Kredi Sicilindeki Verilerin Silinmemesi

1/60

 Expediente N.º: EXP202305732 (PS/00157/2024)

RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes:
ANTECEDENTES

PRIMERO: Reclamación

Con fecha 15/03/23, A.A.A. (en adelante, a parte reclamante), interpuso reclamación
ante la Agencia Española de Protección de Datos (en adelante, AEPD).

La reclamación se dirigía contra la entidad ASNEF-EQUIFAX, SERVICIOS DE
INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.:
B82064833 (la parte reclamada), por la presunta vulneración de la normativa de
protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del
Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que
respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos
(en adelante, RGPD), la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD) y en
su escrito manifiesta lo siguiente:

1.- Que con fechas 15/11/22, 16/01/23 y 14/03/23 a petición propia y previa
consulta en ASNEF, tuvo conocimiento de que sus datos personales estaban
incluidos en el fichero de solvencia a iniciativa de la entidad SD IBERIAN
PORTFOLIOS, S. A., (SD IBERIAN) con fechas de alta en el citado fichero, el
02/11/22, 09/01/23 y 07/03/23, y en las que se hace referencia a unas
presuntas cantidades impagadas con las que no estaba de acuerdo.

2.- Que, en esas mismas fechas, tras recibir los informes de ASNEF, solicitó
ejercitar el derecho de cancelación de los datos personales incluidos en el
fichero por utilización ilegal de los mismos sin haber acreditado ni la existencia
de la deuda, ni la licitud de su reclamación, ni haber sido notificado de la
inclusión en el fichero, no sólo por SD IBERIAN, sino también por la propia
ASNEF. Además, indicaba que, en los informes recibidos de ASNEF aparecía
una dirección que según manifiesta no había vivido nunca.

3.- Que las respuestas de ASNEF a las citadas solicitudes fueron las
siguientes, a la solicitud del 15/11/22, ASNEF nunca le dio una respuesta; a la
solicitud del 16/01/23, ASNEF le notifica, mediante correo electrónico que ha
procedido a dar de baja cautelar sus datos personales incluidos a instancia de
la entidad SD IBERIAN y respecto a la solicitud del 14/03/23, no ha recibió aún
respuesta.

Junto al escrito de reclamación se acompaña la siguiente documentación:

- Copia de la comunicación que ASNEF le proporciona el 25/01/23, a través del
correo electrónico (***EMAIL.1), sobre la inclusión de sus datos personales en
el fichero a instancias de la entidad SD IBERIAN y donde le informan que se ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/60

procedido a la baja cautelar en el fichero ASNEF de los datos asociados al
identificador: ***IDENTIFICADOR.1.

- Copia de la carta enviada con fecha 14/03/23, al SERVICIO DE PROTECCIÓN
AL CONSUMIDOR; FICHERO DATOS RELATIVOS AL EJERCICIO DE
DERECHOS DE LOS INTERESADOS; Apdo. (...) Madrid, solicitando la
cancelación de los datos inscritos en el fichero manifestando que no le consta
ningún tipo de relación con SD IBERIAN PORTFOLIO, ni tampoco haber
recibido comunicación alguna sobre su pretendido derecho de crédito.

SEGUNDO: Traslado a la parte reclamada

Con fecha 26/04/23, de conformidad con el artículo 65.4 de la LOPDGDD, se dio
traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis
e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo
para adecuarse a los requisitos previstos en la normativa de protección de datos.

TERCERO: Contestación de la parte reclamada

Con fecha 24/05/23, la parte reclamada presenta escrito de contestación
manifestando, entre otras cuestiones, lo siguiente:

- Que tras la consulta al Servicio de Atención al Consumidor, se procedió a dar
traslado de la misma a la entidad SD IBERIAN, y en ninguno de los tres casos,
la entidad acreedora se pronunció al respecto, por lo que se actuó dando de
baja cautelarmente los datos del reclamante y así le fue comunicado al mismo
a través de correo electrónico (***EMAIL.1), pues se detectó que la dirección
de correo electrónico a la que se remitió la respuesta a la primera solicitud, de
fecha 15/11/22 (***EMAIL.2), resultó ser errónea, motivo por el que el
consumidor no pudo recibir la primera respuesta, tal y como manifiesta en su
escrito de reclamación.

- Que tras la consulta en los ficheros ASNEF y ASNEF EMPRESAS con
los datos del reclamante, a fecha 05/05/23, únicamente constaban deudas
registradas en el fichero ASNEF a instancias de la entidad EOS SPAIN SL. No
obstante, el 10/05/23 se comprobó que existía una nueva inclusión a instancias
de la entidad SD IBERIAN pero tras la petición de confirmación de datos a
dicha entidad no se ha obtenido respuesta alguna, por lo que el 24/05/23 se
procede a cancelar cautelarmente los datos del reclamante cedidos por esta
entidad.

- Que se ha emitido contestación al reclamante informando de las
gestiones llevadas a cabo y de su situación actual en el fichero ASNEF.

Al escrito de contestación se acompaña copia de los siguientes documentos:

a).- Sobre las comunicaciones enviadas al reclamante respecto de sus solicitudes de
cancelación de datos en el fichero:

- Respecto a la solicitud de cancelación de datos realizada el 15/11/22:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/60

o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la
dirección ***EMAIL.3, fechado el 15/11/22, con el asunto, “Solicitud
ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente:
“Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho
de Cancelación, para lo que les aporto la siguiente documentación: 1.-
Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de
fecha 15-11-2022 (…)”.

o Copia del “Comprobante de envío de e-mail” de fecha 24/11/22, enviado
desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con “Bcc:
***EMAIL.4”, en el Expediente 2022/XXXXXX conteniendo como
anexo, el fichero “2022/XXXXXX.pdf”.

o Copia del escrito enviado al reclamante de fecha 24/11/22 y N EXP.
2022/XXXXXX, donde le manifiestan, entre otras cuestiones, lo
siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada
en nuestras oficinas con fecha 15 de noviembre de 2022, le
comunicamos que, tras las comprobaciones pertinentes, se ha
procedida a la Baja cautelar con la/s entidad/es SD IBERIAN
PORTFOLIOS en el Fichero ASNEF de los datos asociados al
identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la
información que finalmente aparece en ASNEF (…)”.

- Respecto a la solicitud de cancelación de datos realizada el 16/01/23:

o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la
dirección ***EMAIL.3, fechado el 16/01/23, con el asunto, “Solicitud
ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente:
“Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho
de Cancelación, para lo que les aporto la siguiente documentación: 1.-
Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de
fecha 16-01-2023 (…)”.

o Copia del “Comprobante de envío de e-mail” de fecha 25/01/23, enviado
desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc:
***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo
2023/XXXXX.pdf.

o Copia del escrito enviado al reclamante de fecha 25/01/23 y N EXP.
2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente:
“De acuerdo con su petición de CANCELACIÓN, registrada en nuestras
oficinas con fecha 16 de enero de 2023, le comunicamos que, tras las
comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s
entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los
datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo,
le adjuntamos la información que finalmente aparece asociada en el
Fichero ASNEF (…)”.

- Respecto a la solicitud de cancelación de datos realizada el 14/03/23:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/60

o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la
dirección ***EMAIL.3, fechado el 14/03/23, con el asunto, “Solicitud
ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente:
“Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho
de Cancelación, para lo que les aporto la siguiente documentación: 1.-
Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de
fecha 14-03-2023 (…)”.

o Copia del “Comprobante de envío de e-mail” de fecha 24/03/23, enviado
desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc:
***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo
2023/XXXXX.pdf.

o Copia del escrito enviado al reclamante de fecha 24/03/23 y N EXP.
2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente:
“De acuerdo con su petición de CANCELACIÓN, registrada en nuestras
oficinas con fecha 14 de marzo de 2023, le comunicamos que, tras las
comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s
entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los
datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo,
le adjuntamos la información que aparece asociada a su identificador
en ASNEF (…)”.

b).- Sobre las notificaciones de inclusión en el fichero:

- Pantallazo del fichero Auxiliar de Notificaciones donde consta la relación de
notificaciones remitidas al reclamante correspondientes a SD IBERIAN:

o ***REFERENCIA.1 SD IBERIAN PORTFOLIO ***CANTIDAD.1
03/11/2022
o ***REFERENCIA.2 SD IBERIAN PORTFOLIO ***CANTIDAD.2
10/01/2023
o ***REFERENCIA.3 SD IBERIAN PORTFOLIO ***CANTIDAD.3
08/03/2023

- Respecto al envido de referencia ***REFERENCIA.1, remitido el 03/11/22,
mediante correo postal ordinario se presenta:

o Copia de la carta, con número de referencia ***REFERENCIA.1, de
fecha 03/11/22, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
02/11/22 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.1.

o Copia del certificado expedido por SERVINFORM, S.A. indicando:

 Que con fecha 03/11/22, se recibió el fichero ***FICHERO.1,
remitido por Equifax Ibérica, con un total de 53671 registros,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/60

figurando en el mismo como primera comunicación a procesar la
de referencia (...), y última comunicación a procesar la de
referencia (...), de acuerdo a criterios de clasificación
ascendente por número de código postal.

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.1 dirigida a A.A.A. en ***DIRECCIÓN.1.

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
9942 con un total de 23429 comunicaciones y número 60901
con un total de 30242 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 04/11/22, conteniendo el fichero ***FICHERO.1.

o Albarán y nota de entrega en la oficina (...) de Correos, con fecha valor
04/11/23 y la admisión de 30242 envíos, cuyo depositante es
SERVINFORM, S.A.

o Copia del acuse de devolución de fecha 21/11/22, emitido por
HISPAPOST de la carta con referencia ***REFERENCIA.1, enviada a
A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”.

- Respecto al envido de referencia ***REFERENCIA.2 remitido el 10/01/23,
mediante correo postal ordinario:

o Copia de la carta, con número de referencia ***REFERENCIA.2, de
fecha 10/01/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
09/01/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.2.

o Copia del certificado expedido por SERVINFORM, S.A. indicando:

 Que con fecha 10/01/23, se recibió el fichero ***FICHERO.2,
remitido por Equifax Ibérica, con un total de 35444 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…), y última comunicación a procesar la de
referencia (…), de acuerdo a criterios de clasificación
ascendente por número de código postal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/60

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.2 dirigida a A.A.A. en ***DIRECCIÓN.1

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
10753 con un total de 16875 comunicaciones y número 62952
con un total de 18569 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 12/01/23, conteniendo el fichero ***FICHERO.2.

o Albarán de entrega en la oficina (...) de Correos, con fecha 12/01/23 y la
admisión de 18565 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del acuse de devolución de fecha 24/01/23, emitido por
HISPAPOST de la carta con referencia ***REFERENCIA.2, enviada a
A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”.

- Respecto al envío de referencia 2023(…) remitido el 08/03/23, mediante correo
postal ordinario:

o Copia de la carta, con número de referencia ***REFERENCIA.3, de
fecha 08/03/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
07/03/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.3.

o Copia del certificado expedido por SERVINFORM, S.A. indicando:

 Que con fecha 08/03/23, se recibió el fichero ***FICHERO.3,
remitido por Equifax Ibérica, con un total de 8019 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…), y última comunicación a procesar la de
referencia (…), de acuerdo a criterios de clasificación
ascendente por número de código postal.

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.3 dirigida a A.A.A. en ***DIRECCIÓN.1

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/60

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
11504 con un total de 3569 comunicaciones y número 64797
con un total de 4450 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 10/03/23, conteniendo el fichero ***FICHERO.3.

o Albarán de entrega en la oficina (...) de Correos, con fecha 10/03/23 y la
admisión de 4450 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del acuse de devolución de fecha 29/03/23, emitido por
HISPAPOST de la carta con referencia ***REFERENCIA.3, enviada a
A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”.

c).- Sobre otras medidas tomadas se presenta la siguiente documentación:

Respecto a la primera inclusión de datos en el fichero el día 02/11/22:

- Pantallazo del documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX
05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES
CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS:

Identificador : (…)
Ref. de carta : ***REFERENCIA.1
Entidad: 1137 - SD IBERIAN PORTFOLIO
Tipo de Notif .: Inclusión
Fecha de Alta : 02/11/2022
Fec. visualizac: 01/12/2022 (Fecha a partir de la cual sus datos son
visibles al resto de entidades).
Fec. de emision: 03/11/2022
Fec. cierre Ctb: 31/10/2022
Fec. devolución: 26/11/2022

Respecto a la segunda inclusión de datos en el fichero el día 09/01/23:

- Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX
05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES
CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS:

Identificador : (…)
Ref. de carta : ***REFERENCIA.2
Entidad: 1137 - SD IBERIAN PORTFOLIO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/60

Tipo de Notif .: Inclusión
Fecha de Alta : 09/01/2023
Fec. visualizac: 08/02/2023 (Fecha a partir de la cual sus datos son
visibles al resto de entidades).
Fec. de emisión: 10/01/2023
Fec. cierre Ctb: 06/01/2023
Fec. devolución: 04/02/2023

Respecto de la tercera inclusión de datos en el fichero el día 07/03/23:

- Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX
05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES
CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS:

Identificador : (…)
Ref. de carta : ***REFERENCIA.3
Entidad: 1137 - SD IBERIAN PORTFOLIO
Tipo de Notif .: Inclusión
Fecha de Alta : 07/03/2023
Fec. visualizac: 06/04/2023 (Fecha a partir de la cual sus datos son
visibles al resto de entidades).
Fec. de emisión: 08/03/2023
Fec. cierre Ctb: 06/03/2023
Fec. devolución: 05/04/2023

- Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha
05/05/23 donde solamente consta deudas registradas a nombre del reclamante
en el fichero ASNEF a instancias de la entidad EOS SPAIN SL.

- Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha
10/05/23 donde constan deudas registradas a nombre del reclamante en el
fichero ASNEF a instancias de la entidad EOS SPAIN SL. y de SD IBERIAN
PORTFOLIO con un saldo impagado de un saldo impagado de
***CANTIDAD.4.

- Copia del correo electrónico enviado el 10/05/23 desde el a dirección de correo
***EMAIL.5 a la dirección de correo ***EMAIL.6 solicitando una confirmación
de datos del reclamante.

- Copia de la carta remitida por el reclamado al reclamante, con fecha 24/05/23
donde se le informa de que se ha procedido a la baja cautelar de los datos
aportados a instancias de SD IBERIAN PORTFOLIOS.

- Pantallazo de la página de la aplicación “ASNEF/EQUIFAX APLICACIONES
INTERNAS DE ASNEF-EQUIFAX- S.I.C. CONSULTA DE BAJAS” de fecha
05/05/23, referente al reclamado, con la siguiente información:

OP ENTIDAD TIPO NATUR. MOT. BJ F. BAJA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/60

1137 SD IBERIAN P. T CREDITO TITULAR GDPR 24/11/22
1137 SD IBERIAN P. T CREDITO TITULAR GDPR 25/01/23
1137 SD IBERIAN P. T CREDITO TITULAR GDPR 24/03/23
1137 SD IBERIAN P. T CREDITO TITULAR CLIENTE 24/05/23

CUARTO: Inadmisión a trámite inicial

Con fecha 25/05/23, de conformidad con el artículo 65 de la LOPDGDD, por parte de
la Directora de la Agencia de Protección de Datos, se dicta acuerdo de inadmisión a
trámite de la reclamación presentada, en el procedimiento AT/02204/2023, al
considerar que había quedado atendido el derecho solicitado.

