) ¿Significa esto que, en relación con los empresarios autónomos, CDE tiene en sus
sistemas, además del texto plano del dato del NIF de esos empresarios, el “hash”
resultante de aplicar este algoritmo sobre el NIF?

(ii) Ha afirmado que el “hash” del NIF de los empresarios individuales es parte del
Censo Público de Empresas, pese a que no sea accesible a través de su página web
cuyas consultas solo pueden efectuarse empresa a empresa. ¿Cumple el hash del NIF
alguna función en el proceso de consulta del Censo Público a través de su página
web, por ejemplo, ayudar a discriminar entre empresarios?

(iii)Además de aplicar la función “hash” sobre el dato del NIF de los empresarios
individuales, ¿aplica CDE la función “hash” también sobre el resto o parte de los datos
de los empresarios autónomos que integran su base de datos?

(iv)En caso afirmativo, ¿cede CDE a CAMERDATA, además de los datos en texto
plano, el “hash” resultante de aplicar esa función sobre el resto o parte de los datos
recogidos en los registros de cada empresario autónomo?

9.Se solicita que explique cuál es la finalidad o función que cumple y cómo se genera
el “indicador de registro”: un número incluido en el campo “ID” que consta en cada uno
de los registros de empresarios autónomos que figuran en el listado de 500 autónomos
que CDE facilitó a esta Agencia, a requerimiento del inspector actuante, durante las
Actuaciones de Investigación.

10. En sus alegaciones al acuerdo de apertura ha insistido en que no cede a
CAMERDATA el NIF de los empresarios autónomos “sino un “hash” resultado de un
proceso de encriptación (mediante un algoritmo unidireccional), de modo que lo cierto
es que Camerdata no recibe dichos NIFs de CDE”. Ha añadido que la inclusión del
“hash” del NIF en la base de datos que le cede resulta necesaria para atender diversas
finalidades entre las que menciona “discriminar entre empresarios con idéntico nombre
y apellido (que de otro modo se confundirían)”.

Explique cuál es la razón de facilitar a CAMERDATA el “hash” del NIF cuando para
atender a las necesidades que menciona se podría utilizar un código de identificación
(como el “indicador de registro” que consta en el campo “ID”) y, en todo caso, podría
utilizar un número único ligado a cada registro.

11. Sobre las gestiones de carácter técnico que CDE lleva a cabo en relación con la
información recibida de las Administraciones Tributarias.

A fin de incorporar a su base de datos la información relativa a cada empresario
individual recibida de las Administraciones Tributarias, de la que es exponente la
relación de 500 registros aportados en el curso de las Actuaciones de Investigación,
CDE se ve obligada a llevar a cabo diversas gestiones de carácter técnico.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/204

Se solicita que informe si las gestiones técnicas necesarias que la entidad realiza se
han efectuado, desde el año 2020 y hasta la actualidad, mediante: (A) servicios
informáticos propios de CDE o (B) mediante terceras empresas con las que suscribió
los oportunos contratos.
En atención al sentido de su respuesta, deberá aportar los siguientes documentos:

En caso de que las gestiones se realicen por los propios servicios informáticos de CDE
(supuesto A):
(i) Acreditación documental del número de trabajadores de la plantilla de CDE que,
desde 2020, realizan esas gestiones técnicas, con indicación de su nivel de
cualificación.
(ii) Instrucciones u órdenes internas de servicio (desde el año 2020) con las que se
hubiera trabajado en el departamento de tecnologías de la información de CDE para
llevar a cabo las gestiones de carácter técnico relacionadas con la información que
reciben de las Administraciones Tributarias

En caso de que los servicios se presten por una tercera empresa (supuesto B):
(i) Datos identificativos de todas las empresas con las que hubiera contratado la
prestación de esos servicios desde el año 2020 hasta la actualidad.
(ii) Copia de todos los contratos suscritos desde el año 2020 con las empresas que
mencione en su respuesta al punto 1. Deberá incluir todos los anexos que formen
parte de los contratos en su caso, particularmente de los contratos vigentes en los
años 2023 y 2024.

12.Descripción del “sistema” que CDE viene utilizando para la transmisión de los datos
a CAMERDATA. Se le requiere para que informe y acredite si la transmisión de datos
se ha venido realizando, y desde cuándo, mediante acceso online o por soporte físico.

13. En caso de que se trate de una transmisión online de datos, se le requiere:

(i)Para que aporte documentación acreditativa de los accesos de CAMERDATA
durante 2023 y 2024 y del acceso a las actualizaciones del cuarto trimestre de 2024.
(ii) Para que aporte el contenido íntegro al que accedió CAMERDATA en 2023
respecto a los mismos 500 empresarios autónomos cuyos registros CDE aportó a esta
Agencia en fecha 21/12/2023 con nombre “Documento_4.xlsx”.

14.En caso de que se trate de una salida de datos en soporte físico (DVD, usb, etc), se
le requiere para que aporte:

(i)Justificante de la salida de soporte físico, conforme al modelo (o equivalente) de
título “Autorización de salida de soportes informáticos” que consta en la página 28 del
documento pdf entregado a esta Agencia en su contestación de fecha 21/12/2023, de
nombre “Documentos 1 y 5.pdf”, relativo a los envíos efectuados por CDE a
CAMERDATA durante 2023 y 2024 y del envío relativo a las actualizaciones del cuarto
trimestre de 2024
(ii)Copia íntegra de los datos contenidos en el soporte físico, DVD/usb, enviado en
2023, circunscritos a los 500 empresarios autónomos cuyos registros CDE aportó a
esta Agencia en fecha 21/12/2023 con nombre “Documento_4.xlsx”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/204

15. Si los hash de los NIF no se transfieren a través de las operaciones citadas en los
puntos anteriores, aporte copia de los registros de la Base de Datos Cedida, de CDE,
donde consten almacenados los hash de los NIF, calculados por CDE, y transferidos a
CAMERDATA asociados a los datos de los 500 empresarios aportados por CDE a esta
Agencia en fecha 21/12/2023 con el nombre “Documento_4.xlsx”.

2. Respuesta de CDE a las pruebas solicitadas:

En escrito de fecha 24/09/2024 CDE solicita, al amparo del artículo 32.1 de la
LPACAP, que se amplíe por el máximo permitido legalmente el plazo inicialmente
otorgado -diez días hábiles- para evacuar el trámite de prueba (folios 2112 a 2130). El
órgano instructor acuerda conceder la ampliación solicitada en escrito firmado el
26/09/2024 cuya notificación es aceptada por CDE en esa misma fecha (folios 2.131 a
2.134)

En fecha 09/10/2024 CDE responde a las pruebas solicitadas (folios 2.135 a 2.256):

- A la pregunta sobre el inventario de actividades de tratamiento, CDE responde que
está publicado en el apartado “Transparencia” de la página web de la Cámara de
España.

Aporta, Anexo I, una captura de pantalla acreditativa de la publicación del inventario de
actividades de tratamiento de CDE en su página web e informa de que puede
accederse a través del enlace https://www.camara.es/registro-de-actividades-del-
tratamiento.

Aporta como Anexo II una copia del citado registro de actividades de tratamiento de la
Cámara de España (folios 2.139 y siguientes). En el apartado 10. “Censo de
empresas” (folios 2.144 y 2.145) consta la siguiente información:

“Descripción--- Elaboración de un censo público de empresas que ejerzan las
actividades comerciales en España
Finalidades---Elaboración de un censo público de empresas nacionales o extranjeras,
que ejerzan las actividades comerciales e industriales de servicios y navieras en
España
Categorías de interesados--- Personas de contacto, Solicitantes
Criterios de conservación--- Conservados durante NO MÁS TIEMPO DEL
NECESARIO para alcanzar los fines
Sistema de tratamiento--- Parcialmente Automatizado
Categorías de datos
Tipos de datos--- Nombre y apellidos, Dirección postal o electrónica, Teléfono
Categorías de datos especiales o penales
Otro tipo de datos--- Detalles de empleo
Categorías de destinatarios---Cesiones Organizaciones o personas directamente
relacionadas con el responsable, Registros públicos”.

-A la solicitud para que aporte el Informe de su servicio jurídico y la memoria
justificativa a los que hacen referencia los artículos 50.1 y 50.2.1 de la Ley 40/2015
responde:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/204

“La tramitación y aprobación de los convenios que suscribe la Cámara de Comercio de
España se realiza de conformidad con lo dispuesto en el artículo 21.2 de la Ley
4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación y en el artículo 10.u) del Reglamento de Régimen Interior de la
Cámara de Comercio de España, aprobado por Orden ECC/953/2015, de 14 de mayo.
En cumplimiento de lo anterior, el Convenio […] y la Adenda de modificación y
prórroga del citado Convenio -suscrita el 19 de diciembre de 2023-, fueron sometidos
a la aprobación del Comité Ejecutivo de la Cámara de España, en sus sesiones
celebradas los días 2 de octubre de 2019 y 23 de noviembre de 2023,
respectivamente. Se adjuntan como Anexo III y en Anexo IV los informes justificativos
que se acompañaron al citado”.

CDE aporta (folios 2.151 y siguientes) como Anexo III el “Informe del convenio entre
la Agencia Estatal de Administración Tributaria y la Cámara Oficial de Comercio,
Industria, Servicios y Navegación de España para la cesión de información de carácter
tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-
administrativas”, firmado el 27/09/2019. La CDE manifiesta que lo emite el Director de
los Servicios jurídicos de la CDE y que se sometió al Comité Ejecutivo de la Cámara
junto con el Convenio sometido a aprobación (el documento aportado no indica el
cargo que ocupa en la organización el firmante).

El informe, en el apartado “Acciones a desarrollar”, párrafo segundo, subraya que la
cesión de datos de las Administraciones Tributarias a la CDE tiene una finalidad única
y exclusiva: la elaboración del censo público. Y añade que esa información no podrá
tener otros destinatarios que los órganos de la CDE o de las Cámaras que tienen
atribuidas funciones que justifican la cesión de datos realizada:

“La cesión de los datos del IAE y los censales de las empresas tendrán como finalidad
exclusiva la elaboración del censo público de empresas, el cumplimiento de las
funciones público-administrativas que la Ley 4/2014 Básica de las Cámaras Oficiales
de Comercio, Industria, Servicios y Navegación atribuye a las Cámaras, así como la
elaboración del censo electoral a que hace referencia el artículo 17 de la misma Ley.
La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a
los órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión.”

- A la pregunta de si la finalidad para la que recibe los datos de los empresarios
autónomos por parte de las Administraciones Tributarias al amparo de la Ley 4/2014
es la misma que se satisface cuando cede a CAMERDATA su base de datos, a
sabiendas de que esta última tiene suscritos contratos con terceras entidades cuya
actividad empresarial es comercializar la base de datos y en los que CAMERDATA ha
pactado con estas terceras entidades, a fin de garantizar su negocio, el tratamiento
confidencial de la información que consta en dicha base de datos, CDE responde:

“La respuesta es negativa. La finalidad por la que se reciben los datos de los
empresarios autónomos por parte de las Administraciones Tributarias es la
elaboración y actualización rigurosa del Censo Público de Empresas, que contiene
menos datos que los recibidos de dichas Administraciones Tributarias, así como para
el cumplimiento de los restantes fines de la CDE.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/204

La finalidad para la que se cede a CAMERDATA el Censo Público de Empresas así
elaborado es exclusivamente la de dar cumplimiento al mandato legal de dar
publicidad al Censo Público de Empresas.
CAMERDATA es una sociedad mercantil que tiene sus propios órganos de gestión y
responde de sus propias decisiones. De los contratos que CAMERDATA haya
celebrado con terceros, que CDE desconoce, debe responder tan solo CAMERDATA.”

-La CDE no responde a la pregunta en la que se solicita que explique los “motivos por
los cuales decide no incorporar el dato del NIF de los empresarios personas físicas en
el censo público accesible desde su página web” (pregunta 6.3, inciso primero).

-A la pregunta formulada (6.3. inciso segundo) para que explique por qué motivo
decide no incluir en texto plano el NIF de los autónomos en la base de datos que cede
a CAMERDATA y sustituirlo por un algoritmo de “Hash”, responde:

“La inclusión del hash del NIF en la base de datos cedida tiene el propósito de
garantizar la comunicación de un identificador único por cada empresario individual e
invariable en el tiempo dado que el resultado de aplicar el mismo algoritmo de hash
sobre el dato NIF siempre obtiene el mismo resultado. El suministro de un identificador
único por cada empresario individual es necesario para distinguir entre empresarios
con idéntico nombre y apellido, para operar con empresarios que hayan cambiado su
nombre (con o sin cambio de género), el orden de sus apellidos o los apellidos
mismos, así como para poder llevar un control preciso de las altas, bajas y
modificaciones que va sufriendo el fichero con el transcurso del tiempo.”

-En relación con los empresarios autónomos, ¿CDE tiene en sus sistemas, además
del texto plano del dato del NIF de esos empresarios, el “hash” resultante de aplicar
este algoritmo sobre el NIF? La CDE responde:

“Sí, la Cámara de España genera en sus sistemas el hash del NIF de empresarios
autónomos. En cuanto al NIF de estos empresarios individuales, CDE dispone de él
por haberlo remitido las Autoridades Tributarias, pero no forma parte del Censo
Público de Empresas.”

-Se solicita que informe y acredite documentalmente a qué fichero -“Censo Público de
Empresas”, “Censo Básico de Empresas” o “Base de Datos Cedida”- pertenece el
extracto de 500 registros que remitió a esta Agencia en el curso de las actuaciones de
investigación previa (“Documento_4.xlsx” aportado por esa parte), del que entonces
manifestó que procedía del Censo Público, y en el que sí consta incluido el NIF de los
referidos 500 autónomos.

La CDE no responde a la pregunta formulada pues su respuesta nada tiene que ver
con la pregunta. Así, dice:
“La extracción de la información del dato NIF no se realizó ni del Censo Público de
Empresas ni del Censo Básico de Empresas ni de la Base de Datos Cedida (cualquier
manifestación en este sentido se habría debido a un error).
La extracción de la información del dato NIF se realizó de la información tributaria
recibida, que es la base a partir de la cual se obtienen el fichero del censo público de
empresas, para su publicación en www.camara.es, y el fichero del censo básico de
empresas, para su cesión a Camerdata.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/204

La información tributaria recibida es la base de datos donde se consolida la
información procedente de la AEAT estatal, Álava, Bilbao, Guipúzcoa y Navarra y
contiene toda la información suministrada por estos cedentes, por lo que incluye el NIF
para el caso de empresarios autónomos.[…]”

- Habida cuenta de que manifestó en las alegaciones al acuerdo de inicio que el “hash”
del NIF de los empresarios individuales es parte del Censo Público de Empresas pese
a no ser accesible a través de su página web, se pregunta (6.8.2.) si cumple el hash
del NIF alguna función en el proceso de consulta del Censo Público a través de su
página web, por ejemplo, ayudar a discriminar entre empresarios. CDE responde en
estos términos:

No obstante, el hash es parte integrante esencial del Censo Público de Empresas,
pues sin el hash el propio Censo Público sería imposible de gestionar por parte de
CDE, teniendo en cuenta los cambios de nombres, apellidos, direcciones, etc., tal
como se ha expuesto en la respuesta a la pregunta 6.3 de este escrito.”

- A la pregunta de cuál es la razón de facilitar a CAMERDATA el hash del NIF cuando
para atender a las finalidades que menciona -entre ellas “discriminar entre
empresarios con idéntico nombre y apellido (que de otro modo se confundirían)”– se
podría utilizar un código de identificación (como el “indicador de registro” que consta
en el campo ID) y, en todo caso, utilizar un número único ligado a cada registro,
responde :

“El identificador hash tiene la característica de que es invariable en el tiempo y su
cálculo no está sujeto a posibilidad de error, al realizarse mediante la aplicación de
algoritmos conocidos sobre un dato propio del registro (empresario individual) como es
el NIF.
[…]
CAMERDATA necesita el hash del NIF para que la base de datos cedida pueda ser
utilizada de forma racional y asegurar la calidad del dato de los empresarios
autónomos en los procesos de actualización (altas, bajas y modificaciones).”

-Además de aplicar la función “hash” sobre el dato del NIF de los empresarios
individuales, ¿aplica CDE la función “hash” también sobre el resto o parte de los datos
de los empresarios autónomos que integran su base de datos? La CDE responde:

“No, el hash únicamente se calcula sobre el dato NIF de los empresarios individuales
con el objeto de disponer de un dato identificativo de cada empresario individual
invariable en el tiempo.”

- Ha afirmado que el “hash” del NIF de los empresarios individuales es parte del Censo
Público de Empresas, pese a que no sea accesible a través de su página web cuyas
consultas solo pueden efectuarse empresa a empresa. ¿Cumple el hash del NIF
alguna función en el proceso de consulta del Censo Público a través de su página
web, por ejemplo, ayudar a discriminar entre empresarios? La CDE responde:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/204

“No, en la consulta del censo público de empresas mediante Internet el hash no
cumple ninguna función. La consulta mediante Internet del censo público que habilita
la Cámara de España a través de su página Web www.camara.es es muy básica. […]
No obstante, el hash es parte integrante esencial del Censo Público de Empresas,
pues sin el hash el propio Censo Público sería imposible de gestionar por parte de
CDE, teniendo en cuenta los cambios de nombres, apellidos, direcciones, etc., tal
como se ha expuesto en la respuesta a la pregunta 6.3 de este escrito.”

--Se solicita que explique cuál es la finalidad o función que cumple y cómo se genera
el “indicador de registro”: un número incluido en el campo “ID” que consta en cada uno
de los registros de empresarios autónomos que figuran en el listado de 500 autónomos
que CDE facilitó a esta Agencia, a requerimiento del inspector actuante, durante las
Actuaciones de Investigación.

La CDE responde:

“Es un identificador numérico que sigue un orden secuencial y se utiliza para
identificar de manera única cada registro en la tabla de origen (fuente de extracción de
la información). Dicho identificador numérico permite realizar acciones unitarias sobre
cada registro, como por ejemplo borrarlo con una sentencia delete, actualizarlo con
una sentencia update, u otras, sin afectación sobre otros registros de la tabla. Es una
práctica habitual que todo registro de BD tenga un identificador único de registro para
poder realizar operaciones unitarias sobre el mismo. Ese identificador único de
registro no identifica al empresario, puesto que un empresario puede tener múltiples
registros en la tabla en función del número de actividades económicas y sedes que
tenga, cada uno de estos ellos (los registros) con un número diferente en el campo
ID.”

--Se solicita la descripción del “sistema” que la CDE viene utilizando para la
transmisión de los datos a CAMERDATA. Se le requiere para que informe y acredite si
la transmisión de datos se ha venido realizando, y desde cuándo, mediante acceso
online o por soporte físico. La CDE responde en estos términos:

“La información se transmite a Camerdata a través de Microsoft OneDrive, mediante el
siguiente procedimiento:
•Cámara de España genera un fichero CSV con el diseño de registro establecido y lo
comprime con contraseña
•Cámara de España genera un fichero CSV que incluye la relación de hashes
correspondientes a los NIFs de los empresarios autónomos
•Cámara de España sube ambos ficheros a una carpeta de su OneDrive corporativo
•Cámara de España comparte el acceso a los ficheros CSV con Camerdata. Dicha
compartición se protege, además, con una contraseña (requerida para la descarga)
•Cámara de España informa a Camerdata por correo electrónico de la disponibilidad
de la información así como de la contraseña requerida para su descarga Una vez que
Camerdata descarga la información, confirma tal circunstancia a la Cámara de España
•Cámara de España elimina la carpeta del OneDrive corporativo Se aportan como
evidencias documentales correos intercambiados con Camerdata referidos a las
cesiones de datos realizadas desde 2023 hasta la actualidad.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/204

-- Se solicita, para el caso de que se trate de una transmisión online de datos:
(i) Que aporte documentación acreditativa de los accesos de CAMERDATA durante
2023 y 2024 y del acceso a las actualizaciones del cuarto trimestre de 2024.

La CDE responde en estos términos:

“Se adjunta documento como Anexo VIII que contiene las evidencias de las cesiones
de información realizadas a Camerdata durante los años 2023 y 2024. Las
actualizaciones del cuarto trimestre de 2024 no están disponibles en este momento.
La última información suministrada por la AEAT estatal es la correspondiente al 2º
trimestre de 2024 y aún no ha sido procesada.”

Se aporta copia de los correos electrónicos intercambiados (folios 2.189 a 2.206)

Se describen a continuación a algunos de los mensajes electrónicos aportados:
1.Bajo la rúbrica ”Envío: actualización de los datos Estatales Trim3-2022.” se aportan
estos mensajes:
1.1.”Correo con el enlace para la descarga.” El correo está remitido en fecha
12/01/2023 a las 13.16h desde una dirección corporativa de la CDE a A.A.A..
1.2. “Correo con las passwords”. Idénticos remitente y destinatario que el 1. Enviado
en la misma fecha a las 12/01/2023 a las 16.12 horas.

2. Bajo la rúbrica “Correo de Camerdata confirmando la descarga” se aportan dos
nuevos email de fecha 13/03/2023:
2.1. Desde la dirección corporativa de Camerdata perteneciente a A.A.A. en el que
dice: “he observado que en este censo ha habido un decrecimiento de 85.000
registros respecto a los anteriores. ¿Me puedes confirmar que el fichero es correcto?”.
2.2. Respuesta desde una dirección de correo corporativo de la CDE:
“Nosotros no modificamos ni rectificamos ningún registro recibido de la AEAT, lo único
que detecté es el aumento de los registros de baja remitidos en las actualizaciones
trimestrales del 22. Por eso imagino esa diferencia de registros, según los datos que
poseemos estarían bien.”

3.- Bajo la rúbrica “Envío: actualización de los datos Estatales Trim4-2022.” se aporta
la copia de estos mensajes electrónicos:
3.1. “Correo con el enlace para la descarga”. Enviado el 21/03/2023 a las 9.50 h,
mismos remitente y destinatario.
3.2. “Correo con las passwords”. Enviado el 21/03/2023 a las 11.55h, mismos
remitente y destinatario.

4.Bajo la rúbrica “Envío: actualización de los datos Estatales a Diciembre de 2022
(Versión 1 de la AEAT)” se envían estos mensajes:

4.1.”Correo con el enlace para la descarga”, de fecha 27/06/2023 a las 9.50h.Enviado
desde la CDE a Camerdata.
4.2. “Correo con la password de descarga” ,de fecha 27/06/2023 a las 9.51.h. Enviado
desde la CDE a Camerdata.
4.3. “Correo de Camerdata confirmando la descarga”, de fecha 27/06/2023 a las
11.51.h Enviado por Camerdata a la CDE.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/204

4.4. “Correo con password de descompresión”, de fecha 27/06/2023 a las 12.25h
enviado desde la CDE a Camerdata.

5. Bajo la rúbrica “Envío: actualización de los datos Estatales Trim1-2023” se aporta la
copia de estos mensajes electrónicos:
5.1.”Correo con el enlace para la descarga”, de fecha 28/07/2023 a las 12.44h,
enviado desde la CDE a Camerdata.
5.2. “Correo de Camerdata confirmando la descarga” que se envía el 01/08/2023 a las
5.31h dirigido a la CDE.
5.3.”Correo con password de descarga y descompresión” enviado el 01/08/2023 a las
9.00h desde la CDE a Camerdata.

-Se solicita que aporte (ii) “el contenido íntegro al que accedió CAMERDATA en 2023
respecto a los mismos 500 empresarios autónomos cuyos registros CDE aportó a esta
Agencia en fecha 21/12/2023 con nombre “Documento_4.xlsx”.

La CDE responde en estos términos:

“Se acompaña como Se acompaña como Anexo IX Fichero ***FICHERO.1 que
contiene los primeros 500 registros correspondientes a empresarios autónomos de la
muestra suministrada por la CDE. Al tratarse de empresarios autónomos los primeros
9 caracteres de cada registro no se corresponden con el NIF, sino con un número
secuencial (identificador numérico de registro) asignado durante el proceso de
generación del fichero que permite vincular cada registro de cada empresario
individual con el HASH de su NIF proporcionado en el fichero ***FICHERO.2”

Examinado el citado documento, Anexo IX, (folios 2.207 a 2.212) se observa que el
primer campo de información es una relación de nueve dígitos presentada sin
separación junto al primer apellido de la persona física. Se reproducen estos registros
del listado aportado: El primero y el décimo.

El primer registro es:

(…)

El décimo registro aportado es:

(…)

--Se solicita a la CDE que, si los hash de los NIF no se transfieren a través de las
operaciones citadas en los puntos anteriores, aporte copia de los registros de la Base
de Datos Cedida, de CDE, donde consten almacenados los hash de los NIF,
calculados por CDE, y transferidos a CAMERDATA asociados a los datos de los 500
empresarios aportados por CDE a esta Agencia en fecha 21/12/2023 con el nombre
“Documento_4.xlsx”.”

La CDE responde en estos términos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/204

“Se acompaña como Anexo X el Fichero ***FICHERO.2 que contiene los HASHES de
los primeros 500 registros correspondientes a los NIFs de los empresarios autónomos
de la muestra suministrada por la CDE.”

Examinado el citado documento, Anexo X, (folios 2.225 a 2.256) se observa que la
relación ofrecida incluye por cada línea (lo que equivale a cada uno de los registros)
una doble información separada por una línea vertical: la primera se compone
exclusivamente de dígitos, nueve en total. La segunda es una información
alfanumérica (treinta y dos elementos) que corresponde al hash.

El primer registro de la lista aportada es:

(...).

El décimo registro de la lista aportada es:

(...)

UNDÉCIMO: Fase de prueba: Pruebas practicadas ante la AEAT. Respuesta

1.Se solicita que aporte:
1.1.Copia de la pantalla “firmar y enviar” de los modelos 36 y 37 en la que conste el
párrafo informativo que reprodujo en su respuesta al requerimiento de la Inspección de
Datos.
1.2. Acreditación documental de que el enlace al que se remite al contribuyente
(https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sedeelectronica/datos-
personales.html) ofrece información sobre las cesiones de los datos del IAE y de los
datos censales que la AEAT tiene previsto realizar.
1.3. En el caso de que desde octubre de 2023 hubiera variado el medio a través del
cual la AEAT ofrece a los contribuyentes la información sobre la cesión de sus datos –
el enlace reproducido en el punto 1.2, tal y como manifestó en su respuesta al
requerimiento de la Inspección de Datos- deberá: (i)indicar el medio a través del cual,
en la actualidad, informa sobre tal cuestión al contribuyente; (ii) facilitar el contenido de
la información ofrecida y (iii) acreditar documentalmente su respuesta. Además (iv),
deberá acreditar documentalmente la fecha en la que tal cambio se habría producido.

2. En su respuesta al requerimiento de la Inspección, la AEAT manifestó (página 3,
final del punto 1): <<Además, en la Sede Electrónica se encuentra disponible el
registro de información suministrada.
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA
E_CamCom08.pdf >>

El primero de los enlaces remite a la página “Intercambio de información del Impuesto
sobre Actividades Económicas”. En ella, bajo la indicación “i” (rodeada con un círculo)
se incluye una relación de enlaces. El penúltimo de la lista se denomina: “Diseño de
Registro del Fichero del Impuesto sobre Actividades Económicas para las Cámaras de
Comercio para la entrega del fichero Anual del ejercicio 2008 y siguientes(24 KB -
pdf)”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/204

Se solicita que informe si tal documento sigue vigente en la actualidad y, por
consiguiente, la información que la AEAT suministra anualmente a las Cámaras de
Comercio sobre datos relativos al IAE se ajusta, en cuanto a contenido y formato, al
patrón de ese documento.

El DPD de la AEAT responde a las cuestiones planteadas:

-Sobre la información facilitada a los interesados conforme al artículo 13 RGPD, dice:
El tratamiento de los datos del Censo se encuentra incluido en el RAT de la Agencia
Tributaria, en la Sede Electrónica. Concretamente, en el tratamiento 5.1 Censo, en el
que se informa, entre otros puntos, de la descripción de la actividad, finalidad, datos y
destinatarios, incluyéndose la “Cámara de Comercio” entre los mismos.

Añade que, cuando se cumplimentan los modelos 36 y 37
(https://sede.agenciatributaria.gob.es/Sede/procedimientoini/G322.shtml?faqId=f90c
bf61ed5d5710VgnVCM100000dc381e0aRCRD), en la pantalla de “firmar y enviar”,
aparece el siguiente texto:

"De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales, se
informa que los datos personales que va a facilitar serán tratados por la Agencia
Estatal de Administración Tributaria con la finalidad de la aplicación efectiva del
sistema tributario estatal y aduanero. Podrá encontrar más información sobre los
posibles tratamientos, cesiones y el procedimiento para ejercer los derechos
establecidos en los artículos 15 a 22 del reglamento en el siguiente enlace
(https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sedeelectronica/ datos-
personales.html)”

Y, además, en la Sede Electrónica se encuentra disponible el registro de información
suministrada:
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drI
AE_CamCom08.pdf

-Sobre los datos que son objeto de cesión se remite al Anexo I del Convenio suscrito
entre la AEAT y la CDE. Reproduce en su respuesta una tabla con la información que
se cede, el procedimiento en el que tiene lugar la cesión y la periodicidad.

Consta que respecto a la “Información” “Datos censales de empresas según art. 14”,
los Procedimientos a los que se destina son (i) Elaboración del censo público de
empresas, (ii) Elaboración del censo electoral y (iii) Otras funciones de carácter público
administrativo atribuidas por la Ley 4/2014. Y la “Periodicidad” es anual.

Respecto a la “Información” “Datos del Impuesto sobre Actividades Económicas según
art. 8 de la Ley 4/2014”, los “Procedimientos” a los que se destina son
(i)Elaboración del censo público de empresas, (ii) Elaboración del censo electoral, (iii)
Otras funciones de carácter público administrativo atribuidas por la Ley 4/2014”. La
“Periodicidad” es anual con actualizaciones trimestrales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/204

-Sobre la base de legitimación y la finalidad de las cesiones de datos por la AEAT a las
Cámaras de Comercio, responde que se basan en la existencia de una obligación
legal (artículo 6.1.c) en relación, por una parte, con la obligación impuesta por el
artículo 8 de la Ley 4/2014 que se desarrolla en el art. 22.3 del Real Decreto 669/2015,
de 17 de julio conforme al cual:

3. La Agencia Estatal de Administración Tributaria, así como las otras administraciones
territoriales competentes en materia tributaria colaborarán con los órganos de
gobierno de las Cámaras para proporcionarles la información necesaria para la
elaboración y constitución de los censos, garantizando que solo tendrán acceso a
dicha información los empleados de cada Cámara que determine el pleno con el
obligatorio deber de sigilo respecto de dichos datos. A tal efecto, la Agencia Estatal de
Administración Tributaria suministrará la información que se desprenda del censo del
Impuesto sobre Actividades Económicas junto con los datos de las empresas que
sean necesarios y que obren en otros censos que ésta elabora y gestiona, en
particular el Censo de Empresarios, Profesionales y Retenedores.

Indica que, “Al margen de dicha obligación legal, para el desempeño del resto de
funciones públicas que desempeñan las Cámaras, la Agencia Tributaria tiene la
obligación derivada del deber de colaboración interadministrativo del art. 141 de la Ley
40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que incluye según
su art. 142.a […] y del art. 28 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas, aplicable conforme a su art.
2.2 a los procedimientos de carácter público-administrativo de las Cámaras Oficiales
de Comercio, Industria, Servicios y Navegación, cuando reconoce al interesado el
derecho a "no aportar documentos que ya se encuentren en poder de la
Administración actuante o hayan sido elaborados por cualquier otra Administración"
imponiendo a las Administraciones el deber de "recabar los documentos
electrónicamente a través de sus redes corporativas o mediante consulta a las
plataformas de intermediación de datos u otros sistemas electrónicos habilitados al
efecto".”

Con el fin de ordenar el suministro de información a las Cámaras en ambos supuestos
se suscribió el convenio con la cámara de comercio.

Se remite a la cláusula Segunda de dicho convenio en la que se especifica la finalidad
de la cesión (Segunda. Finalidad de la cesión de información.)

“La cesión de información procedente de la Agencia Tributaria tendrá como finalidad
exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras
en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el
ejercicio de las mismas, la normativa reguladora exija la aportación de una
certificación expedida por la Agencia Tributaria o la presentación, en original, copia o
certificación, de las declaraciones tributarias de los interesados o de cualquier otra
comunicación emitida por la Agencia Tributaria, en particular en el caso de no
obligados a declarar. En estos supuestos, la información que debe constar en tales
documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte
necesaria para el ejercicio de tales funciones y se refiera a un elevado número de
interesados o afectados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/204

En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar
por las Cámaras.
La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas tendrá como finalidad exclusiva la elaboración del censo público de
empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014
Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
atribuye a las Cámaras, así como la elaboración del censo electoral a que hace
referencia el artículo 17 de la misma Ley.”

DUODÉCIMO: Fase de prueba: Pruebas practicadas ante la Hacienda de la
Comunidad Foral de Navarra. Respuesta

Mediante escrito firmado el 29/10/2024, cuya notificación se efectúa y es aceptada en
la misma fecha, se solicita al organismo autónomo Hacienda Foral de la Diputación
Foral de Navarra (en adelante, HFN) que informe de estos extremos (folios 2.276 a
2279):

-Qué datos personales de los contribuyentes del IAE y los censales de los empresarios
personas físicas son objeto de comunicación por la Hacienda de la Comunidad Foral a
la CDE en cumplimiento de la previsión del artículo 8 de la Ley 4/2014 y con qué
regularidad procede a comunicar a CDE esa información.

-Que informe si los datos de los contribuyentes que han sido comunicados a CDE por
esa Administración Tributaria han sido, únicamente, los relativos a empresarios o si se
han cedido, además, los de los contribuyentes que desarrollan actividades
profesionales y artísticas

La HFN responde el 08/11/2024 y explica que, en virtud del artículo 156.2 de la Ley
Foral de Haciendas Locales Navarras , los datos que integran el Registro de
Actividades Económicas que gestiona tienen carácter público (folios 2.304 y2.305).

El artículo 156 de la Ley Foral 2/1995, por la que se regulan las Haciendas Locales,
establece:

“1. El impuesto se gestionará por los Ayuntamientos a partir del Registro de
Actividades Económicas.
Dicho Registro se formará anualmente para cada término municipal y estará
constituido por censos comprensivos de los datos identificativos y domicilio fiscal de
todos los sujetos pasivos que ejerzan actividades económicas, del domicilio y epígrafe
o subepígrafe de la actividad, así como de la cuota nacional, territorial o mínima
municipal por la que tributen.
[…]
2. El citado Registro anual, con excepción de los datos del domicilio fiscal, estará a
disposición del público durante todo el año natural en la página web de la Hacienda
Tributaria de Navarra.
Sin perjuicio de lo establecido en el párrafo anterior también se permitirá el acceso,
por la misma vía, a los siguientes datos que figuren en el Registro de Actividades
Económicas en el momento de realizar la consulta: los identificativos de los sujetos
pasivos que ejerzan actividades económicas, así como el domicilio y el epígrafe o
subepígrafe de la actividad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/204

Se forma anualmente para cada término municipal y estará constituido por censos
comprensivos de los datos identificativos y domicilio fiscal de todos los sujetos pasivos
que ejerzan actividades económicas, del domicilio, epígrafe, subepígrafe de la
actividad y cuota tributaria.” (El subrayado es nuestro)

DECIMOTERCERO: Valoración del resultado de las pruebas practicadas

A tenor del resultado de las pruebas practicadas se estima acreditado:

-Que, sin perjuicio del alcance de la habilitación que la Ley 4/2014 otorga a CDE para
elaborar un censo público de empresas (artículos 8 y 21.1 en relación con el 5.1.g), el
convenio suscrito con la AEAT dice expresamente que la información que la AEAT
remite a CDE está vinculada a los fines que la justifican y para los que se solicita y
prohíbe expresamente la cesión de la información a terceros: “En cualquier caso, el
destinatario no podrá ceder a terceros la información remitida por la Agencia
Tributaria.”

-Que CDE publica en su web corporativa el censo público de empresas -entendida
esta expresión con el alcance que deriva de la habilitación legal que le otorga la Ley
4/2014- y que el censo público de empresas no incluye el dato del NIF.

-Que en su web corporativa CDE informa con claridad de que lo que publica es el
“Censo Público de Empresas” en el sentido anteriormente indicado. Esto sin perjuicio
de la confusión de conceptos y términos en la que incurre en sus escritos de respuesta
a la Inspección, de alegaciones al acuerdo de inicio, de respuesta a las pruebas y,
particularmente en el contrato de cesión de base de datos suscrito con CAMERDATA.

-Que a tenor del contrato suscrito entre CDE y CAMERDATA se evidencia claramente
que en él está previsto que sea objeto de la cesión el dato del NIF de los autónomos.

-Que en el contrato entre CDE y CAMERDATA se evidencia que los fines para los que
CAMERDATA tratará los datos están relacionados con el marketing y que una vez
incorporados a su propia base de datos (Fichero de Empresas Españolas) puede
cederlos a terceros. La finalidad del tratamiento resulta de la información que
CAMERDATA ofrece en el “Aviso Legal del uso del portal y de los servicios” que se
incorporó al expediente mediante diligencia del inspector actuante de fecha
18/10/2023, incorporada también a efectos probatorios mediante diligencia del órgano
instructor.

-Que de las respuestas a las pruebas que se practicaron en la fase probatoria ante
CDE y de la documentación aportada con ellas resulta:

1. Que “La información se transmite a Camerdata a través de Microsoft OneDrive,
mediante el siguiente procedimiento:
•Cámara de España genera un fichero CSV con el diseño de registro establecido y lo
comprime con contraseña
•Cámara de España genera un fichero CSV que incluye la relación de hashes
correspondientes a los NIFs de los empresarios autónomos
•Cámara de España sube ambos ficheros a una carpeta de su OneDrive corporativo
•Cámara de España comparte el acceso a los ficheros CSV con Camerdata. Dicha
compartición se protege, además, con una contraseña (requerida para la descarga)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/204

•Cámara de España informa a Camerdata por correo electrónico de la disponibilidad
de la información así como de la contraseña requerida para su descarga Una vez que
Camerdata descarga la información, confirma tal circunstancia a la Cámara de España
•Cámara de España elimina la carpeta del OneDrive corporativo Se aportan como
evidencias documentales correos intercambiados con Camerdata referidos a las
cesiones de datos realizadas desde 2023 hasta la actualidad.”

2. Que cuando se solicita a la CDE que aporte copia de los registros de la Base de
Datos Cedida donde consten almacenados los hash de los NIF, calculados por CDE, y
transferidos a CAMERDATA asociados a los datos de los 500 empresarios aportados
por CDE a esta Agencia en fecha 21/12/2023 con el nombre “Documento_4.xlsx,
responde:

Y examinado el citado documento, Anexo X, (folios 2.225 a 2.256) se observa que la
relación ofrecida incluye por cada línea (lo que equivale a cada uno de los registros)
una doble información separada por una línea vertical: la primera se compone
exclusivamente de dígitos, nueve en total. La segunda es una información
alfanumérica (treinta y dos elementos) que corresponde al hash. Se transcriben los
registros 1 y 10 de la lista facilitada:

El primer registro de la lista aportada es:
(...).
El décimo registro de la lista aportada es:
(...)

3.Que en el documento aportado con el contenido íntegro al que accedió CAMERDATA
en 2023 respecto a los mismos 500 empresarios autónomos cuyos registros CDE
aportó a la Agencia en fecha 21/12/2023 con nombre “Documento_4.xlsx”, CDE dice
que “al tratarse de empresarios autónomos los primeros 9 caracteres de cada registro
no se corresponden con el NIF, sino con un número secuencial (identificador numérico
de registro) asignado durante el proceso de generación del fichero que permite
vincular cada registro de cada empresario individual con el HASH de su NIF
proporcionado en el fichero ***FICHERO.2”. (El subrayado es nuestro).

Examinado el documento, Anexo IX, aportado en relación con su respuesta (folios
2.207 a 2.212) se observa que el primer campo de información es una relación de
nueve dígitos presentada sin separación junto al primer apellido de la persona física.
Se reproducen los registros 1 y 10 del documento aportado.

El primer registro es:

(...)

El décimo registro es:

(...)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/204

4.Examinado el documento Excel que CDE facilitó a la Agencia en el curso de la
inspección con los registros correspondientes a 500 autónomos dentro de un rango
definido, se comprueba que:

La información vinculada a (...) figura en la tabla Excel con el número de registro 256.
En el campo “ID” figura “2”.

La información vinculada a (...) figura en la tabla Excel con el número de registro nº
165. En el campo “ID” figura “7387”.

DECIMOCUARTO: Propuesta de resolución.

La propuesta de resolución, firmada por el órgano instructor el 05/03/2025, se formula
en estos términos:

“PRIMERO: Que, por la Presidencia de la Agencia Española de Protección de Datos,
se sancione a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN
DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo 6.1 del RGPD,
tipificada en el artículo 83.5.a) del RGPD, con una sanción de multa administrativa
(artículo 58.2.i, RGPD) por importe de 100.000€ (cien mil euros).

SEGUNDO: Que, por la Presidencia de la Agencia Española de Protección de Datos,
se sancione a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓNDE ESPAÑA, con NIF Q2802216H, por una infracción del artículo 5.1.b)
del RGPD, tipificada en el artículo 83.5.a) del RGPD, con una sanción de multa
administrativa (artículo 58.2. i, RGPD) por importe de 100.000€ (cien mil euros).

TERCERO: Que, por la Presidencia de la Agencia Española de Protección de Datos,
se sancione a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN
DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo 5.1.f) del RGPD,
tipificada en el artículo 83.5.a) del RGPD, con una sanción de multa administrativa
(artículo 58.2. i, RGPD) por importe de 100.000€ (cien mil euros).

CUARTO: Que, por la Presidencia de la Agencia Española de Protección de Datos, se
sancione a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN
DESPAÑA, con NIF Q2802216H, por una infracción del artículo 5.1.a) del RGPD,
tipificada en el artículo 83.5.a) del RGPD, con una sanción de multa administrativa
(artículo 58.2. i, RGPD) por importe de por importe de 100.000€ (cien mil euros).

QUINTO: Que, por la Presidencia de la Agencia Española de Protección de Datos, se
sancione a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE
ESPAÑA, con NIF Q2802216H, por una infracción del artículo 14 del RGPD, tipificada
en el artículo 83.5. b) del RGPD, con una sanción de multa administrativa (artículo
58.2. i, RGPD) por importe de por importe de 100.000€ (cien mil euros).

SEXTO: Que por la Presidencia de la Agencia Española de Protección de Datos se
ordene a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/204

ESPAÑA, con NIF Q2802216H, que, en virtud del artículo 58.2.d) del RGPD, en el
plazo de un mes desde que la resolución sancionadora que se dicte fuera ejecutiva
ponga fin a la cesión a CAMERDATA de datos personales de los empresarios
individuales que recibe de las Administraciones tributarias en virtud del artículo 8 de la
Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Servicios, Industria y
Navegación.”

La notificación de la propuesta se efectúa por medios electrónicos siendo la fecha de
puesta a disposición y de aceptación de la notificación el día 05/03/2025.

DECIMOQUINTO: Alegaciones a la propuesta de resolución.

1. CDE, mediante escrito presentado el 13/05/2023, solicita que se amplíe el plazo de
alegaciones por el máximo permitido legalmente. Se responde en la misma fecha
concediendo una ampliación de dos días. La notificación del escrito de ampliación se
pone a disposición el 14/03/2025 y se acepta por CDE el 17/03/2025.

2. En fecha 21/03/2025 CDE presenta su escrito de alegaciones a la propuesta de
resolución en el que solicita que se acuerde el archivo del procedimiento y, con
carácter subsidiario, solicita:
“(i) apreciar la concurrencia de concurso medial y, en su caso, la necesidad de no
sancionar dos veces una misma conducta cuando es el mismo el interés jurídico
protegido” y
“(ii) entender aplicable el artículo 77.2 de la LOPDGDD, al tratarse de una corporación
de Derecho público actuando “para las finalidades del tratamiento [relacionadas] con
el ejercicio de potestades de derecho público”, incluso en la hipótesis de que la
Agencia considere que esa actuación ha sido errónea.” (El subrayado es nuestro)

En defensa de tales pretensiones invoca estos argumentos:

2.1.Con carácter previo, reitera y da por reproducidas las alegaciones formuladas al
acuerdo de inicio.

2.2. En su alegación primera - “Resumen de la controversia”- hace una exposición de
las tesis que defiende sobre las cuestiones centrales que son objeto de debate. Dice a
tal efecto:

- “La Agencia Española de Protección de Datos considera que Cámara de España,
Corporación de Derecho Público que tiene atribuidas funciones jurídico-administrativas
para la “regeneración del tejido económico y la creación de empleo” (Exposición de
Motivos de la Ley 4/2014), y entre ellas la de “gestionar (…) un censo público de todas
las empresas” se equivoca cuando, en ejercicio de sus funciones jurídico-públicas,
considera que dentro de estas funciones está incluida la de publicar ese censo y dar
acceso al mismo a los interesados. Curiosamente, la Agencia entiende que sí está
incluida la publicación en Internet a través de una base de datos accesible online, pero
no está iincluida la publicación mediante su cesión a las entidades que lo soliciten.”
(El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/204

CDE se pregunta a continuación qué distinción existe “entre una y otra forma de
publicación” y añade que no desnaturaliza la finalidad de la publicación ni la convierte
en lucrativa el hecho de que perciba un precio que no llega a cubrir el coste del
procesamiento informático de la información.

Afirma que, a su entender, el mandato legal de “gestionar el Censo Público incluye la
obligación de hacerlo público por ambos medios”; que la “Ley no establece distinción
alguna” y que la AEPD la estaría suplantando en la determinación de cuál es el medio
idóneo para su publicación.

2.3. En la alegación tercera, “Vicios del procedimiento”, invoca “dos vicios graves”
que, afirma, le han causado indefensión.

1º. Alega que “se ha omitido uno de los tres trámites de audiencia necesarios, el
inmediatamente anterior a la propuesta de resolución”; el “trámite de audiencia
exigido por el artículo 82 de la Ley 39/2015.”

