Borçtan Kurtulma Sonrasında Kredi Sicili Kaydı

1/36

 Expediente N.º: EXP202303454

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Dña. A.A.A. (en adelante la parte reclamante) con fecha 26/01/2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra SD IBERIAN PORTFOLIOS, S.A. con NIF ***NIF.1 (en
adelante la parte reclamada o IBERIAN). Los motivos en que basa la reclamación son
los siguientes: la reclamante manifiesta que sus datos personales se encuentran
incluidos en ASNEF a instancias de la parte reclamada, en relación con una deuda
cedida por BANCO SANTANDER, S.A. (en lo sucesivo SANTANDER), pese a que se
le concedió la exoneración del pasivo insatisfecho; la parte reclamante solicitó la
supresión de sus datos a ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE
SOLVENCIA Y CRÉDITO, S.L (en lo sucesivo ASNEF-EQUIFAX) aportando la
publicación donde figuraba la exoneración, respondiendo con la baja cautelar de los
datos asociados a su identificador.

Documentación relevante aportada por la parte reclamante:

- Publicación del Registro Público Concursal, dependiente del Ministerio de
Presidencia, Justicia y Relaciones con las Cortes, en el que figura que a la
reclamante se le concedió el BEPI con carácter definitivo el 02/11/2021,
- Documento de ASNEF-EQUIFAX sobre la inclusión de sus datos a instancias
de la reclamada en fechas 23/11/2022 y 26/01/2023.

SEGUNDO: El establecimiento principal del responsable del tratamiento en la Unión
Europea se encuentra situado en Luxemburgo, pero el asunto objeto de examen tiene
únicamente repercusiones locales, a tenor de lo dispuesto en el artículo 56.2 RGPD,
por lo que se siguió el trámite previsto en el art. 56.3 del RGPD y a su tramitación
como caso de impacto local.

De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (en adelante
LOPDGDD), el 30/03/2023 se dio traslado de dicha reclamación a SERVDEBT
ESPAÑA, S.L. representante en España y encargado del tratamiento de la parte
reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo
de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos
en la normativa de protección de datos

El traslado, que se practicó conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/36

Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/04/2023
como consta en el acuse de recibo que obra en el expediente.

TERCERO: Con fecha 26/04/2023, de conformidad con el artículo 65 de la LOPDGDD,
se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: En fecha 26/04/2023 la parte reclamante presentó escrito en el que
manifestaba que: “HABIENDO RECIBIDO ADMISIÓN DE LA MISMA POR
TRANSCURSO DEL PLAZO, SE INDICA QUE LA ENTIDAD RECLAMADA ES SD
IBERIAN PORTFOLIOS:
SD IBERIAN PORTFOLIOS, S.A. 17, BOULEVARD F.W. RAIFFEISEN, L-241,
LUXEMBOURG.

SIN PERJUICIO DE QUE LA CEDENTE DEL CRÉDITO SEA BANCO SANTANDER, Y
APARENTEMENTE LA CITADA ENTIDAD PUEDA EJECUTAR ACCIONES A TRAVÉS
DE LA MERCANTIL SERVDEBT.

EN VIRTUD DE LO ANTERIOR, PROCEDE DECLARAR COMO RECLAMADA A SD
IBERIAN PORTFOLIOS, POR SER LA ENTIDAD QUE INSCRIBE LA DEUDA EN LOS
FICHEROS DE MOROSIDAD”.

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD.

SERVDEBT ESPAÑA, S.L el 21/08/2023 presenta escrito de contestación al traslado
en el que manifiesta los siguientes extremos:

- Que se encuentra mandatada por IBERIAN para hacer las gestiones de las
deudas.
- En fecha 25/02/2021, SANTANDER ha cedido a IBERIAN (la “Cesionaria”),
todos los derechos y acciones derivados de la Financiación −incluyendo
capital, intereses, indemnizaciones y cualesquiera otras obligaciones
pecuniarias derivadas del mismo− (el “Crédito”) en virtud de un contrato de
compraventa intervenido en póliza en esa misma fecha por el notario de
Madrid, don B.B.B. con número XX, Sección X de su libro registro de
operaciones.
- SANTANDER ha transmitido al Cesionario aquellos datos personales relativos
al Crédito que fueran facilitados por el reclamante y que son necesarios para la
gestión y exigibilidad del mismo;
- IBERIAN como nuevo responsable del tratamiento de sus datos personales
tras la cesión del Crédito, trata los datos personales con la finalidad de
gestionar y controlar el Crédito, incluyendo el cobro de la deuda, así como
cumplir con obligaciones legales;
- Asimismo, para el cumplimiento del contrato de prestación de servicios, el
Cesionario ha facilitado a la parte reclamada sus datos personales relativos al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/36

Crédito, necesarios para su gestión y exigibilidad (entre otros, nombre,
apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de
los derechos de cobro, número de cuenta bancaria y titular de la misma, su
inclusión o no en ficheros de solvencia patrimonial y de crédito, procedimiento
judicial en su caso y otros relevantes para la finalidad perseguida).
- El 23/03/2021 se envió carta de cesión al reclamante informándole de la cesión
que se había producido.
- Los datos personales que han sido transmitidos a la parte reclamada, como
consecuencia del contrato de cesión entre SANTANDER como Cedente, e
IBERIAN, como Cesionaria, son los siguientes: Tipo de Dato Personal Dato
Nombre A.A.A. Número de identificación fiscal ***NIF.1 Dirección
***DIRECCIÓN.1 Números de teléfono ***TELÉFONO.1 ***TELÉFONO.2.
- Además, también se informó al denunciante de que, si no pagaba la deuda, sus
datos se incluirían en los sistemas de información crediticia y concursal
gestionados por las siguientes entidades sistemas de información crediticia y
concursal gestionados por las siguientes entidades: ASNEF-EQUIFAX, según
consta en la carta de 23/03/2021.
- El 07/07/2021, la denunciante envió un correo electrónico informando de la
existencia de un procedimiento de insolvencia y de que estaba a la espera del
BEPI definitivo:
o From: A.A.A. Sent: (….) To: (...)Subject: Re: Expediente(s) n.º(s)
***EXPEDIENTE.1 Buenos días, Como ya les he indicado en varias
ocasiones a Banco Santander, me encuentro en concurso de
acreedores de persona física (ley segunda oportunidad). Creo que
ustedes me llamaron hace unos meses y les indiqué la situación, les
indiqué que podían personarse en el procedimiento que tenía plazo
hasta el día 17 de marzo de 2021. Pero ustedes no se han personado
por lo que entiendo que ya no cabe la reclamación de la deuda. Estoy a
la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus
ficheros o bases de datos. Les envió adjunto la copia sellada del
concurso. Un saludo. A.A.A..
- El BEPI definitivo se publicó el 17/04/2023.
- Como resultado, el 28 de abril se eliminaron todos los datos del fichero
ASNEF/EQUIFAX

Documentación relevante aportada por la parte reclamante:

- Poder otorgado por SD IBERIAN PORTFOLIOS, S.A a favor de SERVDEBT
ESPAÑA, S.L. para actuar como su apoderado para la gestión de créditos
definidos en el contrato de cesión de una catera de créditos celebrado entre
SD IBERIAN PORTFOLIOS, S.A y BANCO SANTANDER, S.A. el 25 de febrero
de 2021.
- Carta de fecha 23 de marzo de 2021, de cesión de crédito entre BANCO
SANTANDER, S.A. y SD IBERIAN PORTFOLIOS, S.A. enviada a la parte
reclamante comunicándola dicha cesión (Dicha carta contiene una cláusula de
“Información de protección de datos” en la que se indica: “A raíz de la cesión a
la que se hace referencia en esta comunicación, Banco Santander S.A. ha
transmitido al Cesionario aquellos datos personales relativos al Crédito que
usted facilitó y que son necesarios para la gestión y exigibilidad del mismo. La
base jurídica que legitima esta cesión es la existencia de un interés legítimo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/36

basado en una habilitación legal para realizar dicha cesión, El Cesionario,
como nuevo responsable del tratamiento de sus datos personales tras la
cesión del Crédito, tratará sus datos personales con la finalidad de gestionar y
controlar el Crédito, incluyendo el cobro de la deuda, así como cumplir con
obligaciones legales. Asimismo, este tratamiento tiene su base legal (i) en la
necesidad de los mismos para la ejecución y el control de la relación
contractual entre usted. y el Cesionario; (ii) en el interés legítimo si el titular del
Crédito es una persona jurídica y usted actúa como su representante; y, en su
caso, (iii) en el cumplimiento de obligaciones legales que le sean de aplicación
(p.ej., prevención de blanqueo de capitales). Asimismo, para el cumplimiento
del contrato de prestación de servicios, el Cesionario ha facilitado a ServDebt
España S.L.U. sus datos personales relativos al Crédito, necesarios para su
gestión y exigibilidad (entre otros, nombre, apellidos, NIF/CIF, DNI/NIE,
dirección, fecha y número de contrato, importe de los derechos de cobro,
número de cuenta bancaria y titular de la misma, su inclusión o no en ficheros
de solvencia patrimonial y de crédito, procedimiento judicial en su caso y otros
relevantes para la finalidad perseguida). Sus datos personales serán
conservados durante toda la vigencia de la relación contractual y,
posteriormente, permanecerán bloqueados hasta el transcurso del plazo de
prescripción de posibles reclamaciones o requerimientos legales. Podrán
acceder a sus datos otros prestadores de servicios del Cesionario (p.ej. de los
sectores de sistemas y tecnología, de gestión administrativa y destrucción de
documentación, de servicios legales, notarios, de logística y recobro), así como
a cualquier organismo, administración pública, cuerpo y fuerza de seguridad
del Estado o tribunal, para cumplir con obligaciones legales. Del mismo modo,
en el caso de no proceder al pago de la deuda en el plazo previsto, sus datos
podrán ser incluidos en los ficheros de solvencia patrimonial y de crédito
indicados en la presente carta”. Y en el cuerpo de la carta se indica que “Si
usted no procede a la regularización de su deuda en el plazo de 30 días desde
la recepción de esta comunicación, se podrán iniciar los trámites legalmente
previstos para que sus datos sean incluidos en sistemas de información
crediticia e insolvencia patrimonial gestionados por las siguientes entidades:
ASNEF”).
- Publicación del Registro Público Concursal, dependiente del Ministerio de
Presidencia, Justicia y Relaciones con las Cortes, en la que figura que a la
reclamante se le concedió el BEPI con carácter definitivo el 02/11/2021
(figurando como fecha de emisión de esta publicación el 17/04/2023, fecha que
se pretende hacer valer como de constancia del conocimiento de la inclusión
del BEPI de la parte reclamante en el Registro Público Concursal por
SERVDEBT).
- Pantallazo de exclusión del fichero ASNEF de los datos de la parte reclamante
de fecha 28/04/2023.