QUINTO: Presentación de recurso de reposición

Con fecha 25/06/23 se presenta en esta Agencia escrito de recurso de reposición
(RR/00448/2023), presentado por el reclamante en el que manifiesta, entre otras
cuestiones, lo siguiente:

- Que, si bien, ASNEF EQUIFAX dio respuesta a sus solicitudes de derecho de
cancelación de fechas, 09/01/23 y 07/03/23, no fue así en el caso de la
solicitud del 02/11/22, a la que nunca le respondieron.

- Que ASNEF-EQUIFAX, indica que las notificaciones fueron remitidas al
reclamante con numero de referencias ***REFERENCIA.1, ***REFERENCIA.2
y ***REFERENCIA.3, con fechas 03/11/22, 10/01/23 y 08/03/23
respectivamente, mediante correo postal ordinario a la dirección consignada
por la entidad acreedora, pero en dicha documentación se incluye la copia de
la devolución de las notificaciones, manifestando que nunca las recibió.

- Que la reclamación, no solo hacía alusión a la vulneración del art. 20.1c de la
LOPDGDD respecto a “no haber sido informado de la inclusión de sus datos
personales en el fichero ASNEF”, sino que también se alude al art. 20.1b
respecto a “que los datos se refieran a deudas ciertas, vencidas y exigibles”,
puesto que el supuesto acreedor jamás aportó documentación que acreditara
la existencia de la supuesta deuda, y el domicilio indicado era inexistente.

- Que tampoco se responde en la resolución respecto a “que el acreedor haya
sido informado al efecto en el contrato, o en el momento de requerir el pago
sobre la posible inclusión en el fichero de morosidad”.

SEXTO: Alegaciones de la parte reclamada al recurso de reposición

Con fecha 26/02/24, se recibe en esta Agencia escrito de contestación de la entidad
reclamada en el que manifiesta, entre otras cuestiones, lo siguiente:

- Sobre el punto número 1 de las alegaciones del reclamante, indican que, tal y
como ya se acreditó en la respuesta del 24/05/23, esa solicitud fue gestionada
bajo el número de expediente 2022/XXXXXX pero que se utilizó como dirección
de respuesta un correo electrónico erróneo y por consiguiente la contestación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/60

no fue recibida por el reclamante. No obstante, los trámites de la cancelación
solicitada por el reclamante se gestionaron correctamente.

- Que se procedió a dar traslado de las solicitudes del reclamante a la entidad
acreedora, SD IBERIAN PORTFOLIO, sin que ésta se pronunciase al respecto
por lo que se realizó una baja cautelar de los datos del reclamante del fichero.

- Que el histórico de consultas que se incluye en la contestación al siguiente
ejercicio de derecho que remite el reclamante durante el mes de enero de
2023, y que fue atendido bajo el número de expediente 2023/XXXXX, recoge
también las dos consultas de la primera contestación que no recibió.

- Que sobre las alegaciones referentes a las notificaciones de inclusión en el
fichero, en las que manifiesta que no ha recibido ningún tipo de comunicación
al respecto, indican que la dirección a la que se remiten dichas notificaciones
fue proporcionada por el acreedor, responsable de la calidad de los datos
cedidos al fichero y que tal y como ya se documentó el 24/05/23, las
inclusiones que hubo por parte del acreedor hasta ese momento se
comunicaron al reclamante mediante las notificaciones de referencia
***REFERENCIA.1, ***REFERENCIA.2 y ***REFERENCIA.3, si bien es cierto
que todas ellas resultaron devueltas.

- Que consta haber tramitado el envío de notificaciones de inclusión posteriores
a instancias de SD IBERIAN PORTFOLIO de referencias ***REFERENCIA.4 y
***REFERENCIA.5, enviadas el 09/05/23 y 08/07/23 respectivamente, a la
misma dirección de contacto que las remitidas con anterioridad, sin que hasta
la fecha hayan llegado devueltas.

Respecto al envío de referencia ***REFERENCIA.4 remitido el 09/05/23, mediante
correo postal, se presenta la siguiente documentación:

o Copia de la carta, con número de referencia ***REFERENCIA.4, de
fecha 09/05/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.4.

o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como
entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373
indicando:

 Que con fecha 09/05/23, se recibió el fichero ***FICHERO.4,
remitido por Equifax Ibérica, con un total de 18421 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…) y última comunicación a procesar la de
referencia (…), de acuerdo a criterios de clasificación
ascendente por número de código postal.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/60

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.4 dirigida a A.A.A. en ***DIRECCIÓN.1.

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
12276 con un total de 8624 comunicaciones y número 66488
con un total de 9797 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 11/05/23, conteniendo el fichero
CREDI_INCLU_SP.

o Albarán de entrega en la oficina (...) de Correos, con fecha 11/05/23 y la
admisión de 9797 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del Certificado emitido por ILUNION CEE CONTACT CENTER,
S.A (anteriormente ILUNION IT SERVICES S.A) de fecha 23/02/24,
donde manifiesta: “Que, consultados los archivos relativos a la
prestación de servicio que se mantiene con Equifax, actualmente no
consta en depósito y custodia en las oficinas de Ilunión CEE Contact
Center, S.A. la Notificación de Referencia ***REFERENCIA.4 ni ha sido
objeto de su tratamiento por algún motivo de devolución”.

Respecto al envido de referencia ***REFERENCIA.5 remitido el 08/07/23, mediante
correo postal, se presenta la siguiente documentación:

o Copia de la carta, con número de referencia ***REFERENCIA.5, de
fecha 08/07/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.6.

o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como
entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373
indicando:

 Que con fecha 08/07/23, se recibió el fichero ***FICHERO.5,
remitido por Equifax Ibérica, con un total de 18421 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…) y última comunicación a procesar la de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/60

referencia (…) de clasificación ascendente por número de
código postal.

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.5 dirigida a A.A.A. en ***DIRECCIÓN.1

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
68319 con un total de 5924 comunicaciones y número 13208
con un total de 6523 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 21/07/23, conteniendo el fichero
CREDI_INCLU_SP.

o Albarán de entrega en la oficina (...) de Correos, con fecha 20/07/23 y la
admisión de 5924 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del Certificado emitido por Ilunion CEE Contact Center, S.A
(anteriormente Ilunion IT Services S.A) de fecha 23/02/24, donde
manifiesta: “Que, consultados los archivos relativos a la prestación de
servicio que se mantiene con Equifax, actualmente no consta en
depósito y custodia en las oficinas de Ilunion CEE Contact Center, S.A.
la Notificación de Referencia ***REFERENCIA.5 ni ha sido objeto de su
tratamiento por algún motivo de devolución”.

SÉPTIMO: Resolución del recurso de reposición

Con fecha 07/03/24, por parte de la Directoria de la Agencia de Protección de datos se
dicta resolución estimatoria del recurso de reposición (RR/00448/2023), en base a que
había quedado constado que las notificaciones de inclusión en el fichero de solvencia
ASNEF por SD IBERIAN PORTFOLIO no fueron gestionadas debidamente por la parte
de la reclamada, habida cuenta que las cartas le fueron devueltas al ser enviadas a
una dirección donde el reclamante era desconocido, no constando que se cumpliera
con la obligación establecida en el artículo 40.5 del Reglamento de desarrollo de la
Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter
personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), de
comprobar con la entidad acreedora si la dirección utilizada para la notificación
correspondía con la contractualmente pactada a efectos de comunicaciones.

OCTAVO: Acuerdo de inicio de procedimiento sancionador
Con fecha 30/05/24, la Directora de la Agencia Española de Protección de Datos
acordó iniciar procedimiento sancionador a la entidad ASNEF-EQUIFAX, SERVICIOS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/60

DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (ASNEF) con CIF.:
B82064833, por la presunta infracción del Artículo 17 del RGPD, tipificada en el
artículo 83.5.b) del RGPD y por la presunta infracción del artículo 6.1 del RGPD,
tipificada en el Artículo 83.5.a) del RGPD.

En el acuerdo de apertura se determinó que la sanción que pudiera corresponder,
atendidas las evidencias existentes en el momento de la apertura del expediente
ascendería 100.000 euros (cien mil euros), por la infracción del artículo 17 del RGPD y
de 100.000 euros (cien mil euros), por la infracción del artículo 6.1 del RGPD, siendo
la sanción total de 200.000 euros (doscientos mil euros).

NOVENO: Alegaciones al acuerdo de inicio

Notificado el citado acuerdo de inicio conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó escrito de alegaciones el 20/06/24, en el que
manifestaba, en esencia, lo siguiente:

- En relación con la inclusión y accesibilidad de los datos en el fichero de
solvencia patrimonial, indica que los datos personales del reclamante no
llegaron a ser publicados ni accesibles en el fichero común de solvencia
patrimonial (ASNEF), de modo que las operaciones impagadas atribuidas al
reclamante no fueron visibles para ninguna entidad financiera o de crédito. En
consecuencia, no se ha producido perjuicio alguno ni vulneración del derecho
al honor del reclamante, puesto que los datos permanecieron bloqueados y
solo pudieron ser consultados por el propio afectado mediante el ejercicio de su
derecho de acceso por lo que no cabe considerar la existencia de un
tratamiento ilícito de datos, en tanto que el tratamiento de las operaciones
impagadas no llegó a materializarse.

- Que en relación con la presunta infracción del artículo 17 del RGPD, alega que
el ejercicio de supresión solicitado por el reclamante carecía de soporte o
justificación suficiente que acreditara la inexistencia, improcedencia o
inexactitud de la deuda, tratándose de meras manifestaciones de parte y
defiende la imposición a ASNEF de la obligación de proceder a la baja
definitiva de los datos, sin prueba alguna que desvirtúe la veracidad de la
deuda, supondría una quiebra del principio de seguridad jurídica y
desnaturalizaría la función del fichero común de solvencia patrimonial como
instrumento esencial para garantizar la adecuada evaluación de la solvencia en
el tráfico económico y financiero y que no obstante, ASNEF procedió a la
cancelación cautelar de los datos del reclamante en las fechas oportunas
(24/11/2022, 25/01/2023 y 24/03/2023), al no recibir contestación de la entidad
acreedora, cumpliendo así con su obligación de bloqueo de los datos mientras
se resolvía la controversia.

- Que en relación con la actuación exigible al responsable del fichero común en
caso de solicitud de supresión de datos, indica que, a la luz de esta doctrina del
TS (Sentencia núm. 2040/2014, Sentencia núm. 247/2021), resulta evidente
que ASNEF actuó conforme a la normativa vigente, ya que, sin tener
participación directa en la relación contractual subyacente entre el reclamante y
SD Iberian, procedió diligentemente a realizar las gestiones que le eran
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/60

exigibles trasladó la solicitud de supresión al acreedor responsable de la
inclusión y verificó la permanencia de la deuda antes de resolver.

- Que debe destacarse que la apertura del procedimiento sancionador por
parte de la AEPD supone un quiebre del principio de confianza legítima y de
seguridad jurídica que debe regir las relaciones entre los administrados y la
Administración pues la conducta observada por ASNEF ha venido siendo
aceptada y conocida por la propia AEPD en múltiples expedientes anteriores,
sin que se hubiera reprochado dicha actuación hasta la fecha. El cambio de
criterio sancionador, basado en resoluciones judiciales posteriores a los hechos
objeto de análisis, exige que la Administración lo comunique previamente
mediante recomendaciones, instrucciones o guías, y no mediante la imposición
directa de sanciones, tal y como ha reconocido la AN.

- En cuanto a la condición de ASNEF como corresponsable del tratamiento de
datos y su actuación ante las solicitudes de supresión formuladas por el
reclamante, alegaba que el artículo 26.3 RGPD únicamente establece que el
interesado podrá ejercitar sus derechos frente a cualquiera de los
corresponsables del tratamiento, sin que ello implique que todos ellos deban
asumir idénticas obligaciones materiales en la resolución de dichas solicitudes
y que por tanto, la AEPD, al atribuir a ASNEF-EQUIFAX responsabilidad
sancionadora derivada de no haber procedido a la supresión definitiva de los
datos, interpreta de forma extensiva y contraria al tenor literal del precepto la
responsabilidad de los corresponsables, ignorando además la doctrina
consolidada del Tribunal de Justicia de la Unión Europea (TJUE) y las
Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) y en
este sentido, ASNEF ha actuado conforme a Derecho, al remitir las solicitudes
de supresión al acreedor responsable de la inclusión de los datos y, en
ausencia de respuesta, proceder a la cancelación cautelar de los mismos. La
asignación de competencias entre corresponsables, recogida en el acuerdo de
corresponsabilidad suscrito, delega expresamente en el acreedor la valoración
y resolución sobre el fondo de las solicitudes de cancelación.

- En relación con la presunta infracción del artículo 6.1 del RGPD, defiende que,
según la jurisprudencia del Tribunal Supremo (Sentencias núm. 226/2012,
614/2018 y otras) el titular del fichero no tiene obligación ni competencia para
comprobar la existencia o certeza de las deudas comunicadas, por tratarse de
una cuestión que excede sus competencias y está fuera de su esfera de control
y en cuanto a la gestión de las notificaciones de inclusión y las cartas
devueltas, defiende que ha actuado conforme a lo dispuesto en el artículo 40
del Real Decreto 1720/2007, siguiendo un procedimiento auditado,
independiente y automatizado de confirmación con la entidad acreedora, en
aquellos casos en los que las notificaciones resultan devueltas y debe
destacarse que en el presente caso, las fechas de devolución de las
notificaciones fueron posteriores a las fechas en las que ASNEF ya había
procedido a la baja cautelar de los datos del reclamante, en atención al
ejercicio del derecho de supresión.

- En relación con la alegada ausencia de base legitimadora para el tratamiento
de datos personales por parte de ASNEF, defiende que, a tenor de lo dispuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/60

en el artículo 20 LOPDGDD, debe destacarse que dicho precepto no implica
que la ausencia de alguno de estos requisitos determine automáticamente la
ilicitud del tratamiento de datos, sino que establece un marco en el que, salvo
prueba en contrario, se presume la existencia de un interés legítimo prevalente
que justifica dicho tratamiento, conforme al artículo 6.1 del RGPD y por tanto, la
interpretación sistemática del artículo 20 de la LOPDGDD y de la normativa
europea en materia de protección de datos impide considerar que ASNEF
tenga la obligación legal de verificar la existencia, veracidad o certeza de la
deuda antes de proceder a su tratamiento, responsabilidad que corresponde
exclusivamente al acreedor, de acuerdo con el artículo 20.2 de la LOPDGDD y
en consecuencia, no resulta procedente la imputación de responsabilidad
sancionadora a ASNEF al no haber realizado tratamiento de datos contrario a
derecho, y habiendo actuado dentro del marco normativo aplicable y en estricto
cumplimiento de las obligaciones que le corresponden como entidad gestora
del sistema de información crediticia.