La explicación que ofrece es la siguiente: en el procedimiento administrativo
sancionador “es preceptivo el trámite de audiencia en tres momentos diferentes: (i) en
el acuerdo de inicio del procedimiento (artículo 64.2.f) de la Ley 39/2015), antes de
tramitar la instrucción del procedimiento (y por consiguiente la prueba), (ii) una vez
“instruidos los procedimientos, e inmediatamente antes de redactar la propuesta de
resolución” (es decir, después de practicada la prueba pero antes de redactar la
propuesta de resolución) (artículo 82.1 de la Ley 39/2015, que no establece excepción
alguna para el procedimiento sancionador), y (iii) después de redactar la propuesta de
resolución del instructor, por tanto ya fuera del ámbito de actuación de éste, pero
antes de que se dicte la resolución sancionadora (artículo 89.2 de la Ley 39/2015).
Sorprendentemente, en este procedimiento se ha omitido el segundo, causando
indefensión.”

Invoca en apoyo de su tesis la STSJ de la Comunidad Valenciana 231/2020, de 12 de
mayo, FD 4º (Rec.37/2018) y STS de 11/11/2024 (Rec. 2960/2023),
ECLI:ES:TS:2024:5358.

Explica cuál es a su entender la finalidad o razón de ser del trámite del artículo 82 de
la LPACAP que esta Agencia habría omitido: garantizar que el instructor conozca el
punto de vista del interesado sobre el resultado de las práctica de la prueba “antes y
no después de la propuesta de resolución para que el escrito de alegaciones sea
tenido en cuenta en la elaboración de la propuesta de resolución”. Y añade: “si se le
hubieran puesto de manifiesto el procedimiento antes de evacuar la propuesta de
resolución, podría haber solicitado nuevos medios de prueba […] lo que no resulta
posible ya una vez cerrada -sin oírle- la instrucción y por tanto también el trámite de
prueba incluido en ella.”

Adelanta ya la decisión que ha tomado de hacer valer en vía contencioso-
administrativa la indefensión generada ante “la falta de sensibilidad en relación con
este punto por parte de la Agencia.”

2º. Alega que en la propuesta de resolución “se han modificado los tipos infractores
imputados a esta parte impidiendo que en fase de prueba esta parte pudiera solicitar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/204

la prueba de descargo correspondiente.” Afirma: “No es verdad que los hechos sean
diferentes de los que se afirmaron en el acuerdo de inicio, pues la audiencia dada a
Camerdata, S.A. y la incorporación de los escritos de alegaciones de ésta han dado
lugar a hechos nuevos.”

Dice CDE: “Cuesta creer que el Instructor, tras leer el certificado de Camerdata, S.A.
firmado el 16 de mayo de 2024 en el que dice que Camerdata, S.A. “obtiene los NIFs
por sus propios medios” (transcrito en la página 85/152 de la propuesta de resolución)
dado que solo recibe datos encriptados “con algoritmo MD5”, y tras recibir tanto de
Cámara de España como de Camerdata, S.A. listados con la información cedida por la
primera a la segunda en relación con 500 empresarios autónomos cada una, de la que
claramente resulta que esa información no contiene los NIFs de esos empresarios
autónomos, siga diciendo que no hay hechos nuevos (razón por la que pueden
modificarse los tipos infractores imputados) y que Camerdata, S.A. recibe los NIFs de
Cámara de España, dado que los NIFs están a su juicio incluidos en el Censo Básico
de Empresas (folio 100/152), lo que no es cierto (solo lo está el “hash”, que también
está incluido en el Censo Público de Empresas aunque no en la parte limitada de éste
que se muestra en Internet para consulta individualizada -por no ser necesario para
este fin).”

2.4. En su alegación cuarta, bajo la rúbrica “Ausencia de perjuicios ocasionados a los
supuestos afectados”, CDE hace estas manifestaciones:

Sostiene que “el artículo 65 de la LOPDGDD resalta la idea de que las infracciones lo
son cuando se cause perjuicio al afectado.” (Página 8 de su escrito).

En idéntico sentido dice: “Tanto el Reglamento General de Protección de Datos como
la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales exigen
que para el ejercicio de las facultades sancionadores que corresponde a las
autoridades de Protección de Datos se acrediten un perjuicio en los derechos
fundamentales de al menos algún interesado […].” (Página 9 de su escrito).

Afirma también que: “la acción sancionadora de la AEPD sólo puede operar si se
produce un perjuicio cierto en los derechos de los afectados, no en otro caso. Y en el
caso que nos ocupa no se ha acreditado perjuicio alguno para nadie, por lo que la
AEPD nunca debería haber puesto en marcha el presente procedimiento
sancionador.” (Página 10 de su escrito)

En consonancia con tales afirmaciones subraya que “en el presente caso no ha
quedado demostrado en absoluto que se haya causado algún perjuicio para los
interesados” (página 8); que “la Agencia no acredita en absoluto el posible perjuicio
que se haya podido ocasionar a los hipotéticos afectados” y que CAMERDATA trata
datos de un total de 1.665.049 autónomos, “Es decir, el número de hipotético
afectados es muy elevado, y ninguno de ellos, nunca, ha presentado ninguna
reclamación.”

Además, menciona la SAN de 23/12/2022 (Rec.104/2021), sobre la que comenta que
la Audiencia Nacional anuló la resolución de la AEPD de 18/11/2020 (PS/000070/2019)
“al considerar que no era de recibo que la Agencia, tras recibir cinco reclamaciones de
otros tantos interesados, “se vale de las mismas para abrir una especie de causa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/204

general contra la política de privacidad” de la entidad denunciada”. Y a renglón
seguido nos recuerda que la indicada SAN fue revocada por la STS, Sala tercera, de
11/11/2024 (Rec. 2960/2023) ECLI:ES:TS:2024:5358, todo ello a fin de introducir el
siguiente comentario aclaratorio de los motivos por los cuales se revocó la Sentencia
dictada por la A.N, motivos que, nos advierte CDE, no concurren en el supuesto que
nos ocupa:

“Pero esta Sentencia revoca la de la Audiencia Nacional porque el procedimiento
incoado por la AEPD era “un procedimiento sancionador que tuvo su origen en cinco
reclamaciones formuladas por diferentes clientes de la entidad” sancionada, de modo
que existía una relación directa entre los reclamantes (por pequeño que fuese su
número) y la actuación del responsable sancionado. Sin embargo, en nuestro caso
nos encontramos ante la denuncia de una Asociación que pretende llevar a cabo una
cruzada en favor de la protección de datos, pero que nada tiene que ver con la
defensa de los interesados afectados. Reiteramos que ningún interesado ha
presentado reclamación alguna a lo largo de todos los años en que lleva operando el
sistema de publicidad del censo de empresas que se discute en el presente
procedimiento.”

En esta alegación tercera CDE dice en dos ocasiones ser conocedora de que “la
AEPD puede actuar de oficio” pero acompaña esa declaración de conocimiento con
diversos comentarios respecto a la Asociación cuya denuncia fue el vehículo
transmisor de unos hechos que esta Agencia, en el ejercicio de las funciones que tiene
encomendadas acordó investigar. Manifiesta que la Agencia no ha acreditado si la
Asociación que interpuso una denuncia sobre hechos que le llevaron a acordar la
apertura de una investigación de oficio, “representa o no intereses de afectados, si es
o no una asociación de defensa de los consumidores y usuarios, si en definitiva su
denuncia significa que alguien ha considerado violado su derecho a la protección de
datos.”

2.5.En su alegación cuarta, bajo la rúbrica “No se ha cedido el NIF, sino el “Hash”, y el
tipo infractor requiere cesión voluntaria”, declara:

Que “La propuesta confunde una y otra vez la información que se publica en Internet
para su consulta individualizada con el Censo Público de Empresas, y diferencia de
forma incorrecta entre el Censo Público de Empresas y el Censo Básico de Empresas
y la Base de Datos cedida”.

“El Censo Público de Empresas es el que elabora Cámara de España, e incluye el
“hash” pero no el NIF (que Cámara de España tiene, porque lo ha recibido de las
autoridades tributarias, pero no usa directamente en el Censo Público de Empresas,
sino tan solo su “hash”). Exactamente lo mismo sucede con el Censo Básico de
Empresas (también llamado Base de Datos Cedida, que en ambos casos es una
versión en fecha determinada del Censo Público de Empresas, para su cesión a
Camerdata, S.A.: solo difiere del Censo Público de Empresas en que éste se actualiza
constantemente, y aquéllos se forman solo una vez cada cierto tiempo, cuando
corresponde ceder los datos a Camerdata, S.A.) Los tres documentos (en realidad,
dos, ya que los dos últimos son idénticos) prescinden del NIF y utilizan exclusivamente
el “hash”, como ha quedado acreditado mediante la prueba practicada por la Agencia
(que ha consultado 500 registros de empresarios individuales de Cámara de España y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/204

otros 500 de Camerdata, S.A., sin encontrar un solo NIF, sino tan solo “hashes”). Esto
se explicaba con claridad en el documento presentado por esta parte como
contestación al requerimiento del Instructor de 16 de septiembre de 2024. Por tanto,
no es cierto lo que se dice en la página 100 de la propuesta de resolución: ha quedado
demostrado que Cámara de España no cede a Camerdata, S.A. NIFs sino solo
“hashes”.

La respuesta dada en su día al Inspector según la cual se cedían los NIF era
claramente
incorrecta, y fue más tarde corregida, y así se ha demostrado durante la inspección
(en la que, como se ha dicho, se ha comprobado lo que realmente se cedía). Y el
contrato anterior al RGPD se comprende que hablara de NIFs, pero es irrelevante
porque la práctica se cambió tras la entrada en vigor del RGPD, y está acreditado que
lo que realmente sucede (que es lo único susceptible de sanción) no es lo que preveía
ese antiguo contrato anterior al RGPD.

Que el “hash” forma parte del Censo Público de Empresas es un hecho cierto. El
Instructor pretende probar lo contrario afirmando que en la información que se publica
en Internet de forma individualizada el “hash” no aparece. Pero “Censo Público de
Empresas” e “información publicada de forma individualizada en la página web de
Cámara de España” no es lo mismo. Ello obedece a una causa: el “hash” solo es
necesario cuando se tratan miles o millones de datos, no cuando se hace una consulta
individualizada, y es un dato de trabajo para la gestión masiva de datos, no un dato
que
interese al ciudadano. En efecto, como se ha dicho varias veces (incluido el escrito de
alegaciones al acuerdo de incoación), sin el “hash” ni el NIF el Censo Público de
Empresas es ingestionable, y lesionaría el derecho a la protección de datos de
muchos
empresarios individuales, puesto que si no se tiene ni el “hash” ni el NIF se confunden
empresarios con los mismos nombres y apellidos, empresarios que han cambiado de
apellidos, empresarios que han cambiado de nombre y/o de sexo, etc. La calidad del
Censo Público de Empresas sería muy deficiente, y el número de errores muy alto, si
no incluyera el “hash” o el NIF. Puestos a elegir, es mejor incluir el “hash” que no el
NIF.

Y en caso de cesión masiva de datos incluidos en el Censo Público de Empresas
resulta, por el mismo motivo, imprescindible ceder el Censo Público de Empresas
completo, con los “hashes”, para que quien lo reciba pueda evitar estos mismos
errores.

Siendo eso así, el Instructor considera que el “hash” es un NIF pseudonimizado, no
anonimizado, porque cree que es posible obtener el NIF a partir del “hash” mediante
una operación compleja (consistente en aplicar la misma encriptación a todos los
posibles NIFs de españoles, manejando decenas de millones de datos, y buscar en
ellos la equivalencia entre un “hash” determinado y un NIF). Se trata de un
procedimiento de
“ataque mediante fuerza bruta”, sin duda ingenioso, desconocido para Cámara de
España con anterioridad, y sorpresivo para ésta. Lo que se pretendía mediante el uso
del “hash” no era pseudonimizar los datos, sino anonimizarlos, de modo que nadie

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/204

pudiera obtener el NIF a partir del “hash”. Si no se ha logrado del todo, ello desde
luego es ajeno a la intención de Cámara de España.

A juicio de esta parte, con independencia de que el tratamiento merezca la calificación
de “anonimización” o bien sea una mera “pseudonimización”, lo que es cierto es que
Cámara de España, al utilizar una encriptación irreversible (pues en efecto lo es: no
cabe desencriptar el “hash” de forma individualizada), buscaba anonimizar y no
pseudonimizar los datos y no deseaba cederlos (por considerar suficiente la cesión del
“hash” incluido a tal efecto en el Censo Público de Empresas). Esa intención es
relevante en un procedimiento sancionador por cesión de datos sin base legitimadora,
porque no hay cesión cuando hay “hackeo” a través del sistema de ataque mediante
fuerza bruta.

No existe la más mínima prueba (ni puede existir, porque es falso) que Cámara de
España quisiera ceder los NIFs de empresarios individuales a Camerdata, S.A. Y los
tipos infractores imputados (cesión ilegal, deslealtad, tratamiento contrario a la
finalidad
establecida, falta de comunicación de la cesión a los interesados) presuponen todos
ellos una cesión voluntaria, que no se ha producido.

Lo único que sí quería ceder Cámara de España son los restantes datos, distintos del
NIF, incluidos en el Censo Público de Empresas. Llama la atención que al Instructor le
parezca que dentro de la “gestión” del Censo Público de Empresas entra la
publicación de los datos (distintos del NIF) de forma individualizada en la página web,
pero no la publicación de esta misma información (al margen de los “hashes” y los
NIFs, que han sido tratados anteriormente) de forma conjunta y legible por una
máquina. Lo cual nos conduce al siguiente epígrafe: ¿había base legitimadora?”

2.6.En su alegación quinta, bajo la rúbrica “Había base legitimadora para ceder la
información (Dejando aparte los “Hashes” y NIFS). No se han cometido las
infracciones imputadas”, CDE declara que “no ha cometido ninguna de las
infracciones que se le atribuyen en la Propuesta de Resolución” y, en este epígrafe
(cuyo título menciona la ausencia de base jurídica para la cesión) incluye las
consideraciones sobre todas las infracciones imputadas:

a) “CDE no cede a Camerdata, S.A. el NIF de las personas físicas”

CDE no cede a Camerdata, S.A. el NIF de las personas físicas, de manera que no
infringe la normativa sobre protección de datos.
Sobre esta cuestión, cabe insistir en los siguientes puntos, que ya fueron puestos
de manifiesto:

• En el certificado firmado por B.B.B., ***PUESTO.1, el día 16 de mayo de 2024
(“el Certificado”), se indica por dicha entidad que “El algoritmo empleado es de tipo
HASH o huella única y tiene como principal característica que no es posible
obtener el valor de entrada (NIF) correspondiente a un valor de salida (HASH o
huella MD5). Por consiguiente, Camerdata, S.A. obtiene el NIF por sus propios
medios” (énfasis añadido). Es una afirmación rotunda y esencial, ya que
Camerdata, S.A. reconoce y afirma que CDE no le cede el NIF de las personas
físicas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/204

• El contrato celebrado entre CDE y Camerdata, S.A. el 15 de febrero de 2016 (en
lo sucesivo, “el Contrato”), dejaba claro que el NIF de las personas físicas no se
incluía en la Base de Datos Cedida, que contiene “únicamente” los datos a que se
refiere la cláusula 12.2:

“Asimismo manifiesta la Cedente que la Base de Datos Cedida y sus
actualizaciones contiene datos relativos a empresarios individuales y a datos de
personas físicas que prestan sus servicios a personas jurídicas, relativos
únicamente al nombre y apellidos, las funciones o puestos desempeñado, así
como la dirección postal o electrónica, teléfono y número de fax profesionales,
todo ello de conformidad con lo dispuesto en el artículo 2 RLOPD”.

Es Camerdata, S.A. la que, por medios propios, consigue el dato del NIF.

b)”En relación con la presunta infracción del principio de licitud del tratamiento (art.
6.1 del RGPD)”

Declara que no ha infringido el precepto ya que tiene una base de legitimación
para el tratamiento “que es la relativa al interés público (art. 6.1.e) del RGPD), y en
virtud de ésta elabora y publica, como parte de la gestión del Censo Público de
Empresas que tiene encomendada por la Ley 4/2014.

Los tratamientos que CDE lleva a cabo se realizan sobre la correspondiente base
de legitimación, ya que (i) el artículo 5.1.g) (en relación con el 8) de la Ley 4/2014
el que obliga (impone una obligación legal que le es exigible) a CDE a gestionar
“un censo público de todas las empresas, así como de sus establecimientos,
delegaciones y agencias radicados en su demarcación”, y (ii) para la publicación
de dicho censo se recurre a Camerdata, S.A., lo que supone actuar en virtud del
interés público.

Es necesario recordar que CDE no cede a Camerdata, S.A. el NIF de las personas
físicas, de manera que tampoco puede cometerse la infracción que se le atribuye.”

c) En relación con la presunta infracción del principio de limitación de la finalidad
(art. 5.1.b) del RGPD)

Afirma que “no ha infringido el principio de limitación del tratamiento (art. 5.1.b) del
RGPD), ya que, en su caso, la infracción habría sido cometida por Camerdata,
S.A. y no por CDE.

CDE proporciona a Camerdata, S.A. la Base de Datos Cedida para cumplir con la
obligación legal de dar publicidad al Censo Público de Empresas establecida en la
Ley 4/2014, como ya se ha indicado. Si Camerdata, S.A., como un responsable
independiente del tratamiento, decide sobre el tratamiento de los datos personales
para otros fines, sus propios fines, es algo ajeno a CDE.

Debe recordarse una vez más que en el Contrato, la cláusula 12.1, obliga a
Camerdata, S.A., en su condición de Cesionaria, a “observar y cumplir

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/204

estrictamente y en todo momento, los derechos y obligaciones de cada una en
materia de acceso, tratamiento y cesión de datos”(énfasis añadido).

Imputar a CDE una infracción que no ha cometido vulneraría el principio de
responsabilidad personal que impide que alguien pueda ser sancionado por
hechos ajenos (STC 219/1988, de 22 de noviembre, Fundamento Jurídico 3º).”

d) En relación con la presunta infracción del principio de confidencialidad de los
datos (art. 5.1.f) del RGPD)

Manifiesta que “tampoco ha infringido el principio de confidencialidad de los datos
ya que, por una parte, en el censo público de empresas no consta el dato del NIF,
como señala la propia AEPD en su Acuerdo de Inicio, y, por otra parte, como ya se
ha expuesto, Camerdata, S.A. ha manifestado que CDE emplea un algoritmo del
que “no es posible obtener el valor de entrada (NIF) correspondiente a un valor de
salida (HASH o huella MD5)”.

Ni CDE transfiere el dato del NIF de empresarios individuales a Camerdata, S.A. ni
ésta lo recibe de aquélla, por lo que CDE no ha infringido el principio de
confidencialidad de los datos.

CDE cumple con las obligaciones que le son exigibles en materia de seguridad de
los datos, tanto con la Ley 4/2014 al garantizar la confidencialidad de los datos que
las Administraciones tributarias le proporcionan como con el Reglamento General
de Protección de Datos (RGPD), al haber aplicado el encriptado irreversible del
NIF de los empresarios individuales cuando transfiere la información a Camerdata,
S.A.

Atribuir a CDE la infracción del artículo 5.1.f) del RGPD obvia, una vez más, el
principio de responsabilidad personal, ya que CDE adoptó medidas para cumplir
con el principio de confidencialidad, tal como se ha explicado de manera reiterada
e insistente.”

e) En relación con la presunta infracción del principio de lealtad del tratamiento
(art. 5.1.a) del RGPD)

CDE afirma que tampoco ha infringido este principio. Dice que “Uno de los
cambios de calificación jurídica en fase de propuesta de resolución es la
apreciación de que se ha producido una violación del principio de lealtad (pág. 107
de la propuesta). Sin perjuicio de las alegaciones que se formulan en el presente
escrito en relación con la indefensión producida a esta parte al no haberse
acordado el trámite de audiencia previo a la propuesta de resolución, debemos
señalar con todo respeto, pero asimismo con enorme contundencia, que Cámara
de España para nada ha infringido dicho principio.

En primer lugar, Cámara de España no ha ocultado en ningún caso a la AEAT la
cesión de datos a CAMERDATA. El tratamiento de datos por parte de ésta (que en
lo que a CDE se refiere no debería haber incluido el dato del NIF pues Cámara de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/204

España no cedió dicho dato a CAMERDATA) era de sobra conocido por la Agencia
Tributaria. CDE en ningún caso ha actuado de forma engañosa o no honrado.

La Agencia Tributaria era conocedora de la cesión de datos. Prueba de ello es que
en fecha 19 de diciembre de 2023 la Agencia Tributaria firmó la renovación del
Convenio con Cámara de España (publicado en el Boletín Oficial del Estado de 16
de febrero de 2024). Es decir, en una fecha posterior al requerimiento recibido de
la AEPD en octubre de 2023 y también posterior al 2 de noviembre 2023, día en el
que el delegado de protección de datos de la AEAT respondió a la AEPD (pág. 6
de la propuesta de resolución).

En segundo lugar, como ya se ha señalado, la cesión a CAMERDATA, S.A. del
Censo Público de Empresas es consustancial a la finalidad de hacer pública la
información contenida en el mencionado Censo Público de Empresas, finalidad
expresamente contemplada en el Convenio con la AEAT, publicado en el Boletín
Oficial del Estado. No hay por tanto falta de lealtad, siendo los titulares de los
datos a efectos del cumplimiento de la normativa sobre protección de datos los
empresarios individuales y no las Administraciones tributarias.

En tercer lugar, habiendo recibido CDE la cesión de datos de las Administraciones
tributarias y teniendo en cuenta el relevante número de interesados, que la
información al interesado resulta imposible o exige esfuerzos desproporcionados
es manifiesto.

Y en cuarto lugar, la Ley 4/2014 obliga a CDE a la publicación del Censo Público
de Empresas, con la que ha cumplido y por lo que no es posible atribuirle una
infracción que no ha cometido.

Teniendo en cuenta lo ya expuesto, es evidente que la AEAT y los afectados
conocían la existencia del censo público de empresas puesto que se trataba de un
censo que se publica desde hace años.

Y también son conscientes de la cesión de los datos a CAMERDATA, S.A. Ni la
AEAT ha requerido en ningún momento a CDE o a CAMERDATA que cesasen en
la publicidad del Censo en el modo en que se articuló en base al Convenio de 15
de febrero de 2016, ni ningún hipotético afectado ha presentado reclamación
alguna contra CDE por tal publicidad durante todos estos años. Pretender, sin
prueba o evidencia alguna, que CDE ha actuado de forma desleal en relación con
el colectivo cuyos intereses debe defender es algo carente totalmente de razón.

f) En relación con la presunta infracción del principio de la información a los
interesados (art. 14 del RGPD)

CDE no ha cometido infracción alguna de manera que no le es imputable la
infracción del artículo 14 del RGPD y tampoco es aplicable el principio de
culpabilidad en materia de Derecho Administrativo sancionador.

A pesar de que la AEPD señala que CDE no ha acreditado que hubiera efectuado
y documentado una evaluación del esfuerzo que representa informar a los
interesados, el esfuerzo es a todas luces desproporcionado, siendo el número de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/204

afectados puesto de relevancia por la propia AEPD en su Propuesta de Resolución
(casi un millón y medio).

No puede imputarse a CDE la comisión de esta infracción cuando la Ley 4/2014 le
obliga a la confección del censo público de empresas, que es lo que ha hecho. Y
también, cuando CDE no ha cedido el NIF de las personas físicas a Camerdata,
S.A., por lo que no procedía informar de un tratamiento que no se lleva a cabo.”

2.7.La alegación sexta lleva por rúbrica “Se está sancionando cinco veces por una
sola infracción. El instructor está olvidando el concurso medial.”

Con carácter subsidiario, para la hipótesis de que fueran rechazados los
argumentos anteriores, aduce lo siguiente:

a) Que se está sancionando varias veces la misma conducta, siendo los mismos
los sujetos, hechos y fundamento o bien jurídico protegido.

Indica que en la propuesta de resolución se imputó a CDE la comisión de las
siguientes infracciones del RGPD:

“— Una infracción del artículo 6.1 del RGPD (“principio de licitud”), por transferir a
CAMERDATA datos de empresarios individuales que obran lícitamente en su
poder al haberlos recibido de las Administraciones tributarias sin una base de
legitimación adecuada conforme al RGPD.
— Una infracción del artículo 5.1.b) del RGPD (“principio de limitación de la
finalidad del tratamiento”), porque, según la Propuesta de Resolución, “la finalidad
del tratamiento originario que Cámara de España de los datos obtenidos de las
Administraciones tributarias y la del tratamiento ulterior, la cesión a CAMERDATA,
son claramente distintas e incompatibles”.
— Una infracción del artículo 5.1.f) del RGPD (“principio de confidencialidad”), por
“incumplir la obligación de garantizar la confidencialidad del dato del NIF de los
autónomos que recibe lícitamente de las Administraciones Tributarias al amparo
del artículo 8 de la Ley 4/2014”.
— Una infracción del artículo 5.1.a) del RGPD (“principio de lealtad”), porque “la
cesión que la CDE hace a CAMERDATA de los datos de los autónomos constituye,
desde la perspectiva de sus titulares, un tratamiento engañoso” y “que la cesión se
realiza sin que exista ninguna expectativa razonable de que un tratamiento de esta
índole pudiera llegar a efectuarse; que ha existido una total falta de información
sobre la existencia de este tratamiento y que la CDE ha ignorado los efectos
adversos que el tratamiento puede provocar en los interesados”
— Una infracción del artículo 14 del RGPD (“información que deberá facilitarse
cuando los datos personales no se hayan obtenido del interesado”), por no haber
informado a los interesados de la cesión de sus datos personales a CAMERDATA.”

Considera CDE que en “todos estos casos” “concurre la triple identidad de sujeto,
hecho y bien jurídico protegido, que sería la cesión por ésta a CAMERDATA de los
datos personales de los empresarios autónomos, y en especial el NIF. “

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/204

Dice que “Son varios nombres aplicados a la misma realidad: si hay una cesión sin
base legitimadora por realizarse, según la propuesta de resolución, para una
finalidad ajena a las jurídico-administrativas atribuidas a Cámara de España, y por
ese motivo se han cedido datos indebidamente (es decir, que debieron
conservarse confidenciales en lugar de cederse), y todo ello se considera desleal
porque no se informó al interesado (al creer Cámara de España que había una
base legitimadora para la cesión que hacía innecesaria la información al
interesado), y por tanto contrario al deber de informar al interesado, todo ello no
sería (en el caso de serlo) sino una y la misma infracción: ceder datos personales
(en particular los NIFs) sin base legitimadora. Pues si existiera la base legitimadora
invocada para ese tratamiento en que consiste la cesión (art. 6.1.c) y 6.1.e)), ni se
habría incumplido el deber de respetar la finalidad del tratamiento, ni se habría
vulnerado deber alguno de confidencialidad, ni la conducta sería desleal ni habría
que informar a los interesados.”

Indica que, “para esta hipótesis, procedería por tanto sancionar solo una vez, por
violación del artículo 6.1 del RGPD, por ser la más grave de las cinco infracciones
imputadas y por considerar que el reproche de las otras cuatro está incluido en el
de la primera “

Como ha señalado al respecto el Comité Europeo de Protección de Datos en
materia de concurrencia de infracciones

3.1.1. Concurso de infracciones
El principio de concurso de infracciones (también denominado «concurso
aparente» o «falso concurso») se aplica siempre que la aplicación de una
disposición impida o abarque la aplicabilidad de la otra. En otras palabras, el
concurso ya se produce en el nivel abstracto de las disposiciones legales. Esto
podría basarse en los principios de especialidad, subsidiariedad o consunción, que
se suelen aplicarse cuando las disposiciones protegen el mismo interés jurídico.
En tales casos, sería ilegal sancionar dos veces al infractor por la misma
infracción.
En caso de concurso de infracciones, la cuantía de la multa debe calcularse
únicamente sobre la base de la infracción seleccionada con arreglo a las normas
anteriores (infracción prevalente)”1 (énfasis añadido).
La debida aplicación del principio ne bis in idem, como principio general del
Derecho,
supone que esté prohibida la imposición de varias sanciones administrativas
cuando, como ocurre en este caso, concurren identidad del sujeto infractor, hecho
y fundamento de las infracciones que se imputan a Cámara de España.

No aplicar del citado principio implicaría también una vulneración del principio de
proporcionalidad en la imposición de sanciones administrativas, ya que como ha
señalado el Tribunal Constitucional “aplicada una determinada sanción a una
específica infracción, la reacción punitiva ha quedado agotada” (énfasis añadido)
(STC 154/1990, de 15 de octubre, Fundamento Jurídico 3º).

b) Existe concurso medial

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/204

Sostiene CDE que varias de las infracciones imputadas están relacionadas entre
ellas con concurso medial, regulado en el artículo 29.5 de la LPACAP, que el
Instructor ha ignorado. Este precepto indica que “cuando de la comisión de una
infracción derive necesariamente la comisión de otra u otras, se deberá imponer
únicamente la sanción correspondiente a la infracción más grave cometida”.

Y explica: “Tal es el caso presente: una cesión sin base legitimadora (porque la
base legitimadora existente no cubre -a juicio de la Agencia- la finalidad del
tratamiento perseguida mediante la cesión) comporta necesariamente una nueva
finalidad del tratamiento distinta de la que tenía el cedente, y comporta
necesariamente una vulneración del principio de confidencialidad (¿cómo realizar
una cesión contraria a Derecho de una información confidencial sin vulnerar el
principio de confidencialidad?), y también una falta de lealtad (puesto que por
definición los interesados no tienen una expectativa razonable de que se produzca
una cesión ilegal), y por supuesto una falta de información (no se informa de la
cesión ilegal, porque el cedente piensa que no existe -ello con independencia de
que esta infracción no procede porque aquí si hubiera alguien obligado a informar
sería Camerdata, S.A. y no Cámara de España -como se ha dicho son dos
entidades diferentes que el Instructor confunde con demasiada frecuencia). Hay
concurso medial en todo ello.”

2.8. La alegación séptima lleva por rúbrica “Se está imponiendo una multa a una
corporación de Derecho Público por el ejercicio (supuestamente) incorrecto de sus
funciones públicas”.

Defiende que el artículo 77.2 de la LOPDGDD impide imponer a CDE, corporación
de Derecho público, sanciones pecuniarias “actuando en el ejercicio
(supuestamente) incorrecto de sus funciones públicas”

Considera que CDE “ha llevado a cabo el tratamiento que censura la AEPD en
base a lo que establece la ley 4/2014. En todo caso está movida por la obligación
que le corresponde de hacer público el censo de empresarios, sin que sea posible
apreciar que estaba llevando a cabo una mera actividad de derecho privado.”

Reitera que lo que CDE ha hecho “ha sido suscribir un Acuerdo con CAMERDATA
para, con todas las garantías, facilitar un mayor acceso a los datos del censo
público de empresarios, sin que en ningún caso, además, se haya cedido el NIF”.

Indica que “la interpretación que hace la Agencia choca frontalmente con la
realidad de los hechos.” Y explica que “cualquier Administración Pública puede
contratar la prestación de un servicio sin que ello implique que tal contrato la
convierte en entidad de derecho privado a la que no sería de aplicación el artículo
77 de la LOPDGDD”.

Dice que “es indudable que Cámara de España pretendía dar cumplimiento a su
función pública de dar publicidad al Censo Público de Empresas, potestad de
derecho público. La Agencia puede discrepar sobre si lo ha hecho correctamente o
no, pero no debería cuestionar que la finalidad pretendida se “relacionaba” (para
usar la dicción de la Ley) con esa potestad de derecho público de gestionar el
Censo Público de Empresas (que, como se ha dicho, incluye en “hash”).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/204

Indica que “cuando la AEPD señala, para negar la aplicación del art. 77 de la
LOPDGDD, que Cámara de España no actuaba “en el ejercicio de funciones
público administrativas” (pág. 104 de la propuesta), está obviando que el artículo
77.1.g) en realidad lo que prevé es que dicho precepto es de aplicación a “las
corporaciones de Derecho público cuando las finalidades del tratamiento se
relacionan con el ejercicio de potestades de derecho público”. Y esta es
cabalmente la situación en la que nos encontramos.

Añade que “Cámara de España no tenía ánimo de lucro alguno en esta operación.”

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: El Registro de las actividades de tratamiento (RAT) de la AEAT - a fecha
25/02/2025 https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacion-interesado-sobre-proteccion-datos/5-registro-
actividades-tratamiento.html - al referirse al “Censo” incluye a la “Cámara de
Comercio” entre los destinatarios de los datos tratados.

El apartado 5.1. del RAT de la AEAT “Censo” describe esa actividad de tratamiento
como “Gestión y obtención de información de contribuyentes, ya sean personas físicas
o jurídicas. Para ello, se tratan la mayoría de los datos censales, incluyendo el
histórico de los mismos”. Indica que la “Finalidad” es “la aplicación del sistema
tributario estatal y aduanero” y que trata estos “Datos”:

“.DNI y datos asociados al documento, NIE, NIF, razón social, Nombre y Apellidos,
Dirección, Teléfono, Correo electrónico, fax, teléfono móvil, estado civil y en su caso
cónyuge o excónyuge, país de nacimiento, provincia de nacimiento, población de
nacimiento, fecha de nacimiento, nacionalidad, pasaporte, sexo, tipo de administración
al que está adscrito el contribuyente, número de identificación fiscal en Administración
fiscal extranjera, número de identificación del ayuntamiento, número de identificación
electoral, número de hoja padronal, nombre del padre, nombre de la madre.
.Transacciones de bienes y servicios.
. Obligaciones tributarias.”

En el apartado “Destinatarios” relaciona once entidades entre las que figura “Cámara
de Comercio”.

SEGUNDO: CDE afirma en su respuesta de 20/12/2023 al requerimiento de la
Inspección de Datos:

“El censo público de empresas se publica en abierto y de forma gratuita dentro del
apartado “Empresas de España” de la Web corporativa de Cámara de España”. (Folio
1.452)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/204

TERCERO: Consta que el censo público de empresas se publica en abierto a través
de la página web de la CDE, www.camara.es, con el nombre de “Censo Nacional de
Empresas” y que la información que ofrece respecto a los empresarios personas
físicas versa, exclusivamente, sobre estos datos: nombre, apellidos, dirección, código
postal, municipio y actividad.

Así lo acreditan las capturas de pantalla obtenidas de la página web de CDE en fecha
16/09/2024, incorporadas al expediente mediante Diligencia de fecha 17/09/2024
(folios 2.106 a 2.111) que permiten verificar estos extremos:

a. Que en el sitio web www.camara.es (www.camara.es/funcion-consultiva/consulta-
del-censo-publico-de-empresas) bajo la rúbrica “Censo Público de Empresas” aparece
una relación de opciones y en la primera, “Descripción”, se ofrece la siguiente
información relativa al “Censo Público de Empresas”:

“Te facilitamos los datos incluidos en el Censo Público que contiene todas las
entidades jurídicas y físicas de las Cámaras Oficiales de Comercio, Industria,
Servicios y, en su caso, de Navegación de España.”

Que el fichero “recoge un registro por actividad (no acumula varias actividades
en una misma dirección) y recopila los siguientes datos por registro: Nombre,
Dirección, Código Postal, Municipio, Actividad.” No figura el dato del NIF.

b. Que, efectuada una consulta sobre un empresario persona física al censo público
de empresas –desde “Censo Público de Empresas”, opción “Base de Datos” (que dice
“accede desde aquí a nuestra base de datos”) que remite a la pantalla “Consultar
Censo Nacional de Empresas”- el resultado de la consulta ofrece, exclusivamente,
estos datos: nombre y apellidos, la dirección postal (nombre de la vía y número), el
código postal, nombre de la provincia y del municipio, código de IAE y descripción de
la actividad (folios 2.106, 2.110 y 2.111). No figura el dato del NIF.

CUARTO: Consta acreditado en el expediente que cuando se efectúa una consulta
sobre un empresario individual al “censo público de empresas” a través de la web
corporativa de CDE - desde “Censo Público de Empresas”, opción “Base de Datos”
(que dice “accede desde aquí a nuestra base de datos”) que remite a la pantalla
“Consultar Censo Nacional de Empresas”- la información que facilita incluye un link a
la página web de CAMERDATA precedido de esta leyenda: “Si desea obtener más
información, consulte el Fichero de Empresas de Camerdata Online”

Obra en el expediente una captura de pantalla obtenida en fase de prueba (folio
2.111), incorporada al expediente mediante Diligencia (folio 2.106) que así lo acredita.

QUINTO: El Convenio celebrado entre la AEAT y CDE “para la cesión de información
de carácter tributario a las Cámaras Oficiales para el ejercicio de sus funciones
público-administrativas”, suscrito el 25/11/2019 (BOE 20/12/2019), prorrogado por
cuatros años y modificado en virtud de una “Adenda” suscrita el 19/12/2023 (BOE
16/02/2024), estipula:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/204

-Sobre la finalidad de la cesión (cláusula segunda): La “finalidad exclusiva” de la
comunicación de los datos a la CDE y a las Cámaras es “colaborar en el desarrollo de
las funciones públicas que tienen atribuidas”, las cuales se especifican en esa cláusula
segunda mediante una remisión expresa al Anexo III del Convenio que, a su vez,
reproduce los artículos 5.1 , 5.2 y 21.1, letras d) a i) de la Ley 4/2014.

Añade que “La cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas tendrá como finalidad exclusiva la elaboración del censo
público de empresas, el cumplimiento de las funciones público-administrativas que la
Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que
hace referencia el artículo 17 de la misma Ley.”

- Sobre los destinatarios (cláusula cuarta): La información que cede la AEAT solo
puede tener como destinatarios “a los órganos de la Cámara de Comercio de España
y de las Cámaras que tengan atribuidas las funciones públicas que justifican la
cesión”.

“En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen
funciones distintas de las descritas en la cláusula segunda de este Convenio.”

“Todo ello sin perjuicio de la estricta afectación de la información remitida por la
Agencia Tributaria a los fines que la justifican y para los que se solicita.

En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por
la Agencia Tributaria.” (Folio 1.013) (El subrayado es nuestro)

SEXTO: Consta acreditado que CDE, en su respuesta de fecha 20/12/2023 al
requerimiento de la Inspección de Datos (folio 646), afirmó (folios 1.450 y siguientes):

i. Preguntada sobre el origen de los datos que trata:

“El origen de los datos que integran el censo público de empresas de la Cámara de
España son los datos del Impuesto de Actividades Económicas y los censales de las
empresas que sean necesarios cedidos por Agencia Estatal de la Administración
Tributaria”. Y que “también tienen su origen en los datos del Impuesto de Actividades
Económicas cedidos por la Diputación Foral de Navarra y en los cedidos por las
Cámaras de Comercio del País Vasco”. (1451)

ii. Preguntada sobre los datos de los empresarios autónomos que trata:

“se detallan todos los datos que contiene el censo público de empresas de la Cámara
de España en relación con los autónomos o empresarios individuales:” y menciona
seguidamente: El “campo NIF”, “campo Nombre”; “campo Dirección”; “campo Código
Postal”; “campo Código Provincia”; “campo Provincia”; “campo Código Municipio”;
“campo Municipio”; “campo Epígrafe”; “campo Descripción” y “campo ID”. (Folio 1452)

Indica que “existe un registro por cada combinación del epígrafe IAE y dirección
postal”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/204

iii. Preguntada sobre la cesión de datos del censo público de empresas a terceras
entidades, entre otras a CAMERDATA, afirma:

“Los campos relacionados anteriormente se proporcionan únicamente a CAMERDATA,
S.A., como entidad mercantil constituida por múltiples Cámaras de Comercio
españolas y por la Cámara de España, para su inclusión en su Fichero de Empresas
Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de forma legítima
y disponer de una base de datos de calidad de las empresas que operan en territorio
español para poder ofrecerla empresas y a terceros interesados.
[…]” (Folios 1.452 y 1.453)

iv. Preguntada sobre la obligación de informar a los interesados conforme al artículo 14
del RGPD acerca del tratamiento de datos que lleva a cabo, niega que tal obligación
exista al ser aplicable el apartado 5 letra c) del artículo 14 RGPD. Afirma que “La
obtención de los datos está expresamente establecida por el Derecho de la Unión o de
los Estados miembros que se aplica al responsable del tratamiento al responder a las
finalidades y funciones público-administrativas que la Ley 4/2014 atribuye a las
Cámaras de Comercio españolas y a la Cámara de España”. (Folio 1453)

v. Preguntada sobre la base de legitimación del tratamiento “que supone el censo
público de empresas para el caso de autónomos”, afirma que (folios 1457 a 1459):

“la base de legitimación del tratamiento de las bases de datos de empresas de la
Cámara de España que incluye a los autónomos […] tiene amparo en un doble
fundamento legal:

1º El artículo 6.1.c) RGPD, pues “conforme a los artículos 5.1.g y 8 de la Ley 4/2014,
las Cámaras de Comercio tienen, entre otras funciones público-administrativas la de
elaborar y gestionar un censo público de empresas”.

2º El artículo 6.1.e) del RGPD,” el tratamiento es necesario para el cumplimiento de
una misión realizada en interés público”, que CDE vincula en este caso con la
elaboración de un censo público de empresas y con la gestión que “es inherente a sus
funciones propias del artículo 21.1.d) de la Ley 4/2014, en relación con las finalidades
camerales del artículo 3 de la misma Ley” y con el objetivo de interés público que “se
haya implícito
en la función público-administrativa consistente en impulsar actuaciones dirigidas al
incremento de la competitividad de las pequeñas y medianas empresas (artículo 5.1.j)
de la Ley 4/2014).” (Folios 1457 a 1459)

vi. Preguntada sobre la base de legitimación del “tratamiento que supone las cesiones
a terceras entidades, entre otros a CAMERDATA, de datos del censo público de
empresas para el caso de autónomos”, afirma:

“La Cámara de España proporciona los datos del censo público de empresas a
Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima y
disponer de una base de datos de calidad de empresas que operan en territorio
español para poder ofrecerla a empresas y terceros interesados”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/204

La base de legitimación que invoca es el artículo 6.1.f) del RGPD. (Folios 1.460 y
1.461)

SÉPTIMO: Obra en el expediente un documento en formato Excel aportado por CDE
en respuesta al requerimiento de la Inspección para que presente “un extracto de su
base de datos […] donde consten todos los datos de que dispongan en relación a los
primeros 500 autónomos correspondientes a registros consecutivos del resultado de la
ordenación alfabética de los mismos por el primer apellido comenzando por la letra
“P”, luego por el segundo apellido y luego por el nombre o bien solo por nombre
comenzando por la letra “P” si no existe el campo apellido”.

La recepción del documento en la Agencia está registrada con la referencia
“REGAGE23e00086547926” con el “Nombre: Documento_4.xlsx” y “Tipo: Documento
Adjunto” (Folio 1.448)

A la vista de tal documento se confirma que en la base de datos de CDE relativa a
empresarios autónomos figuran, para cada registro, los siguientes campos y en este
orden: NIF, Nombre (que incluye el nombre y los dos apellidos), Dirección (que incluye
el tipo de vía, el nombre, el número y en algunos registros el piso); Código_Postal;
Código_Provincia; Código_Municipio: Provincia; Municipio; Epígrafe; Descripción; ID.

OCTAVO: “Contrato de cesión de base de datos empresariales”. Regula la cesión de
datos de CDE (cedente) a CAMERDATA (cesionaria), suscrito el 15/02/2016,
prorrogable tácitamente por periodos sucesivos de una anualidad (pacto 6.2.) y vigente
en la fecha en la que se aporta, el 20/12/2023 (folios 1.477 y siguientes).

De la parte expositiva del contrato y de sus estipulaciones (“pactos”) tiene relevancia:

1.- El expositivo V: dice que, en consideración a “los datos del Impuesto sobre
Actividades Económicas y los censales de las empresas que sean necesarios”
(expositivo IV) “que recibe de las Administraciones públicas colaboradoras” “la Cámara
de Comercio de España elaborará el censo público de empresas bajo la denominación
de “Censo Básico de Empresas”, garantizando la confidencialidad en el tratamiento y
el uso exclusivo de la información recibida.”

Y del párrafo segundo del expositivo V del contrato resulta que el Censo Básico de
Empresas contiene únicamente datos de empresarios personas físicas.

El expositivo VIII: que indica que CAMERDATA “viene desarrollando y explotando
comercialmente un sistema de información empresarial denominado “Fichero de
Empresas Españolas”, que es una base de datos diferente del “Censo Básico de
Empresas” elaborado por CDE, “si bien para el desarrollo de su actividad está
interesada en obtener una copia de la información empresarial del “Censo Básico de
Empresas”.

2.Pacto primero, Objeto:
“1.1.Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a
su vez, recibe y adquiere para sí, una copia de la totalidad de los datos
empresariales obrantes en el Censo Básico de Empresas referido en el anterior
Expositivo V (en adelante la Base de Datos Cedida) actualizada a fecha de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/204

enero de 2016, la cual contiene los campos de información que se indican en el
Anexo 1 de 3.160.984 Registros de Empresas.”

“[…]se entiende por Registro de Empresa todos los campos de información del
Anexo 1 relativos a cada una de las empresas que contienen la Base de Datos
Cedida, tomándose como identificador de dicho registro el NIF de las mismas”

“1.2. Los Registros de Empresa que conforman la Base de Datos Cedida se
refieren única y exclusivamente a las indicadas en el párrafo segundo del
anterior Expositivo V”.

3. El Anexo I, al que remite el pacto 1.1 para saber cuáles son los campos de
información, relativos a cada una de las empresas, que contiene la Base de Datos
Cedida dice:
“De conformidad con lo convenido en el Pacto Primero del Contrato, la Base de
Datos y sus actualizaciones tendrán los siguientes campos de información
respecto de cada empresa que conste en la misma (en adelante Registro de
Empresa).