En fecha 18/01/2024 se enviaron requerimientos de información a ASNEF-EQUIFAX y
a SERVDEBT ESPAÑA, S.L.

En fecha 25/01/2024 ASNEF-EQUIFAX presenta escrito de contestación al
requerimiento de información, en el que realiza, entre otras, las siguientes
manifestaciones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/36

- Según la consulta al fichero Auxiliar de Notificaciones en el fichero ASNEF,
consta que la inclusión en el fichero de los datos de A.A.A., con DNI ***NIF.1, con
fecha de alta 02/11/2022 y 09/01/2023 a instancias de la entidad IBERIAN, se ha
notificado a la interesada mediante las comunicaciones de referencia 2022-11-1105567
y 2023-01-1153514, emitidas el 03/11/2022 y 10/01/2023 respectivamente. Se envían
a través de correo postal ordinario a la dirección consignada por el acreedor, esto es,
***DIRECCIÓN.1. Se adjunta al presente escrito la documentación acreditativa
correspondiente, incluyendo:
o Certificación emitida por ARTEOS DIGITAL, S.L, como entidad sucesora de
SERVINFORM, S.A. (antes EMFASIS BILLING & Marketing Services, S.L), prestador
del Servicio de Generación, Impresión, y Puesta a Disposición del Servicio de Envíos
Postales
o Certificaciones de Correos y/o Unipost-, certificando la fecha de realización
de la notificación de inclusión de referencia, junto al resto de comunicaciones emitidas
en el mismo proceso sin que se produjese incidencia alguna en el mismo que hubiera
impedido su ejecución, así como la fecha en la que fue puesta a disposición del
servicio de envíos postales.
o Copia de la notificación de inclusión.
o Albarán y nota de entrega en la oficina de Correos 2812096 y de Hispapost,
con su fecha valor de admisión.
o Certificación emitida por el prestador del servicio para la grabación y custodia
de las devoluciones de las notificaciones, Ilunion CEE Contact Center SA, certificando
que la notificación de inclusión de referencia no les consta en depósito y custodia, ni
ha sido objeto de su tratamiento por algún motivo de devolución, con fecha
22/01/2024.
- Actualmente no constan datos dados de alta en nuestros ficheros ASNEF y
ASNEF EMPRESAS asociados a Dª A.A.A., con DNI ***NIF.1, por parte de ninguna
entidad acreedora.
- Consultado nuestro fichero Auxiliar de Operaciones Canceladas en el fichero
ASNEF, consta que los datos de Dª A.A.A., dados de alta en su momento por
IBERIAN con fecha 02/11/2022, se cancelaron con fecha 30/11/2022, siendo el motivo
de la baja “C. GDPR”, lo que implica que se dan de baja durante la gestión de
ejercicios de derecho en nuestro Servicio de Atención al Consumidor (SAC) al no
recibir respuesta por parte del acreedor durante el plazo establecido.
- La inclusión con fecha de alta 09/01/2023 también fue cancelada de forma
cautelar por nuestra parte, con fecha 06/02/2023, por los mismos motivos que
ocasionaron la baja de la primera anotación. La consumidora ejerció nuevamente su
derecho de cancelación en nuestros ficheros con fecha 26/01/2023, y dado que
IBERIAN no se manifestó sobre la confirmación de datos que se le solicitó en ese
momento, se procedió a dar de baja los datos.
- Consta además una tercera inclusión de los datos de la parte reclamante por
parte de IBERIAN. Los datos se dieron de alta por la misma operación el 10/04/2023 y
se cancelaron el 28/04/2023, en este caso de forma directa por la propia entidad
acreedora.
- Aporta pantallazos referentes a las inclusiones y bajas en el fichero ASNEF.

Por su parte, la reclamante presentó en fecha 30/01/2024 escrito de
contestación al requerimiento en el que entre otros aspectos manifiesta:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/36

- Que no siendo posible obtener del registro público concursal la fecha de la
inscripción, si es posible acreditar que el BEPI estaba inscrito en fecha 21/11/2022, ya
que esta es la fecha de emisión del listado de publicaciones que adjunta.
- Que la primera inscripción en el fichero ASNEF fue el 2 de noviembre y que
en fecha 09/01/2023 se vuelve a inscribir la deuda, teniendo ya pleno conocimiento de
la existencia de la exoneración.

SERVDEBT ESPAÑA, S.L presentó escrito de contestación al requerimiento, en
fecha 01/02/2024, en el que manifiesta entre otros lo siguiente:

- Que el 23/03/2021 se envió al reclamante una notificación de la cesión de
créditos en la que se indicaba lo siguiente: • la cesión de créditos que tuvo lugar el
25/02/2021 • el acreedor actual • el número de contrato en cuestión • el importe
adeudado en esa fecha • los detalles del pago • información sobre la protección de
datos.
- Además de la carta en la que se anunciaba la cesión de créditos, el
07/07/2021 se envió un correo electrónico en el que se solicitaba el pago (Se incorpora
un pantallazo de un correo dirigido a la parte reclamante, pero en el que no figura ni la
fecha, ni el correo electrónico al que se envía, ni quién lo envía).
- Que en fecha 07/07/2021 recibió un correo de la parte reclamante en el que
les comunica que “Como ya les he indicado en varias ocasiones a SANTANDER, me
encuentro en concurso de acreedores de persona física (ley segunda oportunidad).
Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les indiqué
que podían personarse en el procedimiento que tenía plazo hasta el día 17/03/2021.
Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación
de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda
se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso. Un
saludo”.
- Que esta fue la primera comunicación enviada por el reclamante informando
de la existencia de un concurso de acreedores (en concurso inicial);
- Que después, el reclamante enviaría lo BEPI, lo que no ocurrió; Con lo BEPI,
se cancelarían los datos en ASNEF y se eliminaría al demandante del fichero de
retrasos; Por tanto, estamos a la espera del envió del BEPI para retirar al denunciante
de ASNEF ya que la concesión provisional del beneficio de exoneración de la
responsabilidad insatisfecha a la denunciante no constituye la exclusión de sus datos
del fichero ASNEF.
- Que SERVDEBT ESPAÑA, S.L sólo se enteró de la existencia de BEPI
en17/04/2023; y como resultado, el 28 de abril se eliminaron todos los datos del
fichero ASNEF/EQUIFAX.

SEXTO: A través del “Sistema de Información del Mercado Interior” (IMI), regulado por
el RGPD, cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la
asistencia mutua entre los Estados miembros y el intercambio de información, con
fecha 08/03/2024, la AEPD solicitó a la Autoridad luxemburguesa de protección de
datos tramitar el incidente como caso local, aunque la Autoridad de Luxemburgo era la
competente para actuar, dado que el responsable del tratamiento tiene su sede social
y establecimiento principal en Luxemburgo.

La solicitud se realizó al concurrir las circunstancias establecidas en el artículo
56.2 del RGPD, al tratarse de una reclamación de una posible infracción del RGPD,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/36

que si bien se refiere a un establecimiento situado en Luxemburgo, afecta a
interesados en España. El 12/03/2024 la Autoridad de Luxemburgo comunicó a la
AEPD autorización para tramitar la reclamación como un asunto local.

SÉPTIMO: Con fecha 12/04/2024, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD.

OCTAVO: Notificado el acuerdo de inicio, en fecha 10/05/2024, la parte reclamada ha
manifestado en síntesis lo siguiente: la falta de acceso al expediente; exposición de
cuáles han sido a su juicio los hechos que motivan el acuerdo de inicio del
procedimiento; que en ningún momento IBERIAN ha tenido conocimiento de la
concesión del BEPI hasta que se le comunicó por parte del SANTADER y que no fue
notificada por ASNEF-EQUIFAX de las solicitudes de supresión ejercidas por la parte
reclamante y que tampoco ésta informó a IBERIAN sobre la concesión definitiva del
BEPI; que la parte reclamada ha cumplido siempre con la normativa aplicable y que
además no se le puede imponer la obligación de consultar el registro público concursal
por cada crédito adquirido; que la sanción propuesta es manifiestamente
desproporcionada y que deberían aplicarse circunstancias atenuantes de la
culpabilidad; que se proceda al archivo y, en caso contrario, subsidiariamente a la
minoración de la sanción propuesta en grado mínimo.

NOVENO: Con fecha 10/09/2024, se acordó la apertura de un período de práctica de
pruebas, acordándose las siguientes:

- Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por
los reclamantes y su documentación, los documentos obtenidos y generados
por los servicios de inspección que forman parte del expediente.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio presentadas por el reclamado y la documentación que acompaña.
- Solicitar al encargado del tratamiento para que aportara copia del contrato de
compraventa de cesión de créditos, elevado a escritura pública suscrito con
SANTANDER, S.A., de 25/02/2021 y en virtud del cual la parte reclamada
adquiere la cartera de créditos acreedores, así como los datos relativos al
crédito de la parte reclamante, necesarios para su exigibilidad: nombre,
apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de
los derechos de cobro, etc. incluidos en el citado contrato.

Con fecha 24/09/2024 dio respuesta a la prueba practicada cuyo contenido
obra en el expediente.

DÉCIMO: Con fecha 21/02/2025 fue emitida Propuesta de Resolución en el sentido de
que por la Presidencia de la Agencia Española de Protección de Datos se sancionara
a la parte reclamada por infracción del artículo 6.1 del RGPD, tipificada en el artículo
83.5 del RGPD.