- Que ASNEF tramitó correctamente las solicitudes de supresión formuladas por
el reclamante, procediendo a la cancelación cautelar de sus datos dentro de los
plazos legalmente previstos y tras no recibir contestación del acreedor, tal y
como establece el artículo 44 del Real Decreto 1720/2007. Asimismo, cumplió
con lo dispuesto en el artículo 40.5 del citado Reglamento respecto de la
gestión de las notificaciones de inclusión devueltas, sin que procediera
consulta adicional a la entidad acreedora por cuanto los datos ya habían sido
dados de baja y no existía tratamiento activo de los mismos y que la eventual
discrepancia de criterio de la AEPD respecto a la necesidad de proceder a la
cancelación definitiva de los datos no puede fundamentar la existencia de
negligencia, dado que ASNEF aplicó razonablemente los criterios de cautela y
diligencia exigibles en función de su posición.

- En cuanto a la proporcionalidad de las sanciones propuestas por AEPD
resultan absolutamente desproporcionadas y contrarias a los principios que
rigen el Derecho sancionador pues en primer lugar, las infracciones imputadas
se encuentran íntimamente conectadas entre sí y conforme a lo dispuesto en el
artículo 29.5 de la Ley 40/2015, de Régimen Jurídico del Sector Público,
procede la aplicación del principio de concurso medial de infracciones,
imponiéndose únicamente la sanción correspondiente a la infracción más grave
y por otra parte, la aplicación de circunstancias agravantes por parte de la
AEPD carece de justificación, toda vez que los datos personales del
reclamante nunca llegaron a ser visibles en el fichero común de solvencia
patrimonial (ASNEF), dado que fueron cancelados cautelarmente antes de que
finalizara el plazo de bloqueo de treinta días previsto en el artículo 20 de la
LOPDGDD. Ello evidencia la ausencia de perjuicio alguno para el afectado, lo
que excluye la procedencia de considerar la gravedad o duración de la
supuesta infracción como elementos agravantes. En definitiva, imponer a
ASNEF las sanciones propuestas por la AEPD resultaría contrario a los
principios de proporcionalidad y culpabilidad.

Como contestación a dichas alegaciones, esta Agencia manifestó, en síntesis, lo
siguiente, incluido en la Propuesta de Resolución:
a).- Sobre el artículo 17 del RGPD y artículo 32 de la LOPDGDD:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/60

- Primero: En sus alegaciones, la entidad reclamada sostiene que los
datos personales del reclamante nunca fueron accesibles a terceros, ya que
permanecieron bloqueados y únicamente eran visibles para el propio afectado,
mediante el ejercicio del derecho de acceso. En consecuencia, defiende que no
se produjo un tratamiento de datos susceptible de infringir la normativa
aplicable. No obstante, del análisis efectuado por esta Agencia se desprende
que la conducta imputada no deriva de la supuesta visibilidad de los datos, sino
de la inadecuada gestión del derecho de supresión ejercido por el reclamante.
La entidad reclamada se limitó a trasladar las solicitudes al acreedor SD
IBERIAN, sin analizarlas ni emitir una respuesta sustantiva, incumpliendo así el
deber de atender directamente los derechos del interesado.

Del mismo modo, se ha constatado que las solicitudes de baja cautelar de los
datos personales en el fichero de solvencia se efectuaron pocos días antes de
que fuesen accesibles a terceros. Sin embargo, este bloqueo previo no exime a
la entidad de su obligación de haber gestionado adecuadamente el derecho de
supresión, conforme al artículo 17 del RGPD y al artículo 32 de la LOPDGDD,
que exige medidas técnicas y organizativas para impedir el tratamiento de
datos en determinadas circunstancias.
Además, se ha identificado un defecto en la notificación de la resolución de las
solicitudes al reclamante, al haber sido enviadas a una dirección de correo
electrónico incorrecta, a pesar de que la entidad disponía de la dirección
correcta, como lo demuestra una notificación anterior enviada correctamente.
Por tanto, se confirma que la parte reclamada incurrió en una actuación pasiva
ante el ejercicio de un derecho fundamental, lo que constituye un
incumplimiento material de la normativa vigente en materia de protección de
datos personales.
- Segundo: La parte reclamada alegó que, al no contar con documentación
justificativa por parte del reclamante, procedió únicamente a la baja cautelar de
los datos sin llegar a su supresión definitiva, argumentando que ello podría
comprometer la estabilidad del sistema de información crediticia.

Sin embargo, esta interpretación no se ajusta a lo señalado en el acuerdo de
inicio del procedimiento sancionador, donde se dejó claro que la entidad
reclamada debía resolver la solicitud de supresión del reclamante mediante el
bloqueo de los datos, conforme al artículo 17 del RGPD en relación con el
artículo 32 de la LOPDGDD, con el fin de impedir su tratamiento mientras se
resolvía la reclamación.

La Agencia subraya que no se exigía una baja definitiva sin justificación, sino
una tramitación diligente y conforme a derecho de la solicitud presentada,
obligación que recae directamente en cada corresponsable del tratamiento
según el artículo 26.3 del RGPD. Lejos de ello, la entidad reclamada se limitó a
remitir las solicitudes al acreedor (SD IBERIAN) y a constatar su falta de
respuesta, sin llevar a cabo un análisis propio ni emitir una contestación
sustantiva al interesado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/60

En apoyo de esta posición, se invoca jurisprudencia del Tribunal Supremo (STS
01/02/2014), que establece que el responsable del fichero no puede actuar de
forma automática ni acrítica ante la falta de documentación o respuesta del
acreedor, sino que debe valorar el ejercicio del derecho de supresión.

Por tanto, la conducta de la reclamada evidencia una omisión en su deber de
actuación activa y diligente como corresponsable del tratamiento, incumpliendo
con ello los principios de responsabilidad proactiva y tutela efectiva de los
derechos del interesado consagrados en la normativa de protección de datos.

- Tercero: La entidad reclamada sostiene que cumplió con lo dispuesto en el
artículo 44 del Real Decreto 1720/2007 al gestionar las solicitudes de supresión
presentadas por el reclamante y proceder a la baja cautelar de los datos, una
vez constatada la falta de respuesta del acreedor. Añade que el reclamante no
aportó pruebas documentales que acreditaran la improcedencia de la inclusión,
y cita jurisprudencia del Tribunal Supremo (STS 247/2021 y 562/2020) en
apoyo de la idea de que no toda oposición convierte la deuda en incierta o
dudosa.

Asimismo, considera que la sanción impuesta por la AEPD representa una
alteración del criterio interpretativo previamente aplicado, lo que, en su opinión,
vulneraría el principio de confianza legítima. Invoca para ello la STS
4607/2022, en relación con la aplicación del procedimiento establecido en el
RD 1720/2007 para la gestión de los derechos ejercidos ante sistemas de
información crediticia.

No obstante, esta Agencia aclara que la base del procedimiento sancionador
no se encuentra en la supuesta obligación de proceder a la baja definitiva de
los datos sin pruebas, sino en la inobservancia del deber de tramitación
diligente del derecho de supresión, conforme al artículo 26.3 del RGPD. Lejos
de cumplir con esta exigencia, la entidad reclamada se limitó a trasladar las
solicitudes al corresponsable del tratamiento (SD IBERIAN), sin realizar
valoración propia ni emitir una contestación motivada al reclamante, y sin
agotar las obligaciones derivadas de su posición como corresponsable del
fichero.

En este sentido, la jurisprudencia citada por la propia reclamada, lejos de
exonerarla, refuerza el criterio de esta Agencia: el responsable del fichero
común no puede actuar de forma automática ni trasladar sin más las
solicitudes, sino que debe valorar razonadamente su contenido y resolver
conforme a la normativa aplicable. El hecho de que se optara por una baja
cautelar, sin más actuaciones, no subsana la omisión del deber de respuesta
efectiva al reclamante ni exime del cumplimiento íntegro de la normativa en
materia de protección de datos.

- Cuarto: La entidad reclamada sostiene que la interpretación realizada por la
AEPD del artículo 26.3 del RGPD es incorrecta, argumentando que la
corresponsabilidad en el tratamiento de datos no implica una responsabilidad
equivalente entre los distintos agentes involucrados, conforme a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/60

jurisprudencia del TJUE y del Tribunal Supremo. Señala que dicha
corresponsabilidad no obliga a cada agente a atender por igual el ejercicio de
derechos, especialmente cuando no se aporta documentación que acredite la
improcedencia del tratamiento de los datos.

No obstante, la Agencia recuerda que el artículo 26.3 del RGPD establece con
claridad que los interesados podrán ejercer sus derechos frente a cualquiera de
los corresponsables del tratamiento, independientemente de los términos del
acuerdo interno entre ellos. Por tanto, todos los corresponsables están
legalmente obligados a atender las solicitudes de derechos de forma directa,
no bastando con su mero traslado a otro agente del tratamiento.

Se enfatiza que ASNEF, en su calidad de corresponsable, debía dar respuesta
fundada a las solicitudes de supresión recibidas, valorando la información y los
antecedentes disponibles, y proceder conforme a derecho, lo que incluye el
bloqueo previo de los datos si se cumplen las condiciones establecidas en el
artículo 32 de la LOPDGDD. Lejos de ello, la entidad reclamada se limitó a
reenviar las solicitudes al acreedor (SD IBERIAN), y tras la falta de
contestación, practicó una baja cautelar sin motivación ni resolución formal.

La jurisprudencia invocada por la reclamada, lejos de eximir su
responsabilidad, confirma la obligación de cada corresponsable de actuar con
diligencia y transparencia. En particular, la sentencia del Tribunal Supremo
citada reconoce que el responsable del fichero no puede escudarse en la
ausencia de documentación o en la actuación del acreedor para eludir su deber
de resolver adecuadamente las solicitudes de derechos.

Finalmente, se aclara que el presente procedimiento no introduce un cambio de
criterio normativo, como insinúa la parte reclamada, sino que se fundamenta en
la inadecuada tramitación de las solicitudes de supresión del reclamante. Si
bien el Real Decreto 1720/2007 mantiene su vigencia en cuanto a la legitimidad
de la inclusión de datos en ficheros de solvencia, la atención de los derechos
de supresión debe regirse exclusivamente por el RGPD y la LOPDGDD.

Respecto a la presunta infracción del artículo 6.1 RGPD:
- Primero: La entidad reclamada alega que no queda claro qué precepto del
artículo 20 de la LOPDGDD se considera vulnerado por parte de esta Agencia.
Sin embargo, el acuerdo de incoación del expediente sancionador ya
especificaba que a ASNEF-EQUIFAX, como entidad que mantiene el sistema
de información crediticia en calidad de corresponsable, le resulta de aplicación
lo dispuesto en el art. 20.2 de la LOPDGDD, en conexión con el art. 26 del
RGPD.

Dicho artículo atribuye a las entidades que mantienen el fichero, así como a las
acreedoras, la condición de corresponsables, debiendo ambas garantizar que
el tratamiento de datos personales se ajusta a la legalidad, incluida la
existencia de una base legitimadora conforme al artículo 6.1 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/60

En este sentido, el artículo 40 del Real Decreto 1720/2007 (vigente en este
extremo conforme a la STS de 20/12/2022, rec. 2737/2022), impone al
responsable del fichero común la obligación de notificar cada inclusión de datos
al afectado mediante un medio fiable y auditable, debiendo abstenerse de tratar
los datos si dicha notificación resulta devuelta y no se ha verificado la dirección
con el acreedor.

De la documentación aportada por la propia reclamada se desprende que las
notificaciones de inclusión dirigidas al reclamante fueron devueltas por Correos
por tratarse de una dirección incorrecta, situación conocida por la entidad, que
no adoptó medida alguna para verificar la dirección con el acreedor antes de
efectuar nuevos envíos. Así, se vulneró el artículo 40.5 del RLOPD, al no
haberse comprobado la veracidad del domicilio antes de proceder con
posteriores notificaciones.

Esta falta de diligencia demuestra la ausencia de una base legitimadora válida
para el tratamiento de los datos del reclamante, ya que no se garantizó un
cumplimiento adecuado del principio de licitud recogido en el artículo 6.1 del
RGPD. La reiteración en el uso de una dirección conocida como errónea refleja
una actuación contraria al principio de diligencia debida que rige en materia de
protección de datos personales.

- Segundo: La entidad reclamada sostiene que cumplió con las obligaciones
legales en materia de notificación, conforme al artículo 20 de la LOPDGDD y el
artículo 40 del Real Decreto 1720/2007, y argumenta que la responsabilidad
sobre la exactitud de la dirección postal corresponde exclusivamente a la
entidad acreedora. Alega también que el sistema de notificaciones cuenta con
procesos automáticos de gestión de devoluciones y que, en este caso, las
notificaciones fueron devueltas una vez que los datos ya habían sido dados de
baja en el sistema, eximiéndola de nuevas verificaciones.

Asimismo, la reclamada afirma que, al no ser quien facilita los datos al fichero
de solvencia, no tiene responsabilidad sobre su exactitud o veracidad,
atribuyendo esta al acreedor conforme al artículo 20.1.a de la LOPDGDD.

No obstante, esta Agencia recuerda que el artículo 20.2 de la LOPDGDD
establece la corresponsabilidad en el tratamiento entre las entidades que
gestionan el sistema y los acreedores, conforme al artículo 26 del RGPD. En
virtud de esta corresponsabilidad, la reclamada tiene la obligación de velar por
que el tratamiento de los datos personales sea conforme a derecho, lo que
incluye la verificación de que las condiciones de inclusión en el fichero se
cumplan debidamente.

En este caso, consta acreditado que las notificaciones postales enviadas al
reclamante fueron devueltas por el servicio de correos con la indicación de
“Desconocido” en tres ocasiones consecutivas, en un intervalo de cuatro
meses, sin que la reclamada comprobara con el acreedor si la dirección
utilizada coincidía con la contractualmente pactada, tal como exige el artículo
40.5 del RLOPD. Esta omisión demuestra una actuación negligente y contraria
al principio de diligencia debida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/60

En consecuencia, al no haberse llevado a cabo una notificación válida y
persistir en el tratamiento de los datos personales del reclamante, la entidad
reclamada incurrió en una falta de licitud en el tratamiento conforme al artículo
6.1 del RGPD, al carecer de una base legitimadora válida para continuar
registrando los datos en el fichero de solvencia.

- Tercero: La entidad reclamada defiende que el artículo 20 de la LOPDGDD
establece una presunción iuris tantum sobre la legitimidad del tratamiento de
datos en los sistemas de información crediticia, y que, en virtud de ello, la
responsabilidad de garantizar la base legitimadora recae exclusivamente en el
acreedor. Argumenta también que, al no haberse publicado finalmente los
datos, no se habría producido infracción alguna.

Sin embargo, el artículo 20 de la LOPDGDD establece claramente que, si bien
corresponde al acreedor acreditar que concurren los requisitos materiales para
la inclusión de una deuda en el fichero (cierta, vencida, exigible, no impugnada,
notificada adecuadamente), también impone a la entidad que gestiona el
sistema la condición de corresponsable del tratamiento de los datos, conforme
al artículo 26 del RGPD. Como tal, esta última debe verificar que el tratamiento
se realice conforme a la legalidad y con respeto a los derechos del interesado.

En este contexto, el artículo 40.5 del Real Decreto 1720/2007 impone al
responsable del fichero la obligación de verificar con el acreedor la validez de
la dirección cuando una notificación de inclusión resulte devuelta. En el caso
presente, las tres notificaciones enviadas al reclamante entre noviembre de
2022 y marzo de 2023 fueron devueltas con la mención "Desconocido", sin que
la reclamada tomara medidas para corregir la dirección ni para contactar con el
acreedor, como exige la norma.