Datos de cada Registro de Empresa
1. NIF
2.Nombre o denominación social de la empresa
3.Domicilio principal
4.Domicilio de actividad
5.Sección actividad IAE
6.Actividad IAE”

4.-Pacto segundo. “Finalidad.
La cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la
de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su
propiedad, y los tratará, completará y enriquecerá en los términos del presente
Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a los
terceros interesados como base de datos de información de las empresas que
operan en territorio español.”

5.-Pacto séptimo: “Cesión del contrato.
7.1.-La Cesionaria no podrá ceder, en todo o parte, a un tercero los derechos y
obligaciones que le corresponden en virtud del presente contrato ni la Base de
Datos Cedida ni cualquiera de sus actualizaciones objeto del mismo sin la previa
autorización expresa y por escrito de la Cedente.

Se excluye de esta prohibición la cesión de los datos de la Base de Datos
Cedida incorporados en el Fichero de Empresas Españolas propiedad de la
Cesionaria de conformidad con lo convenido en los Pactos Segundo y Tercero
del Contrato.”

6.-Pacto tercero. “Efectividad de la cesión.
La cesión de la Base de Datos Cedida y sus actualizaciones se llevará a efecto
en los términos y condiciones que las Partes convienen en el Anexo 2, unido al
Contrato y formando parte del mismo a todos los efectos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/204

7.El Anexo 2 al Contrato de “Cesión de Base de Datos Empresariales” de 15/02/2016,
denominado “Condiciones de la cesión de la Base de Datos Cedida” (folios 1.492 a
1.497) establece:
“Para la cesión de la Base de Datos Cedida y sus actualizaciones las Partes se
obligan a lo siguiente:
A) Obligaciones de la Cedente:
a.1)La Cedente garantiza a la Cesionaria:
(i) […]
(ii) Que los datos incluidos en la Base de Datos Cedida y sus actualizaciones
se obtienen del censo público de empresas que regula la Ley 4/2014
elaborado por la Cedente bajo la denominación de Censo Básico de
Empresas.
a.2) La cesión de la Base de Datos Cedida y sus actualizaciones:
(i) Alcanzará todos los campos de información que se indican en el Anexo 1
del Contrato de Cesión de Base de Datos Empresariales de 15 de febrero de
2016 (en adelante el contrato) de que la Cedente disponga en el momento de
elaborarla.
A) Obligaciones de la Cesionaria:
b.1) La Cesionaria se obliga a incorporar la información de la Base de Datos
Cedida en el Fichero de Empresas Españolas y a tratarla y comercializarla
en los términos convenidos en el Contrato y sus Anexos.
b.2) La Cesionaria se compromete a tener siempre actualizados los datos
empresariales del Fichero de Empresas Españolas y a tal efecto se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de Datos
Cedida que ésta realice periódicamente dentro de los quince (15) días
laborables siguientes [..].
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus
actualizaciones, y a no realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la información de los
Registros de Empresa de la Base de Datos Cedida actualizada dentro de los
treinta (30) días laborables siguientes a la fecha en que la reciba de la
Cedente […]”
(iv) Efectuar dicha actualización sobrescribiendo el Fichero de Empresas
Españolas con la información de la Base de Datos Cedida actualizada por
cada Código Administración remitido. En consecuencia, la Cesionaria
quedará obligada a suprimir del Fichero de Empresas Españolas la
información de la Base de Datos Cedida entregada anteriormente relativa a
dichos Códigos Administración, la cual quedará completamente sustituida y
sin efecto, y sin que la Cesionaria pueda usar dicha información para la
finalidad del Contrato ni para ninguna otra; únicamente podrá conservarla
bloqueada a disposición de las Administraciones públicas, Jueces y
Tribunales […]”

b.3)La Cesionaria únicamente podrá informar a los terceros interesados de que
la fuente de la información del Fichero de Empresas Españolas referente a
los campos del Anexo 1 del Contrato se corresponden con la del Censo
Básico de Empresas cuando dicho fichero haya incorporado la información
de la última Base de Datos Cedida actualizada de la Cedente. En caso
contrario no podrá informar de dicha fuente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/204

b.4) Recibida la Base de Datos Cedida o la actualización de la misma, la
Cesionaria procederá a:
(i) Homogeneizar nombres y direcciones […]
(ii) Incorporar la información de la Base de Datos Cedida o sus
actualizaciones tratadas de esta forma al Fichero de Empresas Españolas
propiedad de la Cesionaria.

b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y
comercializa tendrá las siguientes características:
(i) El registro de la empresa y los campos de la misma de la Base de Datos
Cedida indicados en el Anexo 1 del Contrato. Los restantes campos de
dicho Fichero no modificarán, alterarán ni contradecirán los campos de la
Base de Datos Cedida y sus actualizaciones.
(ii) Campos desarrollados por la Cesionaria a partir de algoritmos creados
por ella misma.
(iii) Campos aportados por la Cesionaria: como Forma jurídica, actividad
principal, sede social, sucursales, actividad negocial.
(iv) Campos aportados por otras fuentes legítimas y actualizadas: Nombre
comercial, teléfono, fax, CNAE, web, fecha constitución, número de
empleados, volumen de negocio, importaciones/exportaciones, cargos
(hasta 5 cargos con nombres y apellidos), género de la empresa (para
distinguir cuando se trata de autónomos no sección 2 o 3), coordenadas
geodésicas (en 3 sistemas universales) u otros.”

b.6) La Cesionaria se obliga a suministra a la Cedente en soporte […] los
datos y la información que resulten necesarios del Fichero de Empresas
Españolas […] con la única finalidad de que la Cedente pueda verificar el
cumplimiento de lo convenido en el Contrato y sus Anexos.[…]”

B) Precio de la cesión de la Base de Datos Cedida
[…]

C) D)Precio de la cesión de las sucesivas actualizaciones de la Base de Datos
Cedida.
[…]”.

NOVENO: CAMERDATA responde en fecha 13/11/2023 al requerimiento informativo
de la Inspección de Datos de la Agencia (folio 650) para que detalle todos los datos
que son tratados, el significado preciso de cada dato, el origen de cada dato y
procedimiento de obtención, a quién se ceden e identifique a dichos destinatarios y
que indique asimismo el número total de autónomos que constan en dicha base de
datos (folios 703 a 707):
“Seguidamente se listan y detallan todos los datos que contiene la base de datos
de empresas de CAMERDATA con relación a autónomos:

NIF, Nombre empresa, Nombre comercial, Email genérico, Dirección, Código
Postal, Municipio, Provincia, Comarca, Sección censal, Teléfono, Teléfono2, Tipo
empresa, Actividad Principal IAE, Todas las actividades IAE, Tipo dirección,
Número sucursales, Web, Año constitución, Empleados, Importa/exporta,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/204

Género Empresa, Actividad CNAE, Latitud wgs84, Longitud wgs84, Tipo coor
wgs84, ID Camerdata.

El número total de autónomos que consta actualmente en la base de datos es de
1.665.049. Hacer notar que no todos los registros tienen informados la totalidad
de los datos listados anteriormente.

El dato NIF es el Número de Identificación Fiscal. El origen del dato es el censo
público de empresas publicado por la Cámara de Comercio de España conforme
a lo dispuesto en la Ley 4/2014 (en adelante, Censo público de empresas), y se
obtiene cada vez que se carga un nuevo censo de empresas. El dato NIF se
cede a los clientes que solicitan los servicios de información de empresas que
ofrece Camerdata, entre ellos, por un lado, entidades del sector denominado
empresas infomediarias o reutilizadoras de información (Axesor, Cerved,
Datacentric, Equifax, Informa, Iberinform y Moody's) y, por otro lado, clientes
finalistas que lo solicitan para su uso exclusivo interno.”

DÉCIMO: CDE manifiesta -alegaciones al acuerdo de inicio- que no cede a
CAMERDATA el dato del NIF de los empresarios autónomos, sino que entrega un
“hash”, resultado de un proceso de encriptación, “de modo que lo cierto es que
Camerdata no recibe dichos NIFs de CDE.”

UNDÉCIMO: Obra en el expediente, aportado por la CDE, un documento firmado el
16/05/2024 por el ***PUESTO.1, en el que se hace constar el carácter confidencial de
su contenido, y en el que certifica, estos extremos:

“1.CAMERDATA (…). Por consiguiente, CAMERDATA obtiene el NIF por sus propios
medios.
2. La CDE, […] en el ejercicio de las funciones de carácter público-administrativas que
se le atribuyen, elabora, gestiona y publica (art. 5.1.g) en relación con el art. 8 de la
Ley 4/2014) el censo público de empresas en España.
Este censo público de empresas es, como su propio nombre indica, público, y está a
disposición de cualquier interesado en Internet en https://www.camara.es/funcion-
consultiva/consulta-del-censo-publico-de-empresas. No obstante, en Internet la
disponibilidad del censo público de empresas es limitada.
3.Que CDE remite a CAMERDATA el censo público de empresas en un formato que
permite un más completo cumplimiento de este fin establecido en la Ley (hacer público
el censo), por vías diferentes de su mera disponibilidad para consulta, empresa a
empresa, en Internet.
4. Que los tratamientos realizados por CAMERDATA sobre la información recibida de
CDE los hace como responsable del tratamiento, sin seguir instrucciones de CDE.”

DUODÉCIMO: En relación con la información que la CDE cede a CAMERDATA queda
acreditado:

1. Que la CDE afirma que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/204

2. Que se ha aportado por CDE como Anexo X el Fichero ***FICHERO.2 que contiene
los HASHES de los primeros 500 registros correspondientes a los NIFs de los
empresarios autónomos de la muestra suministrada por la CDE.

Que, examinado el citado documento, Anexo X, (folios 2.225 a 2.256) se observa que
la relación ofrecida incluye por cada línea (lo que equivale a cada uno de los registros)
una doble información separada por una línea vertical: la primera se compone
exclusivamente de dígitos, nueve en total. La segunda es una información
alfanumérica (treinta y dos elementos) que corresponde al hash.

Que los registros 1 y 10 de la lista facilitada son los siguientes:

El primer registro: (...).

El décimo: (...)

3.Que en el documento aportado con el contenido íntegro al que accedió CAMERDATA
en 2023 respecto a los mismos 500 empresarios autónomos cuyos registros CDE
aportó a la Agencia en fecha 21/12/2023 con nombre “Documento_4.xlsx”, la CDE
afirma que:
“al tratarse de empresarios autónomos los primeros 9 caracteres de cada registro no
se corresponden con el NIF, sino con un número secuencial (identificador numérico de
registro) asignado durante el proceso de generación del fichero que permite vincular
cada registro de cada empresario individual con el HASH de su NIF proporcionado en
el fichero ***FICHERO.2”

Que examinado el documento Anexo IX, (folios 2.207 a 2.212) se observa que el
primer campo de información es una relación de nueve dígitos presentada sin
separación junto al primer apellido de la persona física. Se reproducen los registros 1 y
10 del documento aportado.

El primer registro es:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/204

(...)

El décimo registro es:

(...)

DECIMOTERCERO: Sobre la finalidad para la cual CAMERDATA trata los datos de los
autónomos que obtiene de CDE y sobre quiénes son sus destinatarios.

Obra en el expediente, incorporada mediante diligencia del inspector actuante de
fecha 18/10/2023, una captura de pantalla obtenida el 17/10/2023 del “Aviso Legal del
uso del portal y de los servicios” de CAMERADATA de la que se reproducen estos
párrafos:

“6. Información sobre el tratamiento de los datos (FEE y productos
comercializados) no obtenidos del interesado, relativos a marketing y publicidad
6.1. Información básica
Los registros tratados por Cameradata de la base de datos Ficheros de
Empresas Españolas que contienen datos personales, han sido obtenidos por
CAMERDATA tras haber sido recabados de forma legítima, pues los datos han
sido obtenidos de un Censo Oficial elaborado por organismo público, y la
persona sujeto pasivo de los datos (el interesado) o ejerce una actividad de las
recogidas en el Real Decreto de 2007 (RD 457/2007) o ejerce un cargo de
responsabilidad que aparece publicado en el registro mercantil.
Los tratamientos de estos datos tienen por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que
pudieran ser de su interés.
[…]
6.2.3. Legitimad del tratamiento:
Este tratamiento se realiza sobre datos que han sido obtenidos de un Censo
Oficial elaborado por organismo público, […] sin la necesidad de obtener su
consentimiento previo, en base al interés legítimo en conocer esta información
que requieren los Clientes de CAMERDATA, habilitado en el artículo 6.1.f del
RGPD, y en el Considerando 47 del RGPD, dado que la finalidad pretendida por
nuestros clientes es la realización de campañas de comunicaciones comerciales
y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser de su
interés.
En otros casos, la legitimidad del tratamiento de estos datos por parte de los
Clientes de CAMERDATA, puede corresponder a los supuestos previstos en las
letras b) o c) del artículo 6.1 del RGPD.”
[…]
6.2.5. Finalidad del tratamiento
La finalidad del tratamiento es la realización de campañas de comunicaciones
comerciales y de marketing, para el ofrecimiento de productos o servicios
propios o de terceras empresas que pudieran ser de su interés, con fines de
mercadotecnia, dentro del ámbito empresarial y nunca del privado.
6.2.6. Destinatarios de los datos personales
Únicamente podrán acceder a los datos personales de los cuales CAMERDATA
es responsable del tratamiento, nuestros clientes que hayan solicitado el
encargo de la construcción de la base de datos a medida a entregar o bien a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/204

terceras empresas que, a su vez, presten servicios a usuarios finales con las
mismas finalidades de mercadotecnia y aquellas empresas con las que hayan
suscrito acuerdos o contratos de encargado de tratamiento.” (Folios 84 a 86)

DECIMOCUARTO: Sobre la finalidad para la cual CAMERDATA trata los datos
obtenidos de CDE.

CAMERDATA declara que ha publicado este anuncio en las webs de siete Cámaras de
Comercio con la finalidad de informar a los interesados del tratamiento que efectúa de
sus datos personales, toda vez que considera que le es aplicable la excepción del
artículo 14.5.b) del RGPD:

“Información para trabajadores autónomos relativa a la protección de datos
personales
Mediante la presente comunicación se informa, a toda persona que tenga la
condición de trabajador autónomo, del tratamiento de sus datos personales por
parte de Camerdata y de las empresas asociadas a ASEDIE que están sujetas a
su código de conducta del sector infomediario de protección de datos que se
relacionan: Axesor, Datacentric, Iberinform, Informa y también Equifax.

Los datos tratados por CAMERDATA y las empresas relacionadas, han sido
recabados por CAMERDATA de forma legítima y obtenidos de un Censo oficial
elaborado por organismo público, correspondiendo a persona sujeto pasivo de
los datos (el trabajador autónomo) en el ejercicio de una actividad de las
recogidas en el Real Decreto de 2007(RD 475/ 2007).
El tratamiento de estos datos tiene por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que
pudieran ser de su interés, así como la información comercial sobre la actividad
empresarial llevada a cabo por el Autónomo.
Si usted desea ejercer sus derechos de acceso[…]·

DECIMOQUINTO: Los datos que integran el Registro de Actividades Económicas que
gestiona Hacienda Foral de Navarra tienen carácter público en virtud del artículo 156.2
de la Ley Foral 2/1995, de 10 de marzo, de Haciendas Locales de Navarra.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para resolver este procedimiento la Presidencia de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina: "Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/204

reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

1.Objeto del procedimiento. El artículo 19 de la LOPDGDD.

1.1.Partiendo de la definición de “tratamiento” que ofrece el artículo 4.2 del RGPD, la
conducta de CDE sobre la que versa el presente procedimiento sancionador se
materializa en la cesión a la mercantil CAMERDATA, sin una base jurídica adecuada,
de datos personales de los empresarios personas físicas a los que CDE ha accedido
lícitamente; cesión que se ha venido realizando en ejecución de un contrato privado
entre CDE y CAMERDATA denominado “Contrato de cesión de bases de datos
empresariales” suscrito el 15/02/2016 y vigente cuando CDE responde al
requerimiento de la Inspección de Datos, esto es, el 20/12/2023, toda vez que se
remitió en respuesta al requerimiento del Inspector para que aportara una copia de los
contratos firmados y “en vigor” celebrados con CAMERDATA. La conducta de CDE
objeto de este procedimiento se concreta, además, en haber tratado los datos
personales de los empresarios autónomos con una finalidad incompatible con la
finalidad específica (prevista en el artículo 8 de la Ley 4/2014) para la cual CDE
accede lícitamente a ellos. En vulnerar, en lo que respecta al dato del NIF de los
empresarios autónomos, la obligación que le impone el RGPD de garantizar la
confidencialidad de los datos que trata. En vulnerar el principio de lealtad en el
tratamiento en relación con los empresarios autónomos, quienes proporcionaron sus
datos a las Administraciones tributarias en la confianza de que, salvo los casos
expresamente contemplados en la Ley, no podrían cederse a terceros sin el concurso
de su voluntad, habiendo incumplido de manera intencionada, premeditada y
sistemática la prohibición expresa impuesta en el Convenio suscrito con la AEAT de
ceder a terceros los datos relativos al IAE y los censales de las empresas que esa
Administración tributaria le proporciona. Y en haber incumplido la obligación de
informar a los interesados acerca del tratamiento -en este caso la cesión a
CAMERDATA- de los datos que les conciernen.

Así pues, el procedimiento sancionador que nos ocupa se centra, exclusivamente, en
el tratamiento de datos personales de los empresarios individuales; de los
empresarios personas físicas.

Se entiende por “dato personal” (artículo 4.1. del RGPD) “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.”

De acuerdo con su artículo 1 el RGPD tiene por objeto proteger los derechos y las
libertades fundamentales de las personas físicas, en particular, su derecho a la
protección de los datos personales. El Considerando 1 del RGPD proclama que “La
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/204

protección de las personas físicas en relación con el tratamiento de datos personales
es un derecho fundamental” reconocido en el artículo 8, apartado 1, de la Carta de los
Derechos Fundamentales de la Unión Europea («la Carta») y en el artículo 16,
apartado 1, del Tratado de Funcionamiento de la Unión Europea (TFUE) preceptos
que establecen que “toda persona tiene derecho a la protección de los datos de
carácter personal que le conciernan.”

El Considerando 14 reitera el alcance de la protección dispensada por el RGPD a
todas las personas físicas. Señala que “La protección otorgada por el presente
Reglamento debe aplicarse a las personas físicas, independientemente de su
nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos
personales. El presente Reglamento no regula el tratamiento de datos personales
relativos a personas jurídicas y en particular a empresas constituidas como personas
jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto.”

El artículo 2 del RGPD, “Ámbito de aplicación material”, determina en su apartado 2
los tratamientos de datos personales a los que el Reglamento (UE) 679/2016 no se
aplica. Ninguno de los cuatro supuestos que el precepto menciona se refiere
expresamente al tratamiento de datos personales de los empresarios personas físicas.

Se evidencia de lo expuesto que la protección que dispensa el RGPD, en tanto se
extiende a todas las personas físicas, comprende el tratamiento de los datos
personales de los empresarios autónomos. Y se evidencia igualmente la ausencia de
razones que puedan justificar, a la luz del RGPD, una eventual exclusión de su ámbito
objetivo de aplicación de los datos personales que conciernen a las personas físicas
que desempeñan una actividad empresarial como autónomos en línea con el artículo
2.3 del
Real Decreto 1720/2007, de 21 de diciembre.

La Directiva 95/46/CE -derogada expresamente por el RGPD- se transpuso al
ordenamiento interno español a través de la Ley Orgánica 15/1999 de Protección de
Datos de Carácter Personal (LOPD) cuyo Reglamento de desarrollo, aprobado por el
Real Decreto 1720/2007, de 21 de diciembre (RLOPOD) establecía en su artículo 2,
“Ámbito objetivo de aplicación”, apartado 3:

“3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia
a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán
excluidos del régimen de aplicación de la protección de datos de carácter personal.”
(El subrayado es nuestro)

El RGPD ha significado un avance sustancial en la protección eficaz del derecho
relativo a la protección de los datos de las personas físicas frente a la Directiva
95/46/CE. Esto, pese a que pueda llegarse a otra conclusión si la valoración de ambas
normas es superficial y consiste poco más que en comparar la literalidad del artículo 1
del RGPD y de la Directiva. Sobre este aspecto dice la STJUE de 27/02/2025, asunto
C-203/22 :

"51 Por último, por lo que respecta a las finalidades del RGPD, es necesario recordar
que el objetivo de este Reglamento consiste, en particular, en garantizar un nivel
elevado de protección de los derechos y libertades fundamentales de las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/204

físicas, sobre todo de su derecho a la protección de los datos personales, consagrado
en el artículo 16 TFUE y garantizado como derecho fundamental en el artículo 8 de la
Carta, que completa el derecho a la vida privada garantizado en el artículo 7 de esta
[véase, en este sentido, la sentencia de 4 de octubre de 2024, Schrems
(Comunicación de datos al público en general), C 446/21, EU:C:2024:834, apartado 45
y jurisprudencia citada].
52 Así, como precisa asimismo su considerando 11, el RGPD tiene como finalidad
reforzar y especificar los derechos de los interesados (sentencia de 4 de mayo de
2023, Österreichische Datenschutzbehörde y CRIF, C 487/21, EU:C:2023:369,
apartado 33 y jurisprudencia citada)"

1.2. El artículo 19 de la LOPDGDD.

En la medida que se pretenda acudir al artículo 19 de la LOPDGDD para sostener la
legitimación del tratamiento de datos, procede recordar unas bases que tener en
cuenta. Así, el RGPD especialmente y la LOPDGDD son la regulación general que a
efectos constitucionales permite tratamientos de datos sin consentimiento. Una vía de
legitimación sin consentimiento es el interés legítimo amparado por el RGPD (art. 6.1
f). Cabe señalar que nuestro legislador en la LOPDGDD ha generado unos casos de
presunción de interés legítimo, en los que hay más certeza si se dan esos
presupuestos. En todo caso, la vía de legitimación de tratamientos sin consentimiento
por interés legítimo no requiere una "presunción normativa". El interés legítimo
constituye una base legal autónoma, que no depende de la existencia de una norma
nacional que lo presuma. Así lo reconoce expresamente el CEPD en sus recientes
directrices. La ausencia de presunción normativa por una ley (como en nuestro caso el
artículo 19.2 LOPDGDD, en modo alguno excluye la posibilidad de legitimación por
interés legítimo. Así, el “interés legítimo” puede operar válidamente incluso en
contextos no regulados expresamente en las legislaciones nacionales como en
supuestos de presunción de legitimidad. Eso sí, obliga para su evaluación a un análisis
más intensivo y en estos casos, su aplicación requiere una visión más restrictiva y
garantista, no hay presunción, por lo que el responsable del tratamiento basado en
interés legítimo debe justificar, con base en el principio de responsabilidad proactiva, la
idoneidad, necesidad y proporcionalidad del tratamiento, así como la prevalencia
efectiva de su interés frente a los derechos y libertades del afectado. La ausencia de
presunción legal incrementa la carga argumental y documental del responsable del
tratamiento.
Hay que contemplar casos en los que hay una regulación de interés legítimo afín o
cercano al que se pretende sustentar (como el artículo 19.2º cuyos presupuestos aquí
no se dan). De igual modo hay que tener en cuenta regulaciones específicas (como la
Ley de Cámaras). En la regulación legal pueden darse prohibiciones expresas que sin
duda no permitirán los tratamientos de datos, también se pueden dar normas que
determinen u orienten la finalidad del uso de datos. En estos supuestos, ya caso por
caso, habrá que analizar si el desvío de la finalidad de los datos es o no compatible y
en su caso si puede legitimar esta nueva finalidad una base de legitimación nueva,
como una regulación específica o, en su caso, el interés legítimo. En estos supuestos,
la admisibilidad de la legitimación habrá de pasar, sin duda, por el cumplimiento de
toda una serie presupuestos, requisitos y garantías. Tales exigencias se harán más
intensas en razón de la naturaleza de los datos, el impacto en los colectivos afectados

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/204

y en diversos derechos, además de la protección de datos y las propias finalidades del
tratamiento.
Sobre estas bases, procede ahora descartar que se den los presupuestos del artículo
19 de la LOPDGDD. Este artículo, regula una presunción iuris tantum de licitud del
tratamiento que atañe, entre otros sujetos, a los empresarios personas físicas. El
artículo 19 de la LOPDGDD, “Tratamiento de datos de contacto, de empresarios
individuales y de profesionales liberales”, dice:

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo
6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su
caso los relativos a la función o puesto desempeñado de las personas físicas que
presten servicios en una persona jurídica siempre que se cumplan los siguientes
requisitos:
a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
b) Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier
índole con la persona jurídica en la que el afectado preste sus servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a ellos
únicamente en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1
de esta ley orgánica podrán también tratar los datos mencionados en los dos
apartados anteriores cuando ello se derive de una obligación legal o sea necesario
para el ejercicio de sus competencias.” (El subrayado es nuestro)

Es indiscutible para esta Agencia, por las razones que se expondrán a continuación,
que el artículo 19.2. del RGPD no tiene otro alcance que el de establecer una
presunción de licitud que recae, exclusivamente, sobre los datos de contacto de los
empresarios individuales.

De acuerdo con su tenor literal, el artículo 19.1 de la LOPDGDD articula una
presunción iuris tantum de licitud que se define a través de dos elementos: su
fundamento y su objeto. Se funda en el artículo 6.1.f) y tiene por objeto los datos de
contacto o eventualmente la función o puesto desempeñado. La presunción así
definida en el artículo 19.1 atañe a las personas físicas que prestan sus servicios en
una persona jurídica. Cuando el artículo 19.2. de la LOPDGDD se refiere a la
aplicación de “la misma presunción”, ésta hay que tomarla tal y como aparece definida
en el apartado 1: por los elementos mencionados, su fundamento y su objeto. De
manera que el artículo 19.2. no dice sino que la presunción iuris tantum fundada en el
artículo 6.1.f) cuyo objeto son los datos de contacto se aplicará al tratamiento de los
datos de los empresarios autónomos.

Abona, además, tal interpretación del texto de la norma el dictamen 757/2017, de 26
de octubre, del Consejo de Estado sobre el anteproyecto de Ley Orgánica de
Protección de datos (actual LOPDGDD) que al comentar el que era en el anteproyecto
de Ley Orgánica el artículo 20 (actual artículo 19) dice:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/204

“El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las
personas físicas que presten servicios en una persona jurídica (apartado 1) y de
empresarios individuales (apartado 2), en ambos casos invocando como amparo
normativo lo dispuesto en el artículo 6.1.f) del Reglamento. En el primer caso,
para entender que existe licitud al amparo de ese artículo, el precepto exige que
el tratamiento se refiera únicamente a los datos necesarios para la localización
profesional del interesado y que la finalidad del tratamiento sea únicamente
mantener relaciones de cualquier índole con la persona jurídica en la que el
afectado preste sus servicios; en el segundo, que el tratamiento se refiera
únicamente a los datos de los empresarios en dicha condición y no se traten
para entablar una relación con los mismos como personas físicas”. (El subrayado
es nuestro)

El comentario que incluye el dictamen 757/2017 del Consejo de Estado sobre el
artículo 20 del Anteproyecto de Ley Orgánica (en la actualidad, artículo 19 de la
LOPDGDD) confirma que la presunción que en él se establece opera,
exclusivamente, sobre los datos de contacto de los empresarios autónomos. Esto,
porque indica que el artículo 20 del Anteproyecto “regula el tratamiento de los datos de
contacto” y a renglón seguido precisa de quiénes; quiénes son las personas a las que
conciernen tales datos: las personas físicas que prestan servicios en una persona
jurídica (apartado 1) “y” los empresarios individuales (apartado 2). Si lo que el
dictamen hubiera querido decir es que el artículo 20 del Anteproyecto regula el
tratamiento de los datos de contacto sólo respecto a las personas físicas que prestan
sus servicios en una persona jurídica y respecto a los empresarios individuales todos
sus datos, la conjunción copulativa “y” no existiría. A mayores, el comentario añade
que “en ambos casos”, es decir, en los tratamientos de datos de contacto del apartado
1 y del 2 del artículo 20 del Anteproyecto, la base de licitud se encuentra en el artículo
6.1.f) del Reglamento. Y, a partir de ahí, el comentario reseñado examina cuáles son
los requisitos, respectivamente, del apartado 1 y 2, sobre la base del artículo 6.1.f)
RGPD, para que el tratamiento – claramente, de los datos de contacto- sea lícito.

“Las normas han de ser interpretadas teniendo en cuenta no sólo el sentido propio de
las palabras, sino también su contexto, la realidad social del tiempo en que han de ser
aplicadas y el espíritu y los fines perseguidos por la normativa de la que forma parte”
(artículo 3.1 del Código Civil)

El artículo 19 de la LOPD no puede desvincularse del RGPD. No es admisible
interpretarlo al margen o prescindiendo del RGPD sino sólo y exclusivamente en el
contexto del Reglamento. Y en tal sentido, se subraya de nuevo el objetivo que guía la
elaboración del RGPD de garantizar una protección eficaz y uniforme del derecho a la
protección de datos personales en los Estados miembro de la Unión. El Considerando
(11) indica que “La protección efectiva de los datos personales en la Unión exige que
se refuercen y especifiquen los derechos de los interesados y las obligaciones de
quienes tratan y determinan el tratamiento de los datos de carácter personal, y que en
los Estados miembros se reconozcan poderes equivalentes para supervisar y
garantizar el cumplimiento de las normas relativas a la protección de los datos de
carácter personal y las infracciones se castiguen con sanciones equivalentes.”

Con el propósito señalado el RGPD ha articulado mecanismos que la Directiva no
preveía mediante los que refuerza la eficacia del derecho fundamental y que no
pueden obviarse cuando se pretende interpretar una norma a la luz del RGPD. Cabe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/204

mencionar, entre otros, el principio de responsabilidad proactiva (artículo 5.2), que se
proyecta sobre la totalidad de los principios del artículo 5.1. del RGPD y que traslada
la carga de la prueba de su cumplimiento al responsable del tratamiento. El enfoque
del riesgo que para los derechos y libertades fundamentales de las personas físicas
puede derivarse del tratamiento de los datos de carácter personal que les conciernen,
de manera que la repercusión que puede llegar a tener en los derechos y libertades
fundamentales la vulneración del derecho a la protección de datos dota a este derecho
fundamental de un carácter instrumental en la protección del conjunto de derechos y
libertades fundamentales del individuo. O la protección desde el diseño, que obliga al
responsable a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar
y poder demostrar que el tratamiento es conforme con el presente Reglamento.

El nombre, apellidos y el NIF son datos personales que acompañan al individuo al
margen de su actividad empresarial y no pierden su naturaleza por la circunstancia de
que desarrolle una actividad empresarial. Una interpretación del artículo 19.2 de la
LOPDGDD que propugnara que el tratamiento de cualquier dato de un empresario
autónomo cuando “se refieran a ellos únicamente en dicha condición” goza de una
presunción de licitud, anula de facto para este colectivo de individuos el principio de
responsabilidad proactiva (artículo 5.2) en lo que concierne a la licitud del tratamiento
de sus datos personales. Esto, insistimos, cuando los datos personales tratados no
pierden su naturaleza porque su tratamiento se refiera a la persona física empresaria
en tal condición; expresión, por lo demás, muy difícil de precisar en la práctica y que
conduce a una permanente situación de incertidumbre jurídica en lo que se refiere a la
protección de los datos personales de más de un millón y medio de individuos.

La tesis que considera comprendidos en la presunción iuris tantum del artículo 19.2 de
la LOPDGDD todos los datos de las personas físicas empresarios individuales es
contraria al espíritu del RGPD y carece de apoyo en sus disposiciones. Supondría,
además, una restricción injustificada del derecho fundamental a la protección de datos
por la desproporción que implica que, para proteger la seguridad del tráfico mercantil
que se invoca por CDE, el tratamiento de todos los datos personales de un empresario
autónomo se presuma lícito salvo que él acredite que el tratamiento en cuestión no lo
es.

Esta Agencia entiende que el tratamiento de los datos de un empresario persona física
que no sean datos de contacto no goza de la presunción de licitud basada en el
artículo 6.1.f) del RGPD. Y esto, aunque el tratamiento se refiera a datos de la persona
física en su condición de empresario y aunque el tratamiento no tenga por finalidad
entablar una relación personal. La consecuencia es, de conformidad con el principio de
responsabilidad proactiva (artículo 5.2. RGPD), que el responsable del tratamiento de
datos personales de empresarios individuales distintos de los datos de contacto tiene
la carga de acreditar que el tratamiento efectuado está amparado en un fundamento
de licitud conforme al RGPD.

Sentado lo anterior, cabe referirse al supuesto de hecho particular que aquí nos ocupa:
la cesión que CDE ha efectuado de los datos de los empresarios individuales que
obtuvo lícitamente de las Administraciones tributarias para el cumplimiento de
determinadas funciones público-administrativas que le atribuye la Ley 4/2014.

El sentido que a juicio de esta Agencia tiene el artículo 19.2 de la LOPDGDD
únicamente excluiría de la presunción de licitud los datos de contacto, por lo que CDE,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/204

como responsable, estaría obligada a demostrar (ex artículo 5.2. RGPD) que el
tratamiento del resto de datos fue lícito por concurrir una base jurídica conforme al
RGPD.

No obstante, sin perjuicio de lo que se ha indicado en los párrafos precedentes, se
hace constar que, realizada la ponderación entre los intereses legítimos de CDE o de
los terceros a quienes facilita los datos, de una parte, y, de otra, de los intereses, los
derechos y las libertades fundamentales de los empresarios autónomos titulares de los
datos personales afectados, el resultado al que se llega es que el tratamiento que CDE
hace de los datos de los autónomos no puede ampararse en la circunstancia del
artículo 6.1.f) del RGPD. Nos remitimos a ese respecto a la exposición en el
Fundamento VII, Infracción del principio de licitud.

Cabe añadir, además, -sin perjuicio de volver sobre esta cuestión más adelante- que
no resulta aplicable a CDE en el supuesto que nos ocupa la previsión de la disposición
adicional décima de la LOPDGDD conforme a la cual las Administraciones públicas
podrán ceder, sobre la base del artículo 6.1.f) del RGPD, los datos que les soliciten
sujetos de Derecho privado cuando aprecien que concurre en el solicitante un interés
legítimo que prevalezca sobre los derechos e intereses de los afectados.

No existe en este caso una solicitud de cesión efectuada por CAMERDATA como
sujeto de Derecho privado a CDE. Tampoco existe el correspondiente juicio de
ponderación previo a la cesión, efectuado por CDE, entre, por una parte, sus intereses
legítimos o los de un tercero, y de otra, de los derechos, libertades fundamentales e
intereses de los afectados. Nos encontramos ante un contrato privado suscrito por una
mercantil y la CDE en el ejercicio de actividades meramente privadas.

Es más, CDE tiene la condición de Administración pública en tanto en cuanto actúe en
el ejercicio de las funciones público-administrativas que le encomienda la Ley 4/2014.
Para que la precitada disposición adicional décima fuera aplicable CDE tendría que
realizar la cesión en el ejercicio de las funciones jurídico-públicas encomendadas,
pues cualquier tratamiento al margen de tales funciones la despoja de su condición de
Administración pública. Sin embargo, una cesión que ni versa sobre el “censo público”
(al que nos referiremos más adelante) ni menos aún entraña hacerlo público (la
publicidad a la que el artículo 8 de la Ley 4/2014 se refiere, por su misma
configuración, debe permitir un acceso libre y general a la información, y aquí solo
pueden acceder a la información cedida quienes contraten con CAMERDATA) estaría
al margen de las funciones jurídico públicas encomendadas y en tal caso CDE no
actuaría como Administración pública que es el presupuesto indispensable para aplicar
la referida disposición adicional décima.

2.Sobre el responsable del tratamiento. Inaplicación del artículo 77 de la LOPDGDD.

2.1. El artículo 4.7 del RGPD define la figura del responsable del tratamiento como “la
persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto
con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de
los Estados miembros determina los fines y medios del tratamiento, el responsable del
tratamiento o los criterios específicos para su nombramiento podrá establecerlos el
Derecho de la Unión o de los Estados miembros”. (El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/204

Cuando CDE trata los datos de los empresarios personas físicas en cumplimiento de
una obligación legal (ex artículo 8 de la Ley 4/2014) o en cumplimiento de una misión
de interés público (ex artículo 21 en relación con el artículo 5.1 de la Ley 4/2014), es
esta Ley la que la identifica como responsable del concreto tratamiento de datos
efectuado para cumplir con la obligación que le impone o desempeñar la misión
pública que le atribuye.

Procede mencionar en este punto que el Convenio “para la cesión de información de
carácter tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-
administrativas”, suscrito entre la AEAT y CÁMARA DE ESPAÑA el 25/11/2019,
modificado y prorrogado mediante una Adenda suscrita en diciembre de 2023,
establece en su cláusula novena, punto 5: “En la Agencia Tributaria el Responsable
del Tratamiento a efectos del Reglamento General de Protección de Datos es la titular
de la Dirección General y en la Cámara de Comercio de España y las Cámaras será
Responsable del Tratamiento la persona que designe cada Cámara.” (El subrayado es
nuestro)

Sin embargo, no resulta aplicable, en lo que respecta a la recepción de los datos de la
AEAT, lo estipulado en la cláusula novena del Convenio celebrado con ella a tenor del
cual será responsable del tratamiento la persona que CDE designe. CDE es la
responsable del tratamiento que se realiza con ocasión de la recepción de los datos
del IAE y los censales de los empresarios autónomos que le transmiten la AEAT y las
restantes Administraciones tributarias, e igualmente lo es del tratamiento de datos que
efectúa con ocasión de la elaboración del censo público y de otras funciones público-
administrativas que le encomienda la Ley 4/2014.

Tal conclusión parece obligada a la luz los criterios de las Directrices 07/2020 relativos
al carácter funcional del concepto de responsable y tomando en consideración la
presunción que en ellas se establece de que el tratamiento efectuado en el ámbito de
una organización por sus empleados se ha realizado por dicha organización.

Las Directrices 7/2020 sobre el concepto de responsable de tratamiento y encargado
de tratamiento en el RGPD, versión 2.0, aprobadas por el Comité Europeo de
Protección de Datos (en adelante, CEPD) el 07/07/2021, indican que el concepto de
responsable es un concepto funcional, pues su objetivo es asignar responsabilidades
en atención al papel real desempeñado por cada parte en el tratamiento efectuado.
Indican también (epígrafe 12) que “la condición jurídica de «responsable del
tratamiento» […] debe establecerse en principio en virtud de sus actividades concretas
en una situación determinada y no en función de la designación formal de un
participante como «responsable del tratamiento» […]Esto implica que la asignación de
la función de responsable […] debe derivar normalmente de un análisis de los hechos
o circunstancias del caso y, en consecuencia, no es negociable.”

Indican también (epígrafe 13) que el concepto de responsable del tratamiento es un
concepto “autónomo” ya que debe interpretarse fundamentalmente con arreglo al
Derecho de la Unión en materia de protección de datos y “no debería verse afectado
por otros conceptos —con los que a veces colisiona o se solapa— de otros ámbitos
del Derecho”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

109/204

Y en el epígrafe 18 dicen: “En ocasiones, las empresas y los organismos públicos
nombran una persona concreta a la que hacen responsable de las actividades de
tratamiento. Aun cuando se nombre a una persona física concreta para garantizar el
cumplimiento de la normativa sobre protección de datos, ésta no será el responsable
del tratamiento, sino que actuará por cuenta de la persona jurídica (empresa u
organismo público), que, en última instancia, responderá, en calidad de responsable
del tratamiento, de las posibles infracciones de la normativa […] En principio, todo
tratamiento de datos personales realizado por empleados en el ámbito de las
actividades de una organización se presumirá realizado bajo el control de dicha
organización”. (El subrayado es nuestro)

Distinto del tratamiento de datos al que nos hemos referido -el tratamiento lícito que
CDE lleva a cabo en cumplimiento de las previsiones de la Ley 4/2014- es el
tratamiento de datos que constituye el objeto del presente procedimiento sancionador
y en el que CDE tiene la condición de responsable: tratamiento que se concreta en la
cesión que hace a CAMERDATA, en ejecución de un contrato privado suscrito entre
ambas, de los datos de los empresarios autónomos. Datos que obtiene lícitamente de
las Administraciones tributarias con la finalidad exclusiva de cumplir una obligación
legal establecida en el artículo 8 de la Ley 4/2014 y que este precepto le habilita
también a tratar para otras funciones público administrativas previstas en ella.

2.2. El artículo 77 de la LOPDGDD, “Régimen aplicable a determinadas categorías de
responsables o encargados”, incorpora un régimen particular, descrito en esencia en
su apartado 2, aplicable a los sujetos que relaciona en el apartado 1 y a tenor del cual
la resolución que dicte la autoridad de protección de datos cuando tales sujetos
cometan alguna de las infracciones a las que se refieren los artículos 72 a 74 de la
citada Ley Orgánica declarará la infracción, estableciendo, en su caso, las medidas
que proceda adoptar para que cese la conducta o se corrijan los efectos de la
infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i
del RGPD (multa administrativa).

El artículo 77.1 de la LOPDGDD dispone que “El régimen establecido en este artículo
será de aplicación a los tratamientos de los que sean responsables o encargados” los
sujetos que detalla, entre los que menciona, letra g), “Las corporaciones de Derecho
público cuando las finalidades del tratamiento se relacionen con el ejercicio de
potestades de derecho público.” (El subrayado es nuestro)

La letra g del artículo 77.1 de la LOPDGDD exige para aplicar el régimen descrito en el
apartado 2 del artículo 77: (i) que el sujeto que trata los datos sea una corporación de
Derecho público y (ii) que el tratamiento de datos tenga una finalidad relacionada “con
el ejercicio de potestades de Derecho público.”

La Ley 4/2014 atribuye a CÁMARA DE ESPAÑA la condición de corporación de
Derecho Público y dispone que puede actuar en el ejercicio de funciones público-
administrativas (artículo 21 en relación con el artículo 5.1) o en el ejercicio de
actividades meramente privadas (artículo 21 en relación con el artículo 5.3).

El tratamiento de datos que nos ocupa, la cesión por CDE a CAMERDATA de los datos
de los empresarios personas físicas no tiene por finalidad cumplir una función público
administrativa asignada por la Ley 4/2014. En relación con este tratamiento es CDE
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

110/204

quien ha elegido libremente los fines y los medios y, en tal sentido, ha suscrito con
CAMERDATA un contrato en cuya virtud le transfiere datos personales de los
empresarios autónomos que obtiene lícitamente para otros fines.

Por tanto, partiendo de que el tratamiento de los datos de los empresarios autónomos
que CDE efectúa y sobre el que versa el presente procedimiento -la cesión a
CAMERDATA de tales datos en ejecución de un contrato privado- no cumple las
condiciones que integran el supuesto de hecho descrito en la letra g) del artículo 77.1
LOPDGDD, toda vez que el tratamiento no está relacionado con el ejercicio de
potestades públicas, concluimos que no es aplicable a CDE, como responsable del
tratamiento, el régimen jurídico previsto en el artículo 77 de la LOPDGDD.

III
Contexto y características del tratamiento de datos objeto de este procedimiento

1.La Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación (en adelante, Ley 4/2014 o Ley Básica de Cámaras)
dictada -con la salvedad de su artículo 5.2- al amparo del artículo 149.1, apartados 6º,
13º y 18º, de la Constitución Española (C.E.), establece la regulación básica de las
Cámaras Oficiales de Comercio, Industria, Servicios y, en su caso, Navegación, (en
adelante, las Cámaras) y el régimen específico de la Cámara Oficial de Comercio,
Industria, Servicios y Navegación de España (en adelante, Cámara de España o
CDE).

La CDE es una corporación de Derecho público y goza de personalidad jurídica y
plena capacidad de obrar para el cumplimiento de sus fines. Así lo establece el artículo
20.1 de la Ley 4/2014 que, además, añade “que se configura como órgano consultivo
y de colaboración con la Administración General del Estado, sin menoscabo de los
intereses privados que pueda perseguir.”

La Ley 4/2014 introduce en nuestro ordenamiento jurídico un sistema cameral de
“adscripción universal” sin obligación económica alguna a cargo de sus miembros, de
manera que la vinculación de éstos a la Cámara respectiva se produce “de oficio”
(artículo 7). Con ello, la Ley 4/2014 se aparta del criterio seguido por la norma
precedente, la Ley 3/1993, que había establecido un modelo de adscripción obligatoria
y pago de cuotas obligatorio, y del introducido posteriormente a través de la reforma
operada en la Ley 3/1993 por el Real Decreto-ley 13/2010, que cambió a un modelo
cameral de “pertenencia voluntaria”.

El artículo 8 de la Ley 4/2014 bajo la rúbrica “Censo público” dispone:

“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional, para cuya
elaboración contarán con la colaboración de la administración tributaria
competente así como de otras administraciones que aporten la información
necesaria, garantizando, en todo caso, la confidencialidad en el tratamiento y el
uso exclusivo de dicha información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

111/204

Para la elaboración del censo público de empresas las administraciones
tributarias facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España y a las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación los datos del Impuesto sobre Actividades Económicas y
los censales de las empresas que sean necesarios. Únicamente tendrán acceso
a la información facilitada por la administración tributaria los empleados de cada
Cámara que determine el pleno.

Esta información se empleará para la elaboración del censo público de
empresas, para el cumplimiento de las funciones público-administrativas que la
presente Ley atribuye a las Cámaras, así como para la elaboración del censo
electoral a que se hace referencia en el artículo 17 de la misma.

Dicho personal tendrá, con referencia a los indicados datos, el mismo deber de
sigilo que los funcionarios de la administración tributaria. El incumplimiento de
este deber constituirá, en todo caso, infracción muy grave de conformidad con
su régimen disciplinario.” (El subrayado es nuestro)

La norma impone a CDE y a las Cámaras la obligación de elaborar (“elaborarán) un
censo público de empresas y para el cumplimiento de esta obligación prevé que
cuenten con la colaboración de las Administraciones tributarias.

El precepto obliga a las Administraciones tributarias a comunicar - “facilitarán”, dice la
norma- tanto a CDE como a las Cámaras “los datos” del impuesto sobre actividades
económicas (en lo sucesivo, IAE) y los censales de las empresas que resulten
“necesarios” para el cumplimiento de las finalidades que determina.