UNDÉCIMO: Con fecha 17/03/2025 se recibe escrito de alegaciones de la parte
reclamada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/36

De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes,

HECHOS PROBADOS

PRIMERO. El 26/01/2023 tiene entrada en la AEPD escrito de la parte reclamante
manifestando que sus datos de carácter personal han sido incluidos en el fichero
ASNEF a instancias de la parte reclamada, vinculados a deuda cedida por
SANTANDER; SANTANDER fue notificado del procedimiento de concurso tanto
judicial como extrajudicial de pago, no encontrándose prevista la posibilidad de ceder
datos a ficheros de solvencia en contrato original; la parte reclamada incluyó la citada
deuda en el fichero ASNEF y otros; solicitada la “cancelación” de los datos al fichero
ASNEF-EQUIFAX responden con baja cautelar, enviándosele la publicación del
Registro Público Concursal donde consta el BEPI. Posteriormente se vuelve a incluir, y
se vuelve a solicitar cancelación.

SEGUNDO. Consta aportada por la parte reclamante autorización a D. C.C.C., letrado,
para actuar en su nombre.

TERCERO. Consta aportada carta de SANTANDER dirigida a la parte reclamante de
fecha 23/03/2021 en la que le informaba que en fecha 25/02/2021, había cedido a la
parte reclamada los derechos y acciones derivados del crédito impagado en virtud de
un contrato de compraventa elevado a escritura ante el notario de Madrid, don B.B.B..

CUARTO. Consta aportada publicación del Registro Público Concursal, dependiente
del Ministerio de Presidencia, Justicia y Relaciones con las Cortes, en el que figura
que a la parte reclamante se le concedió el BEPI (Beneficio de Exoneración del Pasivo
Insatisfecho) con carácter definitivo el 02/11/2021.

QUINTO. Consta aportada copia del contrato suscrito entre ASNEF-EQUIFAX
SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO SL y la parte
reclamada para la Prestación de Servicios del Bureau.

SEXTO. La parte reclamante, en fecha 17/01/2023, se dirigió al responsable del
fichero ASNEF, entidad que mantiene el sistema común de información crediticia
ASNEF-EQUIFAX, ejercitando el derecho de acceso a sus datos de carácter personal,
quien el 26/01/2023 le remitía la información asociada a su identificador ***NIF.1,
informadas por la parte reclamada, por producto descubiertos en c/c, naturaleza titular,
con fechas de alta 09/01/2023; fecha de visualización 08/02/2023; fecha de primer y
último vencimiento 29/05/2019 y 29/05/2019, por saldo impagado de (...)euros.
Asimismo, le informaba que sus datos habían sido consultados por (…).

SÉPTIMO. La parte reclamante, en fecha 30/11/2022, se dirigió al responsable del
fichero ASNEF, entidad que mantiene el sistema común de información crediticia
ASNEF-EQUIFAX, ejercitando el derecho de cancelación de sus datos de carácter
personal, quien el 30/11/2022 le comunicaba que, tras las comprobaciones
pertinentes, se había procedido a la Baja cautelar con la/s entidad/es SD IBERIAN
PORTFOLIOS en el sistema de los datos asociados al identificador: ***NIF.1.
Asimismo, le informaba que sus datos habían sido consultados por (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/36

OCTAVO. La parte reclamada ha aportado copia del contrato de compraventa de
cesión de créditos, elevado a escritura pública suscrito con BANCO de SANTANDER,
S.A., de 25/02/2021 y en virtud del cual adquiría cartera de créditos acreedores, entre
los que se encontraba el relativo a la parte reclamante.

NOVENO. Consta aportado documento de ASNEF-EQUIFAX, de 03/11/2022, Nº
***REFERENCIA.1, remitido a la parte reclamante en el que se le indica: Le
comunicamos que con fecha 02/11/2022 la entidad parte reclamada ha solicitado el
alta en el fichero ASNEF los siguientes datos personales relativos al impago del
contrato que mantiene con dicha entidad:

PRODUCTO IMPORTE IMPAGADO CALIDAD
(…) (…) (…)

ARTEOS DIGITAL, S.L., en escrito de fecha 22/01/2024, ha manifestado que la
generación, impresión, y puesta en el servicio de envíos postales, el día O4/11/2022
de la comunicación con el número de referencia ***REFERENCIA.1.

E Ilunion CEE Contact Center, S.A., en escrito de fecha 22/01/2024, señalaba que
consultados los archivos relativos a la prestación de servicio que se mantiene con
Equifax, no consta en depósito y custodia en las oficinas de Ilunion CEE Contact
Center, S.A. la Notificación de Referencia ***REFERENCIA.1 ni ha sido objeto de su
tratamiento por algún motivo de devolución.

DÉCIMO. Consta aportado documento de ASNEF-EQUIFAX, de 10/01/2023, Nº
***REFERENCIA.2, remitido a la parte reclamante en el que se le indica: Le
comunicamos que con fecha 09/01/2023 la entidad parte reclamada ha solicitado el
alta en el fichero ASNEF los siguientes datos personales relativos al impago del
contrato que mantiene con dicha entidad:

PRODUCTO IMPORTE IMPAGADO CALIDAD
(…) (…) (…)

ARTEOS DIGITAL, S.L., en escrito de fecha 22/01/2024, ha manifestado que la
generación, impresión, y puesta en el servicio de envíos postales, el día 12/01/2023 de
la comunicación con el número de referencia ***REFERENCIA.2.

E Ilunion CEE Contact Center, S.A., en escrito de fecha 22/01/2024, señalaba que
consultados los archivos relativos a la prestación de servicio que se mantiene con
Equifax, no consta en depósito y custodia en las oficinas de Ilunion CEE Contact
Center, S.A. la Notificación de Referencia ***REFERENCIA.2, ni ha sido objeto de su
tratamiento por algún motivo de devolución.

DÉCIMO PRIMERO. Consta que la parte reclamante, a través de su representante, se
dirigió al fichero ASNEF el 22/11/2022 señalando “Por medio del presente se solicita la
*cancelación* de los datos incluidos en el fichero por SD IBERIAN PORTFOLIOS toda
vez que existe exoneración de deudas judicial, inscrita en el Registro Público
Concursal. En caso de que aún no consten inscritos, se ejercita la *oposición*.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/36

Consecuentemente, no se puede tratar los datos solicitados por deudas anteriores a la
publicación de dicha resolución”.

El 30/11/2022 el fichero Asnef se dirigió a la parte reclamada señalando: “En relación
con el Expediente relativo a la parte reclamante con identificador … que ha solicitado
la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 23 de
noviembre de 2022, le comunicamos que, ante la falta de contestación de su estimada
entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos
procedido a la baja cautelar del dato.

Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la
normativa de protección de datos. No obstante, si su entidad no está de acuerdo con
esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos
que obran en su poder.

DÉCIMO SEGUNDO. Consta que la parte reclamada, a través de su representante, se
dirigió a la entidad que mantiene el sistema común de información crediticia al fichero
ASNEF, el 26/01/2023 señalando: “Es la segunda vez que ustedes inscriben en el
fichero la misma deuda pese a haber acreditado documentalmente la inexistencia de
la misma con la resolución del registro público concursal, como se hace de nuevo.

En virtud de lo anterior les requiero formalmente para que cesen en dicha actuación,
bajo apercibimiento de instar procedimiento judicial por vulneración del Derecho al
Honor, así como denuncia ante la AEPD”.

El 06/02/2023 el ASNEF-EQUIFAX se dirigió a la parte reclamada señalándole:

“En relación con el Expediente relativo a la parte reclamante con identificador … que
ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 30
de enero de 2023, le comunicamos que, ante la falta de contestación de su estimada
entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos
procedido a la baja cautelar del dato.

Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la
normativa de protección de datos. No obstante, si su entidad no está de acuerdo con
esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos
que obran en su poder”.

DÉCIMO TERCERO. Por último, la parte reclamada incluyó los datos de la parte
reclamante en el sistema común de ASNEF con fecha 10/04/2023.

PRODUCTO IMPORTE IMPAGADO CALIDAD
(…) (…) (…)

En escrito de 25/01/2024 Equifax Ibérica, S.L., señalaba que “Los datos se dieron de
alta por la misma operación el 10/04/2023 y se cancelaron el 28/04/2023, en este caso
de forma directa por la propia entidad acreedora”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/36

DÉCIMO CUARTO. Consta requerimiento de pago, sin fecha (la parte reclamada
manifiesta ser de 07/07/2021), aportado por la parte reclamada dirigido a la reclamante
solicitando el pago de la deuda, señalando en relación a la misma “que, en el
momento de la cesión de crédito, la deuda ascendía a la cantidad de (…) euros. Sin
embargo, a consecuencia del tiempo transcurrido, actualmente asciende a la cantidad
de (…) euros”

En respuesta al mismo, la parte reclamante remite correo electrónico 07/07/2021 en el
que les señala:

“(…) Como ya les he indicado en varias ocasiones a Banco Santander, me encuentro
en concurso de acreedores de persona física (Ley de segunda oportunidad).
(…)
Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda de sus
ficheros o bases de datos. (…)”.

DÉCIMO QUINTO. La parte reclamada en escrito de 01/02/2024, en respuesta a la
cuestión planteada por la AEPD: “Actuaciones realizadas por esa entidad cuando la
parte reclamante les comunicó la Resolución de reconocimiento con carácter definitivo
de la exoneración del pasivo insatisfecho inscrita en el Registro de Publicaciones
Concursales” indicaba que:

a) Servdebt sólo se enteró de la existencia de BEPI el 17 de abril de 2023;
b) Como resultado, el 28 de abril se eliminaron todos los datos del fichero
ASNEF/EQUIFAX

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los
procedimientos tramitados por la Agencia Española de Protección de Datos se regirán
por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las
disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las
contradigan, con carácter subsidiario, por las normas generales sobre los
procedimientos administrativos."