Esta reiterada omisión evidencia una falta de diligencia debida en la gestión de
los datos personales y vulnera el principio de exactitud del artículo 5.1.d del
RGPD, que exige garantizar que los datos personales sean precisos y
actualizados, y que se adopten medidas razonables para rectificar cualquier
inexactitud.

La alegación de que los datos no llegaron a ser publicados porque se
practicaron “bajas cautelares” no elimina la infracción, ya que la ilicitud se
materializa en el momento en que se registra y trata un dato sin base
legitimadora válida, hecho que no se subsana por la actuación posterior del
afectado al ejercer su derecho de supresión.

Asimismo, la reclamada sostiene que no puede ser considerada responsable
de la infracción del artículo 6.1 del RGPD por no ser quien facilita los datos. Sin
embargo, esta interpretación ignora que el responsable del fichero tiene el
deber de abstenerse de tratar datos cuando no se hayan verificado
adecuadamente los requisitos formales, entre ellos, la correcta notificación al
interesado. La corresponsabilidad implica una obligación activa de control y
verificación, no una mera gestión pasiva de los datos que le remite el acreedor.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/60

Por tanto, queda acreditado que la reclamada no cumplió con las obligaciones
legales que le corresponden como corresponsable del tratamiento, lo que
supone una infracción del artículo 6.1 del RGPD al haberse realizado un
tratamiento de datos sin una base jurídica válida.

- Cuarto: La entidad reclamada alega que, según la jurisprudencia del TJUE
(asunto C-683/21) y el considerando 148 del RGPD, sólo pueden imponerse
sanciones si se acredita que la infracción fue cometida con dolo o negligencia.
Defiende que su actuación no fue intencionada ni negligente, al haber
adoptado medidas como la baja cautelar de los datos antes de su publicación,
por lo que solicita que, en su caso, se opte por un apercibimiento en lugar de
una multa.

No obstante, el artículo 28.1 de la (LRJSP) establece que puede imponerse
responsabilidad administrativa no sólo por dolo, sino también por culpa,
entendida esta última como negligencia o imprudencia. En este sentido, basta
con que el sujeto haya omitido las medidas que razonablemente eran exigibles
para evitar la infracción, aunque no exista intención directa de causar perjuicio.

En el presente caso, ha quedado acreditado que la reclamada intentó notificar
en tres ocasiones la inclusión de los datos del reclamante en el fichero de
solvencia utilizando la misma dirección incorrecta, a pesar de haber recibido
una devolución en el primer intento. No adoptó, por tanto, la medida que exigía
el artículo 40.5 del RLOPD: verificar con la entidad acreedora si la dirección era
la contractualmente pactada con el cliente antes de continuar con el
tratamiento de los datos personales.

Esa omisión constituye un comportamiento negligente, por cuanto no se actuó
con la diligencia debida esperada en la gestión de un sistema de información
crediticia que implica tratamiento de datos personales de especial sensibilidad.
Esta falta de actuación proactiva y preventiva configura una infracción a título
de culpa, suficiente en el marco del derecho sancionador para justificar la
imposición de una sanción.

Por tanto, la conducta de la reclamada no puede considerarse exenta de
responsabilidad. La reiteración de los intentos de notificación a una dirección
incorrecta, sin verificación posterior, evidencia una actuación negligente y
contraria a las exigencias legales de exactitud, licitud y diligencia en el
tratamiento de datos personales, en particular cuando dicho tratamiento puede
afectar significativamente a los derechos del interesado.

- Quinto: La entidad reclamada alega que, aun en el caso de que se considerara
su conducta negligente o dolosa, la sanción propuesta sería desproporcionada,
solicitando la aplicación del principio de concurso medial de infracciones
previsto en el artículo 29.5 de la Ley 40/2015 (LRJSP), de modo que sólo se
impusiera la sanción más grave. Asimismo, solicita la aplicación de atenuantes
conforme al artículo 83.2 del RGPD, alegando la breve duración de la
infracción y la supuesta ausencia de perjuicio efectivo al reclamante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/60

Sin embargo, el concurso medial requiere que una infracción sea el medio
necesario para cometer otra, circunstancia que no concurre en este caso. La
infracción del artículo 17 del RGPD, relativa a la deficiente atención del
derecho de supresión, y la del artículo 6.1 del RGPD, relativa a la falta de base
legítima para el tratamiento de datos, responden a hechos distintos,
independientes entre sí, y no interdependientes. Cada una tiene su propia
causa y efectos, por lo que procede su valoración y sanción individual.

En cuanto a la alegación de desproporción de la sanción y solicitud de
atenuante, cabe recordar que el artículo 83.2 del RGPD exige ponderar
diversas circunstancias para determinar la procedencia y cuantía de la sanción.
En este caso, se han tenido en cuenta agravantes, tanto en la infracción del
artículo 17 RGPD (por limitar indebidamente el ejercicio de derechos por parte
de los interesados y actuar con conocimiento previo de su obligación legal),
como en la infracción del artículo 6.1 RGPD (por tratarse de una vulneración
del principio básico de licitud del tratamiento, con perjuicio potencial para la
solvencia económica del afectado y sin la diligencia exigible).

No procede por tanto aplicar atenuantes, ya que el breve lapso temporal
alegado no enerva la gravedad de los hechos ni la falta de medidas correctoras
adecuadas por parte de la reclamada.

Por último, en relación con la petición de prueba formulada por la reclamada —
consistente en requerir al acreedor SD IBERIAN la confirmación de la dirección
y el envío de la comunicación de deuda—, esta se considera improcedente y
no pertinente. No es objeto de la imputación la dirección en sí misma, sino la
reiteración de notificaciones a un domicilio que la entidad sabía que era
erróneo, sin haber verificado la información conforme exige el artículo 40.5 del
RLOPD. El incumplimiento en ese punto es autónomo y se basa en la omisión
de diligencia tras la devolución sistemática de las notificaciones.

En consecuencia, se desestima la alegación relativa a la concurrencia de
infracciones y la aplicación de atenuantes, ratificándose que la conducta de la
reclamada vulneró de manera diferenciada el artículo 6.1 del RGPD, al tratar
datos personales sin contar con una base legitimadora válida, y sin haber
gestionado con la diligencia debida los intentos de notificación legalmente
exigidos.

DÉCIMO: Propuesta de resolución
Con fecha 12/03/25, el órgano instructor del presente procedimiento dictó propuesta
de resolución en la que se proponía que por la Presidencia de la Agencia Española de
Protección de Datos se sancionara a la entidad ASNEF-EQUIFAX, SERVICIOS DE
INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.:
B82064833, con arreglo a lo dispuesto en los artículos 63.3 de la LPACAP, por la
presunta infracción del artículo 17 del RGPD con respecto al artículo 32 de la
LOPDGDD, tipificada en el artículo 83.5.b) del RGPD, con una sanción de 100.000
euros (cien mil euros) y por la infracción del artículo 6.1 del RGPD, tipificada en el
artículo 83.5.a) del RGPD con una sanción de 100.000 euros (cien mil euros).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/60

DECIMO PRIMERO: Alegaciones a la propuesta de resolución

Con fecha 02/04/25, la parte reclamada presentó escrito de alegaciones a la propuesta
de resolución en el que manifestaba, en síntesis, lo siguiente:

Primera.- Sobre la supuesta incongruencia entre la Propuesta de Resolución y
la Resolución dictada en el recurso de reposición previo:

La parte reclamada manifiesta que la Propuesta de Resolución incurre en
incongruencia y vulnera los principios de seguridad jurídica y confianza
legítima, al contradecir lo ya resuelto previamente por la propia AEPD en la
Resolución de 7 de marzo de 2024, dictada en el marco del recurso de
reposición interpuesto por el reclamante frente a la inadmisión de su
reclamación inicial.

Sostiene que dicha resolución, que da origen al presente procedimiento
sancionador, ya valoró los hechos objeto de examen, tanto en lo relativo a la
atención del derecho de supresión conforme al artículo 17 del RGPD, como
respecto a la alegada falta de notificación de la inclusión de datos en el fichero
ASNEF. En particular, señala que la AEPD consideró justificada la actuación de
la reclamada al haber bloqueado cautelarmente los datos y haber remitido
respuesta al reclamante, sin perjuicio de que esta última se enviara a una
dirección electrónica incorrecta por error humano.

Aduce además que no existe reproche alguno respecto a las dos solicitudes de
supresión posteriores, cuya gestión fue considerada conforme a derecho en la
resolución administrativa previa.

Concluye que el único reparo formulado por la AEPD en dicha resolución se
refería exclusivamente a la falta de notificación de la inclusión en el fichero,
pero no a un tratamiento ilícito de datos, ni a una falta de atención del derecho
de supresión. Por tanto, la apertura del presente procedimiento sancionador, en
especial en lo relativo a la presunta infracción del artículo 17 del RGPD, sería
contraria al principio de vinculación de la Administración a sus propios actos y a
la doctrina de los actos propios, generando un efecto equivalente al de la cosa
juzgada administrativa que invalida la reapertura de cuestiones ya resueltas sin
nuevos elementos de juicio.

Segundo. Sobre la supuesta vulneración del artículo 17 del Reglamento
General de Protección de Datos por parte de ASNEF-EQUIFAX

La parte reclamada alega que la Propuesta de Resolución incurre en una
incorrecta interpretación del régimen jurídico aplicable a los sistemas de
información crediticia (SIC), desconociendo no sólo la doctrina consolidada de
la Agencia Española de Protección de Datos (AEPD) sino también el marco
normativo específico que históricamente ha regulado dichos sistemas.

En primer lugar, se recalca que los SIC constituyen una herramienta esencial
para el funcionamiento del sistema financiero español, encontrando su
fundamento legal en diversas disposiciones con rango legal —entre ellas, el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/60

artículo 29 de la Ley 2/2011, la Ley 5/2019 de Contratos de Crédito Inmobiliario
y la Ley 16/2011 de Contratos de Crédito al Consumo—, que reconocen
expresamente su existencia y la posibilidad de tratamiento de datos personales
sin necesidad de consentimiento, siempre que se respeten las garantías
previstas en la normativa de protección de datos.

Sostiene que históricamente, la AEPD ha reconocido la distinción entre el
acreedor, como responsable del tratamiento de los datos, y el gestor del
sistema, como responsable del fichero, lo cual ha sido corroborado por
jurisprudencia del Tribunal Supremo (STS 5 de junio de 2004, rec. 39/2004). En
virtud de este modelo dual, se atribuye al acreedor la responsabilidad de
verificar la existencia de una deuda cierta, vencida, exigible e impagada, así
como la obligación de acreditar que ha informado al interesado sobre su
posible inclusión en el SIC.

A la luz del artículo 20.2 de la LOPDGDD, así como del artículo 38 del RLOPD
—norma reglamentaria que sigue vigente en lo que no se oponga al RGPD—,
la entidad acreedora debe garantizar el cumplimiento de los requisitos para la
inclusión de datos en el sistema, conservando documentación acreditativa a
disposición del gestor del SIC y de la AEPD.

La entidad reclamada insiste en que la llamada “baja cautelar” de los datos,
practicada en ausencia de respuesta del acreedor a las solicitudes de
supresión, no es una práctica discrecional, sino una obligación prevista
expresamente en el artículo 44.3 1ª del RLOPD. En este sentido, el bloqueo o
supresión cautelar constituye el mecanismo previsto legalmente para asegurar
los derechos del interesado en caso de inacción por parte del acreedor, sin que
la entidad gestora esté legalmente facultada para valorar la procedencia
material de la supresión de los datos.

Por tanto, la imputación de una infracción del artículo 17 del RGPD se basa,
según la parte reclamada, en una errónea traslación de las obligaciones
propias del acreedor al corresponsable que gestiona el fichero. Se recuerda
que el artículo 26 del RGPD establece un marco de corresponsabilidad que
permite la distribución de funciones entre los responsables, sin que dicha
corresponsabilidad implique necesariamente una obligación solidaria ni una
identidad de deberes.

Adicionalmente, la reclamación cuestiona que la AEPD exija a ASNEF-
EQUIFAX un análisis de fondo de la procedencia de la deuda comunicada por
el acreedor, cuando la normativa reconoce que la entidad gestora del fichero no
tiene acceso a los elementos necesarios para tal valoración. La Propuesta de
Resolución ignora así el principio de legalidad y de previsibilidad de las
sanciones, al imponer una obligación que no deriva de ninguna norma en vigor,
vulnerando el principio de confianza legítima y la doctrina del Tribunal Supremo
sobre la exigencia de lex certa en el ámbito sancionador.

la parte reclamada sostiene que actuó conforme al marco normativo aplicable,
atendiendo formalmente las solicitudes del interesado dentro del plazo legal y
procediendo a la supresión cautelar de los datos conforme al artículo 32 de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/60

LOPDGDD. Censura además que la AEPD, en lugar de cuestionar el
incumplimiento de la obligación sustantiva, critique el razonamiento lógico
seguido por la entidad para dar cumplimiento a la normativa, lo cual excede las
potestades sancionadoras legalmente reconocidas a dicha Autoridad. sostiene
que la Propuesta de Resolución incurre en una interpretación errónea del
régimen jurídico aplicable a los sistemas de información crediticia (SIC),
particularmente en lo que respecta al alcance de las obligaciones que recaen
sobre el gestor del fichero común en el contexto del ejercicio del derecho de
supresión.

En primer lugar, la figura de la “cancelación cautelar” aplicada por ASNEF-
Equifax no constituye una construcción ad hoc, sino que se encuentra
expresamente prevista en el artículo 44.3 del Reglamento de desarrollo de la
LOPD (RD 1720/2007), el cual mantiene vigencia supletoria tras la entrada en
vigor del RGPD y la LOPDGDD. Esta disposición impone al responsable del
fichero común la obligación de proceder a la supresión o bloqueo de los datos
cuando, tras ser trasladada la solicitud al acreedor responsable del tratamiento,
no se reciba respuesta en el plazo legalmente previsto. En tal caso, el dato
queda automáticamente suprimido del sistema y exclusivamente bloqueado,
conforme al artículo 32 de la LOPDGDD.

De igual forma, la normativa vigente establece de manera categórica —artículo
20.2 de la LOPDGDD— que corresponde exclusivamente al acreedor
garantizar que concurren los requisitos legales para la inclusión de la deuda en
el sistema, siendo este el único obligado a acreditar tales extremos. El gestor
del fichero común, en este contexto, carece de competencia o facultades para
verificar por sí mismo la concurrencia de dichos requisitos, circunstancia que ha
sido reconocida de forma reiterada por la Agencia Española de Protección de
Datos (AEPD) en informes e instrucciones previas, así como por la
jurisprudencia del Tribunal Supremo.

Sostiene que, en relación con el ejercicio del derecho de supresión por parte
del interesado, ASNEF-Equifax cumplió con la obligación legal de dar respuesta
en plazo, procediendo a la supresión de los datos ante la falta de contestación
del acreedor, lo cual constituye la vía prevista por la normativa aplicable. No
puede imputarse incumplimiento alguno por no haberse realizado una
valoración sustantiva del fondo de la reclamación, puesto que, careciendo del
conocimiento de las circunstancias del crédito, ello excedería de sus
competencias como corresponsable técnico del fichero.