Además, se habilita a CDE y a las Cámaras a tratar la información recibida para la
elaboración del censo público con la finalidad de cumplir “las funciones público-
administrativas que la presente Ley atribuye a las Cámaras” y la elaboración del censo
electoral al que hace referencia el artículo 17 de la Ley 4/2014.

La obligación que la Ley impone a las Administraciones tributarias para que
comuniquen a CDE y al resto de Cámaras los datos del IAE y los censales de las
empresas necesarios para los fines que determina en su artículo 8 va acompañada del
establecimiento de medidas que pretenden garantizar el derecho de las personas
físicas a la protección de sus datos: determina cuáles son las finalidades específicas
para las que la CDE y las Cámaras podrán tratar los datos que les proporcionen las
Administraciones tributarias; determina qué datos pueden ser facilitados por las
Administraciones tributarias -“los necesarios” para atender a dichas finalidades- e
impone a los cesionarios de los datos (la CDE y las Cámaras) la obligación de
garantizar su “confidencialidad” en el tratamiento y “el uso exclusivo” de la información
así obtenida. El Preámbulo de la Ley 4/2014 dice en el epígrafe II:

“las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación confeccionarán
un censo público de empresas para cuya elaboración contarán con la colaboración de
la administración tributaria competente, garantizando, en todo caso, la
confidencialidad en el tratamiento y uso exclusivo de la información para los fines
legalmente previstos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

112/204

El capítulo V de la Ley 4/2014 está dedicado a la Cámara de España y regula en el
artículo 21 las “Funciones” que tiene encomendadas:

“1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
desarrollará las siguientes funciones:
a) Promover los intereses generales del comercio, la industria, los servicios y la
navegación, en el ámbito estatal.
b) Representar al conjunto de las Cámaras ante las diversas instancias estatales
e internacionales.
c) Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras
españolas.
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio,
Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1
del artículo 5 de esta Ley.
e) Informar, con el carácter y el alcance previstos en la legislación vigente, los
anteproyectos de leyes o disposiciones estatales de cualquier rango que afecten
directamente al comercio, la industria, los servicios y la navegación.
f) Asesorar a la Administración General del Estado, en los términos que ésta
establezca, en temas referentes al comercio, la industria, los servicios y la
navegación.
g) Desempeñar las funciones público-administrativas que se le atribuyan,
cuando afecten al conjunto del Estado.
h) Gestionar en los términos previstos en los acuerdos con el Ministerio de
Economía y Competitividad las actuaciones previstas en el Plan Cameral de
Internacionalización y en el Plan Cameral de Competitividad.
i) Desempeñar funciones de mediación y arbitraje mercantil, nacional e
internacional, de conformidad con lo establecido en la legislación vigente.” (El
subrayado es nuestro)

El artículo 5.1 de la Ley 4/2014, al que remite el artículo 21.1.g), versa sobre funciones
de carácter público-administrativo. El artículo 5 distingue, por razón de su naturaleza,
entre las funciones “de carácter público-administrativo”, que se contemplan en el
artículo 5.1; las “funciones público-administrativas […], en la forma y con la extensión
que se determine, en su caso, por las Comunidades Autónomas”, recogidas en el
artículo 5.2, y “otras actividades, que tendrán carácter privado y se prestarán en
régimen de libre competencia, que contribuyan a la defensa, apoyo o fomento del
comercio, la industria, los servicios y la navegación, o que sean de utilidad para el
desarrollo de las indicadas finalidades y, en especial, establecer servicios de
información y asesoramiento empresarial”, recogidas en el artículo 5.3.

El artículo 5.1. de la Ley 14/2014 dispone:

“1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
tendrán las siguientes funciones de carácter público-administrativo:

a) Expedir certificados de origen y demás certificaciones relacionadas con el
tráfico mercantil, nacional e internacional, en los supuestos previstos en la
normativa vigente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

113/204

b) Recopilar las costumbres y usos mercantiles, así como las prácticas y usos de
los negocios y emitir certificaciones acerca de su existencia.
c) Ser órgano de asesoramiento de las Administraciones Públicas, en los
términos que las mismas establezcan, para el desarrollo del comercio, la
industria, los servicios y la navegación.
d) Desarrollar actividades de apoyo y estímulo al comercio exterior.
e) Participar con las administraciones competentes en la organización de la
formación práctica en los centros de trabajo incluida en las enseñanzas de
Formación Profesional y en las acciones e iniciativas formativas de la Formación
Profesional Dual, en especial en la selección y validación de centros de trabajo y
empresas, en la designación y formación de tutores de los alumnos y en el
control y evaluación del cumplimiento de la programación, sin perjuicio de las
funciones que puedan atribuirse a las organizaciones empresariales en este
ámbito.
f) Tramitar, en los casos en que así sean requeridas por la Administración
General del Estado, los programas públicos de ayudas a las empresas en los
términos en que se establezcan en cada caso, así como gestionar los servicios
públicos relacionados con las mismas cuando su gestión le corresponda a la
Administración del Estado.
g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y agencias
radicados en su demarcación.
h) Actuar de ventanillas únicas empresariales, cuando sean requeridas para ello
por las Administraciones Públicas competentes.
i) Colaborar con las Administraciones Públicas en la simplificación administrativa
de los procedimientos para el inicio y desarrollo de actividades económicas y
empresariales, así como en la mejora de la regulación económico-empresarial.
j) Impulsar actuaciones dirigidas al incremento de la competitividad de las
pequeñas y medianas empresas, y fomentar la innovación y transferencia
tecnológicas a las empresas.
k) Impulsar y colaborar con las Administraciones Públicas en la implantación de
la economía digital de las empresas.
l) En caso de que la autoridad de gestión de los Fondos de la Unión Europea lo
considere procedente, las Cámaras podrán participar en la gestión de Fondos de
la Unión Europea dirigidos a la mejora de la competitividad en las empresas.”

2.Comunicación de datos por las Administraciones tributarias a CDE y a las Cámaras

La base jurídica que ampara la comunicación que las Administraciones tributarias
hacen de los datos de los empresarios individuales obtenidos a través del IAE y del
censo de empresarios, profesionales y retenedores a CDE y a las Cámaras para las
finalidades previstas en el artículo 8 de la Ley 4/2014, es la establecida en la letra c)
del artículo 6.1. del RGPD: “el tratamiento es necesario para el cumplimiento de una
obligación legal impuesta al responsable. Todo ello, sin perjuicio de que la
Administración tributaria cedente debe siempre poder acreditar que el tratamiento
efectuado ha respetado los demás principios que, a tenor del artículo 5 del RGPD,
presiden el tratamiento de los datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

114/204

Las Administraciones tributarias no están obligadas a informar de la cesión a los
interesados en aplicación del apartado 4 del artículo 13 del RGPD, precepto que
establece: “Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y
en la medida en que el interesado ya disponga de la información”.

Esta disposición debe interpretarse a la luz del Considerando 62 del RGPD que dice:
“no es necesario imponer la obligación de proporcionar información cuando el
interesado ya posea la información, cuando el registro o la comunicación de los datos
personales estén expresamente establecidos por ley”.

Por lo que atañe a la AEAT, cabe indicar que su DPD ha puesto en conocimiento de
esta Agencia que sí informa a los interesados, en los términos del artículo 13,
apartados 1, 2 y 3, del RGPD, de la cesión de los datos personales a CDE. Indica que
la información se ofrece por capas y que cuando se cumplimentan los modelos
censales 036 y 037 aparece en la pantalla "firmar y enviar" una leyenda que dice:
“Podrá encontrar más información sobre los posibles tratamientos, cesiones y el
procedimiento para ejercer los derechos establecidos en los artículos 15 a 22 del
reglamento en el siguiente
enlace(https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html)".
Asimismo, la AEAT incluye en su Registro de Actividades de Tratamiento (RAT) el
tratamiento que consiste en comunicar a CDE y a las Cámaras los datos aportados al
“censo de empresarios, profesionales y retenedores (modelos 036 y 037)”.

3.Convenio entre CDE y la AEAT

CDE y la AEAT suscribieron en fecha 25/11/2019 un Convenio “para la cesión de
información de carácter tributario a las Cámaras Oficiales para el ejercicio de sus
funciones público-administrativas” publicado en el BOE de 20/12/2019.

El Convenio, de cuatro años de duración, ha sido prorrogado por cuatro años más
mediante una Adenda de modificación y prórroga suscrita el 19/12/2023, publicada en
el BOE el 16/02/2024, quedando afectadas por la modificación sus cláusulas octava
(“Control y seguridad de los datos suministrados”) y novena (“Protección de datos”).

La Exposición de Motivos del Convenio indica: CDE “desarrolla funciones públicas, en
especial las que se relacionan directa e indirectamente en las letras d) a i) del artículo
21.1 de la Ley 4/2014.

Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación son
Corporaciones de Derecho Público con personalidad jurídica y plena capacidad de
obrar para el cumplimiento de sus fines y que, cuando actúan en el ejercicio de las
funciones administrativas o de carácter público-administrativo encomendadas por las
leyes tienen la consideración de Administraciones públicas.

El fin del suministro de información a realizar por la Agencia Estatal de Administración
Tributaria será, en todo caso, el ejercicio de funciones públicas, tanto por […] como
por parte de la Cámara Oficial de Comercio, Industria, Servicios y Navegación de
España, en su vertiente de Administración pública.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

115/204

El objeto del Convenio es fijar las condiciones y el procedimiento que rige la cesión de
información de la AEAT a las Cámaras y a CDE “preservando en todo caso los
derechos de las personas a las que se refiere la misma” y, en síntesis, tiene el
siguiente contenido:

i. Sobre la “Finalidad de la cesión de la información”, la cláusula segunda del Convenio
distingue entre (i) la “cesión de información procedente de la Agencia Tributaria” y (ii)
la “cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas”.

En el primer supuesto (i), la finalidad de la cesión será “la colaboración con la Cámara
de Comercio de España y con las Cámaras en el desarrollo de las funciones públicas
que éstas tenga atribuidas cuando, para el ejercicio de las mismas, la normativa
reguladora exija la aportación de una certificación expedida por la Agencia Tributaria o
la presentación, en original, copia o certificación, de las declaraciones tributarias de
los interesados o de cualquier otra comunicación emitida por la Agencia Tributaria, en
particular en el caso de no obligados a declarar. En estos supuestos, la información
que debe constar en tales documentos se solicitará directamente de la Agencia
Tributaria, siempre que resulte necesaria para el ejercicio de tales funciones y se
refiera a un elevado número de interesados o afectados.”

En el segundo caso (ii), la cesión tiene “como finalidad exclusiva la elaboración del
censo público de empresas, el cumplimiento de las funciones público-administrativas
que la Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que
hace referencia el artículo 17 de la misma Ley.”

El Anexo III del Convenio versa sobre las funciones públicas y refiere por separado las
funciones públicas a desarrollar por CDE y por las Cámaras. Indica que:

“El presupuesto para la celebración y ejecución del presente Convenio es la
condición de Administración pública, […] de la Cámara Oficial de Comercio,
Industria, Servicios y Navegación de España como de las […], destinándose el
suministro de información a realizar por la Agencia Estatal de Administración
Tributaria, en todo caso, al ejercicio de funciones públicas.”

“Las funciones públicas a desarrollar por la Cámara Oficial de Comercio,
Industria, Servicios y Navegación se relacionan directa e indirectamente en las
letras d) a i) del artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las
Cámaras Oficiales de Comercio, Industria, Servicios y Navegación”.

iii. Al referirse a la autorización de los interesados en la información suministrada
(cláusula tercera) el Convenio parte de la distinción anterior:

En el supuesto (i) de cesión de información tributaria, se requiere la autorización
expresa y previa del interesado: “deberá contar con la previa autorización expresa de
los interesados, según lo establecido en el artículo 95.1.k) de la LGT, en los términos y
con las garantías que se establecen en el artículo 2.4 de la Orden del Ministerio de
Economía y Hacienda de 18 de noviembre de 1999.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

116/204

En el supuesto (ii) de cesión de los datos del IAE y los censales de las empresas no se
exige la autorización de los interesados: “No obstante, la cesión de los datos del
Impuesto sobre Actividades Económicas y los censales de las empresas impuesta por
el artículo 8 de la citada Ley 4/2014 no requerirá la previa autorización de los
interesados.”

iv. Los datos suministrados por la AEAT son los declarados por los contribuyentes y
demás obligados a suministrar información (cláusula sexta).

v. Sobre los destinatarios de la información consta en el Convenio (cláusula cuarta)
que la información que cede la AEAT solo puede tener como destinatarios los órganos
de la CDE y de las Cámaras “que tengan atribuidas las funciones públicas que
justifican la cesión”. “En ningún caso podrán ser destinatarios órganos, organismos o
entes que realicen funciones distintas de las descritas en la cláusula segunda de este
Convenio”.

Añade, además: “Todo ello sin perjuicio de la estricta afectación de la información
remitida por la Agencia Tributaria a los fines que la justifican y para los que se solicita”.

“En cualquier caso, el destinatario no podrá ceder a terceros la información remitida
por la Agencia Tributaria”.

vi. Cuando la información facilitada incorpore datos personales de los interesados,
tanto el cedente, la AEAT, como el cesionario, la Cámara de Comercio de España y las
Cámaras, tratarán los datos de acuerdo con el RGPD (cláusulas novena)

vii. Sobre el responsable del tratamiento (cláusula novena, apartado 5), establece:

“En la Agencia Tributaria el Responsable del Tratamiento a efectos del Reglamento
General de Protección de Datos es la titular de la Dirección General y en la Cámara de
Comercio de España y las Cámaras será Responsable del Tratamiento la persona que
designe cada Cámara.”

vii. Suministro de información (cláusula séptima). Se detalla en el Anexo I al Convenio,
a tenor del cual, cuando la información proceda de los datos censales de empresa y
esté destinada a la elaboración del “censo público de empresas” (artículo 8 de la Ley
4/2014) y para la elaboración del censo electoral (artículo 17), se suministrará con
periodicidad anual. Y tendrá periodicidad anual con actualizaciones semestrales la
información relativa a datos del IAE para la elaboración del censo público de empresas
(artículo 8 de la Ley 4/2014) y del censo electoral (artículo 17).

viii. Sobre el control y seguridad de los datos suministrados, la cláusula octava dice
que se regirá por lo dispuesto en la normativa vigente en cada momento en materia
de protección de datos y seguridad de la información y, en particular, por el
Reglamento (UE) 2016/679 […], la Ley Orgánica 3/2018, […] las disposiciones
reglamentarias del ordenamiento interno en materia de protección de datos de
carácter personal, el Real Decreto 3/2010, de 8 de enero, por el que se regula el
Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica […], y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

117/204

la Política de Seguridad de la Información de la Agencia Tributaria y las Cámaras que
se adhieran al presente Convenio.”

Prevé la existencia de “controles sobre la custodia y la utilización de la información
suministrada al amparo de este Convenio” adoptados tanto por el ente cesionario de la
información, como por el ente titular de la información cedida. En relación con los
primeros se establece que las Cámaras “Adoptarán medidas específicas que eviten el
riesgo de que la información pueda ser utilizada, incluso inadvertidamente, para otros
propósitos, o por personal en el que concurra algún conflicto de intereses. Así como
medidas que aseguren el cumplimiento de las condiciones que sustentan cada una de
las cesiones.”

ix. Se impone una obligación de sigilo a las autoridades, funcionarios y resto de
personal que tenga conocimiento de los datos o información suministrados en virtud de
este Convenio. Indica que “La violación de esta obligación implicará incurrir en las
responsabilidades penales, administrativas y civiles que resulten procedentes, así
como el sometimiento al ejercicio de las competencias que corresponden a la Agencia
de Protección de Datos.” (Cláusula décima)

4.El “censo público de empresas”

Es preciso referirse al “censo público de empresas” - expresión que utiliza el artículo 8
de la Ley 4/2014- a fin de concretar su concepto y contenido.

CDE está obligada a elaborar un censo público de empresas que incluye a todas las
empresas, sean personas jurídicas o físicas, nacionales o extranjeras, que ejerzan las
actividades comerciales, industriales, de servicios y navieras en territorio nacional.
El censo público de empresas, regulado en el artículo 8 de esta Ley, es un registro
institucional cuya finalidad principal es identificar y mantener actualizado el conjunto de
personas físicas o jurídicas, nacionales o extranjeras, que ejercen actividades
económicas —comerciales, industriales, de servicios o navieras— en el territorio
nacional. Su elaboración -y gestión- corresponde a las Cámaras de Comercio y se
basa en datos facilitados por las administraciones tributarias, así como por otras
administraciones públicas que puedan aportar información necesaria. Cabe señalar
que según se deduce de la ley, la finalidad de este censo no es comercial, sino
estrictamente público-administrativa. Por un lado, sirve de base para el cumplimiento
de las funciones que la ley atribuye a las Cámaras de Comercio en su calidad de
corporaciones de derecho público, como órganos de representación, promoción y
asesoramiento del tejido empresarial. También tiene como finalidad específica
adicional la conformación del censo electoral que determina quiénes pueden participar
en los procesos de elección de los órganos representativos de las propias Cámaras.
La misma limitación al personal específico respecto del acceso a los datos tributarios
utilizados para la elaboración del censo refleja que el censo tiene una naturaleza
institucional, vinculada al funcionamiento del sistema cameral y a la gestión pública del
tejido empresarial, y no puede entenderse como una fuente general de publicidad
económica ni confundirse con bases de datos de naturaleza privada utilizadas con
fines informativos o comerciales.
La regulación del Censo público de empresas es la que es. A pesar de la relevancia
funcional y económica que puede representar un ecosistema de información
empresarial, lo cierto es que el legislador, pudiendo haber optado por establecer
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

118/204

expresamente un régimen jurídico de publicidad o acceso generalizado a estos datos
—acompañado de las garantías adecuadas—, no lo ha hecho. La normativa vigente
en España -posiblemente a diferencia de otros países de la Unión Europea- no ha
articulado un marco normativo que disponga de forma abierta, y con respaldo legal
expreso, la disponibilidad de estas bases de datos con información sobre empresarios
individuales, incluso cuando tal acceso pudiera servir a intereses públicos o privados
legítimos y estuviera mediado por obligaciones de transparencia, control y
responsabilidad.
De este modo, sólo cabe acudir a las posibilidades que ofrece el ordenamiento, en su
caso a una gestión de acceso individualizado o granularizado que no es el actual. No
se discute aquí la legitimidad, oportunidad o la utilidad de otras finalidades o intereses,
que no son las que ha determinado el legislador para el censo de empresas. El censo
de empresas no se ha configurado por el legislador para dar cobertura a un
instrumento para finalidades que pueden perseguirse mediante el tratamiento de datos
de empresarios individuales por parte de entidades infomediarias, como el interés
propio de tales entidades en estructurar y ofrecer información sobre actividades
empresariales o profesionales desarrolladas por personas físicas, en respuesta a una
demanda continuada de múltiples sectores. Esta finalidad, en su caso podría sustentar
un interés legítimo que permitiese crear productos informativos que apoyan la toma de
decisiones en entornos comerciales, contractuales o profesionales.
En consecuencia, varias finalidades que podrían considerarse legítimas en otros
contextos no encuentran encaje en el marco jurídico de este censo. Así, no se
contempla que el censo sirva como herramienta de verificación empresarial a
disposición de terceros, ni que facilite a empresas, administraciones públicas o
profesionales el acceso a datos para valorar la existencia, continuidad o capacidad
económica de un empresario antes de contratar o establecer relaciones jurídicas.
Aunque esa finalidad puede ser útil para mitigar riesgos o reforzar la seguridad en el
tráfico mercantil, no está prevista en la ley como función propia del censo cameral.
Tampoco se recoge entre sus objetivos permitir la verificación de la condición
profesional o empresarial de una persona física en cumplimiento de normativas
específicas, como las relacionadas con contratación pública, prevención del blanqueo
o financiación, por más que esas necesidades existan en otros ámbitos.

Asimismo, la ley no atribuye al censo una finalidad de promoción individual del
empresario, ni le otorga carácter publicitario en el sentido de aumentar la visibilidad o
posicionamiento competitivo del sujeto en el mercado. El acceso a los datos del censo
está además sujeto a estrictas condiciones de confidencialidad, lo que refuerza su
carácter restringido y de uso interno por parte de las Cámaras.

Finalmente, aunque el artículo 19 de la LOPDGDD y bajo sus condiciones permite el
tratamiento de datos de localización profesional de empresarios individuales para
facilitar relaciones económicas y jurídicas, no se vincula al censo público. Por tanto,
debe entenderse que el censo cameral no ampara ni habilita usos orientados al
tratamiento de datos con fines informativos, comerciales o de análisis por parte de
terceros, los cuales deben basarse en otras fuentes y mecanismos jurídicos distintos.
De pretenderse estas finalidades a través de instrumentos y tratamientos de datos,
debe contarse con una legitimación que no facilita la regulación del censo de
empresas.
Y, en cualquier caso, los tratamientos de datos que sean adecuados y pertinentes para
el censo de empresas según su diseño legal, han de cumplir con las disposiciones del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

119/204

RGPD, de manera que los preceptos de la Ley 4/2014 relativos al censo público que
versen o estén relacionados con el tratamiento de los datos personales de los
empresarios personas físicas sólo pueden interpretarse a la luz del RGPD y de la
LOPDGDD.

CDE ha sostenido en sus alegaciones en el curso de este procedimiento que la Ley
4/2014 no determina qué datos forman parte del censo público ni determina tampoco
la vía a través de la cual éste se debe hacer público. A su entender, la Agencia, al
haber apreciado una infracción del RGPD en la cesión de la base de datos a
CAMERDATA, está suplantando a CDE en una decisión (el contenido y la forma de
publicidad del censo público) qué sólo le compete a esa corporación.

La obligación que la Ley 4/2014 impone a CDE de “elaborar” (ex artículo 8) y la
habilitación que le otorga (ex artículo 8) para tratar los datos del IAE y los censales
que obtiene de las Administraciones tributarias para cumplir la función pública de
“gestionar” (ex artículo 21.1.d, en conexión con el artículo 5.1.g) recae sobre un objeto
concreto: “el censo público de empresas”.

El diccionario de la Real Academia de la Lengua Española (RAE) indica como términos
sinónimos de censo “registro” o “matrícula”. El término “registro” se define (segunda
acepción) como “lugar desde donde se puede registrar o ver algo”. Estamos, por tanto,
ante un registro “público” de empresas. En definitiva, el artículo 8 de la Ley 4/2014
alude a un registro público de empresas.

La función registral es una función del Estado manifestada en la existencia de
registros que se refieren a varios aspectos y sectores de la vida. Es una función
pública. El carácter público del registro es una nota esencial a la finalidad última
de la función registral que es procurar la seguridad jurídica.

Cuando el artículo 8 de la Ley encomienda a CDE elaborar un censo público, le
impone la obligación de elaborar un registro público. Y al encomendar el artículo
5.1.g) la función público administrativa de “gestionar” en los términos del
artículo 8 un censo público de empresas, le está encomendando a CDE el
desarrollo de la función registral en relación con el citado censo público de
empresas.

Así pues, el objeto de la elaboración y gestión atribuidas a CDE es un registro público.

Un fichero o base de datos de empresas creado a partir de la información a la que
CDE tiene acceso en el desarrollo de la función público administrativa encomendada
(ex artículo 5.1.g) es ajeno a la función registral. Ese objeto sería otra cosa distinta, no
el “censo público de empresas” mencionado en la Ley 4/2014, y, por ende, su
tratamiento en ningún caso podría ampararse en las bases jurídicas que se derivan de
los preceptos del mencionado texto legal. La “gestión” del censo público, sin duda
puede implicar tratamientos de datos, en su caso y dependiendo la forma concreta de
acceso al registro que se considerase oportuna, podría implicar la facilitación de
acceso singularizado o por sectores o áreas específicas concretas con los fines
propios del censo público, pero no lo que es objeto del contrato que aquí se enjuicia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

120/204

Por lo que atañe (obviamente en relación con los empresarios autónomos) al
contenido del “censo público de empresas”, a qué datos lo integran, frente a la
afirmación de CDE de que la Ley 4/2014 no determina cuáles son éstos -lo que le lleva
a concluir que es a ella quien compete libremente concretar su contenido- es preciso
recordar que la determinación del censo habrá de conformarse por los responsables
de ese tratamiento según su marco legal específico, pero eso sí, condicionado por las
limitaciones del RGPD a la LOPDGDD. En este punto, deben tenerse en cuenta los
principios generales del Derecho, en particular el de proporcionalidad, al que debe
ajustarse cualquier restricción de un derecho fundamental como es el que aquí nos
ocupa. El RGPD y la LOPDGDD sí puque pueden determinar qué datos personales no
deben formar parte del censo público de empresas por ser inadecuados o innecesarios
o desproporcionados. En ese sentido, el artículo 5.1.c) del RGPD proclama el principio
de minimización de datos en virtud del cual los datos tratados serán “adecuados,
pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados”.

Sentado lo anterior, es obligado poner de manifiesto que consta acreditado en el
expediente que el censo público de empresas, actualmente, es accesible desde la web
corporativa de CDE, circunstancia de la que además informa su propia página web.

Así, las capturas de pantalla obtenidas de www.camara.es que obran en el
expediente (Hecho probado tercero) confirman que en el sitio www.camara.es/funcion-
consultiva/consulta-del-censo-publico-de-empresas, bajo la rúbrica “Censo Público de
Empresas”, aparece una relación de desplegables y en el primero, “Descripción”, se
ofrece esta información referente al “Censo Público de Empresas”:

Consta también que:
“recoge un registro por actividad (no acumula varias actividades en una misma
dirección) y recopila los siguientes datos por registro: Nombre, Dirección, Código
Postal, Municipio, Actividad.”

El acceso al Censo Público de Empresas desde la web de CDE es, como exige su
naturaleza, accesible a todos.

Respecto al contenido, se observa que el censo público de empresas accesible a
través de la web corporativa de CDE incorpora los siguientes datos personales de los
empresarios personas físicas: el nombre y los apellidos, la dirección postal (nombre
de la vía y número, en ocasiones el piso), el código postal, el nombre de la provincia y
del municipio, el código de IAE y la descripción de la actividad. No incluye el dato del
NIF. Esto evidencia que el responsable del tratamiento, CDE, ha aplicado cabalmente
en su elaboración el principio de minimización (ex artículo 5.1.c RGPD). Por tanto, los
criterios acerca de qué datos pueden o no formar parte del censo público de empresas
existen y los establecen el RGPD y la LOPDGDD.

Cabría añadir -habida cuenta de que CDE ha sostenido que a ella le corresponde
determinar qué datos se incluye en el censo público y que ha declarado que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

121/204

perfectamente podría haber decidido incluir también el dato del NIF de los empresarios
personas físicas- que la controversia respecto a si el NIF de los empresarios
individuales debe o no figurar incluido en el censo público de empresas se resolvería
negativamente tras un juicio de proporcionalidad, aplicando para ello la dotrina
constitucional recogida, entre otras, en la STC 39/2016, de 31 de marzo.

El Tribunal Supremo se hace eco de ella en la STS de 02/11/2016 (recurso 2538/2015)
en la que dice que “suscitado el debate en sede de proporcionalidad entre los
derechos invocados en confrontación, debe recordarse que el Tribunal Constitucional
ha venido perfilando ese juicio de proporcionalidad, declarando que el mismo requiere
la concurrencia de tres requisitos o condiciones. De una parte, un juicio de idoneidad,
referido a determinar si la medida adoptada es susceptible de conseguir el objetivo
propuesto. En segundo lugar, un juicio de necesidad, entendido en el sentido de que la
finalidad perseguida con la medida resulta imprescindible para su legítima finalidad sin
poder obtenerse por otros medios que eviten la lesión de otros derechos o sea una
afección menos intensa Y en tercer lugar, un juicio de proporcionalidad en sentido
estricto, en cuanto la medida adoptada sea ponderada y equilibrada en cuanto se
deriva de ella más beneficios para el fin perseguido que perjuicios en la afección de
los derechos también protegidos”.

En tal sentido, serían elementos relevantes en esa ponderación que el dato del NIF de
los empresarios autónomos no es necesario para la finalidad que persigue el censo
público de empresas al que se refiere el artículo 8 de la Ley Básica de Cámaras:
ofrecer una relación de las empresas que desarrollan su actividad en territorio español
con indicación del sector al que pertenecen y de su identificación. Frente a lo que
alega CDE, incorporar el dato del NIF en el censo público de empresas no contribuiría
a incrementar la seguridad jurídica del tráfico mercantil que, respecto al empresario
autónomo, se garantiza sobradamente cuando le facilita el dato de su NIF a la persona
con la que contrata o entabla una negociación. Tampoco es necesario el dato del NIF
-dato especialmente sensible en la medida que identifica indubitadamente a la persona
física- para identificar la empresa que no tiene forma de persona jurídica, pues para la
identificación de la empresa en cuanto tal consta ya lo relevante: epígrafe del IAE y
descripción de la actividad, así como el nombre y apellidos del titular y, en su caso, el
nombre comercial. Hemos de añadir que no existe en nuestra normativa mercantil,
con carácter general, una obligación de publicidad formal para los empresarios
individuales, a diferencia de la que sí existe para las sociedades mercantiles, que
justifique la publicidad de un dato que como el NIF identifica plenamente al individuo.
El artículo 19 del Código de Comercio español dispone: “1. La inscripción en el
Registro Mercantil será potestativa para los empresarios individuales, con excepción
del naviero”. Todo ello, con independencia de que, cuando el legislador ha estimado
necesario para la protección del interés general que se dé publicidad al dato del NIF
-con independencia de que el empresario sea persona física o jurídica- , así lo ha
dispuesto. Esto sucede, por ejemplo, en la Ley 34/2002 de Servicios de la Sociedad de
la Información y del Comercio Electrónico.
Cuestión que hubiera sido diferente es la inclusión y en su caso publicidad del NIF de
tratarse de otro instrumento de publicidad que no es el censo de empresas regulado
por la ley.

Se indica, asimismo, que es general la convicción de que el censo público de
empresas elaborado por CDE en cumplimiento de la obligación impuesta por el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

122/204

artículo 8 de la Ley 4/2014 es el que, actualmente, resulta accesible desde su web
corporativa. Incluso lo han admitido en ocasiones CDE y CAMERDATA, a pesar de la
confusión que insistentemente han tratado de generar sobre esta cuestión. Nos
remitimos a su respuesta al requerimiento de la Inspección de fecha 20/12/2023, en la
que CDE dice:

“El censo público de empresas se publica en abierto y de forma gratuita dentro del
apartado “Empresas de España” de la Web corporativa de Cámara de España”.
(Hecho probado segundo)

En el certificado emitido por el ***PUESTO.1 que CDE aportó anexo a sus alegaciones
al acuerdo de inicio, se dice en el punto 2:

“La CDE, […] en el ejercicio de las funciones de carácter público-administrativas que
se le atribuyen, elabora, gestiona y publica (art. 5.1.g) en relación con el art. 8 de la
Ley 4/2014) el censo público de empresas en España.
Este censo público de empresas es, como su propio nombre indica, público, y está a
disposición de cualquier interesado en Internet en https://www.camara.es/funcion-
consultiva/consulta-del-censo-publico-de-empresas. No obstante, en Internet la
disponibilidad del censo público de empresas es limitada.” (Hecho probado undécimo)

En conclusión:

 La obligación legal de “elaborar” y la función público administrativa de
“gestionar” que la Ley Básica de Cámaras impone y atribuye a CDE (ex
artículos 8 y 21.1.d en conexión con el 5.1.g) recae sobre un “censo público de
empresas”, un registro de empresas público. La consecuencia de ello es que
no se subsume en los preceptos de la Ley 4/2014 antes indicados, ni por
consiguiente puede basarse en las causas de licitud que derivan de las citadas
disposiciones del texto legal, un fichero o base de datos de empresas que CDE
ha generado con datos obtenidos en el ejercicio de la función que se le
encomienda y que destina a un uso privado como es su transmisión a una
mercantil, CAMERDATA. Ese hecho, la transmisión (y la previa formación del
fichero o base de datos con información que está a su alcance por ser quien
tiene encomendada por la Ley la función registral del censo de empresas) para
un uso privado es ajeno a la “función registral” que es la que la Ley
encomienda a CDE a través del artículo 21.1d) en conexión con el 5.1.g)
“gestionar” en los términos del artículo 8 un censo público de empresas.

 En cuanto al contenido del “censo público de empresas” que elabora CDE en
cumplimiento de los dispuesto en el artículo 8 de la Ley 4/2014, el tratamiento
de los datos personales de los empresarios autónomos que a través de él se
lleva a cabo debe cumplir en todo caso los principios de protección de datos de
carácter personal, en particular , por lo que aquí interesa, el de minimización de
datos (ex artículo 5.1.c, RGPD). La consecuencia es que no deberá incluirse,
salvo que una norma con rango de ley disponga otra cosa, el dato del NIF del
empresario persona física pues identifica indubitadamente a la persona y su
inclusión no supone una contribución relevante para el fin que persigue el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

123/204

“censo público de empresas” tal y como se configura en el contexto de la Ley
4/2014,

 CDE ha elaborado y tiene publicado en su web corporativa el “censo público
de empresas”: es accesible a todos libremente y cumple el principio de
minimización, pues no utiliza todos los datos cedidos por las Administraciones
tributarias sino sólo aquellos “necesarios”.

5. La base de datos cedida por CDE a CAMERDATA y la supuesta obligación atribuida
por la Ley 4/2014 de “dar publicidad” al censo público.

Las exposición precedente sobre el censo público de empresas, que a primera vista
puede parecer innecesaria, resulta, sin embargo, obligada ante el hecho -fácilmente
constatable con la lectura de cualquiera de los escritos de alegaciones presentados
por CDE e incluso del contrato suscrito con CAMERDATA- de que CDE viene creando
sistemáticamente una confusión interesada entre el “censo público de empresas” y la
base de datos que es objeto de cesión a la mercantil CAMERDATA, que contiene
información que CDE ha obtenido de las Administraciones tributarias para la
elaboración del censo público y para las funciones público administrativas que le
encomienda la Ley 4/2014. Asimismo, se viene creando confusión sobre la
elaboración y la gestión del censo público de empresas que menciona la citada Ley.

CDE intenta que parezca que la base de datos que cede a CAMERDATA y el censo
público de empresas son lo mismo y deriva de ello que también el fundamento de
licitud de ambas es el mismo y, por consiguiente, la cesión de datos a CAMERDATA es
ajustada a Derecho. Hasta tal punto, que ha llegado a mantener que la única
diferencia entre una y otro es tan solo la forma de publicación: a través de la web
corporativa el censo público de empresas en sentido riguroso, y mediante un contrato
con CAMERDATA, en virtud de una decisión adoptada, supuestamente, en el ejercicio
de funciones jurídico-públicas, la base de datos. Se transcriben algunos párrafos de
sus alegaciones a la propuesta de resolución:

“La Agencia Española de Protección de Datos considera que Cámara de España,
[…] se equivoca cuando, en ejercicio de sus funciones jurídico-públicas, considera
que dentro de estas funciones está incluida la de publicar ese censo y dar acceso
al mismo a los interesados. Curiosamente, la Agencia entiende que sí está incluida
la publicación en Internet a través de una base de datos accesible online, pero no
está iincluida la publicación mediante su cesión a las entidades que lo soliciten.”

“Cámara de España entiende que el mandato legal de gestionar el Censo Público
incluye la obligación de hacerlo público por ambos medios”.

“CDE proporciona a Camerdata, S.A. la Base de Datos Cedida para cumplir con la
obligación legal de dar publicidad al Censo Público de Empresas establecida en la
Ley 4/2014, como ya se ha indicado. Si Camerdata, S.A., como un responsable
independiente del tratamiento, decide sobre el tratamiento de los datos personales
para otros fines, sus propios fines, es algo ajeno a CDE.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

124/204

El “Contrato de cesión de base de datos empresariales”, suscrito entre CDE y
CAMERDATA el 15/02/2016, vigente en la fecha en la que se aporta a requerimiento
de la Inspección, el 20/12/2023, acuña dos expresiones para referirse a la base de
datos que constituye su objeto: “Censo Básico de Empresas” y “Base de Datos
Cedida” (Hecho probado octavo).

Para entender el alcance del tratamiento de datos que es objeto del presente
procedimiento, es preciso no perder de vista las dos diferencias fundamentales entre
el tratamiento lícito que CDE hace de los datos de los empresarios autónomos cuando
elabora y gestiona el “censo público de empresas” (ex artículo 8 y artículo 5.1.g de la
Ley 4/2014), al que CDE denomina en su web corporativa Censo Público de
Empresas, y el tratamiento de datos personales que se materializa en la cesión que
hace a CAMERDATA de un fichero que contiene datos de los empresario autónomos
(denominado por CDE, según el caso, “Censo Básico de Empresas” y “Base de Datos
Cedida” e incluso también Censo Público de Empresas):

La primera diferencia radica en que el fichero con datos de los empresario autónomos
que es objeto de la cesión -insistimos, denominado por CDE, según el caso, “Censo
Básico de Empresas”, “Base de Datos Cedida” e incluso también “Censo Público de
Empresas”- es ajeno a la función registral encomendada a CDE (ex artículo 5.1.g) y es
tan solo una base de datos privada que CDE ha elaborado con información obtenida
con ocasión del ejercicio de las funciones público-administrativas encomendadas.

La consecuencia es que el tratamiento de datos que tiene por objeto la base de datos
que CDE cede a CAMERDATA no puede estar amparado en las bases jurídicas del
artículo 6.1,c) o 6.1.e), pues ambas deben conectarse con una norma con rango de
Ley, en este caso la Ley 4/2014, que se refiere al “censo público de empresas”.

La segunda diferencia está relacionada con la supuesta obligación que la Ley 4/2014
atribuye a CDE de “dar publicidad” o “publicar” el “censo público de empresas”.

CDE viene sosteniendo en el curso del procedimiento que la Ley 4/2014 le atribuye la
función de “dar publicidad” al “censo público” de empresas. Dice, por ejemplo:

“Cámara de España entiende que el mandato legal de gestionar el Censo Público
incluye la obligación de hacerlo público por ambos medios” (medios que ha
identificado como “publicar ese censo y dar acceso al mismo a los interesados”)

Tal obligación es inexistente. La publicidad es la que ofrece el registro público
que la Ley ordena elaborar. El carácter público es una nota esencial a la finalidad
última de la función registral, que es procurar la seguridad jurídica. Podría en su
caso valorarse la forma concreta de esta publicidad registral y su admisibilidad desde
la protección de datos, pero bajo la publicidad del censo no se corresponde la cesión
masiva de datos para llevar a cabo o posibilitar el acceso a datos para otros fines que
no son los propios del censo público de empresas, por interesantes que puedan ser,
pero a los que el legislador no ha dado cobertura.

A mayor abundamiento, se da la circunstancia de que el tratamiento que consiste en
ceder a CAMERDATA una base de datos con información de los empresarios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

125/204

autónomos -tratamiento ilícito realizado al margen del registro público de empresas y
de la función registral encomendada a CDE- tiene como destinatario una empresa que
lo utilizará (pues esa actividad forma parte de su objeto social) a fines comerciales o
de marketing.

De tal manera que, frente a lo que viene alegando CDE en el curso de este
procedimiento -que, habida cuenta de que la Ley 4/2014 le impone la obligación de
dar publicidad al censo público de empresas, pero no determina cuál es la vía para
ello, le corresponde a esa corporación decidir las vías a través de las cuales llevarla a
cabo- esta Agencia indica que, efectivamente, la Ley 4/2014 no detalla cuáles son las
vías de publicidad porque la obligación que la Ley impone a CDE no es la de dar
publicidad sino la de elaborar un censo de empresas , un registro público de
empresas, y le encomienda en relación con él una función público administrativa que
es el desarrollo de la función registral.

Por lo que atañe a la confusión terminológica a la que se ha hecho mención al inicio de
este epígrafe, nos referimos seguidamente a los expositivos IV y V, y a alguna de las
cláusulas del contrato (pactos) suscrito entre CDE y CAMERDATA.

Dice el contrato que CDE elaborará el “censo público de empresas” bajo la
denominación de Censo Básico de Empresas. Así, en los expositivos IV y V se dice
que, en consideración a “los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas que sean necesarios” (expositivo IV) “que recibe de las
Administraciones públicas colaboradoras” “la Cámara de Comercio de España
elaborará el censo público de empresas bajo la denominación de “Censo Básico de
Empresas”, garantizando la confidencialidad en el tratamiento y el uso exclusivo de la
información recibida.”

El Pacto primero del contrato entre CDE y CAMERDATA, Objeto, introduce el término
“Base de Datos Cedida”. Estipula en el punto 1.1:

“Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su
vez, recibe y adquiere para sí, una copia de la totalidad de los datos
empresariales obrantes en el Censo Básico de Empresas referido en el anterior
Expositivo V (en adelante la Base de Datos Cedida) actualizada a fecha de
enero de 2016, la cual contiene los campos de información que se indican en el
Anexo 1 de 3.160.984 Registros de Empresas.”

Son también significativas las alegaciones de CDE a la propuesta de resolución que
reflejan un intento de confusión sobre los datos que trata el censo público, por una
parte, y, por otra, entre el censo público de empresas (ex artículo 8 de la Ley 4/2014) y
el censo básico de empresas:

“La Agencia razona equivocadamente que, si el “hash” no está en la información
que se publica al por menor en la página web de Cámara de España, entonces
no pertenece al Censo Público de Empresas. Pero esa inferencia es falsa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

126/204

[…],Cámara de España considera que una base de datos sin “hashes” es
imposible de gestionar. El “hash” único para identificar a cada empresario es
totalmente indispensable para la gestión del Censo Público de Empresas, ya que
sin él el censo produciría información falsa […] Sin el NIF, al menos sin el “hash”
unívoco para cada empresario individual, no es posible gestionar el Censo
Público de Empresas […] en virtud del principio de minimización de los datos
Cámara de España ha preferido incorporar el “hash” en lugar del NIF.” “Pero el
“hash” tiene que existir, tiene que formar parte del Censo Público de Empresas
(sin él, es ingestionable) y, si forma parte del mismo [del Censo Público de
Empresas], tiene que poder ser entregado a las empresas que lo soliciten como
parte de la obligación de hacer público el Censo Público de Empresas”.

“Que el “hash” forma parte del Censo Público de Empresas es un hecho cierto.
El instructor pretende probar lo contrario afirmando que es la información que se
publica en internet de forma individualizada el “hash” no aparece. Pero “Censo
Público de Empresas” e “información publicada de forma individualizada en la
página web de Cámara de España no es lo mismo”. (El subrayado es nuestro)

Así pues, al margen de confusiones interesadas, concluimos:

 Que el “Censo Básico de Empresas” o “Base de Datos Cedida” (que constituye
el objeto del contrato de “Cesión de bases de datos empresariales” que CDE y
CAMERDATA celebraron en febrero de 2016) no es, no puede serlo, el “censo
público de empresas” al que se refiere el artículo 8 de la Ley 4/2014 (un
registro público) sino que su naturaleza es distinta pese a que el origen de los
datos sea el mismo. Además, el “censo público de empresas”, por una parte, y
el Censo Básico de Empresas o Base de Datos Cedida, por otra, son, en su
esencia, distintos, con independencia de que los datos personales que formen
parte de ellos sean o no iguales (conste o no incluido el NIF o el hash del NIF).

 Que la publicidad en relación con el censo público de empresas es,
exclusivamente, la que se lleva a cabo a través de él. No hay más publicidad
encuadrada en los preceptos de la Ley que la que el propio “censo público”
otorga. La Ley 4/2014 no impone a CDE ninguna obligación de “dar publicidad”
al censo público.

IV
Cambio de calificación jurídica efectuado en fase de propuesta de resolución

1.El acuerdo de inicio de este procedimiento sancionador atribuyó a CDE, entre otras
infracciones, la presunta vulneración de los “principios de lealtad y transparencia”
establecidos en el artículo 5.1.a) del RGPD, infracción tipificada en el artículo 8.3.5.a)
del RGPD y considerada por la LOPDGDD, a efectos de prescripción, como muy grave
(artículo 72.1.a)

En la fase de propuesta de resolución, tomando en consideración los mismos hechos
que el acuerdo de inicio había valorado y calificado como una presunta infracción de
los principios de lealtad y transparencia (artículo 5.1.a, del RGPD), el órgano instructor
procedió a cambiar su calificación jurídica y, con base en el principio de especialidad,
apreció dos infracciones distintas: i. una infracción del principio de lealtad, establecido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

127/204

en el artículo 5.1.a) del RGPD y tipificada en su artículo 83.5.a), y ii. una infracción del
artículo 14 del RGPD, tipificada en su artículo 83.5.b).

Recordemos a este respecto que el Fundamento IX del acuerdo de inicio, que lleva por
rúbrica “Sobre la presunta infracción del principio de licitud y transparencia, artículo
5.1.a) RGPD”, decía en su punto 2:

“2. En el presente caso, las carencias informativas en términos de transparencia
que se aprecian son, sintéticamente, las siguientes:

- La operación de tratamiento que es objeto de análisis en este acuerdo de
apertura (la transmisión por CDE a CAMERDATA de una base de datos que
incluye los datos personales de los empresarios autónomos) se inicia desde el
momento en que CDE prevé que llevará a cabo esa transmisión respecto de
datos que ha obtenido lícitamente vinculados a finalidades específicas de
carácter público que le atribuye la Ley 4/2014.

Previsión que hace CDE -a tenor de la información disponible- al menos desde
el año 2016, fecha del contrato con CAMERDATA. La lealtad en el tratamiento
exigiría que CDE hubiera informado a las Administraciones tributarias que le
proporcionan los datos en cumplimiento del artículo 8 de la Ley Básica de
Cámaras de ese tratamiento ulterior. Máxime, dadas las salvaguardas que
recoge el artículo 8 mencionado y lo estipulado en el convenio que suscribió con
la AEAT. No se tiene noticia de que CDE haya facilitado oportunamente esa
información.
-No está prevista ni consta que haya facilitado ninguna información a los
interesados cuyos datos personales son objeto de la transferencia a
CAMERDATA. Lo que resulta particularmente grave al haberles privado de la
información de que esos datos serán a su vez cedidos a terceras entidades.
-CDE, como parte contratante con CAMERDATA, no ha velado por obligar a
CAMERDATA y a los terceros a quienes ésta les ceda la base de datos para que
les proporcionen una información veraz sobre el origen de los datos.”