II
Respuesta a las alegaciones al acuerdo de inicio

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/36

1. En primer lugar, la parte reclamada alega la falta de acceso al expediente
administrativo.

Sorprende la citada manifestación porque no ha sido una, sino dos las veces
que se le dio traslado de dicho contenido: la primera, al responsable del tratamiento
remitida por la Agencia Española de Protección de Datos el día 10/05/2024 13:00 ha
sido expirada por caducidad, al superarse el plazo establecido para la comparecencia,
fecha de 21/05/2024 y, la segunda, remitida al encargado del tratamiento siendo la
fecha de puesta a disposición: 27/05/2024 y la fecha de acceso al contenido de la
notificación: 28/05/2024.

2. Alega la parte reclamada que ha cumplido siempre con la normativa
aplicable y que además no se le puede obligar a consultar el registro público concursal
por cada crédito adquirido, que en ningún momento ha tenido conocimiento de la
concesión del BEPI y que no fue notificada por ASNEF-EQUIFAX de las solicitudes de
supresión ejercidas por la parte reclamante y que tampoco la parte reclamante le
informó sobre la concesión definitiva del BEPI.

Ciertamente no pueden ser aceptadas las citadas manifestaciones y las
mismas vuelven a sorprender a la vista de la documentación aportada al expediente.

En el presente caso, hay que señalar que fue la propia reclamante quien
informó del proceso en el que se encontraba inmersa a través del correo electrónico
de fecha 07/07/2021 remitido al encargado del tratamiento en el que daba respuesta
escrito de requerimiento de deuda, del modo en que sigue:

From: A.A.A. ***EMAIL.1
Sent: (…)
To: (…)
Subject: Re: Expediente(s) n.º(s) ***EXPEDIENTE.1

“(…)
Como ya les he indicado en varias ocasiones a Banco Santander, me
encuentro en concurso de acreedores de persona física (Ley de segunda
oportunidad).
(…)
Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda de
sus ficheros o bases de datos.
(…)”.

Y ante la inclusión de sus datos de carácter personal en el sistema común de
información crediticia ASNEF la parte reclamante se dirigió al corresponsable del
tratamiento en dos ocasiones: primero, el 22/11/2022 indicándole que “Por medio del
presente se solicita la *cancelación* de los datos incluidos en el fichero por SD
IBERIAN PORTFOLIOS toda vez que existe exoneración de deudas judicial, inscrita
en el Registro Público Concursal. En caso de que aún no consten inscritos, se ejercita
la *oposición*.

Consecuentemente, no se puede tratar los datos solicitados por deudas
anteriores a la publicación de dicha resolución”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/36

A la solicitud de cancelación se adjuntaba entre otros la concesión del BEPI
(Beneficio de Exoneración del Pasivo Insatisfecho) de fecha 02/11/2021.

Como consecuencia de la solicitud anterior, la entidad que mantiene el sistema
común de información crediticia responsable del fichero ASNEF se dirigió a la parte
reclamada el 30/11/2022 indicando: “En relación con el Expediente relativo a la parte
reclamante con identificador … que ha solicitado la Cancelación de sus datos, y del
que se le ha dado cuenta con fecha 23 de noviembre de 2022, le comunicamos que,
ante la falta de contestación de su estimada entidad, conforme a las normas de
funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato.

Esta baja se produce de acuerdo con las normas establecidas y por exigencia
de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo
con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los
datos que obran en su poder.

Pues bien, la parte reclamante nuevamente se dirigió a la entidad que mantiene
el sistema común de información crediticia del fichero ASNEF el 26/01/2023 como
consecuencia de la notificación de una nueva inclusión de sus datos de carácter
personal en el fichero, señalando: “Es la segunda vez que ustedes inscriben en el
fichero la misma deuda pese a haber acreditado documentalmente la inexistencia de
la misma con la resolución del registro público concursal, como se hace de nuevo.
En virtud de lo anterior les requiero formalmente para que cesen en dicha
actuación, bajo apercibimiento de instar procedimiento judicial por vulneración del
Derecho al Honor, así como denuncia ante la AEPD”.

Y nuevamente, el responsable del fichero ASNEF se dirigió a la parte
reclamada en escrito de 06/02/2023 indicándole: “En relación con el Expediente
relativo a la parte reclamante con identificador … que ha solicitado la Cancelación de
sus datos, y del que se le ha dado cuenta con fecha 30 de enero de 2023, le
comunicamos que ante la falta de contestación de su estimada entidad, conforme a
las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar
del dato.
Esta baja se produce de acuerdo con las normas establecidas y por exigencia
de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo
con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los
datos que obran en su poder”.

Es más, la parte reclamada volvió a dar de alta a los datos de la reclamante en
el sistema común ASNEF con fecha 10/04/2023.

3. Alega la parte reclamada que la sanción propuesta es manifiestamente
desproporcionada y que deberían aplicarse a efectos de la sanción circunstancias
atenuantes de la culpabilidad que no han sido tenidas en cuenta

En relación con la supuesta vulneración del principio de proporcionalidad en la
cuantía de la sanción, se informa a la parte reclamada que el artículo 83.1 del RGPD
previene que “Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/36

Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasoria”.

Por lo tanto, las multas según se deduce del precepto que antecede han de ser
efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida
por el RGPD.

Es cierto, que para que dicho sistema funcione con todas las garantías es
necesario que varios elementos se desplieguen de forma íntegra y completa. La
aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en
cada uno de los Estados miembros aplicando su derecho nacional, ya sea por
circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD
en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que
perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que
las multas impuestas por distintas infracciones dejarían de ser efectivas,
proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados
de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme
del RGPD. Se disminuirían los mecanismos de protección de los derechos y las
libertades de los ciudadanos y sería contrario con el espíritu del RGPD.

El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.

En cuanto al principio de proporcionalidad de las sanciones, la Audiencia
Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad
no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se
otorga a la Administración en la imposición de sanciones dentro de los límites
legalmente previstos, debe ser desarrollado ponderando en todo caso, las
circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción
entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe
determinarse en congruencia con la entidad de la infracción cometida y según un
criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que
la proporcionalidad constituye un principio normativo que se impone a la
Administración y que reduce el ámbito de sus potestades sancionadoras.

Pues bien, de conformidad con las circunstancias que concurren en el presente
caso, no se vulnera el principio de proporcionalidad en la determinación de la sanción
resultando ponderada y proporcionada a la gravedad de la infracción cometida, la
importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar
la sanción, sin que se aprecien razones que justifiquen aún más la minoración
efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas
sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del
artículo 6.1 del RGDP, “con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.

En cuanto a que no han sido tenidas en cuenta circunstancias que concurren
en el presente caso y que atenuarían la culpabilidad a efectos de graduación de la
sanción, entre ellas: El grado de cooperación con la autoridad (la parte reclamada ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/36

actuado en todo momento en cooperación con la AEPD), Categorías de datos y
afectación de los derechos de los menores (los datos objeto de tratamiento no son
categorías especiales de datos y no se han visto afectados los derechos de los
menores) y Carácter continuado de la infracción (no puede entenderse que se trate de
una infracción de carácter continuado).

Hay que señalar que cualquier entidad, sociedad, empresa, etc., con
independencia de su tamaño, tiene la obligación de cumplir la normativa en materia de
protección de datos de carácter personal desde el momento en que realiza
tratamientos con datos personales; las empresas, pequeñas, medianas y grandes, que
realicen un tratamiento de datos de clientes, proveedores, empleados, socios o
cualquier otra figura para el desarrollo de sus actividades está obligada a cumplir con
el RGPD y la LOPDGDD.

Siendo una obligación el cumplimiento normativo de la protección de datos por
la parte reclamada, ésta no puede pretender que la cooperación con la autoridad
independiente o supervisor y que los datos tratados no tengan la condición de
especialmente protegidos puedan considerarse como circunstancias atenuantes de la
culpabilidad de la parte reclamada a efectos de minorar la sanción a imponer, aunque
por el contrario sí que podrían ser utilizadas como circunstancias agravantes de la
conducta en caso de que dichas circunstancias se hubieran producido provocando un
incremento de la sanción a imponer.

Por todo ello, las alegaciones formuladas por la parte reclamada deben ser
rechazadas.

III
Respuesta a las alegaciones a la Propuesta de Resolución

1. Alega la parte reclamada su disconformidad sobre los hechos consignados
en la Propuesta y, aunque no niega haber recibido las comunicaciones enviadas por
ASNEF-EQUIFAX, sí que rechaza que ASNEF pusiera en su conocimiento el
documento de concesión del BEPI a la parte reclamante.

Como ya se señalaba en el fundamento anterior la parte reclamante informó a
la parte reclamada del proceso concursal en el que se encontraba inmersa a través del
correo electrónico de fecha 07/07/2021 y que estaba a la espera del beneficio de
exoneración del pasivo insatisfecho definitivo:

From: A.A.A. ***EMAIL.1
Sent: (…)
To: (...)
Subject: Re: Expediente(s) n.º(s) ***EXPEDIENTE.1

“Como ya les he indicado en varias ocasiones a Banco Santander, me
encuentro en concurso de acreedores de persona física (ley segunda oportunidad).
Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les
indiqué que podían personarse en el procedimiento que tenía plazo hasta el día 17 de
marzo de 2021. Pero ustedes no se han personado por lo que entiendo que ya no
cabe la reclamación de la deuda.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/36

Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus
ficheros o bases de datos.
Les envió adjunto la copia sellada del concurso.
Un saludo.”

Por tanto, la parte reclamada no puede aducir que no conociera la situación de
la reclamante, pues no solo hablaron personalmente del asunto en conversaciones
telefónicas los días 7 y 21/07/2021(parte reclamada dixit), sino que a través del correo
electrónico les informaba que se encontraba a la espera del BEPI e incluso les invitaba
a participar en el procedimiento concursal mediante la personación en el mismo.

Alega la parte reclamada que “lo más a lo que podía albergar la Reclamante
era una esperanza en que finalmente se le concediera la exoneración…, pero en
momento alguno esa esperanza requiere que la parte reclamada exonere la deuda de
la Reclamante”.

Sin embargo, tal alegato ha de ser rechazado porque la parte reclamada
carece de competencia para conceder la exoneración ya que esta es una herramienta
que concede el juez a aquellas personas que no pueden hacer frente al pago de sus
deudas.