Adicionalmente, debe tenerse presente que las obligaciones derivadas de la
corresponsabilidad del tratamiento, conforme al artículo 26 del RGPD, deben
ser entendidas como “respectivas” y no solidarias. Tal criterio ha sido
confirmado por las Directrices 07/2020 del Comité Europeo de Protección de
Datos (CEPD) y por la jurisprudencia del Tribunal de Justicia de la Unión
Europea (TJUE), que limitan la responsabilidad de los corresponsables a
aquellas fases del tratamiento sobre las que ejerzan control efectivo.

Sostiene que se ha ajustado en todo momento a la normativa vigente y a la
doctrina consolidada. Cualquier pretensión de la AEPD de imponer una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/60

obligación adicional —como la exigencia de análisis sustantivo del crédito por
parte del gestor del fichero común— supone una innovación normativa de facto
y una infracción del principio de legalidad en materia sancionadora, conforme
ha recordado el Tribunal Supremo en su Sentencia de 15 de julio de 2024
(casación 5039/2022). En virtud de dicho principio, no resulta admisible
sancionar una conducta que no era razonablemente previsible como infractora
al momento de su realización.

Defiende por tanto que la conducta desplegada por ASNEF-Equifax no sólo ha
respetado el artículo 17 del RGPD, sino que se ha guiado por los principios de
diligencia, legalidad y respeto a la distribución de responsabilidades establecida
normativamente en el ámbito de los SIC, siendo improcedente el reproche que
pretende imputarse en la Propuesta de Resolución.

Tercero.- Sobre la inexistencia de vulneración del artículo 6.1 del RGPD por
parte de ASNEF y la improcedencia de imputación de tratamiento ilícito de
datos

ASNEF-Equifax sostiene que la imputación de un tratamiento ilícito de datos
personales en virtud del artículo 6.1 del RGPD carece de fundamento, toda vez
que los datos del reclamante nunca fueron tratados con fines propios del
sistema de información crediticia (SIC), permaneciendo en todo momento en
situación de bloqueo preventivo, conforme a lo previsto en el artículo 20.1.c) de
la LOPDGDD.

La entidad acredita que, en los tres supuestos analizados, la inclusión de los
datos fue seguida, en un breve plazo, por el ejercicio del derecho de supresión
por parte del reclamante y, ante la ausencia de respuesta del acreedor, por la
inmediata supresión cautelar o bloqueo definitivo de los datos, lo que impidió su
acceso por parte de terceros o su uso para la evaluación de solvencia.

De conformidad con la LOPDGDD, los datos comunicados al SIC deben
permanecer bloqueados durante 30 días desde su notificación, a fin de que el
afectado pueda ejercer sus derechos. Durante este período, según lo
estipulado en el artículo 32, el tratamiento de los datos se limita exclusivamente
al cumplimiento de obligaciones legales y no puede servir de base para la
evaluación de la solvencia del afectado. ASNEF-Equifax actuó conforme a este
marco normativo, suprimiendo los datos antes de que concluyera dicho plazo.

Adicionalmente, la entidad procedió en cada caso a la notificación formal de la
inclusión de los datos, utilizando la dirección facilitada por el acreedor, y
cumplió con los requisitos establecidos por el artículo 40 del RLOPD,
incluyendo la verificación de devoluciones y la comprobación de domicilios. La
devolución de notificaciones no puede imputarse a una deficiencia en el envío
si se utilizó la dirección declarada como contractual. Asimismo, en ninguno de
los casos se incumplió el deber de verificación, ya que los datos fueron
suprimidos antes de que se cumpliera el plazo para dicha comprobación.

ASNEF-Equifax denuncia la contradicción de la AEPD al reprocharle no haber
actuado ante devoluciones cuando, simultáneamente, el acceso a datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/60

bloqueados con fines distintos a los previstos en el artículo 32 constituiría una
vulneración de la normativa de protección de datos. Además, pone de relieve la
peculiar coincidencia temporal entre la supuesta falta de recepción de
notificaciones por parte del reclamante y el ejercicio sistemático del derecho de
supresión a escasos días de la comunicación de la deuda, lo que, como
mínimo, genera dudas razonables sobre el conocimiento real del afectado.

Por todo ello, ASNEF-Equifax concluye que su actuación fue plenamente lícita,
ajustada a los principios de legalidad, exactitud y responsabilidad proactiva, y
que la infracción del artículo 6.1 RGPD que se le imputa es improcedente, en
tanto que no existió en ningún momento un tratamiento de los datos personales
del reclamante sin base jurídica válida ni con fines propios del SIC.

Cuarto.- Sobre la vulneración del principio de culpabilidad y, subsidiariamente,
del principio de proporcionalidad en el Acuerdo de Inicio

Asnef-Equifax sostiene que el procedimiento sancionador incoado por la
Agencia Española de Protección de Datos (AEPD) infringe de forma manifiesta
el principio de culpabilidad, núcleo esencial del Derecho administrativo
sancionador, reconocido por reiterada jurisprudencia del Tribunal Constitucional
(SSTC 18/1981, 76/1990, 59/2014, entre otras), así como por el artículo 28.1
de la Ley 40/2015, y por la jurisprudencia consolidada del Tribunal Supremo
(STS 3 de abril de 2000, 14 de julio de 1998, 22 de noviembre de 2004).

Este principio exige, con carácter insoslayable, la concurrencia de dolo o
negligencia en la conducta sancionada, prohibiendo cualquier tipo de
responsabilidad objetiva. La imputación realizada por la AEPD en el presente
expediente se formula sin acreditar el elemento subjetivo de culpabilidad, dado
que Asnef-Equifax ha desplegado una conducta diligente, conforme a la
normativa vigente y a los propios criterios hasta ahora mantenidos por la AEPD
en materia de sistemas de información crediticia.

Asimismo, la aplicación del principio de culpabilidad ha sido reafirmada por el
Tribunal de Justicia de la Unión Europea en su sentencia de 5 de diciembre de
2023 (asunto C-807/21), en la que se declara que el artículo 83 del RGPD
exige demostrar la intencionalidad o negligencia del responsable del
tratamiento para imponer sanciones, y que la ilicitud de la conducta no puede
resultar imprevisible para el sujeto sancionado.

En el presente caso, la conducta de Asnef-Equifax se ajustó en todo momento
a las disposiciones normativas aplicables, incluyendo el bloqueo temporal de
los datos durante el plazo legal de 30 días, la notificación al afectado a través
del domicilio facilitado por el acreedor, la gestión diligente de los derechos de
supresión, y la supresión efectiva de los datos ante la falta de respuesta del
acreedor. En ningún momento los datos fueron tratados con fines de evaluación
de solvencia ni estuvieron accesibles para entidades del SIC.

A ello se suma la vulneración del principio de confianza legítima, al haberse
producido un giro interpretativo imprevisto por parte de la AEPD, en contra de
sus propios precedentes administrativos. Conforme a la jurisprudencia del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/60

Tribunal Supremo (STS 15 de julio de 2024) y de la Audiencia Nacional (SAN 6
de octubre de 2010, SAN 23 de abril de 2019), la Administración no puede
alterar criterios consolidados mediante resoluciones sancionadoras, ni exigir
comportamientos cuya ilicitud no era razonablemente previsible.

En consecuencia, al no haberse acreditado la existencia de una conducta
dolosa o negligente, y al haber actuado mi representada conforme a los
estándares normativos y a la confianza legítima generada por la propia AEPD,
no concurre el presupuesto de culpabilidad exigido para imponer una sanción,
lo que debe conllevar el archivo del expediente o, subsidiariamente, una
exoneración de responsabilidad conforme al principio de proporcionalidad.

Sobre la vulneración del principio de proporcionalidad en la propuesta:

Para el caso no admitido de que se desestime la falta de culpabilidad alegada,
Asnef-Equifax sostiene, con carácter subsidiario, que la AEPD ha vulnerado el
principio de proporcionalidad en la determinación de la sanción, al no haber
valorado adecuadamente las circunstancias concretas del caso ni la intensidad
real de la supuesta infracción. De conformidad con doctrina reiterada del
Tribunal Supremo (v. gr., STS de 20 de noviembre de 2001, rec. 7686/1997), la
Administración está obligada a ponderar las circunstancias del caso concreto
para imponer sanciones ajustadas a la gravedad efectiva de los hechos y no
puede ampararse en una discrecionalidad ilimitada.

En particular, se cuestiona la aplicación de dos agravantes: a) La relativa a la
naturaleza, gravedad y duración de la infracción, y b) La referida a la supuesta
intencionalidad o negligencia de la conducta de Asnef-Equifax.

Respecto de la primera, la propuesta sostiene —sin prueba alguna y mediante
una generalización inadmisible— que la actuación de Asnef habría afectado a
la totalidad de los deudores exonerados que hubiesen ejercitado sus derechos.
Tal afirmación carece de respaldo fáctico y resulta completamente ajena al
expediente, en el que ni se acredita la exoneración de la deuda del reclamante,
ni consta perjuicio alguno. Además, se evidencia que el pasaje ha sido
transcrito de otro procedimiento sancionador sin conexión con el presente, lo
que vulnera el principio de individualización de la sanción.

En cuanto a la supuesta infracción del artículo 6.1 del RGPD, la AEPD
fundamenta la agravación simplemente en la referencia al tipo infringido y en
perjuicios hipotéticos derivados de una supuesta inclusión en el sistema de
información crediticia, cuando consta en el expediente que los datos nunca
llegaron a ser accesibles para terceros ni se produjo perjuicio alguno en la
esfera económica del reclamante. Tal razonamiento no supera el test de
proporcionalidad, pues se basa en valoraciones infundadas e irreales.

Respecto de la agravante de intencionalidad o negligencia, la propuesta resulta
aún más injustificada. La AEPD reprocha a Asnef-Equifax no haber conocido un
supuesto cambio de criterio basado en una sentencia del Tribunal Supremo de
2014, obviando que esta fue matizada por jurisprudencia posterior y que la
propia AEPD ha venido manteniendo durante décadas un criterio contrario al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/60

ahora pretendido. Imputar intencionalidad o culpa a quien ha seguido fielmente
las instrucciones y criterios históricos de la propia autoridad sancionadora,
vulnera flagrantemente el principio de confianza legítima y convierte la
diligencia en reproche sancionador.

Aún más grave resulta que se pretenda agravar la conducta de Asnef por el
mero hecho de dedicarse a la gestión de sistemas de información crediticia, lo
que implicaría la aplicación de una triple penalización: por la actividad, por una
supuesta mayor diligencia exigible, y por su vinculación con el tratamiento de
datos personales. Tal razonamiento supone una inversión inadmisible de los
principios de legalidad, culpabilidad y proporcionalidad, transformando el
régimen sancionador en un sistema de responsabilidad objetiva.

Por todo lo anterior, y para el caso de no archivarse el expediente conforme a
lo solicitado con carácter principal, se solicita a la AEPD la inaplicación de los
agravantes referidos, o subsidiariamente, la sustitución de la sanción por una
medida de apercibimiento conforme al artículo 58.2.b) del RGPD, o una
reducción significativa de la cuantía sancionadora, en atención a las
circunstancias concurrentes que disminuyen sustancialmente la gravedad y
culpabilidad atribuible a la conducta de Asnef-Equifax.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

Primero:

Queda constancia en el expediente:

- la comunicación que ASNEF-EQUIFAX envía a la parte reclamante, el
25/01/23, dirigida a la dirección de correo electrónico (***EMAIL.1), sobre la
inclusión de sus datos personales en el fichero ASNEF a instancias de la
entidad SD IBERIAN pero no obstante, le informan que se han procedido a la
baja cautelar de los mismos.

- Carta enviada por la parte reclamante, el 14/03/23, al SERVICIO DE
PROTECCIÓN AL CONSUMIDOR – FICHERO DATOS RELATIVOS AL
EJERCICIO DE DERECHOS DE LOS INTERESADOS; ***EMAIL.3, solicitando
la supresión de los datos inscritos en el fichero.

Estas comunicaciones han sido aportadas por la parte reclamante junto con su
reclamación.

Segundo:

Constan en el expediente las siguientes comunicaciones:

a).- Sobre las solicitudes de la parte reclamante de supresión de datos en el fichero:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/60

- Respecto a la solicitud de cancelación de datos realizada el 15/11/22:

o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la
dirección ***EMAIL.3, fechado el 15/11/22, con el asunto, “Solicitud
ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente:
“Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho
de Cancelación, para lo que les aporto la siguiente documentación: 1.-
Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de
fecha 15-11-2022 (…)”.

o Copia del “Comprobante de envío de e-mail” de fecha 24/11/22, enviado
desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con “Bcc:
***EMAIL.4”, en el Expediente 2022/XXXXXX conteniendo como anexo,
el fichero “2022/XXXXXX.pdf”.

o Copia del escrito enviado al reclamante de fecha 24/11/22 y N EXP.
2022/XXXXXX, donde le manifiestan, entre otras cuestiones, lo
siguiente: “De acuerdo con su petición de CANCELACIÓN, registrada
en nuestras oficinas con fecha 15 de noviembre de 2022, le
comunicamos que, tras las comprobaciones pertinentes, se ha
procedida a la Baja cautelar con la/s entidad/es SD IBERIAN
PORTFOLIOS en el Fichero ASNEF de los datos asociados al
identificador: ***IDENTIFICADOR.1. De igual modo, le adjuntamos la
información que finalmente aparece asociada a su identificador en el
Fichero ASNEF (…)”.

- Respecto a la solicitud de cancelación de datos realizada el 16/01/23:

o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la
dirección ***EMAIL.3, fechado el 16/01/23, con el asunto, “Solicitud
ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente:
“Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho
de Cancelación, para lo que les aporto la siguiente documentación: 1.-
Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de
fecha 16-01-2023 (…)”.

o Copia del “Comprobante de envío de e-mail” de fecha 25/01/23, enviado
desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc:
***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo
2023/XXXXX.pdf.

o Copia del escrito enviado al reclamante de fecha 25/01/23 y N EXP.
2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente:
“De acuerdo con su petición de CANCELACIÓN, registrada en nuestras
oficinas con fecha 16 de enero de 2023, le comunicamos que, tras las
comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s
entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los
datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/60

le adjuntamos la información que finalmente aparece asociada a su
identificador en el Fichero ASNEF (…)”.