Sobre la procedencia de cambiar en fase de propuesta de resolución la calificación
jurídica de los hechos que el acuerdo de Inicio calificó como una infracción del artículo
5.1.a) del RGPD y sobre la incidencia que tal cambio pudiera tener en el derecho de
defensa de CDE, se hizo constar en la propuesta de resolución que no existía ningún
impedimento jurídico para tal cambio, siempre y cuando, como acontecía en este caso,
permanecieran invariables los hechos en los que se fundaba la nueva imputación.

El primero de los derechos que el artículo 53.2 de la LPACAP reconoce al presunto
responsable es el derecho a que se le notifiquen los hechos que se le imputan, las
infracciones que tales hechos puedan constituir y las sanciones que, en su caso, se
les pudiera imponer.

El Tribunal Constitucional ha precisado que “el contenido esencial del derecho
constitucional a ser informado de la acusación se refiere a los hechos considerados
punibles que se imputan al acusado” (STC 95/1995).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

128/204

A diferencia de lo que sucede con la información de los hechos en los que se concreta
la infracción, el Tribunal Constitucional (T.C.), en Sentencia 145/1993, advierte que la
comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a
imponer no integra el contenido esencial del derecho a ser informado de la acusación.
Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de
la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo
24.2 de la Constitución Española (CE) se satisfacen fundamentalmente con la sola
comunicación de los hechos imputados, para poder defenderse sobre los mismos
(STC 2/1987 y 190/1987). En esta línea el Tribunal Supremo, Sentencia de 03/03/2004
afirma que “la finalidad primordial del acuerdo de inicio es informar sobre los hechos
imputados y no sobre la calificación jurídica, de lo que se encargará la propuesta de
resolución”.

Puede mencionarse a tal efecto la SAN de 12/03/2016 (recurso 312/2014), cuyo
Fundamento de Derecho segundo responde, en los siguientes términos, a la cuestión
alegada por la parte actora de “que la propuesta de resolución alteró la calificación
jurídica respecto al acuerdo de apertura”:

“A raíz de lo suscitado por la parte actora, resulta conveniente reflejar la doctrina
constitucional y la jurisprudencia sobre el alcance del derecho de los
sancionados a ser informados de la acusación durante la tramitación del
procedimiento administrativo sancionador y los límites que ha de respetar el
órgano sancionador en el ejercicio de su potestad sancionadora salvaguardar el
derecho de defensa de aquel.
Los principios inspiradores del orden penal son de aplicación, con ciertos
matices, al Derecho Administrativo sancionador, dado que ambos son
manifestaciones del ordenamiento punitivo del Estado, tal y como refleja propia
Constitución, una reiterada jurisprudencia de nuestro Tribunal Supremo y la
doctrina del Tribunal Constitucional (en este sentido, Sentencias del Tribunal
Supremo de 28 de abril de 2014 -recurso nº. 364/2013 -, y de 9 de abril de 2014
-recurso nº. 212/2013 -, entre otras)”
[...]
Por su parte el Tribunal Supremo también ha establecido que unas de las
garantías aplicables al procedimiento administrativo sancionador derivado del
derecho de defensa reconocido en el artículo 24 de la Constitución es la de ser
informado de la acusación para poder defenderse adecuadamente, tal y como
establece la Sentencia del Tribunal Supremo de 3 de noviembre de 2003
-recurso nº. 4.896/2000 -, cuya doctrina es reiterada en las Sentencias de dicho
Tribunal de 21 de mayo de 2014 -recurso n. 492/2013 -, y de 30 de octubre de
2013 -recurso nº. 2.184/2012-, en los siguientes términos:” "Pues bien, de la
doctrina del Tribunal Constitucional y de la jurisprudencia de esta Sala deben
resaltarse los siguientes principios:

a) [...] En relación con esa operación de traslación de las garantías del art. 24
CE al procedimiento administrativo sancionador [...], se ha ido elaborando
progresivamente en numerosas resoluciones una consolidada doctrina
constitucional, en la que se citan como aplicables, sin ánimo de exhaustividad, el
derecho de defensa, que proscribe cualquier indefensión; el derecho a ser
informado de la acusación, con la ineludible consecuencia de la inalterabilidad
de los hechos imputados; el derecho a la presunción de inocencia, [...]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

129/204

b) Entre las garantías aplicables al procedimiento administrativo sancionador se
encuentra, desde luego, la de ser informado de la acusación para poder
defenderse adecuadamente; y tal información comprende los hechos atribuidos,
la calificación jurídica de los mismos y la sanción que se propone. Ahora bien, la
estricta correlación entre acusación y decisión se refiere a los hechos y no tanto
a la calificación jurídica, por cuanto manteniéndose inalterados los hechos objeto
de cargo, la propuesta de resolución y, en definitiva, la decisión sancionadora
puede utilizar otro título de condena con dos límites: la imposibilidad de que se
incluya en dicha resolución del procedimiento una calificación jurídica de mayor
gravedad que la reflejada en la comunicación de cargos dirigida a quien se ve
sometido al expediente sancionador, y la imposibilidad de apreciar en la
resolución una calificación jurídica distinta de la comunicada si existe
heterogeneidad en los bienes jurídicos protegidos o si la infracción
definitivamente considerada incorpora algún elemento del tipo que no
corresponde a aquella que fue notificada y sobre la que el sancionado no ha
tenido, en consecuencia, oportunidad de defensa. Y no hay variación de los
hechos entre el pliego de cargos, la propuesta de resolución y la decisión
sancionadora cuando, aunque los términos empleados no sean exactamente
iguales sí son similares y lo que hay es una diferente valoración técnico-jurídica
de los mismos (Cfr. SSTC 98/1989 y 145/1993).”

Este mismo criterio se ha mantenido por la A.N. tras la entrada en vigor de la LPACAP,
nos remitimos a la SAN de 07/02/2020 (recurso 915/2018).

Por lo expuesto, la propuesta de resolución consideró plenamente ajustado a Derecho
el cambio de calificación jurídica efectuado en ese trámite, habida cuenta de que los
hechos que se subsumieron en las dos infracciones imputadas a CDE en la propuesta
de resolución -artículos 14 y 5.1.a) del RGPD- estaban recogidos en el acuerdo de
inicio si bien subsumidos en una única infracción, del artículo 5.1.a) del RGPD, por lo
que la nueva calificación jurídica no implicó una alteración en los hechos inicialmente
apreciados sino que éstos permanecieron invariables.

2. Sobre el grave vicio de procedimiento en el que, supuestamente, se incurre con el
cambio de calificación jurídica efectuado.

CDE invoca en sus alegaciones a la propuesta de resolución que el cambio de
calificación jurídica efectuado no es ajustado a Derecho. Considera que la Agencia ha
incurrido en un vicio grave del procedimiento que le ha causado indefensión y sobre el
que dice lo siguiente: Que en la propuesta de resolución “se han modificado los tipos
infractores imputados a esta parte impidiendo que en fase de prueba esta parte
pudiera solicitar la prueba de descargo correspondiente.”

Afirma que “No es verdad que los hechos sean diferentes de los que se afirmaron en
el acuerdo de inicio, pues la audiencia dada a Camerdata, S.A. y la incorporación de
los escritos de alegaciones de ésta han dado lugar a hechos nuevos.”

Y añade: “Cuesta creer que el Instructor, tras leer el certificado de Camerdata, S.A.
firmado el 16 de mayo de 2024 en el que dice que Camerdata, S.A. “obtiene los NIFs
por sus propios medios” (transcrito en la página 85/152 de la propuesta de resolución)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

130/204

dado que solo recibe datos encriptados “con algoritmo MD5”, y tras recibir tanto de
Cámara de España como de Camerdata, S.A. listados con la información cedida por la
primera a la segunda en relación con 500 empresarios autónomos cada una, de la que
claramente resulta que esa información no contiene los NIFs de esos empresarios
autónomos, siga diciendo que no hay hechos nuevos (razón por la que pueden
modificarse los tipos infractores imputados) y que Camerdata, S.A. recibe los NIFs de
Cámara de España, dado que los NIFs están a su juicio incluidos en el Censo Básico
de Empresas (folio 100/152), lo que no es cierto (solo lo está el “hash”, que también
está incluido en el Censo Público de Empresas aunque no en la parte limitada de éste
que se muestra en Internet para consulta individualizada -por no ser necesario para
este fin).” (El subrayado es nuestro)

Debemos subrayar que el motivo de indefensión invocado de contrario -la modificación
de “los tipos infractores imputados a esta parte”, en plural– no se ajusta a la verdad de
los hechos. Nos remitimos, a fin de acreditar ese extremo, al escrito de propuesta de
resolución que corroborará lo que se ha expuesto en el punto 1 de este Fundamento:
que el cambio de calificación jurídica solo afectó a la infracción inicialmente imputada
de vulneración de los principios de lealtad y transparencia y que los hechos que se
valoraron al efectuar el cambio de calificación fueron los que se apreciaron al elaborar
el acuerdo de iniciación.

A la luz de los argumentos que CDE aduce resulta evidente que no tiene ningún
interés en recordar que el cambio de calificación jurídica en la fase de propuesta
versó, exclusivamente, sobre una sola de las cuatros infracciones que se le imputaron
en el acuerdo de iniciación, en particular sobre la relativa a los principios de lealtad y
transparencia del artículo 5.1.a) del RGPD. Asimismo, se evidencia que tampoco tiene
ningún interés en recordar que los “hechos nuevos”, que, según dice, se habrían
puesto de manifiesto a resultas de las pruebas practicadas y del certificado del
***PUESTO.1 que la propia CDE aportó anexo a sus alegaciones al acuerdo de inicio,
no guardan absolutamente ninguna relación con los hechos que se subsumen, tras el
cambio de calificación jurídica, en las infracciones del principio de lealtad (artículo
5.1.a RGPD) y del artículo 14 del RGPD.

V
Sobre las alegaciones de CÁMARA DE ESPAÑA al acuerdo de inicio

Las alegaciones al acuerdo de inicio formuladas por la CDE (folios 1829 a 1854 del
expediente) se reseñan con detalle en el Antecedente de Hecho séptimo de esta
resolución. En ellas CDE solicita que se proceda al archivo del procedimiento y, con
carácter subsidiario, para el caso de que la Agencia llegase a apreciar alguna
infracción del RGPD, solicita la aplicación del artículo 77 de la LOPDGDD pues afirma
que “ha actuado en todo momento en su condición de Corporación de Derecho
Público”.

Las cuestiones más relevantes que plantea en sus alegaciones frente al acuerdo de
inicio -cuestiones que se examinan y responden en el correspondiente Fundamento
jurídico de esta resolución- son, sintéticamente, las siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

131/204

1.CDE afirma taxativamente que “no cede” a CAMERDATA el NIF de empresarios
personas físicas; que lo que entrega es un “hash”, resultado de un proceso de
encriptación, “de modo que lo cierto es que Camerdata no recibe dichos NIFs de
CDE.” Añade que, como ha declarado CAMERDATA (se remite al certificado firmado
el 16/05/2024 por el ***PUESTO.1) esa entidad “obtiene los NIFs por sus propios
medios.”

Afirma, además, que “El “hash” es parte del Censo Público de Empresas, pues sin él
este censo no podría gestionarse, pero no es accesible en Internet mediante consulta
empresa a empresa, porque no es necesario para ese fin.”

Respecto a tales afirmaciones hay que precisar:

Primero, que, como se explica con detalle más adelante, en el Fundamento relativo a
la infracción del artículo 6.1. RGPD, el hash del NIF de los empresarios autónomos
que CDE reconoce que sí facilita a CAMERDATA –y no el texto plano del NIF, que es
lo que declaró en la fase de Actuaciones de Investigación que cedía a CAMERDATA-
es un dato personal. Lo que la CDE facilita a CAMERDATA es el dato del NIF
seudonimizado a través de una técnica, el algoritmo de hash. Para que CAMERDATA
pueda “obtener los NIFs por sus propios medios”, como alega la CDE, previamente ha
tenido que facilitarle el resultado hash de esos NIF.

Segundo: respecto a la afirmación que hace CDE de que “El “hash” es parte del
Censo Público de Empresas”, es obligado reiterar la confusión de conceptos y
términos en la que sistemáticamente incurre.

El término “censo público de empresas” lo emplea la Ley 4/2014 para referirse a aquél
para cuya elaboración CDE está habilitada ( y en sus respectivos ámbitos las
diferentes Cámaras de comercio). Consta acreditado en los Hechos Probados que el
censo público de empresas -en sentido riguroso, como lo utiliza la Ley 4/2014- es
accesible públicamente a través de la web corporativa de CDE. En consecuencia, es
obligado rechazar la afirmación que la CDE hace en su escrito de alegaciones al
acuerdo de inicio según la cual “El “hash” es parte del Censo Público de Empresas,
pues sin él este censo no podría gestionarse, pero no es accesible en Internet
mediante consulta empresa a empresa, porque no es necesario para ese fin”, pues no
se puede confundir la información (muy numerosa) que las Administraciones tributarias
ceden a la CDE y a las Cámaras de comercio con las finalidades que especifica la Ley
4/2014 con el censo público.

El hash, por tanto, no forma parte del censo público de empresas. Sin embargo, se
transmite a CAMERDATA quien puede asociar a través del hash del NIF todas las
actividades que un determinado empresario tiene declaradas en el IAE, información
adicional que no se proporciona en el censo público de empresas.

2. De lo alegado frente a la infracción del artículo 6.1 del RGPD que se le imputa son
dignos de reseñar dos aspectos interconectados.

Por una parte, CDE invoca dos bases legitimadoras del tratamiento que lleva a cabo:
(i)el cumplimiento de una obligación legal, articulo 6.1.c) RGPD y (ii) la necesidad del
tratamiento para cumplir una misión realizada en interés público, artículo 6.1.e) RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

132/204

No invoca como fundamento de licitud el que esgrimió en su respuesta a la Inspección
de Datos: el artículo 6.1.f) RGPD. Es más, solo se refiere ahora a esa base de licitud
para señalar que es la única que la Agencia -erróneamente- ha considerado que
pudiera concurrir en relación con el tratamiento examinado.

Por otra parte, la CDE hace una particular interpretación del artículo 5.1.g) de la Ley
4/2014 y considera que este precepto le atribuye la función jurídico-pública de
“elaboración” y “publicación” “de un censo público de empresas”. Que la gestión del
censo público comprende: la elaboración (que, dice, se regula en el artículo 8 de la
Ley 4/2014) y su “efectiva publicación”. Y por lo que atañe a esta última afirma que no
existe una regulación que explique (i) de qué forma ha de verificarse tal publicación, (ii)
ni cuál es el contenido preciso de la información que se ha incluir en el censo público.
De lo que concluye que es a ella, a la CDE, a quien corresponde, en el “ejercicio de la
función jurídico-pública” atribuida, determinar qué campos se incorporan al censo
público de empresas y qué medios se utilizan para dar publicidad al censo.

3. Respecto a la infracción del principio de limitación de la finalidad (artículo 5.1.b) que
se le imputa, CDE rechaza tal vulneración habida cuenta de que niega haber tratado
los datos de los autónomos para un uso distinto del inicial “ya que la única y exclusiva
finalidad del tratamiento es cumplir con la obligación legal de elaborar y gestionar el
Censo Público de Empresas en los términos previstos en la Ley 4/2014. Lo que se ha
hecho es precisamente hacer público el Censo Público de Empresas, siendo la cesión
un instrumento para lograr este fin.”

4. Respecto a la infracción del principio de confidencialidad (artículo 5.1.f RGPD), que
versa sobre el dato del NIF, CDE niega su existencia y argumenta que ha tratado ese
dato de los empresarios autónomos garantizando una seguridad adecuada, tanto
respecto a la consulta que se hace a través de su página web -en la que, según
reconoce CDE en esta alegaciones, el NIF no consta incluido- y respecto a la cesión
de datos que hace a CAMERDATA ( a la que se refiere con esta expresión: “Censo
Público de Empresas cedido (Censo Básico de Empresas)”). Para este segundo caso,
en sintonía con la afirmación precedente según la cual no cede el NIF sino el hash
resultante, dice que “no se transfiere el NIF de los empresarios individuales a
Camerdata ni ésta lo recibe de aquella”.

5. Respecto a la infracción de los principios de lealtad y transparencia (artículo 5.1.a
RGPD) sus alegaciones no hacen ninguna mención expresa a la vulneración del
principio de lealtad del que se le responsabiliza. Sostiene que en el acuerdo de inicio
se le imputa “una triple infracción del principio de transparencia” que concreta en estos
términos:

(i) No haber comunicado a las autoridades tributarias la cesión realizada a Camerdata;
(ii) No haber comunicado a los interesados cuyos datos personales han sido objeto de
transferencia el hecho de la cesión;
(iii) “Como parte contratante con Camerdata” no haber “velado por garantizar que se
proporciona a los interesados una información veraz sobre el origen de los datos”.

6. Con carácter subsidiario solicita que se aplique el régimen jurídico descrito en el
artículo 77 LOPDGDD por haber actuado en todo momento en la condición de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

133/204

corporación de Derecho público. Petición a la que se ha dado respuesta en el
Fundamento II precedente, punto 2.2 al que nos remitimos.

VI
Sobre las alegaciones de CÁMARA DE ESPAÑA a la propuesta de resolución

Las alegaciones a la propuesta de resolución formuladas por CDE se reseñan con
detalle en el último Antecedente de Hecho de esta resolución. En ellas CDE solicita
que se proceda al archivo del procedimiento y, con carácter subsidiario, para el caso
de que la Agencia llegase a apreciar alguna infracción del RGPD, solicita la aplicación
del artículo 77 de la LOPDGDD pues afirma que “ha actuado en todo momento en su
condición de Corporación de Derecho Público”.

Invoca la existencia de dos vicios graves del procedimiento que le han causado
indefensión.

(i) Que en la propuesta de resolución “se han modificado los tipos infractores
imputados a esta parte impidiendo que en fase de prueba esta parte pudiera solicitar
la prueba de descargo correspondiente.” Afirma que “No es verdad que los hechos
sean diferentes de los que se afirmaron en el acuerdo de inicio, pues la audiencia
dada a Camerdata, S.A. y la incorporación de los escritos de alegaciones de ésta han
dado lugar a hechos nuevos.”

Se responde al pretendido vicio del procedimiento con ocasión de referirnos al cambio
de calificación jurídica, Fundamento IV, punto 2.

(ii) Que el procedimiento ha invocado uno de los tres trámites de audiencia necesarios,
el inmediatamente anterior a la propuesta de resolución.

Alega la ausencia de perjuicios ocasionados a los supuestos afectados.

El examen de las cinco infracciones imputadas se hace en un mismo fundamento que
lleva el título “Había base legitimadora para la cesión (…) No se han cometido las
infracciones imputadas. Reitera en relación con éstas los argumentos invocados en el
trámite anterior.

Subsidiariamente, invoca la existencia de concurso medial de infracciones o la
procedencia de aplicar el principio non bis in idem por existir un concurso aparente de
infracciones. Se responde a esta cuestión en el Fundamento XVII al examinar las
sanciones impuestas.

Nos referimos a continuación, pues no se ha mencionado en ningún Fundamento, al
vicio del procedimiento supuestamente causante de indefensión relativo a la omisión
de “uno de los tres trámites de audiencia necesarios, el inmediatamente anterior a la
propuesta de resolución”. CDE sostiene en sus alegaciones que en el procedimiento
administrativo sancionador “es preceptivo el trámite de audiencia en tres momentos
diferentes: (i) en el acuerdo de inicio del procedimiento (artículo 64.2.f) de la Ley
39/2015), antes de tramitar la instrucción del procedimiento (y por consiguiente la
prueba), (ii) una vez “instruidos los procedimientos, e inmediatamente antes de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

134/204

redactar la propuesta de resolución” (es decir, después de practicada la prueba pero
antes de redactar la propuesta de resolución) (artículo 82.1 de la Ley 39/2015, que no
establece excepción alguna para el procedimiento sancionador), y (iii) después de
redactar la propuesta de resolución del instructor, por tanto ya fuera del ámbito de
actuación de éste, pero antes de que se dicte la resolución sancionadora (artículo 89.2
de la Ley 39/2015). Sorprendentemente, en este procedimiento se ha omitido el
segundo, causando indefensión.”

Sin embargo, no existe en el procedimiento instruido ningún vicio ni menos aún
causante de indefensión a la inculpada, pues se han observado escrupulosamente
todos los trámites.

Basta indicar sobre ese particular que, conforme a la LPACAP, el artículo 76 contempla
el primero de los trámites reglados de alegación y aportación de documentos de que
disponen los interesados a lo largo del procedimiento administrativo sancionador
común: “Los interesados podrán, en cualquier momento del procedimiento anterior al
trámite de audiencia, aducir alegaciones y aportar documentos u otros elementos de
juicio. Unos y otros serán tenidos en cuenta por el órgano competente al redactar la
correspondiente propuesta de resolución”.

En el ámbito del procedimiento administrativo sancionador el segundo trámite de
alegaciones está previsto en el artículo 89 de la LPACAP en el que, por exigencias del
derecho de defensa del inculpado, la propuesta de resolución se ha de redactar antes
del trámite de audiencia de los interesados y no después, como está previsto para el
resto de los procedimientos administrativos en el artículo 82 de la LPACAP. Así, este
precepto lleva por título “Trámite de audiencia” y el artículo 89 de la LPACAP
“Propuesta de resolución en los procedimientos de carácter sancionador” y en él se
dispone:
“2. En el caso de procedimientos de carácter sancionador, una vez concluida la
instrucción del procedimiento, el órgano instructor formulará una propuesta de
resolución que deberá ser notificada a los interesados. La propuesta de resolución
deberá indicar la puesta de manifiesto del procedimiento y el plazo para formular
alegaciones y presentar los documentos e informaciones que se estimen pertinentes.”

Se ignora si también se invoca la omisión de un trámite de prueba desconocido, ya
que CDE alega que “si se le hubieran puesto de manifiesto el procedimiento antes de
evacuar la propuesta de resolución, podría haber solicitado nuevos medios de prueba
[…] lo que no resulta posible ya una vez cerrada -sin oírle- la instrucción y por tanto
también el trámite de prueba incluido en ella.” El único trámite del que dispone el
inculpado para proponer los medios de prueba que considere necesarios para su
defensa es el trámite de alegaciones contemplado en el artículo 76.1 LPAC.

El alegato en el que se concreta el pretendido primer vicio del procedimiento
supuestamente causante de indefensión no merece más comentario.

VII
Infracción del principio de licitud (artículo 6.1 RGPD)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

135/204

1.Se imputa a CDE en esta resolución una infracción del artículo 6.1 del RGPD
(principio de licitud) concretada en ceder a CAMERDATA sin una base jurídica
adecuada conforme al RGPD, en ejecución de un contrato suscrito entre ambas
vigente en la fecha en la que se aporta a esta Agencia, el 20/12/2023, datos
personales de los empresarios individuales a los que CDE accede lícitamente con
arreglo a lo dispuesto en el artículo 8 de la Ley 4/2014.

Todo tratamiento de datos personales debe fundarse en alguna de las causas de
licitud que taxativamente establece el artículo 6 del RGPD, precepto que dispone:

“Licitud del tratamiento:

“1.El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

2.Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.

3.La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.

La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

136/204

por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.

4.Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización.”

El considerando 40 del RGPD dice:

“Para que el tratamiento sea lícito, los datos personales deben ser tratados con el El
considerando 40 del RGPD dice:

“Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

La licitud de un tratamiento de datos personales puede fundarse en cualquiera de las
seis circunstancias o bases de tratamiento que establece el artículo 6.1 del RGPD.

Ante un determinado tratamiento de datos personales la base jurídica adecuada
conforme al RGPD no tiene que ser necesariamente el consentimiento del interesado
para uno o varios fines específicos. También son fundamentos de licitud válidos, y con
idéntico valor que el consentimiento, las restantes cinco circunstancias que menciona
el artículo 6.1. del RGP: el contrato o a la relación precontractual; la obligación legal; la
protección de intereses vitales del interesado o de un tercero; que el tratamiento se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

137/204

realice en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento, o la prevalencia del interés legítimo del responsable o de
un tercero frente a los intereses, los derechos y las libertades fundamentales de los
interesados.

El artículo 6.1.f) del RGPD (prevalencia del interés legítimo del responsable o de un
tercero frente a los intereses, los derechos y las libertades fundamentales de los
interesados) es una más entre las posibles bases jurídicas de tratamiento de datos.
Por otra parte, para que esta circunstancia despliegue sus efectos, en ningún caso se
requiere una previsión normativa específica, ni la articulación en una norma legal de
una presunción iuris tantum de licitud , como ocurre, por ejemplo, con los artículos 19 y
20 de la LOPDGDD.

Por tanto, podrá existir un tratamiento basado en el artículo 6.1.f) del RGPD
-prevalencia del interés legítimo del responsable o de un tercero- al margen de
aquellos otros casos en los que una norma establece una presunción de licitud basada
en el interés legítimo. E incluso esta circunstancia podrá operar como fundamento de
licitud cuando, habiendo previsto una norma una presunción iuris tantum de licitud, no
se cumplan los requisitos que la norma exige para su aplicación. Cabe añadir,
además, que, siendo la base jurídica del tratamiento el artículo 6.1.f) del RGPD, el
único efecto jurídico distinto entre los supuestos en los que se aplica esta causa de
licitud a tenor de una presunción y en los que no es así, consiste en que en este
segundo supuesto el responsable del tratamiento tiene la carga de acreditar la licitud
del tratamiento con arreglo al artículo 5.2 del RGPD.

El Preámbulo de la LOPDGDD, epígrafe V, lo expresa claramente:

“En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos»,
incorporando una serie de supuestos que en ningún caso debe considerarse
exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer
lugar, aquellos respecto de los que el legislador establece una presunción «iuris
tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo
con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos
cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en
este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al
no presumirse la prevalencia de su interés legítimo.”

En tal sentido, por lo que hace referencia al artículo 19.2 de la LOPDGDD, tal y como
se ha expuesto en el Fundamento II, “Cuestiones previas”, apartado 1, (al que nos
remitimos) esta Agencia considera que recoge una presunción iuris tantum de licitud,
basada en la circunstancia del artículo 6.1.f), que recae exclusivamente sobre los
datos de contacto de los empresarios individuales.

2. Tratamiento de datos en el que se materializa la infracción del artículo 6.1. del
RGPD y datos tratados.

CDE y CAMERDATA suscribieron un contrato de “Cesión de base de datos
empresariales” el 15/02/2016, prorrogable tácitamente por periodos sucesivos de una
anualidad (pacto 6.2.) y vigente en la fecha en la que se aporta, el 20/12/2023.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

138/204

El pacto primero del contrato versa sobre su objeto y establece:

“Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez,
recibe y adquiere para sí, una copia de la totalidad de los datos empresariales
obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en
adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual
contiene los campos de información que se indican en el Anexo 1 de 3.160.984
Registros de Empresas.”

“[…]se entiende por Registro de Empresa todos los campos de información del Anexo
1 relativos a cada una de las empresas que contienen la Base de Datos Cedida,
tomándose como identificador de dicho registro el NIF de las mismas”

El punto 2 del pacto primero, dice: “Los Registros de Empresa que conforman la Base
de Datos Cedida se refieren única y exclusivamente a las indicadas en el párrafo
segundo del anterior Expositivo V”.

Como se ha indicado, el contrato de cesión suscrito entre CDE y CAMERDATA acuña
dos expresiones para referirse a la base de datos que constituye su objeto: “Censo
Básico de Empresas” y “Base de Datos Cedida”. En ocasiones CDE se refiere también
a su base de datos con el nombre de Censo Público de Empresas.

En cuanto a los datos personales de los empresarios autónomos que son objeto de
cesión, hay que estar a lo previsto en el Anexo I del Contrato, al que remite su pacto
1.1, para saber cuáles son los campos de información relativos a cada una de las
empresas que contiene la Base de Datos Cedida. En él consta:

“De conformidad con lo convenido en el Pacto Primero del Contrato, la Base de Datos
y sus actualizaciones tendrán los siguientes campos de información respecto de cada
empresa que conste en la misma (en adelante Registro de Empresa).

Datos de cada Registro de Empresa
1. NIF
2.Nombre o denominación social de la empresa
3.Domicilio principal
4.Domicilio de actividad
5.Sección actividad IAE
6.Actividad IAE”

Respecto al contenido de la base de datos de CDE que es objeto del contrato de
cesión a CAMERDATA, a tenor de sus estipulaciones, incluye entre los datos
personales de los empresarios individuales que la integran el dato del NIF. El Anexo I
del contrato, antes transcrito, detalla los campos de información que la base de datos y
sus actualizaciones tendrán respecto de cada empresa que conste en ella: Con el
número 1 el “NIF de la empresa”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

139/204

Paralelamente, respecto al censo público de empresas accesible a través de la web
corporativa de CDE, queda acreditado que incorpora los siguientes datos personales
de los empresarios personas físicas: el nombre y los apellidos, la dirección postal
(nombre de la vía y número, en ocasiones el piso), el código postal, el nombre de la
provincia y del municipio, el código de IAE y la descripción de la actividad. No incluye
el dato del NIF. Esto evidencia que el responsable del tratamiento, CDE, ha aplicado
cabalmente en su elaboración el principio de minimización (ex artículo 5.1.c RGPD).
Por tanto, los criterios acerca de qué datos pueden o no formar parte del censo público
de empresas existen y los establecen el RGPD y la LOPDGDD.

En sus alegaciones al acuerdo de inicio CDE obvia el contenido del contrato que le
vincula con CAMERDATA y afirma que no cede a CAMERDATA el dato del NIF y que
lo que sí proporciona es el hash del NIF de los empresarios individuales. Así, dice: el
dato del NIF “no se cede a Camerdata, sino que se entrega encriptado en un algoritmo
unidireccional e irreversible”. Se entrega un “hash”, resultado de un proceso de
encriptación, “de modo que lo cierto es que Camerdata no recibe dichos NIFs de
CDE.” Y dice que, “como ha declarado Camerdata, esa entidad obtiene los NIFs por
sus propios medios.”

El único documento aportado por CDE anexo a sus alegaciones al acuerdo de inicio es
un certificado firmado el 16/05/2024 por el ***PUESTO.1.

Partiendo de lo manifestado por CDE en sus alegaciones al acuerdo de inicio, en las
que afirma taxativamente que no cede a CAMERDATA el dato del NIF y que lo que sí
le facilita en el marco del contrato suscrito con ella es el hash del NIF de los
autónomos, siendo CAMERDATA quien obtiene los NIF por sus propios medios, se
debe precisar que lo que CDE está proporcionando a CAMERDATA es el dato del NIF
de los autónomos si bien seudonimizado.

En este caso, el resultado de aplicar la función hash sobre el dato del NIF de los
autónomos no da como resultado una información anonimizada y por tanto excluida
del ámbito de aplicación del RGPD, sino que lo que se obtiene es un dato personal
seudoninimazado que puede revertir CAMERDATA, como se desprende de las
manifestaciones efectuadas por CAMERDATA en respuesta al requerimiento de
información de esta Agencia y en las que manifiesta que el dato del NIF de los
empresarios individuales lo obtiene de lo que denomina “fichero público de empresas”
procedente de CDE. Así pues, CDE está reconociendo en sus alegaciones al acuerdo
de inicio que cede a CAMERDATA el dato del NIF de los autónomos que figuran en su
base de datos (todos, en aplicación del principio de adscripción universal) si bien
seudonimizado.

El artículo 4.5 del RGDP define la seudonimización como “el tratamiento de datos
personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar
información adicional, siempre que dicha información adicional figure por separado y
esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos
personales no se atribuyan a una persona física identificada o identificable”.

El Considerando 26 del RGPD indica que los datos anonimizados están fuera del
ámbito de aplicación del RGPD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

140/204

“Por lo tanto los principios de protección de datos no deben aplicarse a la información
anónima”. Y que sí están comprendidos en la protección que dispensa el RGPD los
datos seudonimizados y la información vinculada con ese conjunto de datos: “Los
principios de la protección de datos deben aplicarse a toda la información relativa a
una persona física identificada o identificable. Los datos personales seudonimizados,
que cabría atribuir a una persona física mediante la utilización de información
adicional, deben considerarse información sobre una persona física identificable. Para
determinar si una persona física es identificable, deben tenerse en cuenta todos los
medios, como la singularización, que razonablemente pueda utilizar el responsable del
tratamiento o cualquier otra persona para identificar directa o indirectamente a la
persona física. Para determinar si existe una probabilidad razonable de que se utilicen
medios para identificar a una persona física, deben tenerse en cuenta todos los
factores objetivos, como los costes y el tiempo necesarios para la identificación,
teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como
los avances tecnológicos.”

El carácter de dato personal seudonimizado que, en este caso, tiene el resultado
obtenido de aplicar la función hash sobre una determinada información de entrada se
evidencia a la luz del Dictamen 05/2014 sobre técnicas de anonimización, WP216,
adoptado por el Grupo de Trabajo del artículo 29 (GT29) el 10/04/2014. Más clara aún
resulta su explicación cuando la información sobre la que se aplica la técnica es, como
aquí sucede, el dato del NIF y esta circunstancia es conocida por CAMERDATA.

El Dictamen 05/2014 del GT29 dedica un epígrafe específico a la seudonimización
sobre la que dice:
“La seudonimización consiste en la sustitución de un atributo (normalmente un
atributo único) por otro en un registro. Por consiguiente, sigue existiendo una
alta probabilidad de identificar a la persona física de manera indirecta; en otras
palabras, el uso exclusivo de la seudonimización no garantiza un conjunto de
datos anónimo. No obstante, el presente dictamen examina este método debido
a las numerosas ideas falsas y errores existentes sobre él. ´

La seudonimización reduce la vinculabilidad de un conjunto de datos con la
identidad del interesado; se trata, por tanto, de una medida de seguridad útil,
pero no es un método de anonimización.

El resultado de la seudonimización puede ser independiente del valor inicial (tal
sería el caso de un número aleatorio generado por el responsable del
tratamiento o de un apellido escogido por el interesado) o bien derivarse de los
valores originales de un atributo o conjunto de atributos, como por ejemplo en el
caso de funciones hash o sistemas de cifrado.”

Se refiere a las técnicas de seudonimización más utilizadas y menciona la función
hash:

“ Función hash: Se trata de una función que devuelve un resultado de tamaño
fijo a partir de un valor de entrada de cualquier tamaño (esta entrada puede
estar formada por un solo atributo o por un conjunto de atributos). Esta función
no es reversible, es decir, no existe el riesgo de revertir el resultado, como en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

141/204

caso del cifrado. Sin embargo, si se conoce el rango de los valores de entrada
de la función hash, se pueden pasar estos valores por la función a fin de obtener
el valor real de un registro determinado. Por ejemplo, si se aplica la función hash
al número de identificación nacional para seudonimizar un conjunto de datos,
dicho atributo se puede obtener simplemente ejecutando la función con todos los
posibles valores de entrada y comparando los resultados con los valores del
conjunto de datos. Habitualmente, las funciones hash se diseñan para poder
ejecutarse de manera relativamente rápida, por lo que están sujetas a ataques
de fuerza bruta16. También se pueden crear tablas precalculadas para lograr
una reversión masiva de un gran número de valores hash.
El uso de una función hash «con sal» (en la que se añade un valor aleatorio,
conocido como «sal», al atributo al que se aplica la función hash) puede reducir
la probabilidad de obtener el valor de entrada. No obstante, usando medios
razonables, todavía existe la posibilidad de calcular el valor original del atributo
que se oculta tras el resultado de una función hash con sal17.”

Por consiguiente, el hecho de que CDE no haya facilitado a CAMERDATA el dato del
NIF de los autónomos en texto plano -tal y como se preveía en la letra del contrato
suscrito entre ambas- sino que, según manifiesta, se haya facilitado a CAMERDATA el
hash resultante, implica que es objeto de la cesión el dato personal del NIF de los
empresarios individuales si bien seudonimizado. Como deja claro el Dictamen del
GT29 la técnica de hash puede constituir una medida de seguridad, pero puede no
implicar la anonimización del dato. Es particularmente significativo el ejemplo que
ofrece el citado Dictamen: la aplicación de la función hash al dato de identificación
nacional (el equivalente a nuestro NIF).

Recientemente, el 16/01/2025 el CEPD ha aprobado Directrices 01/2025 sobre la
seudonimización. El epígrafe 88 dice lo siguiente:

“88. En el ámbito de la seudonimización no debe ser posible atribuir datos
seudonimizados relativos a un interesado cuyos identificadores sean conocidos. Esto
podría hacerse aplicando la transformación de seudonimización a dichos
identificadores, obteniendo el seudónimo y localizando los datos seudonimizados
adjuntos a dicho seudónimo (Por ejemplo, si sabe que la transformación es
simplemente un hash SHA256 de un nombre, podría aplicar esto a todos los nombres
que tiene en otro lugar y luego ver qué hashes coinciden en el conjunto de datos). Por
lo tanto, la transformación debe incluir información que el responsable del tratamiento
seudonimizado mantenga en secreto y que una persona no autorizada no pueda
utilizar. Solo la posesión de la información secreta debe permitir el cálculo del
seudónimo dado el identificador. Con el fin de limitar la probabilidad de una conjetura
exitosa o una búsqueda por fuerza bruta, los secretos deben tener suficiente entropía
(La entropía se refiere aquí a la aleatoriedad del parámetro secreto. Por ejemplo: Si el
controlador selecciona la fecha en que se aplicó la transformación de seudonimización
como parámetro, la entropía de este parámetro será muy baja. Sin embargo, si el
controlador elige una cadena generada aleatoriamente de 20 caracteres alfanuméricos
como parámetro secreto, la entropía es alta). Para la primera clase, algoritmos
criptográficos, esta información toma la forma de parámetros secretos o claves. Para
la segunda clase, las tablas de búsqueda, los controladores mantienen las tablas en
secreto. (la traducción es nuestra)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

142/204

En sus alegaciones a la propuesta de resolución CDE argumenta que el NIF sí forma
parte del censo público de empresas, si bien no es accesible ese dato públicamente.
La explicación que ofrece esa la siguiente:

“Censo Público de Empresas” e “información publicada de forma individualizada en la
página web de Cámara de España” no es lo mismo. Ello obedece a una causa: el
“hash” solo es necesario cuando se tratan miles o millones de datos, no cuando se
hace una consulta individualizada, y es un dato de trabajo para la gestión masiva de
datos, no un dato que interese al ciudadano. En efecto, como se ha dicho varias veces
(incluido el escrito de alegaciones al acuerdo de incoación), sin el “hash” ni el NIF el
Censo Público de Empresas es ingestionable, y lesionaría el derecho a la protección
de datos de muchos empresarios individuales, puesto que si no se tiene ni el “hash” ni
el NIF se confunden empresarios con los mismos nombres y apellidos, empresarios
que han cambiado de apellidos, empresarios que han cambiado de nombre y/o de
sexo, etc. La calidad del Censo Público de Empresas sería muy deficiente, y el
número de errores muy alto, si no incluyera el “hash” o el NIF. Puestos a elegir, es
mejor incluir el “hash” que no el NIF.”

“La propuesta confunde una y otra vez la información que se publica en Internet para
su consulta individualizada con el Censo Público de Empresas, y diferencia de forma
incorrecta entre el Censo Público de Empresas y el Censo Básico de Empresas y la
Base de Datos cedida”. “El Censo Público de Empresas es el que elabora Cámara de
España, e incluye el “hash” pero no el NIF (que Cámara de España tiene, porque lo ha
recibido de las autoridades tributarias, pero no usa directamente en el Censo Público
de Empresas, sino tan solo su “hash”)

Se indica sobre ese alegato que una cosa es que el NIF pueda ser necesario para la
“gestión” del censo público por el volumen ingente de datos que se tratan o por otras
razones y una diferente la información a la que se puede acceder a través del censo
público, el registro público de empresas, en definitiva. Y la información accesible a
través del registro público no incluye el dato del NIF.

Alega también CDE la cláusula duodécima del contrato celebrado con CAMERDATA,
Tratamiento de datos de carácter personal, establece (12.2.) “Asimismo manifiesta la
cedente que la Base de Datos Cedida y sus actualizaciones contiene datos relativos a
empresarios individuales y a datos de personas físicas que presten sus servicios a
personas jurídicas, relativos únicamente a nombre y apellidos, las funciones o puestos
desempeñados, así como la dirección postal o electrónica, teléfono y número de fax
profesionales, todo ello de conformidad con lo dispuesto en el artículo 2 del RLOPD”

Si bien es cierto que la cláusula existe, también lo es que el pacto primero del contrato
dice claramente que el Registro de Empresa son todos los campos de información del
Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos
Cedida, tomándose como identificado de dicho registro el NIF de las mismas” Lo que
significa que la base de datos está organizada a partir del dato del NIF y que sin el NIF
la base de datos no es operativa para su destinatario, CAMERDATA. A mayores, las
referencias al NIF son continuas en las estipulaciones contractuales de las que forman
parte sus anexos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

143/204

3. Bases jurídicas del tratamiento invocadas por CDE en el curso del procedimiento y
en el curso de la Investigación Previa.

En sus alegaciones al acuerdo de inicio CDE invoca frente a la infracción del artículo
6.1 del RGPD imputada que concurren dos bases de legitimación del tratamiento
efectuado:
(i)el cumplimiento de una obligación legal, articulo 6.1.c) RGPD y (ii) la necesidad del
tratamiento para cumplir una misión realizada en interés público, artículo 6.1.e) RGPD.

(i)El cumplimiento de una obligación legal, articulo 6.1.c) RGPD. Adujo en defensa de
la aplicación de este fundamento de licitud:

“Es el artículo 5.1.g) (en relación con el 8) de la Ley 4/2014 el que obliga a CDE
a gestionar “un censo público de todas las empresas, así como de sus
establecimientos, delegaciones y agencias radicados en su demarcación”.

“Aunque dicho precepto no explique cómo debe hacerse “público” el Censo
Público de Empresas, el mandato legislativo es claro: se trata de una función
jurídico-pública de competencia -en este caso- de la CDE.”

“CDE hace público el Censo Público de Empresas por dos vías: (i) en primer
lugar, mediante su apertura a la consulta pública en Internet, consulta que puede
hacerse en la página web disponible en https://censo.camara.es/, y (ii) en
segundo lugar, mediante la cesión del Censo Básico de Empresas a Camerdata
para que ésta lo utilice (conjuntamente con otra información) como fuente
fidedigna en la elaboración y actualización de su Fichero de Empresas
Españolas. La primera vía solo permite su consulta empresa a empresa, por lo
que no resulta útil para su tratamiento informatizado. La segunda permite una
disponibilidad mayor, al hacer susceptible de tratamiento informatizado el Censo
Público de Empresas en su totalidad, cumpliendo así del mejor modo posible el
mandato del legislador.”

Indicó que “CDE podría haber ideado más formas en las que cumplir su
obligación legal de dar publicidad al Censo Público de Empresas, dado que la
Ley ni identifica ni restringe las formas en las que deba hacerse público dicho
censo: solo exige que se publique y encomienda a CDE dicha publicación.”

Y añadió que “como se ha visto anteriormente, CDE en ningún caso incorpora al
Censo Público de Empresas el NIF de las personas físicas empresarios o
profesionales, sino que lo sustituye por un “hash” producido mediante un
algoritmo unidireccional e irreversible”. (El subrayado es nuestro)

(ii) La necesidad del tratamiento para cumplir una misión realizada en interés público,
artículo 6.1.e) RGPD: Alegó en defensa de la aplicación de esta base jurídica:

Que la norma de Derecho interno en la que se basa, la Ley 4/2014, le obliga a “la
publicación del Censo Público de Empresas.”

Que las diferentes actuaciones que lleva a cabo en relación con el Censo Público de
Empresas derivan de la función de carácter público que le atribuye el artículo 5.1.g) de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

144/204

la Ley 4/2014 en virtud del cual CDE tiene encomendada la función de “gestionar, en
los términos del artículo 8 de esta Ley, un censo público de todas las empresas”. Que
“el alcance del interés público es amplio” y menciona a tal fin el Informe jurídico
2018/175, página 10: “el apartado e) “misión de interés público” habrá de interpretarse
en un sentido amplio de forma que permita a las Administraciones, incluso en el
ámbito del Derecho Privado, los tratamientos de datos personales necesarios para las
finalidades legítimas que el ordenamiento les concede o permite.”

En sus alegaciones a la propuesta de resolución, argumenta lo siguiente:

“CDE tiene una base de legitimación para el tratamiento de los datos, que es la
relativa al interés público (art. 6.1.e) del RGPD), y en virtud de ésta elabora y publica,
como parte de la gestión del Censo Público de Empresas que tiene encomendada por
la Ley 4/2014.

Los tratamientos que CDE lleva a cabo se realizan sobre la correspondiente base de
legitimación, ya que (i) el artículo 5.1.g) (en relación con el 8) de la Ley 4/2014 el que
obliga (impone una obligación legal que le es exigible) a CDE a gestionar “un censo
público de todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación”, y (ii) para la publicación de dicho censo se
recurre a Camerdata, S.A., lo que supone actuar en virtud del interés público.

Es necesario recordar que CDE no cede a Camerdata, S.A. el NIF de las personas
físicas, de manera que tampoco puede cometerse la infracción que se le atribuye.”(El
subrayado es nuestro)

En el curso de la Investigación Previa, a la pregunta de la Inspección de Datos de la
Agencia sobre cuál era la base de legitimación de la cesión a terceras entidades, en
particular a CAMERDATA, de datos de empresarios autónomos, respondió que se
amparaba en el artículo 6.1.f) del RGPD.