A mayor abundamiento, ante el correo de la reclamante el acreedor debió
mostrar una mayor diligencia y sensibilidad ante la situación por la que atravesaba la
misma y haber tenido en cuenta lo pactado en el contrato de compraventa de créditos,
de fecha 25/02/2021, celebrado con el SANTANDER donde este tipo de situaciones es
contemplado (Fundamento de Derecho V); así, la Clausula 1 Objeto, apartado 1.3
Limitación de la responsabilidad del vendedor, establece que:

“(…)
1.3.2. Asimismo, tras las reuniones entre las Partes y el proceso de due diligen-
ce realizado por el Comprador, de conformidad con lo previsto en el Expositivo VI
anterior, el Comprador declara que conoce y acepta las características de los Créditos
y de los Datos de los Créditos. En particular, el Comprador conoce y acepta que, sin
perjuicio de las declaraciones y garantías del Vendedor bajo este Contrato:
(A) …
(B) en la fecha de efectividad algunos de los Deudores cuyos Créditos se
transmiten pueden encontrarse en situación de insolvencia, haber sido declarados en
concurso o haber solicitado su declaración, sin perjuicio de la garantía contemplada en
la Cláusula 5.1 (E), y
(E) …
(…)”

Por tanto, una vez concedida la exoneración el RGPD y la propia Ley
Concursal exigen que las solicitudes de supresión de datos sean tratadas de manera
rápida y eficaz, especialmente cuando los datos pueden causar un perjuicio al
interesado.

Ahora bien, en el presente caso, y como se expondrá, no consta que la
actuación desarrollada por la parte reclamada fuera acorde con la normativa de
protección de datos, acreditando la ausencia de diligencia que la reclamada no haya
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/36

demandado documentación adicional con el propósito de verificar la exoneración; todo
lo contario, se limitó a proceder a la inclusión de los datos en el fichero ASNEF,
revelando su negligencia que no puede justificar mediante la manifestación de que lo
que albergaba la reclamante era una mera esperanza.

Si se analizan cronológicamente los hechos, con fecha 02/11/2021 se dicta
resolución de reconocimiento con carácter definitivo de la exoneración del pasivo
insatisfecho a la parte reclamante y en esa misma fecha la parte reclamada instó el
alta de la deuda de la parte reclamante de (…) €, por el producto “descubiertos en
C/C”, en el fichero ASNEF.

Como así se recoge en el punto 2 del Fundamento de Derecho anterior, con
fecha 03/11/2022, ASNEF-EQUIFAX remitió a la parte reclamante la notificación de la
inclusión de sus datos en el fichero. La generación, impresión, y puesta en el servicio
de envíos postales por la empresa contratista se produjo el día 04/11/2022.

Con fecha 22/11/2022 la parte reclamante, ante la notificación de la inclusión
en el fichero, solicitó la supresión de los datos incluidos en el mismo por la parte
reclamada como consecuencia de la exoneración de deudas judicial, inscrita en el
Registro Público Concursal, aportando a la citada solicitud la concesión del BEPI
(Beneficio de Exoneración del Pasivo Insatisfecho) de fecha 02/11/2021 quejándose
de tal circunstancia y manifestando en este sentido que a pesar de las múltiples
comunicaciones efectuadas a la acreedora relativas a la situación concursal:

“PRIMERO. INCLUSIÓN DE DATOS EN EL FICHERO ASNEF
Que habiendo sido informado por parte de los responsables del fichero
mediante documento expedido en fecha 3 de noviembre de 2022 de los datos
incorporados al fichero, se ha solicitado la inclusión por parte de SD IBERIAN
PORTFOLIOS por importe impagado de (…) euros.
SEGUNDO. DE LA INEXISTENCIA DE DEUDA. CONCURSO DE
ACREEDORES. BENEFICIO DE EXONERACIÓN DEL PASIVO INSATISFECHO.
PUBLICIDAD DEL REGISTRO PÚBLICO CONCURSAL.
Pese a las múltiples comunicaciones efectuadas a la acreedora relativas a la
situación concursal, se ha solicitado de forma indebida la inclusión de los datos de mi
representada. En efecto, Dª. Elisabeth fue exonerada de cualquier deuda existente en
fecha 2/11/2021 con la declaración del BEPI, tal y como consta en el registro público
concursal, de cuya copia de la sección I de Edictos concursales se adjunta copia como
documento nº1.”

A este escrito, la parte reclamante remitió copia de la publicación de la
resolución de reconocimiento con carácter definitivo de la exoneración del pasivo
insatisfecho.

Con fecha 30/11/2022, ASNEF-EQUIFAX procedió a la baja cautelar de la
inscripción de la deuda, remitiendo a la parte reclamada la siguiente información:

“En relación con el Expediente relativo a A.A.A. con identificador ***NIF.1 que
ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 23
de noviembre de 2022, le comunicamos que, ante la falta de contestación de su

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/36

estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF
hemos procedido a la baja cautelar del dato.
Esta baja se produce de acuerdo con las normas establecidas y por exigencia
de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo
con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los
datos que obran en su poder.
(…)”

En esa misma fecha, ASNEF-EQUIFAX remitió la siguiente comunicación a la
parte reclamante:

“De acuerdo con su solicitud de CANCELACIÓN de sus datos, registrada en
nuestras oficinas con fecha 21 de noviembre de 2022, le comunicamos que, tras las
comprobaciones pertinentes, se ha procedido a la Baja cautelar con la/s entidad/es SD
IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador:
***NIF.1. Adjunto le remitimos impresión de pantallas en la que consta expresamente
la no existencia de datos.
Asimismo, le informamos que la información que adjuntamos como Histórico de
Consultas, en cumplimiento de la normativa vigente, se refiere a las entidades que han
consultado sus datos en los últimos seis meses, en el caso de que tales consultas se
hayan producido.
Los datos que incluyen las entidades en el fichero ASNEF se utilizan con la
finalidad de ayudar a las entidades que consultan y aportan información al mismo a
prevenir la morosidad y analizar la solvencia. Los datos incluidos en el fichero podrán
ser tratados de manera anonimizada para realizar análisis estadísticos. Los datos
incluidos serán cancelados o dados de baja una vez que se haya realizado el pago de
las deudas y, en todo caso, a los 5 años desde la fecha de cada uno los vencimientos
impagados incluidos en el fichero ASNEF.”

Con fecha 09/01/2023, la parte reclamada incluyó la deuda de la parte
reclamante de (...)€, por el producto “descubiertos en C/C” en el fichero ASNEF.

Con fecha 10/01/2023, ASNEF-EQUIFAX remitió a la parte reclamante la
notificación de la inclusión de sus datos en ASNEF. La generación, impresión, y puesta
en el servicio de envíos postales por la empresa contratista se produjo el día
12/01/2023.

Con fecha 26/01/2023 la parte reclamante se dirigió a ASNEF-EQUIFAX
señalando:
“Estimados señores,
Se envía cancelación de datos de la perjudicada.
Es la segunda vez que ustedes inscriben en el fichero la misma deuda pese a
haber acreditado documentalmente la inexistencia de la misma con la resolución del
registro público concursal, como se hace de nuevo.
En virtud de lo anterior les requiero formalmente para que cesen en dicha
actuación, bajo apercibimiento de instar procedimiento judicial por vulneración del
Derecho al
Honor, así como denuncia ante la AEPD.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/36

Con fecha 06/02/ 2023, ASNEF-EQUIFAX procedió a la baja cautelar de la
inscripción de la deuda referida anteriormente, remitiendo a la parte reclamada la
siguiente comunicación:

“En relación con el Expediente relativo a A.A.A. con identificador ***NIF.1 que
ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 30
de enero de 2023, le comunicamos que, ante la falta de contestación de su estimada
entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos
procedido a la baja cautelar del dato.
Esta baja se produce de acuerdo con las normas establecidas y por exigencia
de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo
con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los
datos que obran en su poder.
Atentamente”

En esa misma fecha, ASNEF-EQUIFAX remitió la siguiente comunicación a la
parte reclamante:

“De acuerdo con su solicitud de CANCELACIÓN de sus datos, registrada en
nuestras oficinas con fecha 26 de enero de 2023, le comunicamos que, tras las
comprobaciones pertinentes, se ha procedido a la Baja cautelar con la/s entidad/es SD
IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador:
***NIF.1.
Adjunto le remitimos impresión de pantallas en la que consta expresamente la
no existencia de datos.
Asimismo, le informamos que la información que adjuntamos como Histórico de
Consultas, en cumplimiento de la normativa vigente, se refiere a las entidades que han
consultado sus datos en los últimos seis meses, en el caso de que tales consultas se
hayan producido.
Los datos que incluyen las entidades en el fichero ASNEF se utilizan con la
finalidad de ayudar a las entidades que consultan y aportan información al mismo a
prevenir la morosidad y analizar la solvencia. Los datos incluidos en el fichero podrán
ser tratados de manera anonimizada para realizar análisis estadísticos.
Los datos incluidos serán cancelados o dados de baja una vez que se haya
realizado el pago de las deudas y, en todo caso, a los 5 años desde la fecha de cada
uno los vencimientos impagados incluidos en el fichero ASNEF.
(…)”

Con fecha 10/04/2023, la parte reclamada incluyó nuevamente una deuda de la
parte reclamante de (…) €, por el producto “descubiertos en C/C” en el fichero ASNEF.
Con fecha 28/04/2023, los datos de la parte reclamante fueron suprimidos a
instancias de la parte reclamada, al tener conocimiento del BEPI.

Es relevante mencionar que la baja cautelar en el fichero ASNEF, es una
medida temporal que aplica ASNEF-EQUIFAX mientras se recibe la respuesta del
acreedor en relación con una solicitud de supresión o rectificación realizada por el
interesado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/36

Se trata de una medida efectiva cuando se sospecha que la inclusión, el alta,
no es correcta, se ha cometido algún error en el procedimiento de registro, se ha
pagado la deuda o, como el caso presente, cuando la deuda deja de ser exigible.