- Respecto a la solicitud de cancelación de datos realizada el 14/03/23:

o Copia del correo electrónico enviado desde la dirección ***EMAIL.1 a la
dirección ***EMAIL.3, fechado el 14/03/23, con el asunto, “Solicitud
ejercicio Derecho Cancelación” e indicando en el mismo lo siguiente:
“Estimados Sres, Por medio de la presente solicito *ejercitar el Derecho
de Cancelación, para lo que les aporto la siguiente documentación: 1.-
Fotocopia DNI y 2.- Carta solicitud ejercicio Derecho de Cancelación de
fecha 14-03-2023 (…)”.

o Copia del “Comprobante de envío de e-mail” de fecha 24/03/23, enviado
desde la dirección ***EMAIL.3 a la dirección ***EMAIL.2 y con Bcc:
***EMAIL.4 en el Expediente 2023/XXXXX conteniendo el Anexo
2023/XXXXX.pdf.

o Copia del escrito enviado al reclamante de fecha 24/03/23 y N EXP.
2023/XXXXX, donde le manifiestan, entre otras cuestiones, lo siguiente:
“De acuerdo con su petición de CANCELACIÓN, registrada en nuestras
oficinas con fecha 14 de marzo de 2023, le comunicamos que, tras las
comprobaciones pertinentes, se ha procedida a la Baja cautelar con la/s
entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los
datos asociados al identificador: ***IDENTIFICADOR.1. De igual modo,
le adjuntamos la información que finalmente aparece asociada a su
identificador en el Fichero ASNEF (…)”.

b).- Sobre las notificaciones realizadas al reclamante de su inclusión en el fichero:

- Pantallazo del fichero Auxiliar de Notificaciones donde consta la relación de
notificaciones remitidas por la parte reclamante correspondientes a SD
IBERIAN:

o ***REFERENCIA.1 SD IBERIAN PORTFOLIO ***CANTIDAD.1 03/11/22
o ***REFERENCIA.2 SD IBERIAN PORTFOLIO ***CANTIDAD.2 10/01/23
o ***REFERENCIA.3 SD IBERIAN PORTFOLIO ***CANTIDAD.3 08/03/23

- Respecto al envío de referencia ***REFERENCIA.1, remitido el 03/11/22,
mediante correo postal ordinario se presenta:

o Copia de la carta, con número de referencia ***REFERENCIA.1, de
fecha 03/11/22, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
02/11/22 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.1euros.

o Copia del certificado expedido por SERVINFORM, S.A. indicando:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/60

 Que con fecha 03/11/22, se recibió el fichero ***FICHERO.1,
remitido por Equifax Ibérica, con un total de 53671 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (...), y última comunicación a procesar la de
referencia (...), de acuerdo a criterios de clasificación
ascendente por número de código postal

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.1 dirigida a A.A.A. en ***DIRECCIÓN.1

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
9942 con un total de 23429 comunicaciones y número 60901
con un total de 30242 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 04/11/22, conteniendo el fichero ***FICHERO.1.

o Albarán y nota de entrega en la oficina (...) de Correos, con fecha valor
04/11/23 y la admisión de 30242 envíos, cuyo depositante es
SERVINFORM, S.A.

o Copia del acuse de devolución de fecha 21/11/22, emitido por
HISPAPOST de la carta con referencia ***REFERENCIA.1, enviada D.
A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”.

- Respecto al envío de referencia ***REFERENCIA.2 remitido el 10/01/23,
mediante correo postal ordinario:

o Copia de la carta, con número de referencia ***REFERENCIA.2, de
fecha 10/01/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
09/01/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.2.

o Copia del certificado expedido por SERVINFORM, S.A. indicando:

 Que con fecha 10/01/23, se recibió el fichero ***FICHERO.2,
remitido por Equifax Ibérica, con un total de 35444 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…), y última comunicación a procesar la de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/60

referencia (…), de acuerdo a criterios de clasificación
ascendente por número de código postal

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.2 dirigida a A.A.A. en ***DIRECCIÓN.1

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
10753 con un total de 16875 comunicaciones y número 62952
con un total de 18569 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 12/01/23, conteniendo el fichero ***FICHERO.2 .

o Albarán de entrega en la oficina (...) de Correos, con fecha 12/01/23 y la
admisión de 18565 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del acuse de devolución de fecha 24/01/23, emitido por
HISPAPOST de la carta con referencia ***REFERENCIA.2, enviada D.
A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”.

- Respecto al envío de referencia ***REFERENCIA.3 1137 remitido el 08/03/23,
mediante correo postal ordinario:

o Copia de la carta, con número de referencia ***REFERENCIA.3, de
fecha 08/03/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
07/03/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.3.

o Copia del certificado expedido por SERVINFORM, S.A. indicando:

 Que con fecha 08/03/23, se recibió el fichero ***FICHERO.3,
remitido por Equifax Ibérica, con un total de 8019 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…), y última comunicación a procesar la de
referencia (…), de acuerdo a criterios de clasificación
ascendente por número de código postal.

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.3 dirigida a A.A.A. en ***DIRECCIÓN.1
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/60

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
11504 con un total de 3569 comunicaciones y número 64797
con un total de 4450 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 10/03/23, conteniendo el fichero ***FICHERO.3.

o Albarán de entrega en la oficina (...) de Correos, con fecha 10/03/23 y la
admisión de 4450 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del acuse de devolución de fecha 29/03/23, emitido por
HISPAPOST de la carta con referencia ***REFERENCIA.3, enviada a
A.A.A.; ***DIRECCIÓN.1, con la marca en la casilla de “Desconocido”.

c).- Sobre otras medidas tomadas se presenta la siguiente documentación:

Respecto a la primera inclusión de datos en el fichero el día 02/11/22:

- Pantallazo del documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX
05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES
CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS:

Identificador : (…)
Ref. de carta : ***REFERENCIA.1
Entidad: 1137 - SD IBERIAN PORTFOLIO
Tipo de Notif .: Inclusión
Fecha de Alta : 02/11/2022
Fec. visualizac: 01/12/2022 (Fecha a partir de la cual sus datos son
visibles al resto de entidades).
Fec. de emision: 03/11/2022
Fec. cierre Ctb: 31/10/2022
Fec. devolución: 26/11/2022

Respecto a la segunda inclusión de datos en el fichero el día 09/01/23:

- Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX
05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES
CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS:

Identificador : (…)
Ref. de carta : ***REFERENCIA.2
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/60

Entidad: 1137 - SD IBERIAN PORTFOLIO
Tipo de Notif .: Inclusión
Fecha de Alta : 09/01/2023
Fec. visualizac: 08/02/2023 (Fecha a partir de la cual sus datos son
visibles al resto de entidades).
Fec. de emisión: 10/01/2023
Fec. cierre Ctb: 06/01/2023
Fec. devolución: 04/02/2023

Respecto de la tercera inclusión de datos en el fichero el día 07/03/23:

- Pantallazo del Documento “APLICACIONES INTERNAS DE ASNEF-EQUIFAX
05/05/2023 S.I.C. MANTENIMIENTO DE CARTAS DE OPERACIONES
CREDITO CONSULTA/ACTUALIZACION DE CARTAS ENVIADAS:

Identificador : (…)
Ref. de carta : ***REFERENCIA.3
Entidad: 1137 - SD IBERIAN PORTFOLIO
Tipo de Notif .: Inclusión
Fecha de Alta : 07/03/2023
Fec. visualizac: 06/04/2023 (Fecha a partir de la cual sus datos son
visibles al resto de entidades).
Fec. de emisión: 08/03/2023
Fec. cierre Ctb: 06/03/2023
Fec. devolución: 05/04/2023

- Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha
05/05/23 donde solamente consta deudas registradas a nombre del reclamante
en el fichero ASNEF a instancias de la entidad EOS SPAIN SL.

- Pantallazo del fichero “OPERACIONES EN EL FICHERO ASNEF” de fecha
10/05/23 donde constan deudas registradas a nombre del reclamante en el
fichero ASNEF a instancias de la entidad EOS SPAIN SL. y de SD IBERIAN
PORTFOLIO con un saldo impagado de un saldo impagado de
***CANTIDAD.4.

- Copia del correo electrónico enviado el 10/05/23 desde la dirección de correo
***EMAIL.5 a la dirección de correo ***EMAIL.6 solicitando una confirmación
de datos del reclamante.

- Copia de la carta remitida por el reclamado al reclamante, con fecha 24/05/23
donde se le informa que se ha procedido a la baja cautelar de los datos
aportados a instancias de SD IBERIAN PORTFOLIOS.

- Pantallazo de la página de la aplicación “ASNEF/EQUIFAX APLICACIONES
INTERNAS DE ASNEF-EQUIFAX- S.I.C. CONSULTA DE BAJAS” de fecha
05/05/23, referente al reclamado, con la siguiente información:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/60

OP ENTIDAD TIPO NATUR. MOT. BJ F. BAJA
1137 SD IBERIAN P. T CREDITO TITULAR GDPR 24/11/22
1137 SD IBERIAN P. T CREDITO TITULAR GDPR 25/01/23
1137 SD IBERIAN P. T CREDITO TITULAR GDPR 24/03/23
1137 SD IBERIAN P. T CREDITO TITULAR CLIENTE 24/05/23

Todas las comunicaciones y documentos mencionados en este hecho probado
constan en la documentación aportada al procedimiento por la parte reclamada.

Tercero:

Queda constancia en el expediente de las siguientes comunicaciones y
documentación, aportadas por la parte reclamada:

Respecto al envío de referencia ***REFERENCIA.4 remitido el 09/05/23:

o Copia de la carta, con número de referencia ***REFERENCIA.4, de
fecha 09/05/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.4.

o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como
entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373
indicando:

 Que con fecha 09/05/23, se recibió el fichero ***FICHERO.4,
remitido por Equifax Ibérica, con un total de 18421 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…) y última comunicación a procesar la de
referencia (…), de acuerdo a criterios de clasificación
ascendente por número de código postal.

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.4 dirigida a A.A.A. en ***DIRECCIÓN.1

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
12276 con un total de 8624 comunicaciones y número 66488
con un total de 9797 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en
el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/60

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 11/05/23, conteniendo el fichero
CREDI_INCLU_SP.

o Albarán de entrega en la oficina (...) de Correos, con fecha 11/05/23 y la
admisión de 9797 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del Certificado emitido por ILUNION CEE CONTACT CENTER,
S.A (anteriormente ILUNION IT SERVICES S.A) de fecha 23/02/24,
donde manifiesta: “Que, consultados los archivos relativos a la
prestación de servicio que se mantiene con Equifax, actualmente no
consta en depósito y custodia en las oficinas de Ilunión CEE Contact
Center, S.A. la Notificación de Referencia ***REFERENCIA.4 ni ha sido
objeto de su tratamiento por algún motivo de devolución”.

Respecto al envío de referencia ***REFERENCIA.5 remitido el 08/07/23:

o Copia de la carta, con número de referencia ***REFERENCIA.5, de
fecha 08/07/23, que remite la entidad reclamada al reclamante a la
dirección ***DIRECCIÓN.1 y donde le comunican que, con fecha
08/05/23 la entidad SD IBERIAN PORTFOLIOS ha solicitado el alta de
sus datos personales en el fichero ASNEF, relativos al impago de
***CANTIDAD.6.

o Copia del certificado expedido por ARTEOS DIGITAL, S.L. (como
entidad sucesora de SERVINFORM, S.A.) con CIF: B64510373
indicando:

 Que con fecha 08/07/23, se recibió el fichero ***FICHERO.5,
remitido por Equifax Ibérica, con un total de 18421 registros,
figurando en el mismo como primera comunicación a procesar la
de referencia (…) y última comunicación a procesar la de
referencia (…) de clasificación ascendente por número de
código postal.

 Que en dicho proceso se generó la comunicación de referencia
***REFERENCIA.5 dirigida a A.A.A. en ***DIRECCIÓN.1

 Dicha comunicación, se generó, imprimió y ensobró, sin que se
generase incidencia alguna que alterarse el resultado final del
procedimiento poniéndose a disposición del servicio de envíos
postales para su posterior distribución en los albaranes número
68319 con un total de 5924 comunicaciones y número 13208
con un total de 6523 comunicaciones.

 Todo el procedimiento de generación de comunicaciones se
desarrolló, de acuerdo a las instrucciones y pautas recogidas en

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/60

el contrato señalado, sin que se produjesen a lo largo de sus
distintas fases, hechos que impidiesen su normal desarrollo.

o Copia de la Nota de Entrega emitida por HISPAPOST del cliente
EQUIFAX, de fecha 21/07/23, conteniendo el fichero
CREDI_INCLU_SP.

o Albarán de entrega en la oficina (...) de Correos, con fecha 20/07/23 y la
admisión de 5924 envíos, cuyo depositante es SERVINFORM, S.A.

o Copia del Certificado emitido por Ilunion CEE Contact Center, S.A
(anteriormente Ilunion IT Services S.A) de fecha 23/02/24, donde
manifiesta: “Que, consultados los archivos relativos a la prestación de
servicio que se mantiene con Equifax, actualmente no consta en
depósito y custodia en las oficinas de Ilunion CEE Contact Center, S.A.
la Notificación de Referencia ***REFERENCIA.5 ni ha sido objeto de su
tratamiento por algún motivo de devolución”.

FUNDAMENTOS DE DERECHO

I. Competencia

De acuerdo con lo dispuesto en los artículos 58.2 y 60 del RGPD y lo establecido en
los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la LOPDGDD es competente para resolver
este procedimiento la Presidencia de la AEPD.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II. Contestación a las alegaciones presentadas a la Propuesta de Resolución.

Primero: Respecto de la posible incongruencia de la Propuesta de Resolución con el
contenido de la Resolución recaída en el Recurso de Reposición de fecha 07/03/23.

La parte reclamada manifiesta la incongruencia existente entre la Propuesta de
Resolución dictada en el presente procedimiento sancionador y lo ya resuelto por esta
AEPD en la Resolución previa de 7 de marzo de 2024, recaída en recurso de
reposición interpuesto por la parte reclamante. Sostiene que dicha Propuesta de
Resolución imputa a la entidad alegante una infracción del RGPD, por no haber
atendido el derecho de supresión ejercitado por el reclamante y por realizar un
tratamiento de sus datos sin base jurídica adecuada, al no haberse practicado con
éxito la notificación previa a su inclusión en el sistema ASNEF, alegando que en la
Resolución previa de la AEPD —que trae causa del presente procedimiento
sancionador— se declaró expresamente que la entidad reclamada procedió a la
supresión de los datos personales del reclamante, habiendo existido un mero error
material en la transcripción de su dirección de correo electrónico, lo que impidió la
correcta recepción de la respuesta a su primera solicitud de supresión por lo que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/60

Propuesta de Resolución vulnera los principios de seguridad jurídica y confianza
legítima, al contradecir los pronunciamientos anteriores de la propia AEPD en relación
con los mismos hechos y respecto de las mismas partes.

Tal afirmación no puede ser acogida, por cuanto parte de una premisa errónea al
confundir el objeto y los efectos jurídicos de dicha Resolución con un pronunciamiento
definitivo sobre la inexistencia de infracción pues dicha Resolución (Recurso de
reposición de fecha 07/03/23) estimó el recurso interpuesto por el reclamante, al
considerar que sí existían indicios suficientes de infracción, constatándose
expresamente que las notificaciones de inclusión en el SIC ASNEF efectuadas por SD
IBERIAN no fueron llevadas a cabo de conformidad con la normativa aplicable, toda
vez que las mismas fueron devueltas por los servicios postales por remitirse a una
dirección incorrecta y que, cuando ocurrió esto, la parte reclamada no realizó
comprobación alguna de la veracidad de la dirección facilitada por SD IBERIAN,
incumpliendo su obligación de verificación previa establecida en el artículo 40.5 del
RLOPD.

Dicha Resolución concluía que, en ausencia de dicha verificación, “no procedería el
tratamiento de los datos de la parte recurrente en el SIC ASNEF”, es decir, reconocía
la existencia de indicios de un tratamiento ilícito de datos personales, sustentando con
ello la procedencia del inicio del presente procedimiento sancionador.