Antes de examinar la posible aplicación al tratamiento de datos que es objeto de este
procedimiento de las distintas bases jurídicas invocadas, debemos mencionar la
STJUE de 04/10/2024, asunto C- 200/23, que, en relación con las causas que pueden
legitimar el tratamiento de datos personales conforme al artículo 6 del RGPD indica
que las que no se basan en el consentimiento del interesado deben ser objeto de una
interpretación restrictiva (epígrafe 96).

La base jurídica del artículo 6.1.c) del RGPD exige como presupuesto de aplicación
que el tratamiento efectuado sea “necesario” para cumplir la obligación legal que el
Derecho impone al responsable del tratamiento. El término “necesidad” tiene en la
legislación comunitaria un significado propio e independiente. El Tribunal de Justicia de
la Unión Europea considera que es un “concepto autónomo del Derecho Comunitario”
(STJUE de 16/12/2008, asunto C-524/2006, apartado 52) y el Tribunal Europeo de
Derechos Humanos afirma que el <<adjetivo necesario no es sinónimo de
“indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”,
“razonable” o “deseable”>> (apartado 97 de la STEDH 25/03/1983)

La finalidad del tratamiento debe de estar determinada en dicha base jurídica, esto es,
en una norma con rango de Ley (artículo 6.3. del RGPD)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

145/204

El motivo de licitud del artículo 6.1.c) del RGPD que CDE ha invocado, en conexión
con el artículo 8 de la Ley 4/2014, consiste en la supuesta obligación que ese precepto
legal le impone de elaborar (“elaborará” dice la norma) un “censo público de
empresas”.

CDE, al esgrimir este fundamento, menciona también (combinando ambos) lo que no
es una obligación legal sino una función público-administrativa que le atribuye el
artículo 21.1.d), que hace, a su vez, una remisión general a las funciones públicas del
artículo 5.1., cuyo apartado g) menciona “Gestionar, en los términos del artículo 8 de
esta Ley, un censo público de todas las empresas, así como de sus establecimientos,
delegaciones y agencias radicados en su demarcación.”

Lo relevante es que el objeto sobre el que recae la obligación legal de “elaborar”
impuesta a CDE y la función público administrativa de “gestionar” que se le
encomienda es “el censo público de empresas”.

Como se ha indicado, la función registral es una función del Estado manifestada en la
existencia de registros que se refieren a varios aspectos y sectores de la vida. Es una
función pública. El carácter público del registro es una nota esencial a la finalidad
última de la función registral que es procurar la seguridad jurídica.

Cuando el artículo 8 de la Ley encomienda a CDE elaborar un censo público, le
impone la obligación de elaborar un registro público. Y al encomendar el artículo 5.1.g)
la función público administrativa de “gestionar” en los términos del artículo 8 un censo
público de empresas, le está encomendando a CDE el desarrollo de la función
registral en relación con el citado censo público de empresas.

Una base de datos que no es un registro público de empresas -como sucede con la
base de datos que es objeto del contrato que CDE celebró con CAMERDATA- nada
tiene que ver con el objeto de los artículos 8 y 5.1.g) de esa Ley. Por tanto, el
tratamiento de datos personales incluidos en un fichero o base de datos que no es
censo público ni está relacionada con el ejercicio de las funciones público
administrativas encomendadas nunca podría fundar su licitud en la Ley 4/2014.

Sobre la supuesta obligación que la Ley 4/2014 atribuye a CDE de “dar publicidad” o
“publicar” el “censo público de empresas” , como se explica en el Fundamento III,
punto 5, tal obligación no existe. La única obligación que impone a CDE la Ley 4/2014
es la de “elaborar” un censo público de empresas y le atribuye la función público-
administrativa de “gestionar” “en los términos del artículo 8 de esta Ley, un censo
público de todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.”

La acción de “elaborar” se agota con la génesis del registro público. A partir de ahí,
incumbe a CDE la función de gestionar, que no es otra que la del desarrollo de la
función registral. La “publicidad” es la que otorga el propio censo público, a cuya
naturaleza es consustancial, al ser accesible a todos.

Así pues, la Ley Básica no ha previsto, pues es innecesaria, una acción específica por
parte de CDE dirigida a dar publicidad al censo público, esto es, a un registro público.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

146/204

La publicidad se lleva a cabo a través del censo público, por la exteriorización que
implica el que sea libremente accesible.

Llegados a este punto, se recuerda que en el contrato suscrito entre CDE y
CAMERDATA de Cesión de Bases de Datos Empresariales se establece que
CAMERDATA destinará la base de datos que le transfiere CDE a fines comerciales.

La cláusula segunda del contrato, “Finalidad”, dice que la “cesionaria incluirá los datos
empresariales de la Base de Datos Cedida y la de sus actualizaciones periódicas en el
Fichero de Empresas Españolas de su propiedad, y los tratará, completará y
enriquecerá en los términos del presente Contrato con la finalidad de ofrecerlo
comercialmente a las empresas y a los terceros interesados como base de datos de
información de las empresas que operan en territorio español.”

La base de datos que es objeto del contrato tiene como destinatarios el grupo limitado
de personas que accederán a los datos tratados (por lo que aquí interesa, a los datos
personales de los empresarios autónomos) en las condiciones, presumimos que
onerosas, que CAMERDATA establezca.

Debe subrayarse, asimismo, que la base de datos sobre la que versa el contrato de
Cesión de bases de datos que vincula a CDE y a CAMERDATA es algo distinto por su
misma naturaleza del “censo público de empresas” , del registro público al que alude el
artículo 8 de la Ley. Y esta distinción permanece cualesquiera que sean los datos
personales que recoge. Incluso aunque tuvieran un contenido idéntico. Incluyan o no el
NIF o el hash correspondiente.

Respecto a quiénes son los destinatarios de la base de datos que CDE cede a
CAMERDATA resulta muy esclarecedora la información que esta mercantil ofrece en el
“Aviso Legal del uso del portal y de los servicios” (que consta recogida en el Hecho
probado decimotercero). Así, en el punto 6.1. Información básica, dice:

“Los registros tratados por Camerdata de la base de datos Ficheros de
Empresas Españolas que contienen datos personales, han sido obtenidos por
CAMERDATA tras haber sido recabados de forma legítima, pues los datos han
sido obtenidos de un Censo Oficial elaborado por organismo público, […] Los
tratamientos de estos datos tienen por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que
pudieran ser de su interés.

En el punto 6.2.5. “Finalidad del tratamiento” consta:
“La finalidad del tratamiento es la realización de campañas de comunicaciones
comerciales y de marketing, para el ofrecimiento de productos o servicios
propios o de terceras empresas que pudieran ser de su interés, con fines de
mercadotecnia, dentro del ámbito empresarial y nunca del privado.”

Más esclarecedor aún es el punto 6.2.6. “Destinatarios de los datos personales”:
“Únicamente podrán acceder a los datos personales de los cuales CAMERDATA
es responsable del tratamiento, nuestros clientes que hayan solicitado el
encargo de la construcción de la base de datos a medida a entregar o bien a
terceras empresas que, a su vez, presten servicios a usuarios finales con las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

147/204

mismas finalidades de mercadotecnia y aquellas empresas con las que hayan
suscrito acuerdos o contratos de encargado de tratamiento.”

Por tanto, el fichero o base de datos objeto del contrato no puede ser, como se
pretende el censo público de empresas, que no es sino un registro público.

La base de datos cedida no está destinada al conocimiento general, abierto a todos y
sin restricciones, sino a los clientes de CAMERDATA. Es un fichero “privado”.

Una vez explicadas las razones por las que el tratamiento en el que se concreta la
infracción no puede ampararse en el artículo 6.1.c) del RGPD en conexión con la
obligación legal impuesta por el artículo 8 de la Ley 4/2014, incluso conectando esa
disposición con la función público-administrativa recogida en el artículo 5.1.g) de la
referida Ley, conviene examinar, a la luz de las consideraciones precedentes, los
argumentos esgrimidos por CDE en el trámite de alegaciones a la propuesta. Así, CDE
ha manifestado:

-Que la Agencia “considera que Cámara de España, [...] se equivoca cuando, en
ejercicio de sus funciones jurídico-públicas, considera que dentro de estas funciones
está incluida la de publicar ese censo y dar acceso al mismo a los interesados.
Curiosamente, la Agencia entiende que sí está incluida la publicación en Internet a
través de una base de datos accesible online, pero no está iincluida la publicación
mediante su cesión a las entidades que lo soliciten.” (El subrayado es nuestro)

- Que se pregunta qué distinción existe “entre una y otra forma de publicación” ; que
no desnaturaliza la finalidad de la publicación ni la convierte en lucrativa el hecho de
que perciba un precio que no llega a cubrir el coste del procesamiento informático de
la información; y que, a su entender, el mandato legal de “ gestionar el Censo Público
incluye la obligación de hacerlo público por ambos medios”. Que la “Ley no establece
distinción alguna” y que la AEPD la estaría suplantando en la determinación de cuál es
el medio idóneo para su publicación.

Los argumentos de CDE revelan que intenta presentar el “censo público” y la base de
datos cedida a CAMERDATA como si esta última fuera también el “censo público” al
que alude el artículo 8 de la Ley Básica, esto es, un registro público de empresas.

Sin embargo, como se ha expuesto, el “Censo Básico de Empresas” o “Base de Datos
Cedida” (que constituye el objeto del contrato de “Cesión de bases de datos
empresariales” que CDE y CAMERDATA celebraron en febrero de 2016) no es, no
puede serlo, el “censo público de empresas” al que se refiere el artículo 8 de la Ley
4/2014 (un registro público) sino que su naturaleza es distinta pese a que el origen de
los datos sea el mismo. Además, el “censo público de empresas”, por una parte, y el
Censo Básico de Empresas o Base de Datos Cedida, por otra, son, en su esencia,
distintos, con independencia de que los datos personales que formen parte de ellos
sean o no iguales (conste o no incluido el NIF o el hash del NIF).

Se añade que la publicidad en relación con el censo público de empresas es,
exclusivamente, la que se lleva a cabo a través de él. No hay más publicidad
encuadrada en los preceptos de la Ley que la que el propio “censo público” otorga. La
Ley 4/2014 no impone a CDE ninguna obligación de “dar publicidad” al censo público.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

148/204

La base jurídica del artículo 6.1.e) del RGPD: El tratamiento es necesario para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento.

El tratamiento de datos personales solo podrá considerarse fundado en el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable cuando derive de una competencia atribuida por
una norma con rango de ley (artículo 8.2 de la LOPDGDD). La finalidad del tratamiento
debe ser necesaria para el cumplimiento de una misión realizada en interés público o
en el ejercicio de poderes públicos conferidos al responsable del tratamiento.

Por las razones indicadas en ningún caso resulta necesario que para ejercer las
funciones público administrativas encomendadas a CDE, por lo que atañe al censo
público el desempeño de la función registral (ex artículo 5.1.g), la cesión que hace a
favor de CAMERDATA de una base de datos creada con la información obtenida con
ocasión del desempeño de las funciones que la Ley le encomienda.

Los argumentos expuestos obligan a concluir que la circunstancia del artículo 6.1.e)
del RGPD invocada por CDE no puede tampoco servir de fundamento al tratamiento
de datos que examinamos.

En sus alegaciones al acuerdo de inicio CDE adujo para defender esta base de
legitimación los mismos argumentos que invocó para sustentar la circunstancia del
artículo 6.1.c): “la obligación de publicación del Censo Público de Empresas que le
impone la Ley Básica de Cámaras” y las diferentes actuaciones que lleva a cabo en
relación con el “Censo Público de Empresas” que derivan de la función de carácter
público que le atribuye el artículo 5.1.g): “gestionar, en los términos del artículo 8 de
esta Ley, un censo público de todas las empresas”.

Reiteramos lo indicado en el apartado precedente en el sentido de que la Ley 4/2014
se refiere en su artículo 8 a un registro público, cuya su naturaleza es distinta de la
base de datos objeto de cesión a CAMERDATA, pese a que el origen de los datos sea
el mismo. Además, el “censo público de empresas”, por una parte, y el Censo Básico
de Empresas o Base de Datos Cedida, por otra, son distintos por su naturaleza, con
independencia de que los datos personales que formen parte de ellos sean o no
iguales (conste o no incluido el NIF o el hash del NIF). La Ley 4/2014 no impone a
CDE ninguna obligación de “dar publicidad” al censo público. No hay más publicidad
encuadrada en los preceptos de la Ley que la que el propio “censo público” otorga.

Invocó además CDE amparado en esta base de legitimación el interés público que
persigue. Sobre este particular, y sin perjuicio de las consideraciones hechas, a mayor
abundamiento, se indica que el artículo 5.1.de la Ley 4/2014, hace una relación de
funciones de carácter público-administrativo entre las que figura una referencia al
censo público de empresas en su apartado g) tantas veces citado. Y esa función,
como se ha indicado, consiste en gestionar el censo o registro público de empresas.

Sin perjuicio de las consideraciones referentes a que el objeto de la cesión de CDE a
CAMERDATA no es un “censo público” en los términos del artículo 8 de la Ley 4/2014,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

149/204

el tratamiento de datos objeto de valoración en este procedimiento no puede perseguir
un interés público ni un interés general. Por el contrario, es evidente que lo que
persigue es proporcionar a CAMERDATA una base de datos personales de
empresarios individuales para tratarlos con fines de marketing y facilitarlos para esa
finalidad a terceras entidades. Claramente los intereses que se promueven con este
tratamiento no son los “generales” del comercio, la industria o los servicios, sino que
se persiguen intereses particulares de una entidad o, a lo sumo, de un determinado
sector: el infomediario.

Se reproducen a continuación los criterios que, según expuso CDE en sus alegaciones
al acuerdo de inicio, toma en consideración para determinar si concurre o no un interés
público en el tratamiento efectuado -al que ella se refiere como “cesión del “Censo
Público de Empresas”- así como la respuesta a tales argumentos:

a. Dijo CDE que, en el ejercicio de sus funciones jurídico-públicas, ha decidido no
incluir en el “Censo Público de Empresas” (expresión que no es equivalente al censo
público al que se refiere el artículo 8 de la Ley sino a la base de datos que transfiere a
CAMERDATA, cuyo contenido, además, es más amplio), el NIF de personas físicas,
sino tan solo un “hash” fruto de una encriptación unidireccional e irreversible.

Se responde a este alegato indicando que -como se pone de manifiesto al examinar
esta cuestión- CDE sí cede a CAMERDATA el dato del NIF de los empresarios
personas físicas, si bien seudonimizado. Si CAMERDATA no recibiera el hash del NIF
en ningún caso podría llegar a obtener “por sus propios medios” el dato del NIF.

b. CDE sostiene que “el “hash” es necesario para la gestión del Censo Público de
Empresas, pues la inclusión del “hash” es necesaria para discriminar entre
empresarios con idéntico nombre y apellido. Y que “El “hash” es necesario para dar
cumplimiento al deber legal establecido en el artículo 5.1.d) del RGPD de que los
datos de carácter personal sean exactos y actualizados.”

Se responde a este alegato que no resulta necesario tratar el hash del NIF para
cumplir la función público administrativa que le encomienda el artículo 21.1.d) de la
Ley 4/2014, en conexión con el artículo 5.1g), “gestionar el censo público”. La función
jurídico-pública encomendada se satisface y se agota en la elaboración y la gestión del
censo “público”.

No cabe confundir necesidad con conveniencia, transmitir el dato del hash no resulta
necesario para el cumplimiento de las obligaciones impuestas en la Ley 4/2014.

c. CDE sostiene que, “respecto de todos los datos incluidos en el “Censo Público de
Empresas objeto de cesión” “excepto el “hash”, “concurre la circunstancia de que son
datos respecto de los que se presume la existencia de una base legitimadora en virtud
del artículo 19.1 LOPDGDD.” Afirma que “se cumplen los dos requisitos establecidos
en la norma, puesto que los datos que se ceden son únicamente los necesarios para
su localización profesional, y la finalidad es permitir que cualquier tercero pueda
mantener relaciones con la empresa (individual o no).”

Se responde a este alegato que no opera la presunción iuris tantum de licitud del
tratamiento prevista en el artículo 19.2 del RGPD -que se circunscribe a los datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

150/204

contacto- sobre el tratamiento que CDE efectúa cuando cede a CAMERATA su Base
de Datos Empresariales o Base de Datos Cedida. Ese fichero contiene más datos que
los que son meramente de contacto por lo que no goza de la presunción de licitud
invocada.

d. CDE sostiene que todos los datos incluidos en el “Censo Público de Empresas”
objeto de cesión, excepto el “hash”, “son datos que podrían encontrarse, si se
buscaran, mediante una simple consulta empresa por empresa al “Censo Público de
Empresas” (expresión que en este caso sí coincide con el censo público al que le
habilita a elaborar la Ley 4/2014) “disponible en Internet en abierto para cualquier
persona”.

Se responde que, el hecho de que puedan llegar a obtenerse datos personales que se
encuentran a disposición del público no significa que esa circunstancia sea una causa
de licitud del tratamiento. En todo caso el tratamiento debe estar amparado en alguna
de las seis bases jurídicas que detalla el artículo 6.1. del RGPD. La única
consecuencia que puede derivarse de que los datos se encuentren a disposición del
público es el menor impacto que podría tener en los derechos del interesado el
tratamiento efectuado, pues podría incidir en las expectativas razonables del
interesado, lo que en su caso debería ser apreciado en su justo valor en la
ponderación del interés legítimo perseguido por el responsable del tratamiento o por
terceros a efectos de aplicar la base jurídica del artículo 6.1f) RGPD ( según STJUE de
24/11/2011).

e. CDE sostiene que existe un interés público en identificar a los empresarios y
profesionales que participan en el tráfico jurídico. Que ese interés público se satisface
de varias formas, “incluyendo el propio Registro Mercantil (en el que, sin embargo, no
constan todos los empresarios o profesionales individuales) y la obligación establecida
en el artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la
Información, a cualquier empresario (individual o no) que ofrezca servicios en Internet
(en la práctica, casi la totalidad de los mismos), incluyendo expresamente el NIF, etc.
Pero solo el Censo Público de Empresas permite acceder a los datos identificativos de
los empresarios y profesionales (excepto el NIF, como se ha dicho) de forma completa
y fiable.”
“Es importante para el tráfico jurídico disponer de esta base de datos, y disponer de
ella no solo en el formato de consulta empresa a empresa (que es lo que permite la
aplicación en Internet) sino también en un formato que pueda tratarse
informáticamente por las empresas. Ello resulta posible mediante la cesión del Censo
Básico de Empresas a Camerdata.”

Se responde que el interés público que el legislador ha considerado digno de
protección se concreta en el artículo 8 de la Ley 4/2014, la elaboración de un censo
público de empresas. Mandato legal que la CDE ha entendido a la perfección y al que
ha dado cumplimiento a través del censo público accesible en la actualidad a través de
su web corporativa que respeta los principios de protección de datos relativos a la
licitud del tratamiento, limitación de la finalidad y minimización de datos.

En las alegaciones a la propuesta de resolución CDE afirma que “tiene una base de
legitimación para el tratamiento de los datos, que es la relativa al interés público (art.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

151/204

6.1.e) del RGPD), y en virtud de ésta elabora y publica, como parte de la gestión del
Censo Público de Empresas que tiene encomendada por la Ley 4/2014.”

Ni en este párrafo ni en los dos siguientes -los únicos tres párrafos dedicados a la
infracción del artículo 6.1 del RGPD que se le imputa en sus alegaciones a la
propuesta- ofrece más información sobre el interés público que, supuestamente,
defiende con el tratamiento efectuado. Dice que es “en virtud” de tal interés público por
lo que “elabora” y “publica”, integradas en la función de “gestionar”, el censo público
(prevista en el artículo 5.1.g, al que remite el artículo 21.1.d, de la Ley Básica)

En el segundo párrafo alude, de forma nada clara, a dos bases de legitimación: la
obligación legal que le es exigible a CDE, menciona el artículo 8 de la Ley en conexión
con el artículo 5.1.g. Y añade que “(ii) para la publicación de dicho censo se recurre a
Camerdata, S.A., lo que supone actuar en virtud del interés público”.

En suma, el argumento esgrimido en el trámite de audiencia no es más que una
reiteración de los que formuló en el trámite de alegaciones al acuerdo de inicio que
han quedado desvirtuados en la exposición precedente.

Base jurídica del artículo 6.1.f) del RGPD, la prevalencia del interés legítimo de CDE o
de CAMERDATA sobre los derechos, libertades fundamentales e intereses de los
titulares de los datos.

Son varias las razones que obligan a analizar si el tratamiento de los datos personales
de los empresarios autónomos efectuado por CDE que es objeto del presente
procedimiento, puede estar fundado en esa base jurídica: Además de haberla
invocado en el curso de la Investigación Previa, en respuesta a la pregunta de la
Inspección de Datos sobre cuál era la base de legitimación de la cesión datos de
empresarios autónomos a terceras entidades, en particular a CAMERDATA, CDE ha
seguido invocándola en el curso del procedimiento en la medida en que sostiene que
el artículo 19.2 de la LOPDGDD establece una presunción iuris tantum de licitud del
tratamiento de “todos” los datos de los empresarios autónomos.

En su respuesta a la Inspección de Datos sobre cuál era la base jurídica de la cesión a
CAMERDATA hizo entonces la siguiente valoración del tratamiento de datos efectuado
desde el punto de vista de los derechos y libertades fundamentales de los empresarios
individuales:

“1º. Las categorías de datos personales tratados se limita a los del censo público de
empresas de la Cámara de España”; “2º Los datos que se tratan son los contenidos en
el censo público de empresas, base de datos de acceso público en la web de la
Cámara de España” y “3ºSe garantiza en todo momento el fácil ejercicio de los
derechos de los interesados regulados en los artículos 15 a 22 del RGPD”.

Y sin más, concluyó diciendo:
“Resultado de la ponderación:
1º. El tratamiento se considera lícito.
2º. Los datos que se tratan son datos públicos, de acceso al público en general en la
web corporativa de la Cámara de España.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

152/204

3ª Las categorías de datos tratados son mínimamente invasivos del derecho a la
intimidad del interesado, pues son datos ceñidos al desempeño por el interesado de
una actividad empresarial […].
4º El principio de libre circulación de los datos, establecido y amparado por la propia
normativa europeas en la materia (RGPD).
5º Las finalidades pretendidas por el tratamiento de los datos por parte de Camerdata
son acordes y compatibles con las que tiene el censo público de empresa de las
Cámaras de Comercio […]”

El artículo 6.1.f) del RGPD establece que el tratamiento será lícito si “es necesario
para la satisfacción de intereses legítimos perseguidos por el responsable del
tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los
intereses o los derechos y libertades fundamentales del interesado que requieran la
protección de datos personales, en particular cuando el interesado sea un niño.”

El considerando 47 del Reglamento (UE) 2016/679 contribuyen a la tarea de precisar
el contenido y alcance de la circunstancia legitimadora del artículo 6.1.f) RGPD.

El Dictamen 1/2024 del Comité Europeo de Protección de Datos (CEPD) sobre el
tratamiento de datos personales basado en el artículo 6.1.f) (Versión 1.0), adoptado el
08/10/2024, facilita la interpretación del artículo 6.1.f) del RGPD y ofrece directrices
para la adecuada ponderación de los intereses y derechos enfrentados.

La aplicación del artículo 6.1.f) RGP requiere la existencia un interés legítimo del
responsable del tratamiento o de un tercero; que el tratamiento sea necesario para la
satisfacción del interés legítimo perseguido; y que en la ponderación del interés
legítimo del responsable del tratamiento o de terceros por una parte y del impacto que
sobre los intereses, los derechos fundamentales y libertades del interesado provoca el
tratamiento de datos que se pretende efectuar, por otra, prevalezca el primero.

El Dictamen distingue -epígrafe 14- entre el concepto de “interés” y de “finalidad”,
estrechamente relacionado, aunque distinto (mencionado, por ejemplo, en el artículo
5(1)(b) del RGPD).

Dice que “Una «finalidad» es el motivo específico por el que se tratan los datos: la
finalidad o intención del tratamiento de datos. Por otro lado, un «interés» es el interés
o beneficio más amplio que un responsable del tratamiento o un tercero puede tener al
realizar una actividad de tratamiento específica. Por ejemplo, un responsable del
tratamiento puede tener interés en promocionar sus productos, mientras que este
interés puede verse reforzado mediante el tratamiento de datos personales con fines
de marketing directo.”

Indica también, (15) que “No todos los intereses permiten a un responsable del
tratamiento invocar el artículo 6(1)(f) del RGPD como base jurídica. El TJUE ha dejado
claro que el primer paso que debe darse al evaluar si el artículo 6(1)(f) puede
invocarse como base jurídica válida es verificar si el interés perseguido por el
responsable puede considerarse “legítimo”.17 En otras palabras, el responsable debe
concluir que el interés que se persigue es “legítimo” antes de pasar al segundo paso
del proceso de evaluación de tres pasos que debe realizarse en virtud del artículo 6(1)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

153/204

(f) (es decir, antes de evaluar si el tratamiento de datos personales es necesario para
perseguir el interés legítimo en cuestión).

Ahora bien, para poder concluir que un determinado tratamiento de datos personales
se funda en la prevalencia del interés legítimo del responsable o de los terceros frente
a los intereses o derechos fundamentales de los titulares de los datos, el análisis debe
comenzar examinando si el interés legítimo invocado cumple determinados requisitos
que, siguiendo las indicaciones del Dictamen 6/2014, serían los siguientes:

(i) Ha de ser lícito, es decir, conforme con la legislación nacional y de la U.E. aplicable;
(ii) suficientemente específico, esto es, estar articulado con la suficiente claridad para
permitir que la prueba de sopesamiento se lleve a cabo en contraposición a los
intereses y los derechos fundamentales del interesado y (iii) representar un interés real
y actual, no especulativo.

CDE, no ha precisado en su respuesta al requerimiento de la Inspección, en la que
invocó como base jurídica del tratamiento el artículo 6.1f) del RGPD, ni en las
alegaciones hechas en el curso del procedimiento cuál es ese interés legítimo que
buscaba satisfacer. Ha referido en el curso del procedimiento que el tratamiento de los
datos personales de los empresarios autónomos es necesario para el
desenvolvimiento de la actividad mercantil con seguridad jurídica y, al dar certeza a las
relaciones, contribuye a su desarrollo. Anteriormente, al responder a la Inspección de
Datos, refirió que el tratamiento de los datos de los empresarios individuales: (i)
contribuye al desarrollo y fomento de las relaciones comerciales e industriales, (ii)
proporciona un sistema de información empresarial de calidad ,(iii) impulsa el
desarrollo económico y empresarial; (iv) confiere mayor seguridad en el tráfico
mercantil, (v) satisface intereses particulares de los titulares de los datos que se
benefician de la publicidad que se hace de su actividad y del acceso a información de
otras empresas. No obstante, de tal exposición no resulta la existencia de un interés
específico, ni formulado con la suficiente claridad para permitir la prueba de
sopesamiento frente a los derechos, libertades o intereses de los afectados.

Sin embargo, del contrato celebrado entre CAMERDATA y CDE se desprende cuál
puede ser el interés “real” que se desea satisfacer con el tratamiento: favorecer la
actividad de la empresa CAMERDATA, sociedad instrumental constituida por CDE y
otras Cámaras de Comercio, dotándola de la materia prima (los datos) de la que se
nutre para el desarrollo de su negocio. En este punto corresponde traer a colación la
STS de 20/06/2020 (R. casación 1074/2019) que se pronuncia con claridad sobre esta
cuestión cuando en su Fundamento Jurídico sexto dice, a propósito de una de las
cuestiones de interés casacional planteada en el Auto de admisión del recurso, que
“Los intereses comerciales de una empresa responsable de un fichero de datos han de
ceder ante el interés legítimo del titular de los datos a la protección de los mismos”.

El primer elemento por examinar es la licitud del interés legítimo invocado; esto es, si
se adecúa a la legislación nacional y de la U.E. El Dictamen 6/2014 del GT29 dice que
un interés puede considerarse legítimo “siempre que el responsable del tratamiento
pueda perseguir este interés de conformidad con las leyes relativas a la protección de
datos y con el resto de la legislación”, lo que implica que el tratamiento en el que se
manifiesta sea acorde con el ordenamiento jurídico.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

154/204

Como se ha señalado con anterioridad, son muy diversos los fines e intereses sociales
que puede tener un tratamiento de datos, pero no son los que se ha dispuesto por el
legislador para el censo de empresas. El interés, o el tratamiento en el que éste se
traduce, será legítimo si es “lícito”, es decir, respetuoso con la legislación nacional y de
la U.E. que resulte aplicable. El tratamiento de datos que CDE lleva a cabo -la
transmisión a CAMERDATA de los datos a los que ha accedido, obtenidos de las
Administraciones tributarias con arreglo al artículo 8 de la Ley 4/2014- resulta
incompatible con el cumplimiento de la propia normativa que regula y garantiza el
derecho fundamental a la protección de datos personales, en particular, como se
expondrá más adelante, con los principios de limitación de la finalidad y de
confidencialidad.

Se añade además que el tratamiento en el que se concreta el interés que CDE ha
buscado satisfacer con su actuación, la cesión a CAMERDATA de datos personales de
los empresarios autónomos obtenidos lícitamente para otras finalidades establecidas
en la Ley Básica, vulnera esa norma, la Ley 4/2014, que en su artículo 8 habilita a
CDE a tratar los datos relativos al IAE y los censales de las empresas exclusivamente
para la elaboración del censo público, el censo electoral y las funciones públicas que
esa Ley le encomienda. Como se ha indicado y consta debidamente acreditado, el
tratamiento que es objeto de este procedimiento no se corresponde con ninguno de
aquellos para los cuales la Ley habilita a CDE.

La conclusión es, pues, que, en tanto que el interés o el tratamiento en el que éste se
expresa, es contrario a nuestro ordenamiento jurídico y al de la UE, pues es contrario
a la citada Ley Básica de Cámaras y al RGPD, no es lícito. Muy claramente se expresa
el Dictamen 6/2014 del GT29: “[...]el responsable del tratamiento […] puede perseguir
cualquier interés, siempre que no sea ilegítimo.”

Como se ha expuesto en detalle, no hay amparo en el artículo 19.2 LOPDDD, ni hay
compatibilidad con los fines de la Ley 4/2014 de Cámaras. Aun identificando toda una
serie de intereses potencialmente legítimos, habría que llevar a cabo una prueba de
sopesamiento o ponderación entre el interés invocado por CDE y el impacto que el
tratamiento supone sobre el derecho fundamental de los interesados, por la sencilla
razón de que no se cumple la primera de las condiciones para aplicar el fundamento
jurídico del artículo 6.1.f) RGPD: la existencia de un interés lícito por parte del
responsable del tratamiento o de un tercero. A lo que cabe añadir que, al no haber
expresado con claridad cuál es el interés perseguido, la ponderación se realizaría con
el que intuimos es el interés real del tratamiento efectuado.

El resultado de la ponderación, si se llevara a cabo, tampoco sería favorable a la
prevalencia del interés que CDE/CAMERDATA buscan satisfacer mediante la
transmisión de datos que constituye el objeto del contrato que les vincula.

En ese sentido, en primer término, el artículo 6.1.f) exige que el tratamiento sea
“necesario”. El término “necesidad” que utiliza el artículo 6.1. RGPD tiene, a juicio del
TJUE, un significado propio e independiente en la legislación comunitaria. Se trata
-dice el Tribunal- de un “concepto autónomo del Derecho Comunitario” (STJUE de
16/12/2008, asunto C-524/2006, apartado 52). De otra parte, el Tribunal Europeo de
Derechos Humanos (TEDH) ha ofrecido también directrices para interpretar el
concepto de necesidad. En el apartado 97 de su Sentencia de 25/03/1983 afirma que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

155/204

el “adjetivo necesario no es sinónimo de “indispensable” ni tiene la flexibilidad de las
expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”.

Resulta evidente que el tratamiento efectuado -la creación de una base de datos con
información obtenida con ocasión del ejercicio de funciones público administrativas
encomendadas ( la función registral, ex artículo 5.1.g de la Ley 4/2014) y su cesión a
CAMERDATA- no sólo no es necesaria, sino que es contrario a ella.

Centrados en la ponderación de los intereses y derechos enfrentados hay que acudir
al criterio reiteradamente seguido por el Tribunal Constitucional sobre la
constitucionalidad de una medida restrictiva de un derecho fundamental (SSTC
66/1995, de 8 de mayo, FJ 5; 55/1996, de 28 de marzo, FFJJ 6, 7, 8 y 9; 207/1996, de
16 de diciembre, FJ 4 e), y 37/1998, de 17 de febrero, FJ 8)

Para comprobar si una medida que limita o restringe un derecho fundamental -como
en este caso el derecho a la protección de datos de carácter personal- supera el juicio
de proporcionalidad será necesario constatar que cumple los tres requisitos o
condiciones siguientes: si esa medida es susceptible de conseguir el objetivo
propuesto (juicio de moderada para la consecución de tal propósito con igual eficacia
(juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por
derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre
otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto).

Y aun valorando que los intereses perseguidos podrían ser de intensidad y alcance
suficiente, en un supuesto de legitimación por interés legítimo sin un particular
sustento o presunción legal, habrían de ir acompañados de una ponderación y
evaluación estricta de que el tratamiento sea estrictamente proporcional. Siempre
acompañado de una actividad probatoria por quien no goza de una presunción legal
de interés legítimo. Así, en su caso, para que el interés legítimo pueda admitirse como
base válida de legitimación en un tratamiento de datos personales, especialmente
conforme más impactante y masivo sea el tratamiento, como lo sería en el caso
presente, sería necesario que se apliquen de forma efectiva una serie de garantías
compensatorias que aseguren la protección de los derechos y libertades de las
personas afectadas. El tratamiento debe ser estrictamente proporcional, lo que exige
que no se exceda en los datos tratados ni en los fines perseguidos. Además, debe
garantizarse la transparencia frente al interesado, informando de manera clara y
accesible sobre la base jurídica invocada y los intereses perseguidos. Es esencial que
el ejercicio del derecho de oposición esté realmente garantizado en la práctica,
incluyendo canales sencillos, eficaces y accesibles para su ejercicio. Asimismo, deben
adoptarse medidas técnicas y organizativas destinadas a reducir el impacto del
tratamiento sobre los derechos de los interesados, lo que puede incluir la
anonimización o seudonimización de los datos cuando sea posible. La entidad
responsable del tratamiento deberá haber realizado una evaluación previa de impacto
en protección de datos en los casos exigidos por la normativa o cuando el tratamiento
sea especialmente sensible, y valorar, en su caso, la necesidad de una consulta previa
a la autoridad de control. También debe poder demostrar que ha considerado la
expectativa razonable del interesado en función del contexto en que los datos fueron
recogidos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

156/204

Por otro lado, es aconsejable disponer de controles internos y auditorías periódicas
que verifiquen el cumplimiento de estas garantías, así como establecer mecanismos
adicionales de protección, como códigos de conducta o esquemas de certificación.
Todo ello puede completarse con una revisión periódica del tratamiento y de sus
efectos sobre los derechos de los afectados, con el fin de valorar si las condiciones del
interés legítimo y las medidas compensatorias siguen siendo adecuadas y
proporcionadas en el tiempo.
Esto significa que no debe tratarse más información de la imprescindible, ni
conservarla durante más tiempo del necesario. La minimización de datos y la limitación
de la finalidad se convierten así en condiciones ineludibles para validar el juicio de
necesidad.
En el caso presente, además, los interesados no tendrían ninguna expectativa de que
sus datos pudieran ser objeto del tratamiento. Las Administraciones tributarias a
quienes los interesados les han facilitado sus datos en la confianza de que no serán
cedidos a terceros sin su consentimiento salvo los casos expresamente previstos en la
Ley, entre los cuales no figura el tratamiento de datos que aquí se valora. En definitiva,

Hay que concluir por ello que el fichero o base de datos que CDE cede a
CAMERDATA, elaborada con la información recibida lícitamente de las
Administraciones tributarias de acuerdo con las previsiones de la Ley 4/2014, no
puede tener su fundamento de licitud en la circunstancia descrita en el artículo 6.1.f)
del RGPD.

Como se ha indicado, el tratamiento que CDE ha efectuado en el presente caso no
puede tener su fundamento de licitud en la base jurídica del artículo 6.1.f) del RGPD. Y
es preciso subrayar, además, que, en relación con el tratamiento que nos ocupa CDE
no había adoptado ninguna medida que sirviera de contrapeso a la restricción efectiva
del derecho fundamental a la protección de datos que conlleva el tratamiento que
realiza de los datos de los empresarios autónomos.

En atención a la exposición precedente, resulta acreditado que no concurre ninguna
base jurídica conforme al artículo 6.1 del RGPD que ampare la licitud del tratamiento
de datos de los empresarios autónomo que CDE ha llevado a cabo y sobre el que
versa el presente procedimiento.

Sentado lo anterior, es preciso indicar que las Administraciones públicas podrían llevar
a cabo un tratamiento de datos para fines que no resulten incompatibles con el fin del
tratamiento lícito originario.

4.Elemento subjetivo de la infracción administrativa imputada.

Respecto a la infracción del artículo 6.1 del RGPD que se imputa a CDE en este
procedimiento, se hace constar que está presente en ella el elemento de la
culpabilidad sin cuya concurrencia no es posible en nuestro ordenamiento jurídico
exigir responsabilidad sancionadora (artículo 28 de la Ley 40/2015). La culpabilidad no
se manifiesta aquí en la omisión de la diligencia necesaria para integrar ese elemento
de la infracción, sino que, en este caso, tiene una relevancia extraordinaria pues
reviste la forma de dolo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

157/204

Nos encontramos ante un tratamiento de datos realizado de forma consciente y
premeditada con la intención de utilizar información a la que CDE puede acceder
lícitamente, para los fines que la Ley 4/2014 le encomienda, con otra finalidad para la
que la Ley no la habilita.

La voluntad de realizar la cesión se plasma en el contrato suscrito entre ambas en el
año 2016, vigente al menos hasta el 20/12/2023. Por lo que respecta al elemento
intelectivo o cognitivo -ceder los datos a CAMERDATA a sabiendas de su ilicitud, de
que vulnera el RGPD- hay indicios de ello incontestables, como las expresiones
deliberadamente confusas que emplea el contrato de Cesión de Bases Empresariales
para generar la creencia de que el objeto de dicho contrato es el “censo público de
empresas” y hacer extensible así a ese tratamiento los fundamentos de licitud que el
“censo público” tiene en la Ley 4/2014. Cabe citar el Expositivo V del contrato
mencionado como un ejemplo claro de la intención de enmascarar el tratamiento
realmente efectuado. Consta acreditado además que CDE es perfecta conocedora de
la normativa de protección de datos, de lo que es exponente la correcta aplicación que
ha hecho de esa normativa al elaborar y gestionar el “censo público de empresas”,
pues cabalmente no ha incluido en él el dato del NIF de los empresarios autónomos,
aplicando el principio de minimización de datos y garantizando su confidencialidad; el
censo es “público”, esto es, accesible a todos y está configurado para la consulta, no
para la descarga de la información que permitiría su utilización con otros fines. CDE
cumple correctamente con la obligación legal de elaborar el “censo público de
empresas” y al mismo tiempo ignora deliberadamente todos los límites legales con un
tratamiento -la cesión a CAMERDATA- que ha diseñado en el contrato suscrito con ella
en virtud del cual una información relativa a los empresarios individuales de la que
CDE dispone para otros fines establecidos en su Ley reguladora se cede a
CAMERDATA para que la incorpore a su propio fichero de datos contribuyendo a que
esta mercantil desarrolle su objeto social.

Es digno de mención sobre el objeto social de CAMERDATA que, según consta en el
Informe de Auditoría correspondiente al ejercicio 2022 (“Memoria”, epígrafe
“1.Actividad de la sociedad”), “La Sociedad se dedica principalmente a la
comercialización y venta en toda España de bases de datos de empresas, comercios
y organismos oficiales y otros actores y agentes económicos, a particulares o
empresas mediante la implementación de las necesarias herramientas informáticas:
páginas web, programas de búsqueda, bases de datos, etc., (página 868 del
expediente).

Finalmente, no puede desconocerse tampoco la conexión directa que existe entre
CDE y CAMERDATA, pese a que, como alega CDE, sean dos personas jurídicas
diferentes. Traemos a colación que ese mismo Informe de Auditoría del ejercicio 2022
dice que “La Sociedad está regida por un Consejo de Administración formado por 5
miembros, entre los cuales, 4 Cámaras de Comercio.” Indica además que “a fecha 31
de diciembre de 2022 la composición del accionariado de la Sociedad es la siguiente:
Accionista % de capital; Cámara de Comercio de Barcelona 27,14%; Cámara de
Comercio de Valencia 27,14%; Cámara de Comercio de España 18,10%; Cámara de
Comercio de Madrid 16,89%; Otras Cámaras minoritarias 10,73%.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

158/204

El tratamiento de datos personales que es objeto de este procedimiento sancionador,
concretado en la cesión que CDE hace a CAMERDATA de datos personales de los
empresarios autónomos que ha obtenido lícitamente de las Administraciones
tributarias para el cumplimiento de la obligación legal de elaborar un censo público de
empresas, elaborar un censo de electores en los términos del artículo 17 de la Ley
4/2014 y para el desempeño de las funciones público administrativas que la citada Ley
le atribuye, no está amparado en ninguno de los fundamentos de licitud que
taxativamente establece el artículo 6.1 del RGPD. En consecuencia, esta resolución
considera que el tratamiento de datos examinado del que se responsabiliza a CDE
vulnera el artículo 6.1. del RGPD.

VIII
Tipificación y plazo de prescripción de la infracción del artículo 6.1 del RGPD

La infracción del artículo 6.1 del RGPD de la que se responsabiliza a CDE en este
resolución se encuentra tipificada en el artículo 83.5.a) del RGPD, que establece:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
[…]”

A los solos efectos de determinar el plazo de prescripción de la infracción, la
LOPDGDD dispone en el artículo 72, bajo la rúbrica “Infracciones consideradas muy
graves”:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) […]
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”

IX
Infracción del artículo 5.1.b) del RGPD

1.Se atribuye a la CDE en esta resolución una infracción del principio de limitación de
la finalidad del tratamiento. El artículo 5 del RGPD, “Principios relativos al tratamiento,”
establece:

“1. Los datos personales serán:
[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

159/204

b) “recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales (<<limitación de la finalidad>>)”.

El considerando 50 del RGPD contribuye a esclarecer el alcance de este principio:

“(50) El tratamiento de datos personales con fines distintos de aquellos para los que
hayan sido recogidos inicialmente solo debe permitirse cuando sea compatible con los
fines de su recogida inicial. En tal caso, no se requiere una base jurídica aparte,
distinta de la que permitió la obtención de los datos personales. Si el tratamiento es
necesario para el cumplimiento de una misión realizada en interés público o en el
ejercicio de poderes públicos conferidos al responsable del tratamiento, los cometidos
y los fines para los cuales se debe considerar compatible y lícito el tratamiento ulterior
se pueden determinar y especificar de acuerdo con el Derecho de la Unión o de los
Estados miembros. […]. La base jurídica establecida en el Derecho de la Unión o de
los Estados miembros para el tratamiento de datos personales también puede servir
de base jurídica para el tratamiento ulterior. Con objeto de determinar si el fin del
tratamiento ulterior es compatible con el fin de la recogida inicial de los datos
personales, el responsable del tratamiento, tras haber cumplido todos los requisitos
para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas,
cualquier relación entre estos fines y los fines del tratamiento ulterior previsto, el
contexto en el que se recogieron los datos, en particular las expectativas razonables
del interesado basadas en su relación con el responsable en cuanto a su uso
posterior, la naturaleza de los datos personales, las consecuencias para los
interesados del tratamiento ulterior previsto y la existencia de garantías adecuadas
tanto en la operación de tratamiento original como en la operación de tratamiento
ulterior prevista.

Si el interesado dio su consentimiento o el tratamiento se basa en el Derecho de la
Unión o de los Estados miembros que constituye una medida necesaria y
proporcionada en una sociedad democrática para salvaguardar, en particular, objetivos
importantes de interés público general, el responsable debe estar facultado para el
tratamiento ulterior de los datos personales, con independencia de la compatibilidad
de los fines. En todo caso, se debe garantizar la aplicación de los principios
establecidos por el presente Reglamento y, en particular, la información del interesado
sobre esos otros fines y sobre sus derechos, incluido el derecho de oposición. La
indicación de posibles actos delictivos o amenazas para la seguridad pública por parte
del responsable del tratamiento y la transmisión a la autoridad competente de los
datos respecto de casos individuales o casos diversos relacionados con un mismo
acto delictivo o amenaza para la seguridad pública debe considerarse que es en
interés legítimo del responsable. Con todo, debe prohibirse esa transmisión en interés
legítimo del responsable o el tratamiento ulterior de datos personales si el tratamiento
no es compatible con una obligación de secreto legal, profesional o vinculante por otro
concepto.”

El principio de limitación de la finalidad conlleva que el responsable deba de tratar los
datos con una o varias finalidades “determinadas”, “explícitas” y “legítimas”. Que la
finalidad del tratamiento deba estar definida con claridad, de manera que permita
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

160/204

conocer qué actividades de tratamiento se incluyen en ella. Que el responsable no
pueda tratar posteriormente los datos recogidos con unos fines determinados,
explícitos y legítimos de manera incompatible con dichos fines. El RGPD no prohíbe el
tratamiento con finalidades distintas de las que justificaron el tratamiento originario,
sino que prohíbe el tratamiento con fines incompatibles.

El artículo 6.4 del RGPD ofrece algunos rasgos o criterios para determinar la
compatibilidad de los fines ulteriores del tratamiento con el fin del tratamiento inicial:

“Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización.”

2. CDE, como el resto de las Cámaras de Comercio, es una corporación de Derecho
público, con personalidad jurídica y plena capacidad de obrar para el cumplimiento de
sus fines “sin menoscabo de los intereses privados que persiguen” (artículo 2 de la Ley
4/2014)

El artículo 3 de la Ley Básica de Cámaras, “Finalidad”, dispone que las Cámaras
oficiales, entre ellas CDE, “tienen como finalidad la representación, promoción y
defensa de los intereses generales del comercio, la industria, los servicios y la
navegación, así como la prestación de servicios a las empresas que ejerzan las
indicadas actividades. Asimismo, ejercerán las competencias de carácter público que
les atribuye esta Ley y las que les puedan ser asignadas por las Administraciones
Públicas con arreglo a los instrumentos que establece el ordenamiento jurídico.”