Es importante tener en cuenta como se indicaba que la baja cautelar es
temporal disponiendo el corresponsable, ASNEF-EQUIFAX, de un plazo de un mes
para resolver y dar respuesta a la solicitud que puede prorrogarse por otros dos meses
si es necesario, conforme determina el art. 12 del RGPD.

Por tanto, si ASNEF-EQUIFAX confirma, tras la consulta al acreedor, que la
deuda no existe, los datos ya no volverán a ser incluidos en el fichero, pero si por el
contrario se confirma que la deuda es cierta, vencida y exigible los datos volverán a
ser incluidos en el fichero.

La parte reclamada no niega las comunicaciones de ASNEF-EQUIFAX, pero
mantiene que no le consta que le trasladara tanto el 30/11/2022 como el 06/02/ 2023,
junto a la solicitud de supresión ejercitada por la parte reclamante el documento por el
que se concedía el BEPI.

Ahora bien, consta que con posterioridad a las cartas trasladadas a la parte
reclamada comunicando las bajas cautelares causadas por ASNEF-EQUIFAX
atendiendo a la solicitud de supresión de la parte reclamante, y en la que además se le
señalaba que la baja se produce de acuerdo con las normas establecidas y por
exigencia de la normativa de protección de datos. No obstante, si su entidad no está
de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente
con los datos que obran en su poder, en fechas 09/01/2023 y el 10/04/2023, el
acreedor volvió a incluir los datos personales de la parte reclamante en el sistema de
información crediticia ASNEF.

Por tanto, aun dando por cierto que ASNEF no trasladara a la parte reclamada
la certificación definitiva del BEPI, ante las solicitudes de supresión de la reclamante la
reclamada no llevó a cabo actuación alguna tendente a verificar si la deuda era cierta,
vencida y exigible; como se ha señalado la actuación de la parte reclamada fue la de
proceder nuevamente a incluir los datos de la reclamante en el fichero de solvencia
con los perjuicios que tal actuación provoca.

2. Alega la parte reclamada el cumplimiento de la normativa de protección de
datos en materia de información crediticia, existiendo base de legitimación suficiente.

La reclamada justifica el tratamiento efectuado en que su actuación era acorde
con el RGPD y la LOPDGDD pues la inclusión en el fichero se produjo en un momento
en que la deuda era exigible, por lo que actuó diligentemente de acuerdo con la
información que tanto la reclamante como el corresponsable ASNEF-EQUIFAX le
facilitaron.

Sin embargo, tal argumento no puede ser admitido a la luz de la
documentación aportada al expediente; la parte reclamada no observó la diligencia a
la que está obligada por el RGPD, ni con lo recogido en el contrato suscrito con
SANTANDER: cumplir las obligaciones que le impone dicho Reglamento, por lo que
ahora interesa cumplir con el principio de legitimación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/36

Sobre su voluntad de cumplir con las disposiciones del RGPD y la LOPDGDD,
hay que remitirse al Fundamento V de esta resolución en el que queda patente que el
tratamiento de datos realizado no estaba fundado en ninguna de las bases de licitud
recogidas en el artículo 6.1 del RGPD.

3. Alega la parte reclamada su disconformidad con las medias correctoras
incluidas en la Propuesta.

Y sorprende que la parte reclamada se sorprenda de que se ordene la
adopción de medidas correctoras a fin de evitar incidencias como la producida y que
ha dado lugar a la apertura del procedimiento sancionadora por infracción del artículo
6.1 del RGPD; poderes correctivos que el RGPD atribuye a la AEPD como autoridad
de control y que se relacionan en su artículo 58.2, apartados a) a j). Concretamente la
letra d) del precepto establece que la autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

Ya se contemplaba en la Propuesta dicha medida y, además, se señalaba que
en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que, en
su caso, se dictase adecuara los tratamientos objeto del presente procedimiento a la
normativa aplicable y que “En el texto de este acuerdo se establecen cuáles han sido
los hechos que han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente
su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque
de riesgos, cómo cumplir con el RGPD y la LOPDGDD” y se señalaba “como posible
medida a adoptar se señala que cuando conste acreditado que el BEPI (exoneración
del pasivo) figure inscrito en el Registro Público Concursal sea eliminada toda
posibilidad de alta de la deuda en los citados sistemas de información patrimonial”.

Hay que destacar el poder correctivo del artículo 58.2.d) del RGPD, pues a su
tenor se puede ordenar al responsable o encargado del tratamiento que las
operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda,
de una determinada manera y dentro de un plazo especificado. Esta medida es
fundamental y constituye una garantía para hacer efectivo el Derecho Fundamental a
la Protección de Datos de Carácter Personal.

Por último, las medidas correctivas son importantes porque tienden a solventar
la infracción cometida y que puedan ser corregidos los efectos de la infracción.

Y esto únicamente se puede lograr si se declara la existencia de la infracción a
través del procedimiento que corresponda de los previstos en el artículo 64 de la
LOPDGDD, pues declarada la misma, habrá que ordenar que se cumpla con la
legalidad vigente, y ello a los efectos de que no se siga vulnerando el Derecho
Fundamental a la protección de datos de carácter personal de los interesados, aunque
siempre es de reconocer y valorar el gesto de la parte reclamada en la adopción de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/36

medidas motu propio, como es la manifestada de retirar los datos de todos los
deudores incluidos en ficheros titularidad de ASNEF-Equifax.

4. Alega la parte reclamada que la AEPD no tiene en cuenta el cumplimiento de
otros hechos, como la notificación a la parte reclamante de la cesión y la supresión de
la inscripción de los datos en el momento que tuvo conocimiento del BEPI.

Y es que lo que la parte reclamada pretende que sean valorados como hechos
ajenos a su responsabilidad lo que no son sino obligaciones de obligado cumplimiento.

Así, el Contrato de compraventa de la cartera de créditos sin garantía real
suscrito entre Santander y la parte reclamada, en fecha 25/02/2021, contempla en su
Clausula 7, Comunicación de la Cesión. Protección de datos, apartado 7.1
Comunicación a los deudores, donde se establece:

7.1.1 Las Partes manifiestan que procede comunicar a los Deudores…
7.1.2 A tal efecto, las Partes han acordado el envío de comunicaciones
conjuntas, en forma de una carta firmada por un representante de cada Parte…
7.1.3 Las Partes acuerdan que las comunicaciones sean enviadas por la
entidad que el Comprador comunique al Vendedor…
(…)”

Y en lo relativo a la supresión de la inscripción de los datos en el momento que
tuvo conocimiento del BEPI, ya se recoge en la Propuesta de Resolución que el Real
Decreto Legislativo 1/2020, de 5 de mayo, por el que se aprueba el Texto Refundido
de la Ley Concursal en su artículo 492 ter. Efectos de la exoneración respecto de
sistemas de información crediticia, establece que:

“1. La resolución judicial que apruebe la exoneración mediante liquidación de la
masa activa o la exoneración definitiva en caso de plan de pagos incorporará
mandamiento a los acreedores afectados para que comuniquen la exoneración a los
sistemas de información crediticia a los que previamente hubieran informado del
impago o mora de deuda exonerada para la debida actualización de sus registros.
2. El deudor podrá recabar testimonio de la resolución para requerir
directamente a los sistemas de información crediticia la actualización de sus registros
para dejar constancia de la exoneración”.

5. Alega la parte reclamada que la sanción es desproporcionada y deberían
tenerse en cuenta circunstancias atenuantes.

Las alegaciones sobre la falta de proporcionalidad de la sanción impuesta y las
objeciones que se hacen a las agravantes contenidas en la Propuesta y la petición de
que se aprecien como atenuantes determinados factores, son una reiteración de lo
expuesto en el escrito de alegaciones al acuerdo de inicio; cuestiones que se recogen
en la propuesta de resolución y también en esta resolución.

En cuanto a las circunstancias que deberían ser tenidas en cuenta minorando
la sanción a imponer: “la ausencia de una intensidad dolosa en el tratamiento de
datos, así como un interés legítimo por su parte” (Sentencia de la Audiencia Nacional
de 18 de marzo de 2024), “la falta de intencionalidad, la actitud diligente de la parte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/36

actora, y la ausencia o falta de beneficios económicos obtenidos” (Sentencia de la
Audiencia Nacional de 3 de enero de 2021).

Sobre la falta de beneficios obtenidos, cabe señalar que tal circunstancia solo
puede operar como agravante y en ningún caso como atenuante.

El artículo 83.2.k) del RGPD se refiere a “cualquier otro factor agravante o
atenuante aplicable a las circunstancias del caso, como los beneficios financieros
obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.”

Y el artículo 76.2.c) de la LOPDGDD dice que:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:

(…)
c) Los beneficios obtenidos como consecuencia de la comisión de la
infracción.”

Ambas disposiciones mencionan como factor que puede tenerse en cuenta en
la graduación de la sanción los “beneficios obtenidos”, pero no la “ausencia” o
“inexistencia” de éstos, que es lo que la parte reclamada pretende.

A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, se
refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la
norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha
dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el
artículo cita-do.
En esta Sentencia se indica: “…el hecho de que no concurra el presupuesto
para su aplicación conlleva que no pueda ser tomada en consideración, pero no
implica ni permite, como pretende la actora, su aplicación como atenuante”.

En cuanto a “la falta de intencionalidad, la actitud diligente de la parte actora”,
hay que señalar que, en el presente caso, se aprecia que la parte reclamada no obró
con la diligencia que era procedente. Hay que recordar que la exigencia de
responsabilidad presupone que esté presente el elemento subjetivo de la infracción, es
decir la culpabilidad, requisito esencial pues rige en nuestro Derecho Administrativo
sancionador, que impide imponer sanciones basadas en la responsabilidad objetiva del
presunto infractor.

La presencia del elemento subjetivo o culpabilidad en sentido amplio, como
condición para que nazca la responsabilidad ha sido confirmada por el Tribunal
Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones
administrativas participan de la misma naturaleza que las penales al ser una de las
manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los
principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y
25.1 de la C.E., es imprescindible su existencia para imponerla.

En el mismo sentido, la Ley 40/2015 de Régimen Jurídico del Sector Público
dispone en el artículo 28, Responsabilidad, lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/36

“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”

Por tanto, la responsabilidad administrativa puede exigirse a título de dolo o de
culpa, siendo suficiente en este último caso la mera inobservancia del deber de
cuidado.