No existe contradicción alguna entre la Propuesta de Resolución y lo resuelto en el
recurso de reposición, sino que esta última resolución constituye precisamente el
fundamento y origen de la presente actuación administrativa.

Indicar que la Resolución de Recurso de Reposición no exoneró de responsabilidad a
la parte reclamada, sino que estimó procedente la admisión a trámite de la
reclamación inicial, procediendo esta Agencia con posterioridad a iniciar el expediente
sancionador al apreciarse indicios suficientes de infracción por lo que, no procede
estimar las alegaciones formuladas por la parte reclamada al no apreciarse
vulneración alguna de los principios de seguridad jurídica, confianza legítima o
vinculación de la Administración a sus propios actos, al no existe contradicción entre la
Propuesta de Resolución y la Resolución de Recurso de Reposición de 7 de marzo de
2024, siendo esta última el fundamento para la continuación del procedimiento
sancionador.

Segundo: Respecto de la presunta infracción del artículo 17 RGPD respecto del
artículo 32 de la LOPDGDD.

La parte reclamada defiende que su actuación ha sido plenamente conforme a
derecho y al régimen jurídico aplicable a los sistemas de información crediticia (SIC),
regulado por el RGPD, la LOPDGDD y el RLOPD, pues sostiene que, según dicho
régimen, la responsabilidad de garantizar que la deuda cumple los requisitos legales
para su inclusión en el SIC corresponde exclusivamente al acreedor, no al gestor del
sistema, que no dispone de información suficiente para valorar la deuda y critica que la
Propuesta de Resolución de la AEPD distorsiona este régimen legal, imponiendo al
gestor del SIC obligaciones adicionales no previstas normativamente, como analizar el
cumplimiento de los requisitos de la deuda, lo que a su juicio excede sus
competencias y funciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/60

Añade la parte reclamada que el RLOPD prevé expresamente la baja cautelar cuando
el acreedor no le conteste en la consulta que le realiza ante la solicitud de supresión. A
estos efectos, la expresión “cautelar” no implica que luego se vaya a levantar la baja.
En este sentido, ASNEF habría dado respuesta a la solicitud del reclamante y practicó
la baja cautelar.

A juicio de la parte reclamada, esta cumpliría con lo establecido en el artículo 12 del
RGPD al trasladar la reclamación y luego practicar la baja cautelar de la inscripción, y
contestar a la parte reclamante. Añade que el régimen de corresponsabilidad incluido
en el artículo 26.3 de RGPD no impone que los corresponsables respondan de todos,
sino cada uno por lo suyo. De ahí vendría la regla de que si el acreedor no contesta,
se supriman los datos. ASNEF no “se limitó” a trasladar la solicitud, sino que dio
respuesta y suprimió los datos.

Pues bien, tal y como hemos venido declarando y ha reiterado el Tribunal Supremo
(entre otras, STS 1 de febrero de 2014), el gestor del SIC no puede limitarse a
trasladar al acreedor las solicitudes de supresión recibidas, ni actuar de forma
meramente pasiva ante la falta de respuesta de éste pues le corresponde analizar la
procedencia de la solicitud y actuar de forma motivada, resolviendo sobre el ejercicio
del derecho conforme a los criterios establecidos en el RGPD, la LOPDGDD y el
RLOPD,

ASNEF-EQUIFAX es la entidad que mantiene el sistema de información crediticia en
su condición de corresponsable del tratamiento, por lo que le es de aplicación el
artículo 20.2 de la LOPDGDD, dado que, juntamente con la entidad acreedora, es
quien determina los fines y medios del tratamiento, siéndole de aplicación por tanto, lo
establecido por el artículo 26 del RGPD respecto a los corresponsables del
tratamiento:

“2. Las entidades que mantengan el sistema y las acreedoras, respecto del
tratamiento de los datos referidos a sus deudores, tendrán la condición de
corresponsables del tratamiento de los datos, siendo de aplicación lo
establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al
acreedor garantizar que concurren los requisitos exigidos para la inclusión en
el sistema de la deuda, respondiendo de su inexistencia o inexactitud...”

En el presente caso, ASNEF incluye, con fecha 02/11/22, 09/01/23 y 07/03/23 los
datos personales del reclamante en su fichero de solvencia, a iniciativa del acreedor.

Por su parte, el reclamante, con fechas 15/11/22, 16/01/23 y 14/03/23, traslada a
ASNEF las correspondientes solicitudes de supresión de datos personales, y ésta las
traslada a la entidad presuntamente acreedora, SD IBERIAN para que se pronuncie
sobre dichas solicitudes, sin recibir respuesta alguna, según manifiesta la propia
ASNEF.

Pues bien, solamente después de no haber recibido contestación alguna de la entidad
SD IBERIAN, ASNEF procede a dar de baja cautelar del fichero de solvencia, los datos
personales del reclamante con fecha de baja, 24/11/22; 25/01/23 y 24/03/23
respectivamente y así lo describe en su respuesta al requerimiento de información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/60

realizado por esta Agencia el 24/05/23, siendo el motivo de la baja, “C. GDPR”, según
consta en la documentación aportada, lo que significa que: “se dan de baja durante la
gestión de ejercicios de derecho en nuestro Servicio de Atención al Consumidor (SAC)
al no recibir respuesta por parte por parte del acreedor durante el plazo establecido.
[…]

En el presente caso, ha quedado acreditado que la parte reclamada, ante tres
solicitudes sucesivas de supresión de datos, se limitó a reenviar las mismas a la
entidad acreedora (SD IBERIAN), sin valorar su contenido ni adoptar una decisión
sustantiva al respecto. La respuesta ofrecida al reclamante consistió en comunicar una
“baja cautelar”, sin más justificación ni pronunciamiento. Esta actuación incumple de
forma directa el deber de diligencia exigido, en tanto que el gestor del fichero no puede
condicionar su respuesta a la actuación o inacción de un tercero.

ASNEF no puede limitarse a trasladar la solicitud a SD IBERIAN, para que ésta
decida, y seguir acríticamente sus indicaciones, atribuyendo a SD IBERIAN, como
entidad que ha facilitado los datos, la facultad para que resuelva acerca la solicitud del
ejercicio del derecho, sino que es la propia ASNEF la que debe dar respuesta fundada
al ejercicio del derecho de la parte reclamante, tal y como establece el artículo 26.3 del
RGPD: “…los interesados podrán ejercer los derechos que les reconoce el presente
Reglamento frente a, y en contra de, cada uno de los responsables.” Concretamente,
ASNEF está obligada a resolver la solicitud de ejercicio de derechos realizada por la
parte reclamante, procediendo a la supresión, mediante el previo bloqueo de los datos,
según establece el artículo 17 del RGPD y el artículo 32 de la LOPDGDD, con objeto
de impedir el tratamiento de los datos personales (la inscripción de la deuda).

Asimismo, se ha constatado un incumplimiento adicional por parte de ASNEF-
EQUIFAX al remitir las comunicaciones al reclamante a una dirección de correo
electrónico incorrecta. Este error impidió el ejercicio efectivo del derecho por parte del
interesado y agrava el reproche de falta de diligencia en la tramitación.

Por todo ello, resulta inadmisible la pretensión de exoneración de responsabilidad de
la parte reclamada con base en una supuesta imposibilidad de verificar la deuda. El
artículo 20.2 de la LOPDGDD, si bien atribuye al acreedor la obligación de garantizar
que concurren los requisitos para la inclusión, no libera al gestor del SIC de su deber
de cooperar activamente en la tutela de los derechos del interesado.

En cuanto a la invocación de la Sentencia del Tribunal Supremo de 15 de julio de
2024, y la alegación de una supuesta infracción del principio de previsibilidad
sancionadora, cabe señalar que la obligación de tramitar directamente y de forma
motivada el derecho de supresión no constituye en modo alguno un criterio novedoso
ni imprevisible, sino una consecuencia directa y lógica del régimen de
corresponsabilidad y del principio de tutela efectiva de los derechos recogidos en el
RGPD.

El artículo 26.3 del RGPD otorga a los interesados la facultad de hacer valer sus
derechos ante cualquier corresponsable, y el artículo 32 de la LOPDGDD establece el
marco operativo para la supresión segura de los datos bloqueándolos cuando se haya
constatado la procedencia del derecho de supresión. Ambos artículos juntos aseguran
que los derechos de los interesados se respeten y que los datos se gestionen de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/60

manera segura y conforme a la ley y así se indicaba en el acuerdo de inicio del
expediente sancionador: “…ASNEF está obligada a resolver la solicitud de ejercicio de
derechos realizada por la parte reclamante, procediendo a la supresión, mediante el
previo bloqueo de los datos, según establece el artículo 17 del RGPD y el artículo 32
de la LOPDGDD, con objeto de impedir el tratamiento de los datos personales”

El artículo 26.3 del RGPD refuerza la necesidad de transparencia y responsabilidad en
el tratamiento de datos. El RGPD garantiza que los interesados puedan ejercer sus
derechos frente a cualquier corresponsable.

Si un corresponsable recibe la solicitud de supresión, está obligado a iniciar el proceso
de tramitación de la atención del derecho solicitado que, en caso de ser concedido, se
materializará en el bloqueo de esos datos (art 32 LOPDGDD)

El artículo 26.3 del RGPD, impone una obligación clara y operativa: la de tramitar la
solicitud de ejercicio del derecho efectuada por la parte reclamante. Y para ello, como
bien argumenta la sentencia del Tribunal Supremo reproducida, no basta con enviar un
escrito al corresponsable y, ante la falta de contestación proceder a una “baja
preventiva”, sino que debe analizarse la documentación, los antecedentes que constan
en ella, interpretar la falta de contestación y finalmente, contestar a la parte que ha
presentado la solicitud de ejercicio del derecho. Lo que no se hizo en este caso.

Por tanto, en base a la documentación aportada por la reclamada se puede concluir
que no se ha incumplido lo establecido en el artículo 17 del RGPD.

Sobre la observación que hace la reclamada en cuanto que invoca STS sobre la app
de la LNFP y el principio de transparencia, indicando que la AEPD no puede introducir
requisitos adicionales no previstos en la ley por mucho que el principio sea inconcreto,
se debe indicar que esta Agencia no está introduciendo requisito adicional alguno, sino
aplicando los ya establecidos por la ley y la jurisprudencia.

Tercero: Respecto a la presunta infracción del artículo 6.1 RGPD.

La parte reclamada sostiene que no ha existido vulneración del artículo 6.1 del RGPD
por cuanto los datos personales del reclamante nunca llegaron a ser tratados con las
finalidades propias de un sistema de información crediticia (SIC), es decir, entiende
que no puede imputársele la infracción del artículo 6.1 RGPD, pues no existió
tratamiento de los datos para los fines propios del SIC, ya que los datos se
encontraban bloqueados y no accesibles, conforme a lo previsto en el artículo 32 de la
LOPDGDD, pues cumplió con su obligación de notificar al interesado la inclusión de
sus datos en el sistema, enviando las comunicaciones a la dirección facilitada por el
acreedor. Defiende que, una vez bloqueados los datos, no podía acceder ni visualizar
la información. Además, cuestiona la actitud del reclamante por haber ejercitado el
derecho de supresión de manera casi inmediata tras las notificaciones de inclusión —
que no llegó a recibir—, insinuando que dicha conducta es llamativamente sospechosa
o basada en un conocimiento previo de los hechos no explicable.

Pues bien, debemos empezar recordando que la "diligencia debida" es el grado de
cuidado, atención y precaución que se debe ejercer en el curso de una actuación que
tiene consecuencias jurídicas o administrativas e implica una actuación consciente,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/60

proactiva y exhaustiva y ha quedado constatado que la reclamada no cumplió con este
principio pues intentó enviar al reclamante una segunda y una tercera notificación a un
domicilio que conocía inexacto sin previamente requerir al acreedor que justificase si
ese dato (el domicilio) era o no el real y por tanto, la parte reclamada, en su calidad de
gestora del fichero de solvencia patrimonial, no puede desvincularse de las
obligaciones que le impone la normativa vigente, especialmente en lo relativo a la
verificación y control de los requisitos necesarios para la inclusión de datos personales
en el SIC, siendo plenamente aplicable el principio de diligencia debida y en este
sentido, el artículo 40.5 del Real Decreto 1720/2007 (RLOPD), impone al responsable
del fichero común la obligación de comprobar con la entidad acreedora la exactitud de
la dirección del afectado cuando las notificaciones de inclusión resulten devueltas.

En el presente caso, ha quedado acreditado que la parte reclamada remitió hasta en
tres ocasiones notificaciones de inclusión de datos a un domicilio que, desde el primer
intento, resultó ser incorrecto, siendo las comunicaciones devueltas por el servicio
postal con la anotación “desconocido” pero, pese a ello, la reclamada no realizó
actuación alguna tendente a verificar con el acreedor (SD IBERIAN) si la dirección
utilizada era la contractualmente pactada con el reclamante, incumpliendo de forma
flagrante lo dispuesto en el artículo 40.5 del RLOPD y evidenciando una total ausencia
de diligencia debida en su actuación.

ASNEF-EQUIFAX es la entidad que mantiene el sistema de información crediticia en
su condición de corresponsable del tratamiento, por lo que le es de aplicación el
artículo 20.2 de la LOPDGDD, dado que, juntamente con la entidad acreedora, es
quien determina los fines y medios del tratamiento, siéndole de aplicación por tanto, lo
establecido por el artículo 26 del RGPD respecto a los corresponsables del
tratamiento.

La STJUE de 7 de marzo de 2024 (C-604/22) dispone que se es responsable del
tratamiento cuando, atendiendo a sus propios objetivos, influye en el tratamiento de
datos personales y participa en la determinación de los fines y medios de dicho
tratamiento, indicando que “57 Asimismo, el Tribunal de Justicia ha considerado que
una persona física o jurídica que, atendiendo a sus propios objetivos, influye en el
tratamiento de datos personales y participa, por ello, en la determinación de los fines y
los medios de dicho tratamiento puede ser considerada responsable del tratamiento en
el sentido del artículo 4, punto 7, del RGPD (véase, por analogía, la sentencia de 10
de julio de 2018, Jehovan todistajat, C 25/17, EU:C:2018:551, apartado 68). Así, de
conformidad con el artículo 26, apartado 1, del RGPD, existen «corresponsables del
tratamiento» cuando dos o más responsables del tratamiento determinen
conjuntamente los fines y medios del tratamiento (sentencia de 5 de diciembre de
2023, Nacionalinis visuomenės sveikatos centras, C 683/21, EU:C:2023:949, apartado
40)”.

Por su parte, la STS de 20/12/22 (rec. 2737/22), declara, en su fundamento sexto, en
cuanto a la vigencia Real Decreto 1720/2007, lo siguiente:

“(…) 2.- En primer lugar, que la Ley Orgánica 3/2018 derogue expresamente la
Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de
Carácter Personal (con excepciones referidas a ciertas materias que aquí no

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/60

son relevantes) no significa necesariamente que haya quedado derogado el
reglamento aprobado por el Real Decreto 1720/2007.

3.- A falta de un reglamento que desarrolle la nueva ley orgánica, el Real
Decreto 1720/2007 sirve de desarrollo reglamentario de la Ley Orgánica
3/2018, necesario para la plena eficacia de esta, sin perjuicio de que hayan
quedado derogadas aquellas normas del citado reglamento que "contradigan,
se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE)
2016/679 y en la presente ley orgánica", según prevé expresamente el
apartado 3.º de la disposición derogatoria única de la Ley Orgánica 3/2018 en
relación con las disposiciones de igual o inferior rango (…)”.