Conforme al artículo 8 de la Ley Básica de Cámaras, “Censo público”, la CDE tiene la
obligación de elaborar (elaborará, dice el precepto) “un censo público de empresas del
que formarán parte las personas físicas o jurídicas, nacionales o extranjeras, que
ejerzan las actividades comerciales, industriales, de servicios y navieras en territorio
nacional”. El precepto indica que para su elaboración contará “con la colaboración de
la administración tributaria competente, así como de otras administraciones que
aporten la información necesaria, garantizando, en todo caso, la confidencialidad en el
tratamiento y el uso exclusivo de dicha información.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

161/204

Respecto a la colaboración de las Administraciones tributarias, el artículo 8 concreta
que “Para la elaboración del censo público de empresas las administraciones
tributarias facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España y a las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas que sean necesarios. Únicamente tendrán acceso a la información
facilitada por la administración tributaria los empleados de cada Cámara que
determine el pleno.”

Sobre el uso que las Cámaras pueden hacer de la información así obtenida, el artículo
8 dispone: “Esta información se empleará para la elaboración del censo público de
empresas, para el cumplimiento de las funciones público-administrativas que la
presente Ley atribuye a las Cámaras, así como para la elaboración del censo electoral
a que se hace referencia en el artículo 17 de la misma.”

Con el propósito de fijar las condiciones y las garantías con las que tiene lugar la
transmisión de la información tributaria de los empresarios autónomos desde la AEAT
a CDE, ambas suscriben el 25/11/2019 un Convenio “para la cesión de información de
carácter tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-
administrativas” (BOE 20/12/2019), prorrogado por cuatros años y modificado en virtud
de una “Adenda” suscrita el 19/12/2023 (BOE 16/02/2024).

La cláusula segunda del Convenio versa sobre la finalidad de la cesión y dispone:

“La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas tendrá como finalidad exclusiva la elaboración del censo público de
empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014
Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
atribuye a las Cámaras, así como la elaboración del censo electoral a que hace
referencia el artículo 17 de la misma Ley.”

En consonancia con la finalidad exclusiva para la cual se ceden los datos, el Convenio
refiere (cláusula cuarta, destinatarios de la información suministrada) que “La
información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a los
órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión, incluidos los órganos de
fiscalización competentes en la medida en que, por aplicación de su propia normativa,
participen en los procedimientos a que se refiere la cláusula segunda del presente
Convenio.”

Precisa que “En ningún caso podrán ser destinatarios órganos, organismos o entes
que realicen funciones distintas de las descritas en la cláusula segunda de este
Convenio.” Y establece “la estricta afectación de la información remitida por la Agencia
Tributaria a los fines que la justifican y para los que se solicita” y que “el destinatario
no podrá ceder a terceros la información remitida por la Agencia Tributaria.”

Es digno de mención el “Informe del convenio entre la Agencia Estatal de
Administración Tributaria y la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España para la cesión de información de carácter tributario a las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

162/204

Cámaras Oficiales para el ejercicio de sus funciones público-administrativas”, firmado
el 27/09/2019, que CDE ha aportado en respuesta al requerimiento que se le hizo en
fase de prueba para que facilitara el informe de su servicio jurídico y la memoria
justificativa a los que hacen referencia, en relación con los convenios, los artículos
50.1 y 50.2.1 de la Ley 40/2015.

El informe aportado (en el que no consta el cargo que ocupa en la organización el
firmante) en el punto “Acciones a desarrollar”, párrafo segundo, subraya que la cesión
de datos de las Administraciones Tributarias a la CDE tiene una finalidad única y
exclusiva: la elaboración del censo público. Y añade que esa información no podrá
tener otros destinatarios que los órganos de la CDE o de las Cámaras que tienen
atribuidas funciones que justifican la cesión de datos realizada:

“La cesión de los datos del IAE y los censales de las empresas tendrán como
finalidad exclusiva la elaboración del censo público de empresas, el cumplimiento
de las funciones público-administrativas que la Ley 4/2014 Básica de las Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación atribuye a las Cámaras,
así como la elaboración del censo electoral a que hace referencia el artículo 17 de
la misma Ley.
La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios
a los órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión.”

Asimismo, hay que incidir en que la cesión a las Cámaras Oficiales, por tanto, también
a CDE, de los datos tributarios (los relativos al IAE y los censales de las empresas)
que el artículo 8 de la Ley 4/2014 impone a las Administraciones tributarias representa
para los empresarios personas físicas, quienes quedan adscritos a una Cámara de
Comercio de oficio, al margen de su voluntad, una restricción del derecho fundamental
a la protección de sus datos personales reconocido en el artículo 18.4 de la C.E.
Restricción que impone la ley y se justifica en este caso por el interés público al que
busca satisfacer.

Los datos que las Administraciones tributarias proporcionan a CDE para elaborar un
censo público de empresas tienen la naturaleza de datos tributarios. Y, en virtud de la
obligación legal impuesta por el artículo 8 de la Ley 4/2014 a las Administraciones
tributarias, se levanta (en relación con la información a la que se refiere ese precepto)
el carácter reservado que la Ley General Tributaria otorga en su artículo 95 a los datos
tributarios obtenidos por las Administraciones tributarias en el ejercicio de sus
funciones y la prohibición de cesión a terceros salvo en los casos expresamente
previstos.

Son precisamente los datos de los empresarios personas físicas que las
Administraciones tributarias proporcionan a CDE, a los que ella accede lícitamente
para las funciones para las que está habilitada por su ley reguladora, los que son
objeto de cesión por CDE a CAMERDATA, en ejecución de un contrato privado
suscrito entre ambas, con una finalidad que, además de ser distinta de la originaria
que justificó el acceso a los datos, queda excluida de dicha finalidad originaria visto
cómo está configurada en la Ley Básica de Cámaras.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

163/204

CDE y CAMERDATA celebraron el 15/02/2016 un “Contrato de cesión de base de
datos empresariales”, vigente en la fecha de su aportación a esta Agencia, el
20/12/2023, en el que se estipula (pacto primero, Objeto) apartado 1.1:

Conviene precisar, para evitar erróneas interpretaciones que, si bien el contrato entre
CDE y CAMERDATA prohíbe a la cesionaria (CAMERDATA) ceder a terceros “la Base
de Datos Cedida ni cualquiera de sus actualizaciones objeto del mismo sin la previa
autorización expresa y por escrito de la Cedente” (pacto 7.1), no implica que no exista
una cesión de datos. Esto, porque tal prohibición (pacto 7.1., párrafo primero) recae
sobre la “Base de Datos Cedida”, pero no sobre su contenido. En tal sentido, el párrafo
segundo del pacto 7.1. dice:

“Se excluye de esta prohibición la cesión de los datos de la Base de Datos Cedida
incorporados en el Fichero de Empresas Españolas propiedad de las cesionarias de
conformidad con lo convenido en los Pactos Segundo y Tercero del Contrato.”

Pacto 7.1., segundo párrafo, que hay que poner en relación con la obligación que el
contrato impone a la cesionaria (CAMERDATA) de incorporar a la base de datos de su
propiedad, el Fichero de Empresas Españolas, la información que incluye la Base de
Datos Cedida. Así, el Anexo 2 al contrato de Cesión de Base de Datos Empresarias
(que según tal contrato forma parte indisoluble de él) dice en el epígrafe “B)
Obligaciones de la Cesionaria:

“b.1)La Cesionaria se obliga a incorporar la información de la Base de Datos Cedida
en el Fichero de Empresas Españolas y a tratarla y comercializarla en los términos
convenidos en el Contrato y sus Anexos.
b.2)La Cesionaria se compromete a tener siempre actualizados los datos
empresariales del Fichero de Empresas Españolas y a tal efecto se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de Datos Cedida que
ésta realice periódicamente dentro de los 15 (15) días laborables siguientes a la fecha
en que reciba la comunicación escrita al efecto de la Cedente.
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus actualizaciones, y a no
realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la información de los Registros
de Empresa de la Base de Datos Cedida actualizada dentro de los treinta (30) días
laborales siguientes a la fecha en que la reciba de la Cedente y a tratarla en los
términos que se indican en el siguiente párrafo b.4)”

3.Alegaciones de CDE al acuerdo de inicio y a la propuesta de resolución.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

164/204

En sus alegaciones al acuerdo de inicio CDE niega la comisión de la infracción del
artículo 5.1.b) del RGPD pues niega haber tratado los datos de los autónomos para un
uso distinto del inicial. En tal sentido, sostiene:

“que la única y exclusiva finalidad del tratamiento es cumplir con la obligación legal de
elaborar y gestionar el Censo Público de Empresas en los términos previstos en la Ley
4/2014. Lo que se ha hecho es precisamente hacer público el Censo Público de
Empresas, siendo la cesión un instrumento para lograr este fin.”

Argumento que está en consonancia con la tesis que defiende, según la cual la Ley
4/2014 le atribuye la función de dar publicidad al censo público de empresas y ella,
ante la falta de previsión legal en ese sentido, cede los datos a CAMERDATA en
cumplimiento de una supuesta obligación legal de hacer público el censo público de
empresas.

En sus alegaciones a la propuesta de resolución CDE mantiene idéntico argumento -la
cesión se efectúa en cumplimiento de una obligación legal de dar publicidad al censo
público- y, añade, además, que, la infracción del artículo 5.1.b), de haber existido,
sería imputable a CAMERDATA.

En ese sentido, dice que “no ha infringido el principio de limitación del tratamiento (art.
5.1.b) del RGPD), ya que, en su caso, la infracción habría sido cometida por
Camerdata, S.A. y no por CDE.

CDE proporciona a Camerdata, S.A. la Base de Datos Cedida para cumplir con la
obligación legal de dar publicidad al Censo Público de Empresas establecida en la Ley
4/2014, como ya se ha indicado. Si Camerdata, S.A., como un responsable
independiente del tratamiento, decide sobre el tratamiento de los datos personales
para otros fines, sus propios fines, es algo ajeno a CDE.

Debe recordarse una vez más que en el Contrato, la cláusula 12.1, obliga a
Camerdata, S.A., en su condición de Cesionaria, a “observar y cumplir
estrictamente y en todo momento, los derechos y obligaciones de cada una en
materia de acceso, tratamiento y cesión de datos” (énfasis añadido).

Imputar a CDE una infracción que no ha cometido vulneraría el principio de
responsabilidad personal que impide que alguien pueda ser sancionado por hechos
ajenos (STC 219/1988, de 22 de noviembre, Fundamento Jurídico 3º).”

Frente a las alegaciones que CDE formula, han de hacerse dos precisiones que
desvirtúan sus argumentos:

La primera, que como se expone con detalle en el Fundamento III, puntos 4 y 5 de
esta resolución, así como al examinar la infracción del artículo 6.1 del RGPD de la que
es responsable, se deja claro que la Ley 4/2014 no impone a CDE ninguna obligación
de dar publicidad al censo público de empresas. La publicidad es la que ofrece el
registro público que la Ley ordena elaborar.

La única obligación que la Ley Básica impone a CDE es la de “elaborar” un “censo
público de empresas” y la función de gestionarlo, que consiste en el desarrollo de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

165/204

funciones registrales. La Ley no establece nada más porque no es necesario, ya que
la “publicidad” es la que proyecta por su propia naturaleza el “censo público”.

La segunda está relacionada con el alegato según el cual la infracción del artículo
5.1.b) del RGPD sería imputable a CAMERDATA por lo que invoca el principio de
responsabilidad personal.

El artículo 6.4 del RGPD dispone:
“Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado […], el responsable del tratamiento, con objeto de
determinar si el tratamiento con otro fin es compatible con el fin para el cual se
recogieron inicialmente los datos personales, tendrá en cuenta”.

En idéntico sentido, el Considerando 50 indica que: “Con objeto de determinar si el fin
del tratamiento ulterior es compatible con el fin de la recogida inicial de los datos
personales, el responsable del tratamiento, tras haber cumplido todos los requisitos
para la licitud del tratamiento original, debe tener en cuenta, entre otras cosas, […]”.

En relación con el tratamiento que examinamos es CDE quien tiene la condición de
responsable, pues es quien decide sobre sus fines y medios y quien suscribe con
CAMERDATA un contrato de cesión de una base de datos que, como ha reconocido
CDE y CAMERDATA, y como consta en los Hechos probados, su contenido procede
de la información a la que CDE ha accedido en ejercicio de las funciones que el
encomienda la Ley 4/2014. De manera que no se incurre en una vulneración del
principio de responsabilidad personal, que impide que alguien pueda ser sancionado
por hechos ajenos.

Así pues, por su condición de responsable del tratamiento, CDE debía haber valorado
y debía de haberse asegurado de que el tratamiento que pretendía llevar a cabo
cumplía el principio de limitación de la finalidad (artículo 5.1.b). Se trata de una
obligación inherente a la responsabilidad proactiva prevista en el artículo 5.2. del
RGPD. Debe recordarse, además, que el principio que se estima vulnerado debe
cumplirse durante toda la vida del tratamiento. Es irrelevante, por tanto, que en la
fecha en la que se celebra el contrato -febrero de 2016- no se hubiera aprobado aún el
RGPD, pues, por una parte, a la luz de la Ley Orgánica 15/1999, de Protección de
Datos de Carácter Personal (LOPD) la finalidad del tratamiento ulterior realizado era
también una conducta tipificada en una norma sancionadora, y, por otra, desde la
entrada en vigor del RGPD estaba obligada a valorar la adecuación de los
tratamientos que se efectuaban a la nueva normativa.

Al hilo de lo expuesto y a propósito de los comentarios hechos por CDE en sus
alegaciones según los cuales la Agencia está tomando en consideración un contrato
suscrito en el año 2016 que está desactualizado, aclaramos que la Agencia toma en
consideración el contrato “vigente” con CAMERDATA; el que fue aportado por CDE el
20/12/2023 en respuesta a la petición de la Inspección de Datos. Si el contrato, como
dice, no se ha actualizado -haya sido por falta de diligencia o por falta de voluntad- es
una cuestión impertinente a los efectos que aquí se valoran.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

166/204

4.El principio de responsabilidad proactiva del artículo 5.2 RGPD obliga al responsable
del tratamiento a estar en condiciones de acreditar que cumple los principios que
presiden el tratamiento de los datos, por lo que interesa el principio de limitación de la
finalidad. CDE no ha aportado ninguna prueba que acredite que el tratamiento de
datos realizado observaba el principio del artículo 5.1.b) del RGPD.

De los hechos acreditados se concluye que la finalidad del tratamiento originario
que hace CDE de los datos obtenidos de las Administraciones tributarias y la del
tratamiento ulterior -la cesión a CAMERDATA- son, además de distintas,
incompatibles:

- No existe ninguna relación entre el fin para el que CDE puede acceder a lo datos que
le proporcionan las Administraciones tributarias (los del IAE y los censales de las
empresas) para la creación del censo público (un registro público) y para su gestión
(las funciones registrales) y la operación de tratamiento que consiste en elaborar una
fase de datos con esa información y negociar con ella, pues ese es el objeto del
contrato suscrito con CAMERDATA.

No existe ninguna relación entre el fin del tratamiento de datos que consiste en
elaborar un censo público de empresas, para el que el artículo 8 de la Ley 4/2014
habilita a la CDE, fin público, y el fin particular para el cual CDE cede a CAMERDATA
los datos: el envío de comunicaciones comerciales y de marketing, ofreciendo
diferentes bienes o servicios, así como la información comercial sobre la actividad
empresarial llevada a cabo por el empresario autónomo.

El fin de interés público que busca atender el artículo 8 de la Ley 4/2014, sí es
proporcional a la restricción que supone para el derecho a la protección de los datos
de los empresarios individuales, pero no lo es en ningún caso para la finalidad que se
busca satisfacer con la cesión a CAMERDATA.

-La procedencia de los datos de los empresarios autónomos que son objeto de la
cesión impide que alberguen cualquier expectativa razonable sobre el tratamiento
ulterior de sus datos por CAMERDATA. No puede obviarse que los datos que CDE
facilita a CAMERDATA son los que los empresarios personas físicas proporcionan a
las Administraciones tributarias, tienen carácter reservado y no pueden facilitarse a
terceros salvo en los casos previstos en la Ley o con el consentimiento expreso de su
titular (ex artículo 95 de la Ley 58/2003 General Tributaria.

-La naturaleza de datos tributarios que tiene la información que recibe la CDE de la
AEAT no hace compatible el tratamiento posterior con la finalidad para la que los
destinará CAMERDATA.

- Las evidentes consecuencias adversas que pueden derivarse para los interesados
del tratamiento ulterior de los datos, a lo que se añade que CAMERDATA cede a las
terceras empresas a las que comercializa la base de datos el NIF de los autónomos.
En este punto nos remitimos a las consideraciones que se hacen en el
correspondiente Fundamento en el sentido de que CDE cede a CAMERDATA el dato
del NIF seudonimizado (el hash) y CAMERDATA puede obtener el NIF en texto plano
gracias a que cuenta con el hash que le ha facilitado CDE.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

167/204

Es importante añadir que, como precisa el Considerando 50, último inciso, “Con todo,
debe prohibirse esa transmisión en interés legítimo del responsable o el tratamiento
ulterior de datos personales si el tratamiento no es compatible con una obligación de
secreto legal, profesional o vinculante por otro concepto.” En ese aspecto, recordamos
nuevamente lo estipulado en el Convenio celebrado entre la AEAT y la CDE en su
cláusula cuarta: En cualquier caso, el destinatario no podrá ceder a terceros la
información remitida por la Agencia Tributaria.

5. En la infracción del artículo 5.1.b) del RGPD que se imputa a CDE está presente el
elemento de la culpabilidad sin cuya concurrencia no es posible en nuestro
ordenamiento jurídico exigir responsabilidad sancionadora (artículo 28 de la Ley
40/2015). La responsabilidad en este caso no se imputa a título de culpa o
imprudencia sino a título de dolo.

La voluntad de CDE de tratar los datos de los empresarios autónomos para una
finalidad -comercial o de marketing- que, no solo es distinta, sino que es claramente
incompatible con la finalidad para la cual el artículo 8 de la Ley 4/2014 habilita a CDE a
acceder a los datos del IAE y a los censales de las empresas que le faciliten las
Administraciones tributarias, se pone de manifiesto en el contrato de Cesión de Base
de Datos empresariales suscrito entre ambas en febrero de 2016 y que ha continuado
vigente hasta, al menos, el 20/12/2023. La cláusula segunda del contrato, “Finalidad”,
establece que “La cesionaria incluirá los datos empresariales de la Base de Datos
Cedida […]con la finalidad de ofrecerlo comercialmente a las empresas y a los
terceros interesados como base de datos de información de las empresas que operan
en territorio español.”
Se añade, además, que la finalidad del tratamiento de los datos cedidos coincide con
el objeto social de CAMERDATA, extremo que CDE no desconoce por cuanto es uno
de los cuatro socios mayoritarios de la mercantil y forma parte de su consejo de
administración.

Asimismo, la documentación que obra en el expediente pone de manifiesto que CDE
ha sido plenamente consciente de que el tratamiento de datos que lleva a cabo, la
transmisión a CAMERDATA de una base de datos, no está en consonancia con la
finalidad para la cual los obtuvo. Hemos de referirnos nuevamente a las salvaguardas
que el artículo 8 de la Ley 4/2014 establece para garantizar el derecho de las personas
físicas a la protección de sus datos: Se impone a los cesionarios de los datos (CDE y
las restantes Cámaras Oficiales) “el uso exclusivo” de la información obtenida.
Especialmente relevantes son las estipulaciones del Convenio suscrito con la AEAT, en
particular su cláusula cuarta , “Destinatarios de la información”, que dispone, entre
otras cosas, la estricta afectación de la información remitida por la Agencia Tributaria a
los fines que la justifican y para los que se solicita o que el destinatario no podrá ceder
a terceros la información remitida por la Agencia Tributaria. Igualmente, de nuevo
traemos a colación el informe de la Asesoría Jurídica de CDE que coincide con la
cláusula cuarta del Convenio.

Las razones expuestas conducen a concluir que procede imputar a CDE a título de
dolo la responsabilidad por la infracción del artículo 5.1.b) del RGPD.

6.La vulneración por CDE del principio de limitación de la finalidad, concretada en
haber tratado los datos a los que accedió lícitamente para una finalidad específica
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

168/204

prevista en su Ley reguladora con otra finalidad distinta e incompatible con la
originaria, presenta en el supuesto aquí planteado una extraordinaria relevancia.

El sujeto responsable del ilícito administrativo es una corporación de Derecho público
que, actuando como Administración pública en el ejercicio de las funciones que su Ley
reguladora le atribuye, está habilitada a acceder a datos que los empresarios personas
físicas han proporcionado a las Administraciones tributarias en el ejercicio de sus
funciones. El acceso a la información tributaria está justificado sólo por el interés
público que se quiere satisfacer -disponer de un censo público de empresas que sea
un fiel reflejo de la realidad- cuya elaboración se encarga a CDE. La obligación legal
que el artículo 8 de la Ley 4/2014 impone a las Administraciones tributarias de
colaborar y permitir el acceso a CDE a los datos del IAE y a los censales de las
empresas necesarios para el fin que justifica el acceso, exime a la Administración
tributaria de recabar el consentimiento de los interesados para la cesión.

La información obtenida en su condición de Administración pública (pues accede a ella
en cumplimiento de una obligación legal y para desarrollar una función pública) se
utiliza con una finalidad no contemplada en la Ley: se crea una base de datos con
información a la que se ha podido acceder gracias a la habilitación que tiene por razón
del desempeño de una función público administrativa. Habilitación que CDE no tiene
para destinar esa información a generar una base de datos que es objeto de cesión.
Es además incompatible por los fines comerciales y de marketing que persigue el
tratamiento ulterior, que se canaliza a través de un contrato suscrito con CAMERDATA
a través del cual le transfiere los datos para que sean tratados con tal finalidad. Debe
subrayarse el hecho de que existe un tratamiento de datos a gran escala, pues los
empresarios personas físicas cuyos datos personales son objeto de tratamiento por
CDE supera el millón y medio. Es relevante, asimismo, que los datos cedidos que les
conciernen son numerosos, entre ellos figura incluido el dato del NIF, en texto plano o
seudonimizado.

Por las razones expuestas se aprecia que la infracción del principio de limitación de la
finalidad del tratamiento de la que es responsable CDE, tiene, en este caso particular,
entidad propia, en el sentido de que la antijuridicidad de la conducta contraria al
principio del artículo 5.1.b) del RGPD no se subsume ni se agota en la vulneración del
principio de licitud, pues entendemos que el elemento del injusto de la infracción del
artículo 5.1.b) del RGPD rebasa la antijuridicidad que se encuadra en la infracción del
artículo 6.1.a) del RGPD.

Por lo expuesto, se aprecia en este procedimiento que CDE ha vulnerado el principio
de limitación de la finalidad del tratamiento del artículo 5.1.b) del RGPD.

X
Tipificación y plazo de prescripción de la infracción de la infracción del principio de
limitación de la finalidad (artículo 5.1.b) del RGPD)

La infracción del artículo 5.1.b) del RGPD de la que se responsabiliza a la CDE se
encuentra tipificada en el artículo 83.5.a) del RGPD, que establece:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

169/204

“5.Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]”.

Por otra parte, a los solos efectos de determinar el plazo de prescripción de la
infracción, la LOPDGDD la califica de muy grave y dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…]
d) La utilización de los datos para una finalidad que no sea compatible con la finalidad
para la cual fueron recogidos, sin contar con el consentimiento del afectado o con una
base legal para ello.”

XI
Infracción del principio de confidencialidad, artículo 5.1.f) del RGPD

1.Se atribuye a la CDE en esta resolución una infracción del principio de
confidencialidad establecido en el artículo 5.1.f) del RGPD, en virtud del cual el
responsable del tratamiento está obligado a tratar los datos personales de tal modo
que garantice una seguridad adecuada, “incluida la protección contra el tratamiento no
autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la
aplicación de medidas técnicas u organizativas apropiadas”.

El considerando 75 del RGPD indica: “Los riesgos para los derechos y libertades de
las personas físicas, de gravedad y probabilidad variables, pueden deberse al
tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o
inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a
problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras,
daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto
profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio
económico o social significativo.” (El subrayado es nuestro)

La Sentencia del Tribunal Constitucional (STC) 292/2000, en su Fundamento de
Derecho 7, a propósito del contenido del derecho a la protección de datos personales
indica: “[…] el contenido del derecho fundamental a la protección de datos consiste en
un poder de disposición y de control sobre los datos personales que faculta a la
persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o
un particular, o cuáles puede este tercero recabar, y que también permite al individuo
saber quién posee esos datos personales y para qué, pudiendo oponerse a esa
posesión o uso.”

A tenor del artículo 5.1.f) el responsable del tratamiento está obligado a tratar los datos
personales de tal modo que garantice una seguridad adecuada, “incluida la protección
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

170/204

contra el tratamiento no autorizado o ilícito” mediante la aplicación de medidas
técnicas u organizativas apropiadas.

La vulneración del principio de confidencialidad requiere que se haya producido la
comunicación o el acceso no autorizado de terceros a dichos datos y la comunicación
o el acceso ilícito se haya ocasionado como consecuencia de la no aplicación por el
responsable del tratamiento de las medidas técnicas u organizativas que fueran
apropiadas para garantizar la confidencialidad en consideración al riesgo existente.

El artículo 24 del RGPD, “Responsabilidad del responsable del tratamiento”, desarrolla
el artículo 5.1.f) y dispone:

“ 1.Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento
así como los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y
actualizarán cuando sea necesario.
2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre
las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del
responsable del tratamiento, de las oportunas políticas de protección de datos.
3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados
como elementos para demostrar el cumplimiento de las obligaciones por parte del
responsable del tratamiento.”

2. La Ley 4/2014 impone a la CDE la obligación de elaborar un censo público de
empresas y le encomienda la función público administrativa de gestionarlo. La Ley
4/014 habilita expresamente a CDE para tratar los datos del IAE y los censales de las
empresas para elaborar el censo público, para elaborar el censo electoral y para las
funciones público-administrativas que le confieren, de ellas, la única relacionada con el
censo público es la establecida en el artículo 5.1.g) gestionar el censo público.

Se ha indicado, también, que cuando el artículo 8 de la Ley obliga a CDE a elaborar un
censo público, le impone la obligación de elaborar un registro público. Y al
encomendar el artículo 5.1.g) la función público administrativa de “gestionar” en los
términos del artículo 8 un censo público de empresas, le está encomendando el
desarrollo de la función registral en relación con el citado censo público de empresas.

En el presente caso, consta que CDE ha cedido ilícitamente datos personales de los
empresarios autónomos. Datos que obtiene lícitamente de las Administraciones
tributarias con arreglo a la habilitación que le otorga la Ley 4/2014. La cesión ilícita se
articula a través de un contrato suscrito con CAMERDATA que tiene por objeto una
base de datos denominada por CDE Censo Básico de Empresas o Base de Datos
Cedida.

El contenido de la base de datos que es objeto de la cesión ilícita versa sobre los
datos que pueden conocerse a través del registro público, el censo público, y, además,
sobre otros que no pueden conocerse accediendo al censo público de empresas, en
particular, el dato del NIF.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

171/204

Así, el censo público de empresas, al que se accede desde la página web de la CDE,
únicamente facilita la información del nombre y apellidos, la dirección (calle, número y
en ocasiones el piso) la localidad, la provincia y el código postal. También, el número
del epígrafe del IAE y una descripción de la actividad. No incluye el dato del NIF. Los
hechos probados, a los que nos remitimos, acreditan ese extremo, particularmente el
tercero, apartado b. No figura el NIF pues es innecesario para el cumplimiento de la
obligación legal impuesta a CDE por el artículo 8 de la Ley 4/2014 y al no incluirlo
respeta el principio de minimización de datos personales previsto en el artículo 5.1.c)
del RGPD.

No obstante, el dato del NIF lo recibe CDE de las Administraciones tributarias, como lo
evidencia el documento Excel que CDE remitió a la Inspección de Datos con todos los
datos personales que tuviera en su poder en relación con un rango de 500 autónomos
y en el que este dato figura en el primero de los campos de cada registro.

CAMERDATA manifestó en su respuesta al requerimiento de la Inspección que en su
fichero, denominado “Fichero de Empresas Españolas”, en el que constan un total de
1.665.049 autónomos, sí se incluye el dato del NIF de los empresarios autónomos y
afirmó que “El origen del dato es el censo público de empresas publicado por la
Cámara de Comercio de España conforme a lo dispuesto en la Ley 4/2014 (en
adelante el Censo Público de Empresas) y se obtiene cada vez que se carga un nuevo
censo de empresas”. (Hecho probado noveno)

No obstante, CAMERDATA rectificó posteriormente esa información en sus
alegaciones al acuerdo de inicio y declaró que había sido un error de hecho. Así, en
sus alegaciones al acuerdo de inicio niega que CDE le hubiera facilitado el NIF y dice
que únicamente le proporciona el hash del NIF, obteniendo CAMERDATA por sus
propios medios el NIF de los empresarios personas físicas.

CARMERDATA no niega en ningún caso que trate el dato del NIF, este dato sí forma
parte del Fichero de Empresas Españolas que la entidad comercializa.

Igualmente, CDE, en su respuesta al requerimiento de la Inspección, manifiesta que
cede a CAMERDATA el NIF de los empresarios autónomos (Hecho probado tercero
punto iii) para, posteriormente, rectificarlo explicando que se ha tratado de un error y
declara que lo que proporciona es únicamente el hash resultante. En prueba de la
veracidad de sus manifestaciones aporta un certificado emitido por el ***PUESTO.1 en
el que así lo declara. En el Hecho probado undécimo consta que ese escrito del
Director General de la mercantil certifica que :

“1.CAMERDATA (…) empleado habitualmente para almacenar datos de forma segura.
El algoritmo empleado es de tipo HASH o huella única y tiene como principal
característica que no es posible obtener el valor de entrada (NIF) correspondiente a un
valor de salida (HASH o huella MD5). Por consiguiente, CAMERDATA obtiene el NIF
por sus propios medios. “

CDE ha alegado que no cede el NIF sino el hash resultante. Afirma que “no se
transfiere el NIF de los empresarios individuales a Camerdata ni ésta lo recibe de
aquella”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

172/204

Con ocasión de examinar la infracción del artículo 6.1 del RGPD se indica que el
resultado de aplicar la función hash sobre el dato del NIF de los autónomos no da
como resultado una información anonimizada y por tanto excluida del ámbito de
aplicación del RGPD, sino que lo que se obtiene es un dato personal
seudoninimazado. Así pues, CDE está reconociendo en sus alegaciones al acuerdo de
inicio que cede a CAMERDATA el dato del NIF de los autónomos que figuran en su
base de datos (todos, en aplicación del principio de adscripción universal) si bien
seudonimizado.

En todo caso, es relevante a los efectos de apreciar la infracción del artículo 5.1.f) del
RGPD, que CDE sí cede a CAMERDATA el hash del NIF. Si CAMERDATA puede
obtener por sus propios medios el dato del NIF de los autónomos es gracias a que
tiene en su poder el hash resultante de aplicar el algoritmo en cuestión. Sin el hash,
CAMERDATA no podría haber obtenido el dato del NIF.

Es obligado precisar que no se estima incluido en el tratamiento contrario al principio
de confidencialidad -la cesión del dato del NIF de los autónomos a CAMERDATA- la
transmisión que CDE hace del NIF de los empresarios autónomos que hubiera
recibido de la Hacienda Foral de la Comunidad Navarra. La razón es que los datos que
integran el Registro de Actividades Económicas que gestiona Hacienda Foral de
Navarra tienen carácter público en virtud del artículo 156.2 de la Ley Foral 2/1995, de
10 de marzo, de Haciendas Locales de Navarra, que dispone: “El citado Registro
anual, con excepción de los datos del domicilio fiscal, estará a disposición del público
durante todo el año natural en la página web de la Hacienda Tributaria de Navarra.

Sin perjuicio de lo establecido en el párrafo anterior también se permitirá el acceso,
por la misma vía, a los siguientes datos que figuren en el Registro de Actividades
Económicas en el momento de realizar la consulta: los identificativos de los sujetos
pasivos que ejerzan actividades económicas, así como el domicilio y el epígrafe o
subepígrafe de la actividad.”

En fase de prueba se solicitó a CDE que describiera el sistema que viene utilizando
para la transmisión de los datos a CAMERDATA. CDE responde que “La información
se transmite a Camerdata a través de Microsoft OneDrive, mediante el siguiente
procedimiento:

•Cámara de España genera un fichero CSV con el diseño de registro establecido y lo
comprime con contraseña
•Cámara de España genera un fichero CSV que incluye la relación de hashes
correspondientes a los NIFs de los empresarios autónomos
•Cámara de España sube ambos ficheros a una carpeta de su OneDrive corporativo
•Cámara de España comparte el acceso a los ficheros CSV con Camerdata. Dicha
compartición se protege, además, con una contraseña (requerida para la descarga)
•Cámara de España informa a Camerdata por correo electrónico de la disponibilidad
de la información, así como de la contraseña requerida para su descarga Una vez que
Camerdata descarga la información, confirma tal circunstancia a la Cámara de España
•Cámara de España elimina la carpeta del OneDrive corporativo Se aportan como
evidencias documentales correos intercambiados con Camerdata referidos a las
cesiones de datos realizadas desde 2023 hasta la actualidad.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

173/204

Se solicitó que aportara la documentación acreditativa de los accesos de CAMERDATA
durante 2023 y 2024 y del acceso a las actualizaciones del cuarto trimestre de 2024.

CDE remitió un documento con lo que denomina “las evidencias de las cesiones de
información realizadas a Camerdata durante los años 2023 y 2024”, que son los
correos electrónico-intercambiados entre ambas entidades para la gestión de esas
cesiones. El procedimiento consiste en el envío de un correo con el enlace para la
descarga; otro correo con las contraseñas y un correo confirmando la descarga.

Se solicitó que aportara “el contenido íntegro al que accedió CAMERDATA en 2023
respecto a los mismos 500 empresarios autónomos cuyos registros CDE aportó a esta
Agencia en fecha 21/12/2023 con nombre “Documento_4.xlsx”.

CDE responde aportando el documento anexo IX (Fichero ***FICHERO.1) que
contiene los primeros 500 registros correspondientes a empresarios autónomos de la
muestra suministrada por CDE. Y añade que “al tratarse de empresarios autónomos
los primeros 9 caracteres de cada registro no se corresponden con el NIF, sino con un
número secuencial (identificador numérico de registro) asignado durante el proceso de
generación del fichero (…) proporcionado en el fichero ***FICHERO.2”

Examinado el Anexo IX se comprueba que el primer campo de información es una
relación de nueve dígitos presentada sin separación junto al primer apellido de la
persona física. Se reproducen los registros 1º y 10º del listado aportado:

1º registro:
(…)

10º registro.
(…)

CDE aporta copia de los registros, asociados a los datos de los 500 empresarios
aportados por CDE a esta Agencia en fecha 21/12/2023 con el nombre
“Documento_4.xlsx”, de la Base de Datos Cedida donde consten almacenados los
hash de los NIF calculados por CDE, y transferidos a CAMERDATA. Examinado el
citado documento se verifica que incluye por cada uno de los registros una doble
información separada por una línea vertical: el identificador de nueve dígitos y el dato
alfanumérico (treinta y dos elementos) que corresponde al hash. El registro 1º y 10º,
como puede comprobarse, llevan el mismo identificador que en el fichero aportado
como Anexo IX

Sin embargo, examinado el documento Excel que aportó CDE en respuesta al
requerimiento de la Inspección de Datos en el que uno de los campos, “ID”, era un
identificador, se comprueba que para los empresarios con los mismos datos (los que
figuran 1º y 10º) el “ID” no coincide con la referencia de nueve dígitos que CDE
denomina ahora identificador.

En definitiva, cuando CDE proporciona la base de datos a la mercantil envía dos
ficheros: en uno de ellos constan los registros con los datos de los empresarios,
excepto el hash del NIF y en el otro el hash. En ambos ficheros la información va
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

174/204

precedida de una referencia numérica que es distinta para cada empresario lo que,
explica CDE, permite vincular el hash del NIF y los restantes datos del titular del NIF.

Sin embargo, la referencia numérica que CDE denomina identificador no coincide con
el identificador de registro que se incluía para esos mismos registros en el documento
aportado a la Inspección (tabla Excel con los datos que disponía CDE de un rango
definido de 500 autónomos) La explicación que ofrece CDE, que la finalidad del
identificador numérico que ahora nos presenta es vincular los datos del empresario
(excepto el NIF) con el correspondiente hash del NIF, no parece lógica.

El identificador numérico en cuestión fácilmente podría representar un elemento
adicional (“la sal”) que se incluye en la información de entrada al aplicar el algoritmo.
Esto supondría ofrecer mayores facilidades a CAMERDATA, adicionales a la que ya
representa proporcionarle el hash, para conocer el correspondiente NIF de los
autónomos.

CDE ha negado haber vulnerado el artículo 5.1.f) del RGPD y argumenta que ha
tratado el NIF de los empresarios autónomos garantizando una seguridad adecuada,
tanto respecto a la consulta que se hace a través de su página web -en la que, como
reconoce en sus alegaciones al acuerdo de inicio, el NIF no figura incluido- como
respecto a la cesión de datos que hace a CAMERDATA (a la que se refiere con esta
expresión: “Censo Público de Empresas cedido (Censo Básico de Empresas)”).

El artículo 5.2 del RGPD, principio de responsabilidad proactiva, impone al
responsable del tratamiento la obligación de cumplir y estar en condiciones de
acreditar el cumplimiento de los principios de protección de datos, por lo que aquí
interesa el de confidencialidad.

CDE, como responsable del tratamiento de los datos obtenidos de las
Administraciones tributarias para la finalidad prevista por la Ley 4/2014, está obligada
a garantizar su confidencialidad. Para ello está obligada a adoptar las medidas
técnicas y organizativas que sean apropiadas teniendo en cuenta la naturaleza, el
ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa
probabilidad y gravedad para los derechos y libertades de las personas físicas.

Es evidente que, si como aquí ocurre, CDE, con ocasión del tratamiento ilícito que
realiza, está facilitando el hash del NIF de los empresarios autónomos que ha obtenido
utilizando el algoritmo MD5 no está adoptando ninguna medida de seguridad que sea
adecuada teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento, así como los riesgos de diversa probabilidad y gravedad para los
derechos y libertades de las personas físicas, como indica el artículo 24 del RGPD. Es
conocido sobradamente en el ámbito de la seguridad digital que ese algoritmo es
fácilmente reversible y que cuando se conoce el tipo de información entrante, como
aquí sucede, más aún dado el tipo de dato del que hablamos (el NIF), la reversión de
la información está a la orden del día.

Se suma a lo expuesto que, como se ha indicado, el identificador numérico que CDE
incluye precediendo a la información que suministra a CAMERDATA (un fichero con los
datos a excepción del hash y otro con el hash) fácilmente podría representar un

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

175/204

elemento adicional (“la sal”) que se incluye en la información de entrada al aplicar el
algoritmo utilizado.

3. La responsabilidad atribuida a CDE por la vulneración del artículo 5.1.f) se imputa a
título de dolo. No estamos ante una actuación imprudente, sino intencionada. Sin el
hash, CAMERDATA no podría haber obtenido el NIF de los autónomos.

CDE cede intencionadamente a CAMERDATA el hash del NIF y lo hace encriptado en
un algoritmo que, cuando se aplica a una información como el número de
identificación, es fácilmente reversible. La operatividad de la base de datos que CDE
cede a CAMERDATA está subordinada a disponer del hash del NIF (el contrato de
cesión dice claramente en la cláusula 1.1 que el identificador de cada registro es el
NIF) A lo que se añade que el propósito de CAMERDATA es disponer de información
“adicional” a la que facilita el censo público. Traemos a colación el anuncio que
aparece cada vez que se hace una consulta al censo público accesible desde la
página web de CDE. Debajo del resultado con la información obtenida aparece una
leyenda que dice para “más” información y un enlace a la página online de
CAMERDATA.

En consideración a lo expuesto -en todo caso con la exclusión mencionada del NIF de
los autónomos que proporciona a CDE la Administración tributaria de la Comunidad
Foral de Navarra- queda acreditado que CDE, con ocasión de la cesión ilícita a
CAMERDATA de una base de datos, incumple la obligación de garantizar la
confidencialidad del dato del NIF de los autónomos.

XII
Tipificación y plazo de prescripción de la infracción del principio de confidencialidad,
artículo 5.1.f) RGPD

La infracción del principio de confidencialidad, previsto en el artículo 5.1.f) del RGPD,
de la que se responsabiliza a CDE en la presente resolución, se encuentra tipificada
en el artículo 83.5.a) del RGPD, que establece:

“5.Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]”

A los solos efectos de determinar el plazo de prescripción de la infracción del principio
de confidencialidad del artículo 5.1.f) del RGPD, la LOPDGDD la califica de muy grave
y dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

176/204

una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…]
i) La vulneración del deber de confidencialidad establecido en el artículo 5 de esta ley
orgánica.”

XIII
Infracción del principio de lealtad (artículo 5.1.a RGPD)

El artículo 5 del RGPD, bajo la rúbrica “Principios relativos al Tratamiento”, dispone en
su apartado 1 a): “1. Los datos personales serán: a) tratados de manera lícita, leal y
transparente en relación con el interesado («licitud, lealtad y transparencia»)”.

Se responsabiliza a CDE en esta resolución de una infracción del principio de lealtad
en relación con los interesados respecto a la cesión de sus datos personales a
CAMERDATA. Datos que ha recibido lícitamente de las Administraciones tributarias
para el cumplimiento de las funciones que le encomienda la Ley 4/2014.

Los considerandos 39 y 60 del RGPD determinan lo siguiente:

(39) Todo tratamiento de datos personales debe ser lícito y leal. Para las personas
físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando
o tratando de otra manera datos personales que les conciernen, así como la medida
en que dichos datos son o serán tratados. [...].

(60) Los principios de tratamiento leal y transparente exigen que se informe al
interesado de la existencia de la operación de tratamiento y sus fines. El responsable
del tratamiento debe facilitar al interesado cuanta información complementaria sea
necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las
circunstancias y del contexto específicos en que se traten los datos personales.

Del tenor de los considerandos transcritos se infiere que el principio de lealtad exige
que los interesados conozcan con claridad -por tanto, con una información que no sea
equívoca ni incompleta- que sus datos se están recogiendo, utilizando, consultando o
tratando “de otra manera”. El principio implica un proceder recto y honrado del
responsable para poner en conocimiento del interesado cualquier tratamiento que le
concierna que se aparte del aquél del que sí ha sido informado.

Las Directrices 4/2019 del CEPD, relativas al artículo 25 del RGPD, Protección de
datos desde el diseño y por defecto, adoptadas el 20/10/2020, dicen a propósito del
principio de lealtad:

“69. La lealtad es un principio general que exige que los datos personales no se traten
de manera injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o
engañosa para el interesado”.

Indican también que es una manifestación de lealtad en el tratamiento que “Los
interesados deben tener el máximo grado de autonomía posible para determinar el
uso que se haga de sus datos personales, así como el ámbito y las condiciones de
dicho uso o tratamiento […] El tratamiento debe corresponderse con las expectativas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

177/204

razonables de los interesados […] El responsable del tratamiento no abusará de las
necesidades o vulnerabilidades de los interesados.[...] El responsable no debe
«forzar» la elección de sus usuarios de manera desleal […] Los responsables del
tratamiento no deben transferir los riesgos de la empresa a los interesados.
[…]La información y las opciones del tratamiento de datos personales deben
proporcionarse de manera objetiva y neutral, evitando todo tipo de lenguaje o diseño
engañoso o manipulador [..] El responsable debe apreciar los efectos generales que
tenga el tratamiento sobre los derechos y la dignidad de las personas. […]El
responsable debe poner a disposición del interesado la información relativa a la forma
en que se tratan los datos personales, debe actuar tal como haya declarado que lo va
a hacer, y no inducir al interesado a engaño”.

El tratamiento que CDE efectúa -materializado en la transmisión a CAMERDATA de
datos de los autónomos obtenidos de las Administraciones tributarias para cumplir una
obligación impuesta por la Ley y determinadas funciones públicas- se inicia desde el
momento en que CDE prevé que llevará a cabo esa cesión de datos que quiebra la
afectación de la información recibida a la finalidad del tratamiento prevista.

CDE conoce el origen y la naturaleza de los datos que trata, la obligación de reserva
que existe en relación con esos datos por parte de las Administraciones tributarias.
Pese a ello, hace uso de la información obtenida para un tratamiento que los afectados
ignoran, lo que les privará de la posibilidad de conocer cómo han llegado sus datos a
poder de los comerciales que los tratan. El principio de lealtad obligaba a la CDE a
abstenerse del tratamiento efectuado, a consultar a las Administraciones tributarias su
propósito y a poner en conocimiento de ésta el tratamiento ulterior que hace de los
datos para finalidades incompatibles con aquellas para las que los recibe. Esto, porque
son esas Administraciones quienes recogen de los contribuyentes datos que ellos les
proporcionan con la confianza de que esa Administración garantizará su carácter
reservado. Es evidente que ninguna comunicación se ha hecho en ese sentido habida
cuenta de que los términos del Convenio celebrado con la AEAT acreditan que han
acordado que los datos tributarios que la CDE recibe no pueden ser transmitidos a
terceros.