Son ejemplos de falta de diligencia en el cumplimiento de las obligaciones que
impone al responsable del tratamiento la normativa de protección de datos las citas
que hacen estas Sentencias de la Audiencia Nacional (SAN):

En la SAN de 17/10/2007 (Rec. 63/2006) se dice: “el Tribunal Supremo viene
entendiendo que existe imprudencia siempre que se desatiende un deber legal de
cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la
valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad
o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la
actividad de la recurrente es de constante y abundante manejo de datos de carácter
personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las
prevenciones legales al respecto”.

Y la SAN de 29/04/2010 que, en su Fundamento Jurídico sexto, indicó: “La
cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la
denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la
hora de tratar de identificar a la persona con la que suscribió el contrato”.

Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la
culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las
normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien
jurídico protegido por la norma que se infringe y la necesidad de que dicha protección
sea realmente eficaz (…)”.

En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD
(principio de responsabilidad proactiva), según el cual el responsable del tratamiento
será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrar su cumplimiento. El principio de proactividad transfiere al responsable del
tratamiento la obligación no solo de cumplir con la normativa en materia de protección
de datos, sino también la de poder demostrar dicho cumplimiento.

El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173-
emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas
reflexiones son aplicables en la actualidad, afirma que la “esencia” de la
responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar
medidas que, en circunstancias normales, garanticen que en el contexto de las
operaciones de tratamiento se cumplen las normas en materia de protección de datos
y en tener disponibles documentos que demuestren a los interesados y a las

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/36

Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento
de las normas en materia de protección de datos.

Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre
la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la
naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de
diversa probabilidad y gravedad para los derechos y libertades de las personas físicas,
el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a
fin de garantizar y poder demostrar que el tratamiento es conforme con el presente
Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario."

Cabría señalar cual fue la diligencia observada por la parte reclamada en
relación con la conducta que debía haber observado en relación con la conducta
examinada. La respuesta es que la diligencia que debió observar era la precisa para
cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivó la
apertura del procedimiento.

Por tanto, de conformidad con el principio de proactividad la parte reclamada
no adopto una actitud diligente para cumplir las previsiones del RGPD, vulnerando el
principio de licitud, infracción que ocasionó que los datos de la parte reclamante fueran
incluidos en los sistemas de información crediticia sin que la deuda fuera exigible,
conducta que ha existido, evidenciando la ausencia de diligencia.

En cuanto a “la ausencia de una intensidad dolosa en el tratamiento de datos,
así como un interés legítimo por su parte”, el artículo 83.2.k) contiene una cláusula
residual sobre la apreciación de cualquier otro factor, atenuante o agravante aplicable
a las circunstancias del caso”; sin embargo, en el presente caso acreditada la
culpabilidad de la parte reclamada la ausencia de intencionalidad dolosa no puede ser
apreciada puesto que ha quedado acreditado que la parte reclamada no actuó con la
diligencia que le era exigible.

IV
Obligación incumplida: artículo 6.1 del RGPD

Los hechos denunciados se materializan en la inclusión de los datos de
carácter personal de la parte reclamante en sistemas comunes de información
crediticia, en relación con una deuda adquirida al SANTANDER por la parte reclamada
y, pese a que le fue concedido la exoneración del pasivo insatisfecho, la deuda
accedió al fichero lo que podría constituir vulneración de la normativa en materia de
protección de datos.

El RGPD en su artículo 5 establece los principios que deben presidir el
tratamiento de los datos personales, y en su apartado 1 señala que:

“1. Los datos personales serán:

a) tratados de manera lícita, leal y transparente con el interesado (<<licitud,
lealtad y transparencia>>).
(…)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/36

Y en su apartado 2, establece que:

“2. El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>).”

Por su parte, el artículo 6, Licitud del tratamiento, del RGPD en su apartado 1,
establece que:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”.

Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11,
señala que:

“1) «datos personales»: toda información sobre una persona física identificada
o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador, como por ejemplo un nombre, un número de identificación,
datos de localización, un identificador en línea o uno o varios elementos propios de la
identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha
persona;

“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/36

“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”.

Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece
que:

“1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos
personales relativos al incumplimiento de obligaciones dinerarias, financieras o de
crédito por sistemas comunes de información crediticia cuando se cumplan los
siguientes requisitos:

a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su
cuenta o interés.
b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya
existencia o cuantía no hubiese sido objeto de reclamación administrativa o
judicial por el deudor o mediante un procedimiento alternativo de resolución de
disputas vinculante entre las partes.
c) Que el acreedor haya informado al afectado en el contrato o en el momento
de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas,
con indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos
relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito
deberá notificar al afectado la inclusión de tales datos y le informará sobre la
posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del
Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la
notificación de la deuda al sistema, permaneciendo bloqueados los datos
durante ese plazo.
d) Que los datos únicamente se mantengan en el sistema mientras persista el
incumplimiento, con el límite máximo de cinco años desde la fecha de
vencimiento de la obligación dineraria, financiera o de crédito.
e) Que los datos referidos a un deudor determinado solamente puedan ser
consultados cuando quien consulte el sistema mantuviese una relación
contractual con el afectado que implique el abono de una cuantía pecuniaria o
este le hubiera solicitado la celebración de un contrato que suponga
financiación, pago aplazado o facturación periódica, como sucede, entre otros
supuestos, en los previstos en la legislación de contratos de crédito al consumo
y de contratos de crédito inmobiliario.
Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del
tratamiento de los datos impugnando su exactitud conforme a lo previsto en el
artículo 18.1.a) del Reglamento (UE) 2016/679, el sistema informará a quienes
pudieran consultarlo con arreglo al párrafo anterior acerca de la mera
existencia de dicha circunstancia, sin facilitar los datos concretos respecto de
los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud
del afectado.
f) Que, en el caso de que se denegase la solicitud de celebración del contrato,
o éste no llegara a celebrarse, como consecuencia de la consulta efectuada,
quien haya consultado el sistema informe al afectado del resultado de dicha
consulta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/36

2. Las entidades que mantengan el sistema y las acreedoras, respecto del
tratamiento de los datos referidos a sus deudores, tendrán la condición de
corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por
el artículo 26 del Reglamento (UE) 2016/679.

Corresponderá al acreedor garantizar que concurren los requisitos exigidos
para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o
inexactitud.

3. La presunción a la que se refiere el apartado 1 de este artículo no ampara
los supuestos en que la información crediticia fuese asociada por la entidad que
mantuviera el sistema a informaciones adicionales a las contempladas en dicho
apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a
cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de
calificación crediticia”.

1. Hay que señalar que el tratamiento de datos requiere la existencia de una
base legal que lo legitime.

De conformidad con el artículo 6.1 del RGPD, además del consentimiento,
existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de
contar con la autorización de su titular, en particular, cuando sea necesario para la
ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición
de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de
intereses legítimos perseguidos por el responsable del tratamiento o por un tercero,
siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y
libertades fundamentales del afectado que requieran la protección de tales datos. El
tratamiento también se considera lícito cuando sea necesario para el cumplimiento de
una obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

En el presente caso, se imputa a la parte reclamada la vulneración del artículo
6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando
acreditada ninguna de las bases de legitimación previstas en el citado artículo en
relación con el tratamiento de los datos titularidad de la parte reclamante.

La parte reclamada llevó a cabo el tratamiento de los datos de la parte
reclamante sin legitimación alguna puesto que no resulta de aplicación la presunción
de licitud que contempla el artículo 20 de la LOPDGDD, toda vez que no se han
respetado las garantías que prevé el citado artículo, dado que la deuda carecía del
requisito de exigibilidad, al haberse concedido a la parte reclamante el beneficio de la
exoneración de la deuda. No hay que olvidar que la parte reclamada había tenido
conocimiento de la exoneración de la deuda por las solicitudes de supresión de datos
de la parte reclamante presentadas por ASNEF-EQUIFAX.

La LOPDGDD introduce una presunción «iuris tantum» de prevalencia del
interés legítimo del responsable del tratamiento en algunos supuestos determinados,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/36

entre ellos, el relativo al tratamiento de los datos en sistemas de información crediticia.
Así las cosas, cuando se observen las garantías que el artículo 20 de la LOPDGDD
prevé, el tratamiento podrá presumirse lícito al amparo del artículo 6.1.f) del RGPD, sin
perjuicio de que la legitimidad deba ser valorada caso a caso y sin perjuicio de que el
responsable pueda realizar la ponderación legalmente exigible cuando no se cumplan
las citadas garantías, como aclara el preámbulo de la ley al recoger:

“En el Título IV se recogen «Disposiciones aplicables a tratamientos
concretos», incorporando una serie de supuestos que en ningún caso debe
considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe
apreciar, en primer lugar, aquellos respecto de los que el legislador establece una
presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando
se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de
tratamientos cuando no se cumplen estrictamente las condiciones previstas en el
texto, si bien en este caso el responsable deberá llevar a cabo la ponderación
legalmente exigible, al no presumirse la prevalencia de su interés legítimo.”

Entre las citadas garantías, el artículo 20 de la LOPDGG contempla la
consistente en que “los datos se refieran a deudas ciertas, vencidas y exigibles, cuya
existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por
el deudor o mediante un procedimiento alternativo de resolución de disputas
vinculante entre las partes” (art. 20.1.b) RGPD).

2. De la documentación aportada se desprende que la parte reclamante
suscribió con SANTANDER un contrato, del cual se generaría una deuda.

En fecha 25/02/2021, SANTANDER y la parte reclamada suscribieron contrato
de compraventa de créditos intervenido en póliza en esa misma fecha por el notario de
Madrid, don B.B.B..

La parte reclamada como nuevo responsable del tratamiento tras la cesión del
crédito, trató los datos personales de la parte reclamante con la finalidad de gestionar
y recuperar el crédito, entre ellos el cobro de la deuda, así como cumplir con las
obligaciones legales.

De esta forma, el 23/03/2021 envió carta de a la parte reclamante informándole
de la cesión producida y, además, que si no pagaba la deuda, sus datos se incluirían
en los sistemas de información crediticia.

La parte reclamante con fecha 07/07/2021, remitió correo electrónico
informando de la existencia de un procedimiento de insolvencia y de que estaba a la
espera del BEPI:
“Como ya les he indicado en varias ocasiones a Banco Santander, me
encuentro en concurso de acreedores de persona física (ley segunda oportunidad).
Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les indiqué
que podían personarse en el procedimiento que tenía plazo hasta el día 17 de marzo
de 2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la
reclamación de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán
retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada
del concurso”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/36

Es decir, que no es cierto como afirmaba la parte reclamada en escrito de
01/02/2024, como así se recoge en los hechos probados, que “Servdebt sólo se
enteró de la existencia de BEPI el 17 de abril de 2023; la parte reclamante en fecha
07/07/2021 ya informó del concurso en el que estaba inmerso y que se encontraba a la
espera de la resolución definitiva, incluso les invitaba a personarse en el mismo,
cuestión que desestimaron.

Y la actuación de la parte reclamada fue la inclusión de los datos de la parte
reclamante en sistemas comunes de información crediticia, comúnmente llamados
ficheros de morosidad; y no solo una vez sino tres: 02/11/2022, por una deuda de (…)
euros; el 09/01/2023, por una deuda de (...)euros y el 10/04/2023, por una deuda de
(…) euros.

A mayor abundamiento, no solo fue la reclamante quien informó a la parte
reclamada de la existencia del citado procedimiento, ya que el mismo corresponsable
del sistema de información crediticia ASNEF-EQUIFAX informo de la existencia del
BEPI y no solo una vez sino dos.

ASNEF-EQUIFAX en su escrito de 25/01/2024 manifestaba que En este
momento la consumidora constaba dada de alta en nuestro fichero ASNEF a
instancias de la entidad SD IBERIAN PORTFOLIOS, por lo que se solicitó a dicha
entidad una confirmación de datos. No obtuvimos respuesta por su parte durante el
periodo de tiempo facilitado para ello, por lo que tuvimos que actuar cancelando
cautelarmente los datos.

Y que La inclusión con fecha de alta 09/01/2023 también fue cancelada de
forma cautelar por nuestra parte, con fecha 06/02/2023, por los mismos motivos que
ocasionaron la baja de la primera anotación. La consumidora ejerció nuevamente su
derecho de cancelación en nuestros ficheros con fecha 26/01/2023, y dado que SD
IBERIAN no se manifestó sobre la confirmación de datos que se le solicitó en ese
momento, se procedió a dar de baja los datos”

Por otra parte, hay que señalar que el Real Decreto Legislativo 1/2020, de 5 de
mayo, por el que se aprueba el Texto Refundido de la Ley Concursal establece en su
artículo 492 ter. Efectos de la exoneración respecto de sistemas de información
crediticia, lo siguiente:

“1. La resolución judicial que apruebe la exoneración mediante liquidación de la
masa activa o la exoneración definitiva en caso de plan de pagos incorporará
mandamiento a los acreedores afectados para que comuniquen la exoneración a los
sistemas de información crediticia a los que previamente hubieran informado del
impago o mora de deuda exonerada para la debida actualización de sus registros.
2. El deudor podrá recabar testimonio de la resolución para requerir
directamente a los sistemas de información crediticia la actualización de sus registros
para dejar constancia de la exoneración”.

A mayor abundamiento, en el contrato de compraventa de créditos, suscrito con
BANCO de SANTANDER, S.A., de fecha 25/02/2021, en su Clausula 1 Objeto,
apartado 1.3 Limitación de la responsabilidad del vendedor, se establece que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/36

“(…)
1.3.1 Las Partes reconocen que el objeto del contrato es la compraventa de la
Carter de Créditos en su conjunto, sin consideración individualizada de cada uno de
los Créditos que la componen y que se adquieren por el Comprador.

1.3.2. Asimismo, tras las reuniones entre las Partes y el proceso de due
diligence realizado por el Comprador, de conformidad con lo previsto en el Expositivo
VI anterior, el Comprador declara que conoce y acepta las características de los
Créditos y de los Datos de los Créditos. En particular, el Comprador conoce y acepta
que, sin perjuicio de las declaraciones y garantías del Vendedor bajo este Contrato:
(A) …
(B) en la fecha de efectividad algunos de los Deudores cuyos Créditos se
transmiten pueden encontrarse en situación de insolvencia, haber sido
declarados en concurso o haber solicitado su declaración, sin perjuicio de la
garantía contemplada en la Cláusula 5.1 (E), y
(E) algunos de los Créditos pueden quejar sujetos a la Ley 7/1995 de Crédito al
Consumo (o, cuando sea aplicable, a la nueva Ley 16/2011, de Contratos de
Crédito al Consumo) y, en su caso, a la ley 7/1998 d 13 de abril, sobre
Condiciones Generales de la Contratación, así como al resto de normativa
concordante.
(…)”

Por tanto, de todo lo que antecede se considera que la actuación de la parte
reclamada supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo
20.1 de la LOPDGDD, infracción del principio de licitud en el tratamiento de los datos
que requiere la existencia de una base legal que lo legitime; infracción que ocasionó
que los datos de la reclamante fueran incluidos en los sistemas de información
crediticia sin que la deuda fuera cierta, vencida y exigible, infracción tipificada en el
artículo 83.5.a) del RGPD.

V
Tipificación de la infracción del artículo 6.1 del RGPD

La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.

La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

Y en su artículo 72, considera a los solos efectos del cómputo de la
prescripción, que son: “Infracciones consideradas muy graves:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/36

1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:

(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.
(…)

VI
Propuesta sanción por infracción del artículo 6.1 del RGPD

A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/36

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.

En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:

“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”

- De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la
sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a)
y artículo 6.1 del RGPD (inclusión en ficheros de morosos sin legitimación), de la que
se responsabiliza al reclamado, se estiman concurrentes los siguientes factores:

La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto
afectan a un principio básico relativo al tratamiento de los datos de carácter personal,
como es el de legitimidad, que la norma sanciona con la mayor gravedad; los
perjuicios sufridos por la parte reclamante que afectan a su solvencia económica
incluyendo sus datos de carácter personal en sistemas comunes de información
crediticia a instancias de la parte reclamada en relación con una deuda que carecía del
requisito de la exigibilidad al haber sido exonerado de la misma, siendo evidentes los
perjuicios originados al denunciante, al ver sus datos personales indebidamente
incluidos en el fichero, así como propósito de la operación de tratamiento que no era
otra que la de proceder al cobro de una deuda inexistente (artículo 83.2.a) del RGPD).

La actividad de la entidad presuntamente infractora está vinculada de modo
habitual con el tratamiento de datos de carácter personal que se examina en el
presente procedimiento. En la actividad de la entidad reclamada es imprescindible el
tratamiento de datos de carácter personal de sus deudores, por lo que, dado el objeto
de su negocio la transcendencia de la conducta objeto de la presente reclamación es

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/36

innegable (artículo 76.2.b) de la LOPDGDD en relación con el artículo 83.2.k). (artículo
76.2.b) de la LOPDGDD en relación con el artículo 83.2.k).

La intencionalidad o negligencia en la infracción, pues el reclamado incluyó los
datos en sistemas comunes de información crediticia sin que la deuda cumpliera los
requisitos del artículo 20.1 de la LOPDGDD y sin efectuar la necesaria ponderación
para acreditar la prevalencia de su interés legítimo; es más, la parte reclamada
conociendo la situación concursal de la parte reclamante, puesto que tanto ASNEF-
EQUIFAX como la parte reclamante le habían servido información sobre la misma y,
aun así, volvió a dar de alta a los datos de carácter personal de la parte reclamante en
el sistema común fichero comúnmente llamado de morosos con las consecuencias y
perjuicios que ello puede acarrear. Conectada también con el grado de diligencia que
el responsable del tratamiento está obligado a desplegar en el cumplimiento de las
obligaciones que le impone la normativa de protección de datos puede citarse la SAN
de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento
es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de
aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo
tratamiento de datos de clientes y terceros han de observar un adecuado nivel de
diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe
imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el
infractor no se comporta con la diligencia exigible. Y en la valoración del grado de
diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no
cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de insistirse en
el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”
(artículo 83.2, b) del RGPD).

VII
Medidas correctoras

Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de
control se relacionan en su artículo 58.2, apartados a) a j).

Al confirmarse la infracción, se acuerda proponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”. La imposición de esta medida es compatible con la sanción
consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Por tanto, se considera procedente ordenar que el reclamado en el plazo de
seis meses a partir de la firmeza de la resolución sancionadora que, en todo caso, se
dicte adecúe los procedimientos relacionados con el tratamiento de datos personales
en sistemas de información crediticia, a la normativa aplicable, en particular el
procedimiento para la atención de las solicitudes de ejercicio de derechos planteadas
por las personas físicas concernidas por estos tratamientos. En el texto de este
acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración
de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/36

medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o
instrumentos concretos para implementarlas corresponda a la parte sancionada, pues
es quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD. No obstante, en el presente caso y como posible medida a adoptar se
señala que cuando conste acreditado que el BEPI (exoneración del pasivo) figure
inscrito en el Registro Público Concursal sea eliminada toda posibilidad de alta de la
deuda en los citados sistemas de información patrimonial.

Se advierte que no atender la orden impuesta por este organismo podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a SD IBERIAN PORTFOLIOS, S.A., con NIF ***NIF.1, por una
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, una
multa de 200.000 euros (doscientos mil euros).

SEGUNDO: ORDENAR a SD IBERIAN PORTFOLIOS, S.A., con NIF ***NIF.1, que en
virtud del artículo 58.2.d) del RGPD, en el plazo de seis meses desde que la presente
resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las
medidas adecuadas que eviten incidencias como las producidas de conformidad con
los establecido en el artículo 6.1 del RGPD y, en especial, la señalada en el
Fundamento VII.

TERCERO: NOTIFICAR la presente resolución a SD IBERIAN PORTFOLIOS, S.A.

Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de
esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al
sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente
resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/36

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es