Tampoco figura en la web de la CDE ni consta por otra medio que la CDE hubiera
informado a los autónomos de un tratamiento de sus datos personales distinto de
aquel para el que los recibe de las Administraciones tributarias: la cesión a
CAMERDATA. Es más, cuando CAMERDATA -sociedad instrumental constituida por
las Cámaras de comercio en la década de los 80- ha decidido insertar un anuncio en la
web de las Cámaras oficiales para informar a los autónomos del tratamiento de sus
datos que lleva a cabo, habida cuenta de que no cumple con la obligación impuesta
por el artículo 14 del RGPD, no incluye en el anuncio la información referente al origen
de los datos; a que éstos se obtienen de la CDE, quien a su vez los recibe de las
Administraciones tributarias para los fines establecidos en la Ley 4/2014. Por el
contrario, el anuncio se limita a decir que proceden de un Censo elaborador por un
“organismo público” sin más.

En consideración a las circunstancias que concurren en el tratamiento de datos
analizado, se concluye que la cesión que la CDE hace a CAMERDATA de los datos de
los autónomos constituye, desde la perspectiva de sus titulares, un tratamiento
engañoso, máxime teniendo en cuenta las instituciones implicadas y la confianza que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

178/204

el ciudadano tiene depositadas en ellas; que la cesión se realiza sin que exista
ninguna expectativa razonable de que un tratamiento de esta índole pudiera llegar a
efectuarse; que ha existido una total falta de información sobre la existencia de este
tratamiento y que la CDE ha ignorado los efectos adversos que el tratamiento puede
provocar en los interesados.

Por las razones expuestas, esta resolución considera que CDE ha vulnerado el
principio de lealtad en el tratamiento en relación con los interesados previsto en el
artículo 5.1.a) del RGPD.

XIV
Tipificación y plazo de prescripción de la infracción del principio de lealtad, artículo
5.1.a) RGPD

La infracción del principio de lealtad, establecido en el artículo 5.1.a) del RGPD, de la
que se responsabiliza a CDE se encuentra tipificada en el artículo 83.5.a) del RGPD,
que establece:

“5.Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]”

A los solos efectos de determinar el plazo de prescripción de la infracción del principio
de lealtad establecido en el artículo 5.1.a) del RGPD, la LOPDGDD la califica de muy
grave y dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.
[…]”.
XV
Infracción del artículo 14 del RGPD

1. Se responsabiliza a CDE en esta resolución de una infracción del artículo 14 del
RGPD, precepto que establece:

“Información que deberá facilitarse cuando los datos personales no se hayan obtenido
del interesado

1.Cuando los datos personales no se hayan obtenidos del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

179/204

b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de ellas o al hecho de que se hayan prestado.

2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

3.El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.

4.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

180/204

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de profesional regulada
por el Derecho de la Unión o de los Estados miembros, incluida una obligación de
secreto de naturaleza estatutaria.”

2. En el acuerdo de inicio del procedimiento se imputó a CDE una infracción de los
principios de “lealtad y transparencia” recogidos en el artículo 5.1.a) del RGPD,
infracción tipificada en el artículo 83.5.a) del RGPD.

En el trámite de propuesta de resolución se acordó por el órgano instructor cambiar la
calificación jurídica en relación con la citada infracción e imputar a CDE dos
infracciones independientes: una infracción por vulneración del principio de lealtad
(artículo 5.1.a) y una segunda por infracción de la obligación impuesta por el artículo
14 del RGPD.

En sus alegaciones al acuerdo de inicio CDE manifestó a propósito de la infracción de
los principios de lealtad y transparencia (artículo 5.1.a, RGPD), que se le imputaba una
triple vulneración del principio de transparencia, en particular los siguientes:

En su descargo, alegó, respecto al punto (i), “no haber informado del tratamiento
ulterior a las Administraciones tributarias”, que “la transferencia a CAMERDATA es
parte del tratamiento que CDE lleva a cabo con la finalidad de dar publicidad al Censo
Público de Empresas sin que se produzca un tratamiento ulterior para una finalidad
distinta de la original y que, por tanto, es consustancial a lo previsto en la Ley 4/2014 y
en la cláusula segunda del Convenio entre la Agencia Estatal de Administración
Tributaria y CDE para el ejercicio de las funciones público-administrativas de esta
última, […]La cesión a Camerdata del Censo Público de Empresas está integrada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

181/204

dentro de la finalidad de hacer pública la información contenida en el mencionado
Censo Público de Empresas, finalidad expresamente contemplada en el Convenio.”

Que el modo en que el Censo Público de Empresas deba hacerse público no está
limitado en el Convenio ni en la Ley. Es CDE quien tiene atribuida la función jurídico-
pública de establecerlo.

-La excepción del artículo 14.5.a) del RGPD: “En primer lugar, la publicación del
Censo Público de Empresas está prevista en la Ley 4/2014, de manera que es un
tratamiento conocido por los interesados y que entra dentro de la excepción
contemplada en el artículo 14.5.a) del RGPD que dispone que “[l]as disposiciones de
los apartados 1 a 4 no serán aplicables cuando y en la medida en que el interesado ya
disponga de la información” (subrayado añadido).”

-La excepción del artículo 14.5.b) RGPD: “la notificación de la cesión a todos y cada
uno de los empresarios individuales españoles resultaría desproporcionada (art.
14.5.b) RGPD), teniendo en cuenta que no se cede el NIF sino el hash, que el hash
forma parte del Censo Público de Empresas y que el resto de los datos son accesibles
en Internet. Hay 1.459.498 empresarios individuales. El RGPD explica en su
Considerando 62 que “no es necesario imponer la obligación de proporcionar
información cuando el interesado ya posea la información, cuando el registro o la
comunicación de los datos personales estén expresamente establecidos por ley, o
cuando facilitar la información al interesado resulte imposible o exija un esfuerzo
desproporcionado” (énfasis añadido).”

-Excepción del artículo 14.5.c) RGPD: En tercer lugar, “dado que el mandato de hacer
público el Censo Público de Empresas está establecido en la Ley, resulta también de
aplicación el artículo 14.5.c) RGPD, puesto que es la Ley la que ordena que se
produzca la publicación del Censo Público de Empresas.”

-Es una información que no está prevista en el artículo 14 del RGPD y que, incluso
aunque lo estuviera, sería únicamente exigible al responsable del tratamiento que
recibe los datos de otro responsable del tratamiento, siendo CDE en este caso el
último responsable.

-Que La AEPD introduce aquí una “garantía adicional” que no está prevista en el
RGPD; que en el presente caso estaría ya cubierta por la previsión relativa a que “Las
Partes se obligan a observar y cumplir, estrictamente y en todo momento, los
derechos y obligaciones de cada una en materia de acceso, tratamiento y cesión de
datos” (cláusula 12.1 del contrato de cesión de datos), lo que de nuevo da lugar a que
sea la cesionaria la que tenga que informar sobre el origen de los datos cuando
procede a cumplir con el artículo 14 del RGPD, sin necesidad de que el cedente le
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

182/204

imponga una obligación que y está prevista en la legislación aplicable en materia de
protección de datos y que queda englobada dentro de lo previsto en el contrato en los
términos ya indicados.”

En resumen, los argumentos de CDE invocados en las alegaciones al acuerdo de
inicio giran en torno a la pretendida finalidad y a la supuesta obligación legal de dar
publicidad al censo público y a las consecuencias que, partiendo de ese
planteamiento, hace derivar: que el tratamiento es conocido por todos (excepción del
artículo 14.5.a,) o que la comunicación se ha efectuado en cumplimiento de una
obligación legal (excepción del apartado 5.c, del artículo 14). También menciona que la
comunicación de dicha información supone un esfuerzo desproporcionado (artículo
14.5.b)

En sus alegaciones a la propuesta de resolución rechaza la existencia de infracción
alguna del artículo 14 del RGPD. Invoca el esfuerzo desproporcionado que supondría
informar y dice que, aunque la Agencia señala que CDE no ha acreditado que hubiera
efectuado y documentado una evaluación del esfuerzo que representa informar a los
interesados, el esfuerzo es a todas luces desproporcionado, siendo el número de
afectados puesto de relevancia por la propia AEPD en su Propuesta de Resolución
(casi un millón y medio).

Dice que “No puede imputarse a CDE la comisión de esta infracción cuando la Ley
4/2014 le obliga a la confección del censo público de empresas, que es lo que ha
hecho. Y también, cuando CDE no ha cedido el NIF de las personas físicas a
Camerdata, S.A., por lo que no procedía informar de un tratamiento que no se lleva a
cabo.”

En la propuesta de resolución se respondió a las alegaciones de CDE al acuerdo de
inicio, en las que defendía la inexistencia de la infracción con estos argumentos:

-En relación con su pretensión de que se aplique a la obligación de informar
establecida en el artículo 14 del RGPD la excepción del artículo14.5.a) del RGPD (el
interesado ya dispone de la información) que ello exigiría, para prosperar, que CDE
hubiera acreditado ese extremo, lo que evidentemente no ha hecho.

-En relación con la excepción que recoge el artículo 14.5.b) RGPD, se citaron los
criterios que fijan las Directrices sobre la transparencia en virtud del Reglamento
679/2016, del Grupo de Trabajo del artículo 29 revisadas y aprobadas el 11/04/2018. A
propósito de la excepción a la obligación de informar que contempla el apartado b) del
artículo 14.5 del RGPD, dicen (epígrafe 64) lo siguiente:

“Dado el énfasis en el considerando 62 y el artículo 14.5 (b) sobre fines de archivo,
investigación y estadísticos con respecto a la aplicación de esta exención, la postura
del GT29 es que dicha excepción no debe ser utilizada habitualmente por los
responsables del tratamiento que no procesen datos personales con fines de archivo
de interés público, fines de investigación científica o histórica o fines estadísticos. El
GT29 enfatiza el hecho de que, cuando estos son los fines perseguidos, las
condiciones establecidas en el artículo 89.1 deben seguir cumpliéndose y el suministro
de la información debe constituir un esfuerzo desproporcionado.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

183/204

Por otra parte, debe tenerse en cuenta que, como precisa el epígrafe 64, “Cuando un
responsable del tratamiento pretenda aplicar la excepción del artículo 14.5 (b) sobre la
base de que la provisión de la información implicaría un esfuerzo desproporcionado,
debería llevar a cabo un ejercicio de equilibrio para evaluar el esfuerzo que supondría
para el responsable del tratamiento proporcionar la información al interesado en
relación con la repercusión y los efectos sobre el interesado si no se le proporcionase
la información. Esta evaluación debe ser documentada por el responsable del
tratamiento de acuerdo con sus obligaciones de rendición de cuentas.”

Se dijo en tal sentido que CDE no había acreditado ante esta Agencia que hubiera
efectuado y documentado una evaluación del esfuerzo que representa para ella
informar a los interesados en relación con la repercusión y los efectos que se derivan
para los empresarios personas físicas no ser informados del tratamiento que lleva a
cabo de sus datos para fines distintos e incompatibles con aquellos para lo que los
recibe de las Administraciones tributarias. Y, sobre todo, y para el caso de admitir el
esfuerzo desproporcionado de informar a todos los interesados, habría sido
imprescindible acreditar que hubiera adoptado las medidas adecuadas para proteger
los derechos, libertades e intereses legítimos de los autónomos, en particular que
hubieran puesto a su disposición la información que está obligada a proporcionar de
acuerdo con el artículo 14 apartados 1 y 2 del RGPD.

Respecto al argumento según el cual “dado que el mandato de hacer público el Censo
Público de Empresas está establecido en la Ley, resulta también de aplicación el
artículo 14.5.c) RGPD, puesto que es la Ley la que ordena que se produzca la
publicación del Censo Público de Empresas.” se dijo que el tratamiento que CDE
efectúa de los datos de los empresarios autónomos, que consiste en la cesión de sus
datos a CAMERDATA, no tiene lugar en cumplimiento de una obligación legal ni en el
ejercicio de funciones público-administrativas. Por tanto, no podría operar esta
excepción a la obligación de informar prevista por el artículo 14 del RGPD. Y, a mayor
abundamiento, la CDE tampoco ha adoptado ninguna medida -al menos de la que nos
haya informado- para proteger los intereses legítimos de los interesados.

En esta resolución se reitera que la pretendida obligación de “dar publicidad”, que se
viene invocando por CDE en el curso del procedimiento, como una acción adicional a
la elaboración y gestión del censo público, es inexistente. La publicidad es la que
ofrece el registro público que la Ley ordena elaborar. Insistimos en que la cesión que
CDE hace de una base de datos de empresarios autónomos (un fichero privado) no
representa en este caso el ejercicio de ninguna función público administrativa. Ni
tampoco supone el cumplimiento de una supuesta obligación legal de “dar publicidad”
al censo público. Tal obligación es inexistente. La publicidad es la que ofrece el
registro público que la Ley ordena elaborar. El carácter público es una nota esencial a
la finalidad última de la función registral, que es procurar la seguridad jurídica.

En cuanto a la circunstancia del artículo 14.5.b) como excepción a la obligación de
informar (el esfuerzo desproporcionado de la comunicación), la Directrices sobre
transparencia refieren que debería llevar a cabo un ejercicio de equilibrio para evaluar
el esfuerzo que supondría para el responsable del tratamiento proporcionar la
información al interesado en relación con la repercusión y los efectos sobre el
interesado si no se le proporcionase la información. En su escrito de alegaciones a la
propuesta CDE concluye directamente que no se necesita evaluación y que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

184/204

desproporción es obvia puesto que los autónomos afectados son más de un millón y
medio. No menciona en absoluto la repercusión y los efectos que el tratamiento que ha
efectuado tiene en los interesados.

La información relevante que debía haber facilitado CDE es la relativa al origen o
procedencia de los datos: que se han obtenido valiéndose de la habilitación que la Ley
4/2014 le otorga para el cumplimento de las funciones público administrativas
encomendadas.

Resulta acreditado en este procedimiento que CDE no ha cumplido la obligación de
informar a los empresarios autónomos del tratamiento efectuado. Tampoco concurre
ninguna de las excepciones previstas en el artículo 14.5 del RGPD que le dispense de
tal obligación.

Por lo expuesto, se aprecia una infracción del artículo 14 del RGPD de la que CDE es
responsable.

XVI
Tipificación y plazo de prescripción de la infracción de la infracción del artículo 14
RGPD

La infracción del artículo 14 del RGPD de la que se responsabiliza a CDE en esta
resolución se encuentra tipificada en el artículo 83.5.b) del RGPD, que establece:

“5.Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) […]
b) los derechos de los interesados a tenor de los artículos 12 a 22”.

A los solos efectos de determinar el plazo de prescripción de la infracción, la
LOPDGDD la califica de muy grave y dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…]
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica.”

XVII
Sanciones

1. Los poderes correctivos atribuidos a la AEPD como autoridad de control se
relacionan en el artículo 58.2 del RGPD, apartados a) a j). El precepto menciona entre

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

185/204

ellos, apartado i), la potestad de sancionar con una multa administrativa con arreglo al
artículo 83 del RGPD.

En el Fundamento II de esta resolución se indica que no es aplicable a CDE, en
relación con las infracciones del RGPD que se le imputan, el artículo 77 de la
LOPDGDD. El artículo 77.1 de la LOPDGDD relaciona los sujetos a los que se aplica
el régimen descrito en el artículo 77.2 de la LOPDGDD, que impide imponer la medida
correctiva del artículo 58.2.i (multa administrativa) cuando resulten responsables de las
infracciones previstas en los artículos 72 a 74. El artículo 77.1 de la LOPDGGD
menciona en la letra g) a “Las corporaciones de Derecho público cuando las
finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho
público puede ser aplicado”.

Como se explica en el Fundamento II, epígrafe 2.2., al que nos remitimos, no resulta
aplicable la norma del artículo 77.2 de la LOPDGDD pese a que CDE es una
corporación de Derecho público porque el tratamiento de datos que lleva a cabo CDE
y que constituye el objeto de este procedimiento no se realizó en el ejercicio de las
funciones público-administrativas que la Ley Básica le atribuye en relación con el
censo público de empresas, ni en el ejercicio de ninguna otra función público
administrativa. La cesión a CAMERDATA no cumple las condiciones que integran el
supuesto de hecho descrito en la letra g) del artículo 77.1 LOPDGDD.

Se acuerda imponer a CDE por las infracciones de los artículos 6.1., 5.1.b), 5.1.f),
(5.1.a) y 14 del RGPD sendas multas administrativas (artículo 58.2.i,) sin perjuicio de
las medidas correctivas que también se acuerda imponer en esta resolución

2.El artículo 83 del RGPD, “Condiciones generales para la imposición de multas
administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la
imposición de multas por las infracciones del presente Reglamento indicadas en los
apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad,
proporcionalidad y carácter disuasorio.

El principio de proporcionalidad requiere que exista una correlación entre la infracción
y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que la
sanción sea apta para alcanzar los fines que la justifican. Para lograr la adecuación
entre la sanción y la infracción cometida el artículo 83.2 del RGPD recoge una relación
de criterios que ayudan a graduar su importe. El precepto establece:

“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

186/204

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

La LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone en relación con
el artículo 83.2.k) que podrán tenerse en cuenta:
“a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

Por otra parte, el artículo 83.5 del RGPD dispone que el importe máximo de la sanción
que se imponga será la mayor de estas dos cantidades: 20.000.000 de euros o,
tratándose de una empresa, una “cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior”.

En ese sentido, como se hace constar en el Antecedente de Hecho Tercero de esta
resolución, la cifra de negocio de CDE durante los ejercicios 2021 y 2022 fue de
6.136.662€ y de 6.308.255€, respectivamente.

3. Debe tenerse en cuenta que, en el presente caso, en relación con la operación de
tratamiento de datos efectuada por CDE que es objeto de valoración en este
procedimiento, resulta aplicable el artículo 83.3 del RGPD, precepto que dispone:

“Si un responsable o un encargado del tratamiento incumpliera de forma intencionada
o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

187/204

diversas disposiciones del presente Reglamento, la cuantía total de la multa
administrativa no será superior a la cuantía prevista para las infracciones más graves.”

3. Concurso medial. Concurrencia de delitos.

CDE alega que varias de las infracciones imputadas en este procedimiento están
relacionadas entre sí en concurso medial, regulado en el artículo 29.5 de la LPACAP y
sostiene en defensa de esta tesis lo siguiente:

“Tal es el caso presente: una cesión sin base legitimadora (porque la base
legitimadora existente no cubre -a juicio de la Agencia- la finalidad del tratamiento
perseguida mediante la cesión) comporta necesariamente una nueva finalidad del
tratamiento distinta de la que tenía el cedente, y comporta necesariamente una
vulneración del principio de confidencialidad (¿cómo realizar una cesión contraria a
Derecho de una información confidencial sin vulnerar el principio de
confidencialidad?), y también una falta de lealtad (puesto que por definición los
interesados no tienen una expectativa razonable de que se produzca una cesión
ilegal), y por supuesto una falta de información (no se informa de la cesión ilegal,
porque el cedente piensa que no existe -ello con independencia de que esta infracción
no procede porque aquí si hubiera alguien obligado a informar sería Camerdata, S.A. y
no Cámara de España -como se ha dicho son dos entidades diferentes que el
Instructor confunde con demasiada frecuencia). Hay concurso medial en todo ello.”

Sin embargo, el concurso medial de infracciones requiere la existencia de varios
conductas, constitutiva cada una de infracciones diferentes, siendo una de ellas medio
necesario para la comisión de las otras. Precisa, en definitiva, una pluralidad de
acciones, una pluralidad de bienes jurídicos protegidos y una relación de necesidad
entre una y otra infracción o una “necesaria derivación de unas infracciones respecto
de las demás y viceversa”. En palabras del Tribunal Supremo (STS de
08/02/1999,Rec9/1996) al referirse a este último elemento se "exige para la aplicación
del concurso medial, una necesaria derivación de unas infracciones respecto de las
demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin
ejecutar las otras".

En el supuesto de hecho aquí planteado, aunque sí existe pluralidad de bienes
jurídicos protegidos, no existe pluralidad de acciones. Por tanto, no hay concurso
medial entre las infracciones imputadas a CDE.

CDE alega también la existencia de una triple identidad de sujeto, hecho y bien jurídico
protegido entre todas las infracciones que se le atribuyen en este procedimiento.
Defiende la pretendida triple identidad (sujeto infractor, hecho y fundamento) con
estos argumentos:

“Son varios nombres aplicados a la misma realidad: si hay una cesión sin base
legitimadora por realizarse, según la propuesta de resolución, para una finalidad ajena
a las jurídico-administrativas atribuidas a Cámara de España, y por ese motivo se han
cedido datos indebidamente (es decir, que debieron conservarse confidenciales en
lugar de cederse), y todo ello se considera desleal porque no se informó al interesado
(al creer Cámara de España que había una base legitimadora para la cesión que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

188/204

hacía innecesaria la información al interesado), y por tanto contrario al deber de
informar al interesado, todo ello no sería (en el caso de serlo) sino una y la misma
infracción: ceder datos personales (en particular los NIFs) sin base legitimadora. Pues
si existiera la base legitimadora invocada para ese tratamiento en que consiste la
cesión (art. 6.1.c) y 6.1.e)), ni se habría incumplido el deber de respetar la finalidad del
tratamiento, ni se habría vulnerado deber alguno de confidencialidad, ni la conducta
sería desleal ni habría que informar a los interesados.” (El subrayado es nuestro)

Estima, por tanto, que resulta aplicable el principio non bis in idem y que procedería
imponer una única sanción que considera que debería ser por la infracción del artículo
6.1 del RGPD al ser -dice- “la más grave de las cinco infracciones imputadas y por
considerar que el reproche de las otras cuatro está incluido en el de la primera”.

Cita las Directrices del Comité Europeo de Protección de Datos (CEPD) 04/2022,
sobre el cálculo de las multas bajo el RGPD, adoptadas el 24/05/2023, de las que
reproduce los epígrafes 30 y 31: “3.1.1. Concurso de infracciones

El principio de concurso de infracciones (también denominado «concurso
aparente» o «falso concurso») se aplica siempre que la aplicación de una
disposición impida o abarque la aplicabilidad de la otra. En otras palabras, el
concurso ya se produce en el nivel abstracto de las disposiciones legales. Esto
podría basarse en los principios de especialidad, subsidiariedad o consunción,
que se suelen aplicarse cuando las disposiciones protegen el mismo interés
jurídico. En tales casos, sería ilegal sancionar dos veces al infractor por la
misma infracción.
En caso de concurso de infracciones, la cuantía de la multa debe calcularse
únicamente sobre la base de la infracción seleccionada con arreglo a las normas
anteriores (infracción prevalente)”

Añade que “No aplicar del citado principio implicaría también una vulneración del
principio de proporcionalidad en la imposición de sanciones administrativas”.

El concurso aparente de normas o concurso impropio existe cuando un supuesto de
hecho es subsumible, a la vez, en varios preceptos que protegen el mismo bien
jurídico. Se resuelve por el principio non bis in idem. Por tanto, no opera aquí el
principio de proporcionalidad como se alega de contrario, porque la cuestión que
plantea esta hipótesis es qué norma se aplica y no la determinación de la sanción y su
extensión.

En el asunto que nos ocupa las infracciones del RGPD (5)que se imputan a CDE
protegen bienes jurídicos distintos: La licitud del tratamiento (artículo 6.1); la finalidad
para la que se tratan los datos, que debe ser determinada, explícita y legítima (artículo
5.1.b); la confidencialidad (artículo 5.1.f); la lealtad en el tratamiento en relación con
los interesados (artículo 5.1.a) y la transparencia (artículo 14).

Cabe citar los epígrafes 34 y 35 de las Directrices 4/2022 del CEDP:

“34. Cuando, en cambio, dos disposiciones persiguen objetivos autónomos,
constituye un factor diferenciador que justifica la imposición de multas separadas. Por
ejemplo, si una infracción de una disposición da lugar automáticamente a una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

189/204

infracción de la otra, pero lo contrario no es cierto, estas infracciones persiguen
objetivos autónomos.

35. Estos principios de especialidad solo pueden aplicarse, en la medida en que
los objetivos perseguidos por las infracciones en cuestión sean realmente congruentes
en el caso concreto. Dado que los principios de protección de datos del artículo 5 del
RGPD se establecen como conceptos generales, puede haber situaciones en las que
otras disposiciones sean una concreción de dicho principio, pero no circunscriban el
principio en su totalidad. En otras palabras, una disposición no siempre define el
alcance completo del principio. Por lo tanto, dependiendo de las circunstancias, en
algunos casos se solapan de manera congruente y una infracción puede sustituir a la
otra, mientras que en otros casos, el solapamiento es solo parcial y, por lo tanto, no es
totalmente congruente. En la medida en que no son congruentes, no hay concurrencia
de delitos. En su lugar, se pueden aplicar uno al lado del otro, al calcular la multa.

Pues bien, en el presente caso, un mismo comportamiento ha dado lugar a varias
infracciones. Sin embargo, estas infracciones no son congruentes, por lo que no
habría una concurrencia de delitos. Así, trasladando el criterio indicado - si una
infracción de una disposición da lugar automáticamente a una infracción de la otra,
pero lo contrario no es cierto, estas infracciones persiguen objetivos autónomos-
resulta que los objetivos de la infracción del artículo 6.1 y del 5.1.b) del RGPD no son
congruentes. Tampoco lo son los del artículo 6.1 y 14 del RGPD, ni los de los artículo
6.1 y 5.1.f) o 5.1.a). Por tanto, como se ha indicado, no habría concurrencia de delitos.

Las infracciones imputadas se encuadran en lo que el CEPD denomina en las
Directrices 4/2020 “concurrencia ideal” (el equivalente al concurso ideal) al que se
aplica el artículo 83.3 del RGPD.

El principio de unidad de acción (también denominado «concurrencia ideal») se aplica
en los casos en que una conducta está comprendida en varias disposiciones legales,
con la diferencia de que una disposición no está excluida ni subsumida por la
aplicabilidad de la otra, porque no entran en el ámbito de aplicación de los principios
de especialidad, subsidiariedad o consumo y persiguen principalmente objetivos
diferentes.
En estos casos se aplica el artículo 83.3 del RGPD, precepto que dispone:

“Si un responsable o un encargado del tratamiento incumpliera de forma intencionada
o negligente, para las mismas operaciones de tratamiento u operaciones vinculadas,
diversas disposiciones del presente Reglamento, la cuantía total de la multa
administrativa no será superior a la cuantía prevista para las infracciones más graves.”

4. En la determinación del importe de la sanción de multa administrativa que procede
imponer a CDE en relación con cada una de las infracciones del RGPD de las que es
responsable, se aprecia la concurrencia de las circunstancias del artículo 83.2. del
RGPD siguientes:

4.1. Infracción del artículo 6.1 del RGPD:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

190/204

En calidad de agravantes se aprecian estos factores del artículo 83.2 del RGPD que
reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad del sujeto
responsable:

-Artículo 83.2.a): “la naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”.

La naturaleza, el alcance y el propósito de la operación de tratamiento son en este
caso factores que ponen de manifiesto la extraordinaria gravedad del tratamiento
efectuado.

En ese sentido debe tomarse en consideración el origen de los datos - relativos al IAE
y los censales de las empresas- que por disposición de la Ley 4/2014 CDE está
habilitada a tratar para la finalidad exclusiva de elaborar el censo público de empresas,
el censo electoral y las funciones público-administrativas que le otorga la Ley, entre
ellas, relacionada con el censo público, su gestión (ex artículo 5.1.g). CDE, para la
función encomendada de gestionar el censo público, tiene acceso a información de las
Administraciones tributarias y ha tratado los datos obtenidos incorporándolos en un
fichero que transmite a CAMERDATA en ejecución de un contrato privado. El propósito
de destinar una información obtenida actuando como Administración pública a una
finalidad privada como es la cesión a CAMERDATA, pone de manifiesto la gravedad
que desde la perspectiva de su antijuridicidad entraña el tratamiento examinado.

La transmisión a CAMERDATA de los datos de los empresarios individuales obtenidos
de las Administraciones tributarias se efectúa por CDE con pleno conocimiento de que
serán destinados a fines comerciales (está previsto en el contrato suscrito por CDE) y
por tanto, con conocimiento de los riesgos para los derechos y libertades
fundamentales de los interesados que podría entrañar ese tratamiento. CDE no ignora
el destino de la base de datos que cede. No solo por la previsión contractual citada,
también porque ese tratamiento que CAMERDATA hará de los datos está en
consonancia con su objeto social, aspecto que CDE no desconoce pues se trata de
una sociedad constituida por varias Cámaras Oficiales, entre ellas CDE, de cuyo
Consejo de Administración forma parte.

Relevante es también el elevadísimo número de personas que se han visto afectadas
por el tratamiento ilícito de sus datos, en torno al millón y medio de personas físicas
que tienen la condición de empresarios. La gravedad de la conducta se amplifica si se
valoran las nulas expectativas que los afectados podían albergar de que el tratamiento
en el que se materializa la vulneración del artículo 6.1 pudiera llegar a realizarse.

El mantenimiento en el tiempo del tratamiento ilícito de los datos de los empresarios
autónomos es también relevante. Reseñamos que el tratamiento se mantiene durante
un año y, caso de no producirse una baja en la condición de empresario, continúa
hasta la siguiente actualización. Esta operación de tratamiento se inició, como muy
tarde, con ocasión del contrato celebrado entre CDE y CAMERDATA en el año 2016.
Con posterioridad a la entrada en vigor del RGPD, 25/05/2018, en el año 2019, se
suscribió el Convenio con la AEAT que regula las condiciones y el procedimiento de
acceso a la información que le suministra esta Administración tributaria.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

191/204

-Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

El artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público, dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas o jurídicas […] que resulten responsables de los
mismos a título de dolo o culpa”. En ese sentido, el Tribunal Supremo, en Sentencia
de 18/03/2005 (Rec. 7707/2000) dice que “no podría estimarse cometida una
infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo
que es igual, si la conducta típicamente constitutiva de infracción administrativa no
fuera imputable a dolo o a culpa”.

CDE cede los datos a CAMERDATA a sabiendas de su ilicitud. Los datos de los
autónomos objeto de la cesión proceden de las Administraciones tributarias y CDE
accede a ellos en el desempeño de funciones público-administrativas atribuidas por su
ley reguladora. El contrato a través del cual se articula la cesión, de forma directa o
indirecta, identifica el objeto de la cesión con el “censo público de empresas”. La
finalidad del tratamiento a realizar por la cesionaria, que consta en el contrato, son los
fines comerciales.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Entre los datos personales de los empresarios individuales que son objeto de cesión a
CAMERDATA figura el dato del NIF, sea en texto plano o el hash del NIF.

El NIF de las personas físicas es un dato sensible por el riesgo que su tratamiento
puede entrañar para los derechos y libertades fundamentales de su titular. Aunque el
tenor literal del artículo 83.2.g) del RGPD parece conectar este criterio de graduación
del importe de la sanción de multa, exclusivamente, con el artículo 9 del RGPD (las
categorías especiales de datos personales), sin embargo, en el RGPD hay referencias
a otras clasificaciones de los datos que responden a la finalidad que persigue el
artículo 83.2 del RGPD, graduar el importe de la multa de acuerdo con los principios
de proporcionalidad y efectividad. Así, los considerandos 51 y 75 del RGPD distinguen
un grupo de datos personales que por su naturaleza son particularmente “sensibles”
por el importante riesgo que su tratamiento puede entrañar para los derechos y
libertades fundamentales ya que puede llegar a provocar daños y perjuicios físicos,
materiales o inmateriales.

En este grupo o categoría se incluyen, además de los datos especialmente protegidos
que regula el artículo 9 del RGPD, otros muchos. El considerando 75 menciona los
datos personales cuyo tratamiento puede entrañar un riesgo de gravedad y
probabilidad variables para los derechos y libertades de las personas físicas y se
refiere a aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación,
usurpación de identidad o fraude, pérdidas financieras, daño para la reputación,
pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no
autorizada de la seudonimización o cualquier otro perjuicio económico o social
significativo;”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

192/204

El identificador numérico del DNI junto con el carácter de verificación correspondiente
al número de identificación fiscal identifica a una persona física de modo indubitado.
Esta cualidad lo convierte en un dato particularmente sensible en la medida en que, si
su tratamiento no va acompañado de las medidas técnicas y organizativas necesarias
para garantizar que quien se identifica con él es realmente su titular, un tercero puede
suplantar la identidad de una persona física con total facilidad, o, con otras palabras,
puede provocar un fraude de identidad, con los riesgos que ello comporta para la
privacidad, el honor y el patrimonio del suplantado.

No se aprecia la existencia de factores que atenúen la culpabilidad o la antijuridicidad
de la conducta que vulnera el artículo 6.1 del RGPD.

En atención los factores apreciados, se sanciona a CDE por la infracción del artículo
6.1. del RGPD con una multa administrativa por importe de 100.000€ (cien mil euros)

4.2. Infracción del artículo 5.1.b) del RGPD:

En relación con esta infracción se aprecian como agravantes los siguientes factores
recogidos en el artículo 83.2 del RGPD que reflejan una mayor antijuridicidad de la
conducta o/y de la culpabilidad de CDE:

La naturaleza, el alcance y el propósito de la operación de tratamiento son en este
caso factores que ponen de manifiesto la extraordinaria gravedad del tratamiento
efectuado.

La transmisión a CAMERDATA de los datos de los empresarios individuales obtenidos
de las Administraciones tributarias se efectúa por CDE con pleno conocimiento de que
serán destinados a fines comerciales (está previsto en el contrato suscrito por CDE) y
por tanto, con conocimiento de los riesgos para los derechos y libertades
fundamentales de los interesados que podría entrañar ese tratamiento. CDE no ignora
el destino de la base de datos que cede. No solo por la previsión contractual citada,
también porque ese tratamiento que CAMERDATA hará de los datos está en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

193/204

consonancia con su objeto social, aspecto que CDE no desconoce pues se trata de
una sociedad constituida por varias Cámaras Oficiales, entre ellas CDE, de cuyo
Consejo de Administración forma parte.

-Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

CDE cede los datos a CAMERDATA a sabiendas de su ilicitud. Los datos de los
autónomos objeto de la cesión proceden de las Administraciones tributarias y CDE
accede a ellos en el desempeño de funciones público-administrativas atribuidas por su
ley reguladora. El contrato a través del cual se articula la cesión, de forma directa o
indirecta identifica el objeto de la cesión con el “censo público de empresas”. La
finalidad del tratamiento a realizar por la cesionaria, que consta en el contrato, son los
fines comerciales.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Entre los datos personales de los empresarios individuales que son objeto de cesión a
CAMERDATA figura el dato del NIF, sea en texto plano o el hash del NIF.

194/204

artículo 83.2 del RGPD, graduar el importe de la multa de acuerdo con los principios
de proporcionalidad y efectividad. Así, los considerandos 51 y 75 del RGPD distinguen
un grupo de datos personales que por su naturaleza son particularmente “sensibles”
por el importante riesgo que su tratamiento puede entrañar para los derechos y
libertades fundamentales ya que puede llegar a provocar daños y perjuicios físicos,
materiales o inmateriales.

No se aprecia la existencia de factores que atenúen la culpabilidad o la antijuridicidad
de la conducta que vulnera el artículo 5.1.b) del RGPD.

En atención los factores apreciados se acuerda sancionar a CDE por la infracción del
artículo 5.1.b) del RGPD con una multa administrativa por importe de 100.000€ (cien
mil euros)

4.3. Infracción del artículo 5.1.f) del RGPD:

-Artículo 83.2.a): “la naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”.

La naturaleza, el alcance y el propósito de la operación de tratamiento son en este
caso factores que ponen de manifiesto la extraordinaria gravedad del tratamiento
efectuado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

195/204

La transmisión a CAMERDATA de los datos de los empresarios individuales obtenidos
de las Administraciones tributarias se efectúa por CDE con pleno conocimiento de que
serán destinados a fines comerciales (está previsto en el contrato suscrito por CDE) y,
por tanto, con conocimiento de los riesgos para los derechos y libertades
fundamentales de los interesados que podría entrañar ese tratamiento. CDE no ignora
el destino de la base de datos que cede. No solo por la previsión contractual citada,
también porque ese tratamiento que CAMERDATA hará de los datos está en
consonancia con su objeto social, aspecto que CDE no desconoce pues se trata de
una sociedad constituida por varias Cámaras Oficiales, entre ellas CDE, de cuyo
Consejo de Administración forma parte.

-Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

196/204

CDE cede los datos a CAMERDATA a sabiendas de su ilicitud. Los datos de los
autónomos objeto de la cesión proceden de las Administraciones tributarias y CDE
accede a ellos en el desempeño de funciones público-administrativas atribuidas por su
ley reguladora. El contrato a través del cual se articula la cesión, de forma directa o
indirecta identifica el objeto de la cesión con el “censo público de empresas”. La
finalidad del tratamiento a realizar por la cesionaria, que consta en el contrato, son los
fines comerciales.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Entre los datos personales de los empresarios individuales que son objeto de cesión a
CAMERDATA figura el dato del NIF, sea en texto plano o el hash del NIF.

No se aprecia la existencia de factores que atenúen la culpabilidad o la antijuridicidad
de la conducta que vulnera el artículo 5.1.f) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

197/204

En atención los factores apreciados, se acuerda sancionar a CDE por la infracción del
artículo 5.1.f) del RGPD con una multa administrativa por importe de 100.000€ (cien
mil euros)

4.4. Infracción del artículo 5.1.a) del RGPD:

Concurren como agravantes estos factores del artículo 83.2 del RGPD que reflejan
una mayor antijuridicidad de la conducta o/y de la culpabilidad de la parte reclamada:

La naturaleza, el alcance y el propósito de la operación de tratamiento son en este
caso factores que ponen de manifiesto la extraordinaria gravedad del tratamiento
efectuado.

La transmisión a CAMERDATA de los datos de los empresarios individuales obtenidos
de las Administraciones tributarias se efectúa por CDE con pleno conocimiento de que
serán destinados a fines comerciales (está previsto en el contrato suscrito por CDE) y,
por tanto, con conocimiento de los riesgos para los derechos y libertades
fundamentales de los interesados que podría entrañar ese tratamiento. CDE no ignora
el destino de la base de datos que cede. No solo por la previsión contractual citada,
también porque ese tratamiento que CAMERDATA hará de los datos está en
consonancia con su objeto social, aspecto que CDE no desconoce pues se trata de
una sociedad constituida por varias Cámaras Oficiales, entre ellas CDE, de cuyo
Consejo de Administración forma parte.

El mantenimiento en el tiempo del tratamiento ilícito de los datos de los empresarios
autónomos es también relevante. Reseñamos que el tratamiento se mantiene durante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

198/204

un año y, caso de no producirse una baja en la condición de empresario, continúa
hasta la siguiente actualización. Esta operación de tratamiento se inició, como muy
tarde, con ocasión del contrato celebrado entre CDE y CAMERDATA en el año 2016.
Con posterioridad a la entrada en vigor del RGPD, 25/05/2018, en el año 2019, se
suscribió el Convenio con la AEAT que regula las condiciones y el procedimiento de
acceso a la información que le suministra esta Administración tributaria.

-Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

CDE cede los datos a CAMERDATA a sabiendas de su ilicitud. Los datos de los
autónomos objeto de la cesión proceden de las Administraciones tributarias y CDE
accede a ellos en el desempeño de funciones público-administrativas atribuidas por su
ley reguladora. El contrato a través del cual se articula la cesión, de forma directa o
indirecta identifica el objeto de la cesión con el “censo público de empresas”. La
finalidad del tratamiento a realizar por la cesionaria, que consta en el contrato, son los
fines comerciales.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Entre los datos personales de los empresarios individuales que son objeto de cesión a
CAMERDATA figura el dato del NIF, sea en texto plano o el hash del NIF.
El NIF de las personas físicas es un dato sensible por el riesgo que su tratamiento
puede entrañar para los derechos y libertades fundamentales de su titular. Aunque el
tenor literal del artículo 83.2.g) del RGPD parece conectar este criterio de graduación
del importe de la sanción de multa, exclusivamente, con el artículo 9 del RGPD (las
categorías especiales de datos personales), sin embargo, en el RGPD hay referencias
a otras clasificaciones de los datos que responden a la finalidad que persigue el
artículo 83.2 del RGPD, graduar el importe de la multa de acuerdo con los principios
de proporcionalidad y efectividad. Así, los considerandos 51 y 75 del RGPD distinguen
un grupo de datos personales que por su naturaleza son particularmente “sensibles”
por el importante riesgo que su tratamiento puede entrañar para los derechos y
libertades fundamentales ya que puede llegar a provocar daños y perjuicios físicos,
materiales o inmateriales.

En este grupo o categoría se incluyen, además de los datos especialmente protegidos
que regula el artículo 9 del RGPD, otros muchos. El considerando 75 menciona los
datos personales cuyo tratamiento puede entrañar un riesgo de gravedad y
probabilidad variables para los derechos y libertades de las personas físicas y se
refiere a aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación,
usurpación de identidad o fraude, pérdidas financieras, daño para la reputación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

199/204

pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no
autorizada de la seudonimización o cualquier otro perjuicio económico o social
significativo;”

No se aprecia la existencia de factores que atenúen la culpabilidad o la antijuridicidad
de la conducta que vulnera el artículo 5.1.a) del RGPD.

En atención los factores apreciados, se acuerda sancionar a CDE por la infracción del
artículo 5.1.a) del RGPD con una multa administrativa por importe de 100.000€ (cien
mil euros)

4.5. Infracción del artículo 14 del RGPD:

Concurren como agravantes estos factores del artículo 83.2 del RGPD que reflejan
una mayor antijuridicidad de la conducta o/y de la culpabilidad de la parte reclamada:

La naturaleza, el alcance y el propósito de la operación de tratamiento son en este
caso factores que ponen de manifiesto la extraordinaria gravedad del tratamiento
efectuado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

200/204

finalidad privada como es la cesión a CAMERDATA, pone de manifiesto la gravedad
que desde la perspectiva de su antijuridicidad entraña el tratamiento examinado.

La transmisión a CAMERDATA de los datos de los empresarios individuales obtenidos
de las Administraciones tributarias se efectúa por CDE con pleno conocimiento de que
serán destinados a fines comerciales (está previsto en el contrato suscrito por CDE) y,
por tanto, con conocimiento de los riesgos para los derechos y libertades
fundamentales de los interesados que podría entrañar ese tratamiento. CDE no ignora
el destino de la base de datos que cede. No solo por la previsión contractual citada,
también porque ese tratamiento que CAMERDATA hará de los datos está en
consonancia con su objeto social, aspecto que CDE no desconoce pues se trata de
una sociedad constituida por varias Cámaras Oficiales, entre ellas CDE, de cuyo
Consejo de Administración forma parte.

-Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Entre los datos personales de los empresarios individuales que son objeto de cesión a
CAMERDATA figura el dato del NIF, sea en texto plano o el hash del NIF.

201/204

categorías especiales de datos personales), sin embargo, en el RGPD hay referencias
a otras clasificaciones de los datos que responden a la finalidad que persigue el
artículo 83.2 del RGPD, graduar el importe de la multa de acuerdo con los principios
de proporcionalidad y efectividad. Así, los considerandos 51 y 75 del RGPD distinguen
un grupo de datos personales que por su naturaleza son particularmente “sensibles”
por el importante riesgo que su tratamiento puede entrañar para los derechos y
libertades fundamentales ya que puede llegar a provocar daños y perjuicios físicos,
materiales o inmateriales.

No se aprecia la existencia de factores que atenúen la culpabilidad o la antijuridicidad
de la conducta que vulnera el artículo 14 del RGPD.

En atención los factores apreciados, se acuerda sancionar a CDE por la infracción del
artículo 14 del RGPD con una multa administrativa por importe de 100.000€ (cien mil
euros)

XVIII
Medidas correctivas

El artículo 58.2 del RGPD dispone que “Cada autoridad de control dispondrá de todos
los siguientes poderes correctivos indicados a continuación:
[…]
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado”.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el artículo 83.2 del RGPD.

En esta resolución se ordena a CDE, como medida correctiva, en aplicación del
artículo 58.2.d) del RGPD, poner fin a la cesión que hace a CAMERDATA de los datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

202/204

personales de los empresarios individuales que recibe de las Administraciones
tributarias en virtud del artículo 8 de la Ley 4/2014. La medida deberá adoptarse en el
plazo máximo de un mes desde que la resolución sancionadora sea firme y ejecutiva.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en sus artículos 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo 6.1
del RGPD, tipificada en el artículo 83.5.a) del RGPD, una sanción de multa
administrativa por importe de 100.000€ (cien mil euros).

SEGUNDO: IMPONER a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo
5.1.b) del RGPD, tipificada en el artículo 83.5.a) del RGPD, una sanción de multa
administrativa por importe de 100.000€ (cien mil euros).

TERCERO: IMPONER a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo 5.1.f)
del RGPD, tipificada en el artículo 83.5.a) del RGPD, una sanción de multa
administrativa por importe de 100.000€ (cien mil euros).

CUARTO: IMPONER a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo
5.1.a) del RGPD, tipificada en el artículo 83.5.a) del RGPD, una sanción de multa
administrativa por importe de 100.000€ (cien mil euros).

QUINTO: IMPONER a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA, con NIF Q2802216H, por una infracción del artículo 14
del RGPD, tipificada en el artículo 83.5.b) del RGPD, una sanción de multa
administrativa por importe de 100.000€ (cien mil euros).

SEXTO:ORDENAR a CÁMARA DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA, con NIF Q2802216H, que, en virtud del artículo 58.2.d)
del RGPD, en el plazo de un mes desde que la presente resolución sea firme y
ejecutiva, acredite haber procedido a poner fin a la cesión a CAMERDATA de datos
personales de los empresarios individuales que recibe de las Administraciones
tributarias en virtud del artículo 8 de la Ley 4/2014 Básica de las Cámaras Oficiales de
Comercio, Servicios, Industria y Navegación .

SÉPTIMO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

203/204

Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo
98.1.b) de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del
Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de
julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su
ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en
el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-
0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.
En caso contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6
de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el artículo 90.3 a) de la LPACAP,
se podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la
citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite
la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no
tuviese conocimiento de la interposición del recurso contencioso-administrativo en el
plazo de dos meses desde el día siguiente a la notificación de la presente resolución,
daría por finalizada la suspensión cautelar.

938-101224
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

204/204

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Serbest Çalışan Verilerinin Ticari Yeniden Kullanımı

Türkçe özet

Hukuki mesele

Sonuç

Karar metni