La referida STS concluye que en el nuevo régimen legal existen tres obligaciones
diferenciables:

“(…) i) El acreedor debe informar al afectado, en el contrato o en el momento
de requerir el pago, acerca de la posibilidad de inclusión en dichos sistemas,
con indicación de aquéllos en los que participe (art. 20.1.c], párrafo primero, de
la Ley Orgánica 3/2018, que deroga el art. 39 del reglamento aprobado por el
Real Decreto 1720/2007, en tanto que este exigía que la información se hiciera
cumulativamente en ambos momentos)

ii) El acreedor, o quien actúe por su cuenta o interés, debe requerir de pago al
deudor con carácter previo a la comunicación de sus datos al fichero de
morosos ( art. 38.1.c del reglamento aprobado por el Real Decreto 1720/2007)
y estará obligado a conservar a disposición del responsable del fichero común
y de la Agencia Española de Protección de Datos documentación suficiente
que acredite el cumplimiento de tal requisito y de los demás exigidos por la
normativa aplicable, conforme al art 38.3 de dicho reglamento.

iii) La entidad que mantenga el sistema de información crediticia con datos
relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito
deberá notificar al afectado la inclusión de tales datos y le informará sobre la
posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la
notificación de la deuda al sistema, permaneciendo bloqueados los datos
durante ese plazo ( art. 20.1.c], párrafo segundo, de la Ley Orgánica 3/2018).
La notificación deberá efectuarse a través de un medio fiable, auditable e
independiente de la entidad notificante, que le permita acreditar la efectiva
realización de los envíos (art. 40.3 de dicho reglamento)(…).”

El artículo 40 del Real Decreto 1720/2007, vigente conforme a la sentencia del
Tribunal Supremo de fecha 20/12/2022, anteriormente mencionada, (Nº de Recurso:
2737/2022), dispone:

“1. El responsable del fichero común deberá notificar a los interesados
respecto de los que hayan registrado datos de carácter personal, en el plazo
de treinta días desde dicho registro, una referencia de los que hubiesen sido
incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/60

acceso, rectificación, cancelación y oposición, en los términos establecidos por
la Ley Orgánica 15/1999, de 13 de diciembre.

2. Se efectuará una notificación por cada deuda concreta y determinada con
independencia de que ésta se tenga con el mismo o con distintos acreedores.

3. La notificación deberá efectuarse a través de un medio fiable, auditable e
independiente de la entidad notificante, que la permita acreditar la efectiva
realización de los envíos.

4. En todo caso, será necesario que el responsable del fichero pueda conocer
si la notificación ha sido objeto de devolución por cualquier causa, en cuyo
caso no podrá proceder al tratamiento de los datos referidos a ese interesado.

No se entenderán suficientes para que no se pueda proceder al tratamiento de
los datos referidos a un interesado las devoluciones en las que el destinatario
haya rehusado recibir el envío.

5. Si la notificación de inclusión fuera devuelta, el responsable del fichero
común comprobará con la entidad acreedora que la dirección utilizada para
efectuar esta notificación se corresponde con la contractualmente pactada con
el cliente a efectos de comunicaciones y no procederá al tratamiento de los
datos si la mencionada entidad no confirma la exactitud de este dato.

Pues bien, en el presente caso, la parte reclamada manifiesta en su escrito de fecha
26/02/23, en el marco del recurso de reposición RR/00448/2023, lo siguiente:

“(…) Que tal y como ya se documentó en nuestra respuesta del 24/05/2023, las
inclusiones que hubo por parte de SD IBERIAN PORTFOLIO hasta ese
momento se comunicaron al reclamante mediante las notificaciones de
referencia ***REFERENCIA.1, ***REFERENCIA.2 y ***REFERENCIA.3, si bien
es cierto que resultaron devueltas (…)”.

Conforme a lo anterior, se acredita que las notificaciones de inclusión en el fichero de
solvencia no fueron debidamente llevadas a cabo por la reclamada, habida cuenta que
las cartas le fueron devueltas al ser enviadas a una dirección donde el reclamante era
desconocido, según consta en las anotaciones del servicio de correos, no acreditando
que, cumpliendo con la obligación establecida en el artículo 40.5 del RLOPD,
comprobase con la entidad acreedora (SD IBERIAN) si la dirección utilizada para la
notificación correspondía con la contractualmente pactada a efectos de
comunicaciones y por tanto, el incumplimiento de las obligaciones de notificación
previa conforme a los términos legales priva al tratamiento de datos de su base
jurídica, constituyendo un tratamiento ilícito contrario al artículo 6.1 del RGPD.

A este respecto, en sus alegaciones al acuerdo de inicio, la parte reclamada
argumentó que ASNEF envió las notificaciones de la inclusión en el SIC. Cuando estas
vinieron devueltas, la supresión cautelar ya estaba hecha debido a las peticiones del
reclamante, con lo que no tenía sentido la comprobación del domicilio con el acreedor.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/60

En relación con esta alegación cabe contestar que esta interpretación deja a la
diligencia de la parte reclamante una gestión obligatoria por ley, como es la de
comprobar el domicilio con el acreedor (particularmente importante por si vinieran
posteriores comunicaciones de este por nuevas deudas, como sucedió en este caso).
Lo cierto es que el artículo 40.5 obliga a la comprobación del domicilio con el acreedor
y ASNEF no lo hizo.

Cuarto: La parte reclamada fundamenta su defensa en la inexistencia de culpabilidad
en su actuación, alegando que actuó de conformidad con la normativa aplicable a los
sistemas de información crediticia (SIC), siguiendo criterios previamente asentados por
la AEPD, y que la interpretación efectuada en la Propuesta de Resolución supondría
un cambio de criterio vulnerador de los principios de confianza legítima y seguridad
jurídica.

Pues bien, como bien se expone, es doctrina reiterada del Tribunal Constitucional y del
Tribunal Supremo que el principio de culpabilidad constituye un presupuesto ineludible
en el ámbito del Derecho administrativo sancionador (STC 9/2018, STS 3/04/2000),
debiendo concurrir dolo o negligencia en la conducta infractora.

En el presente caso, lejos de quedar desvirtuada dicha culpabilidad, lo cierto es que la
parte reclamada incurrió en una actuación negligente, al no desplegar la diligencia
exigible en el tratamiento de los datos personales del reclamante y tal negligencia se
materializa en la reiteración de intentos de notificación de inclusión de los datos a un
domicilio que, desde el primer envío, constaba como desconocido y la omisión de la
comprobación exigida con la entidad acreedora, tras la devolución de la primera
notificación, respecto a la exactitud de la dirección utilizada.

Por tanto, es evidente que existe una actuación negligente perfectamente acreditada y
objetivamente previsible por parte de la reclamada, que justifica la imputación de
responsabilidad sancionadora.

Por otra parte, la reclamada pretende exonerarse de responsabilidad amparándose en
que el acreedor es el único responsable de garantizar los requisitos legales de la
deuda y en este sentido, el artículo 20.2 de la LOPDGDD establece expresamente la
corresponsabilidad en el tratamiento de los datos entre la entidad acreedora y la
entidad gestora del SIC, resultando plenamente aplicable el artículo 26 del RGPD.

En virtud de esta corresponsabilidad, la reclamada no puede limitarse a un papel
pasivo o meramente técnico, sino que está obligado a verificar que concurren los
requisitos legales del tratamiento, entre ellos la exactitud de los datos y la efectiva
notificación al afectado antes de proceder a su inclusión en el fichero de solvencia.

La gestión diligente de los datos implica verificar y asegurar el cumplimiento de los
requisitos legales en todo momento, lo que incluye actuar ante evidencias objetivas de
inexactitud, como devoluciones reiteradas de notificaciones.

Por último, La parte reclamada argumenta que, al haber procedido a la “baja cautelar”
o bloqueo de los datos antes de que transcurriera el plazo de 30 días, no habría
existido un tratamiento ilícito y este razonamiento es incorrecto pues el tratamiento
ilícito se produce desde el momento en que los datos personales se registran en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/60

sistema de información crediticia sin cumplir los requisitos legales exigidos, en
particular, sin haberse notificado válidamente al afectado y sin haber verificado la
exactitud de los datos conforme al artículo 40.5 del RLOPD.

El posterior bloqueo o baja cautelar de los datos no elimina la ilicitud de la actuación
previa, ni exime de responsabilidad a la entidad infractora.

Quinto: La parte reclamada alega subsidiariamente la vulneración del principio de
proporcionalidad en la Propuesta de Resolución, cuestionando la adecuación de la
sanción impuesta en relación con la supuesta infracción de los art. 17 y 6.1 del RGPD.

Pues bien, el principio de proporcionalidad rige sin duda en el ámbito del derecho
sancionador, y exige que la sanción sea adecuada, necesaria y equilibrada con
respecto a la gravedad de la infracción cometida. No obstante, la invocación de este
principio requiere un análisis objetivo del perjuicio causado, la conducta desplegada
por el infractor y las circunstancias del caso concreto, todo lo cual ha sido ponderado
correctamente en la Propuesta de Resolución.

Tal y como ha reiterado el Tribunal Supremo, entre otras, en su sentencia de 20 de
noviembre de 2001 (Rec. 7686/1997), la Administración no puede eludir su deber de
individualizar la sanción atendiendo a la gravedad del hecho y a sus consecuencias,
pero ello no excluye su facultad de valorar, dentro del margen legal, la existencia de
agravantes cuando estas se fundamentan en criterios objetivos y verificados.

En el presente caso, las agravantes aplicadas por la AEPD están justificadas por
hechos concretos, debidamente constatados, y no por conjeturas o valoraciones
genéricas.

Sobre la agravante relativa a la gravedad, duración y naturaleza de la infracción:
contrariamente a lo que afirma la parte reclamada, la gravedad de los hechos es
evidente, y no requiere que el afectado esté "exonerado" de una deuda, ni que la
inclusión en el SIC haya causado perjuicio económico efectivo para que la conducta se
califique como infracción grave.

La omisión de la diligencia debida en la verificación de la dirección para la notificación
al afectado, pese a la reiteración de devoluciones por desconocido, supone una falta
grave al deber de informar. Esta omisión tiene especial relevancia por cuanto priva al
interesado del efectivo ejercicio de sus derechos, en una materia especialmente
sensible como es el tratamiento de datos personales con efectos potencialmente
perjudiciales en el ámbito económico por lo que, la valoración agravante efectuada por
la AEPD se encuentra amparada en criterios normativos objetivos, ajustándose
plenamente a la exigencia de motivación y proporcionalidad.

Por otra parte, la reclamada defiende la supuesta improcedencia de considerar la
infracción del artículo 17 del RGPD como de gravedad elevada por basarse, esta
Agencia, en una valoración general y no en las circunstancias concretas del presente
expediente.

La propia entidad reclamada sostiene, a lo largo de sus alegaciones, que el
procedimiento aplicado en este caso se corresponde con el protocolo habitual que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/60

emplea en todos los supuestos similares, defendiendo expresamente la corrección y
regularidad de dicho procedimiento como justificación de su actuación.

En consecuencia, al haber afirmado la parte que el tratamiento de los datos del
reclamante fue llevado a cabo conforme al procedimiento estándar que aplica a la
generalidad de los casos, resulta legítimo que se tenga en cuenta la dimensión
estructural de dicho incumplimiento, en la medida en que dicho proceder, sostenido
como práctica común por la propia entidad, podría estar afectando a un número
indeterminado de interesados en supuestos análogos.

Por tanto, la valoración de la gravedad de la infracción no se funda en consideraciones
hipotéticas o abstractas, sino en la constatación de que el modelo de actuación
defendido por la entidad como correcto.

En relación con la alegación formulada por la entidad reclamada respecto a la
aplicación de la agravante relativa a la gravedad de la infracción del artículo 6.1 del
RGPD, y en particular a su afirmación de que esta Agencia se habría limitado a una
reproducción automática del tipo sancionador, debe indicarse que tal afirmación carece
de fundamento.

En efecto, la motivación de la agravante no se basa exclusivamente en la mera
referencia al tipo normativo, sino que se fundamenta en la especial relevancia que
ostenta la base de licitud del tratamiento dentro del sistema de garantías del RGPD.

Por otra parte, en lo que respecta al argumento de que los datos del reclamante no
llegaron a ser accesibles por terceros ni fueron efectivamente tratados para los fines
propios del sistema de información crediticia, debe precisarse que tal circunstancia no
puede atribuirse a una actuación diligente por parte de la entidad reclamada. Muy al
contrario, fue la actuación proactiva del propio reclamante —quien, pese a no haber
recibido las notificaciones de inclusión, ejercitó de forma sistemática su derecho de
supresión en cada uno de los supuestos— lo que impidió que los datos llegaran a ser
accesibles a terceros.

En este sentido, resulta particularmente relevante que la entidad reclamada no
adoptara ninguna medida adicional para verificar la validez del domicilio de
notificación, ni para garantizar una comunicación efectiva al afectado, lo que refuerza
aún más la improcedencia de exonerarla de responsabilidad. El hecho de que el
perjuicio no se haya consumado en términos de publicación o accesibilidad de los
datos no atenúa la gravedad del incumplimiento cuando éste se produce respecto de
una obligación esencial, como es la existencia de una base jurídica válida para el
tratamiento de los datos personales.

Por todo ello, esta Agencia considera plenamente ajustada a Derecho la aplicación de
la agravante cuestionada, al estar debidamente motivada y apoyada tanto en la
normativa aplicable como en la doctrina consolidada sobre la centralidad del principio
de licitud en el RGPD.

Sobre la inexistencia de un doble cómputo de la misma circunstancia agravante: la
AEPD no ha incurrido en duplicidad sancionadora. Cada infracción ha sido valorada
con base en hechos distintos: por un lado, el incumplimiento del artículo 17 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/60

(por no tramitar debidamente el derecho de supresión), y por otro, la infracción del
artículo 6.1 RGPD (por tratar datos personales sin base jurídica válida al no cumplirse
los requisitos de notificación previa). Estas infracciones tienen autonomía propia, y los
agravantes aplicados a cada una de ellas responden a elementos distintos del
comportamiento infractor. No se sanciona dos veces por un mismo hecho, ni se valora
dos veces una misma circunstancia agravante.

Sobre la alegada inexistencia de perjuicio o acceso a los datos: el mero registro de
datos en un SIC sin cumplimiento de los requisitos legales, como la notificación válida
al interesado, constituye ya un tratamiento ilícito sancionable conforme al RGPD. El
riesgo generado por el registro indebido en sí mismo supone una afectación relevante
al derecho fundamental a la protección de datos y el hecho de que el reclamante, por
su propia diligencia, descubriera la inclusión y ejerciera sus derechos, no exonera a la
reclamada de su responsabilidad ni elimina los efectos del incumplimiento.

Sobre la improcedencia de extender valoraciones de otros procedimientos: la sanción
se fundamenta exclusivamente en los hechos concretos acreditados en este
expediente, siendo perfectamente identificable la individualización de la conducta
infractora.

Respecto a la infracción del artículo 6.1 del RGPD, esta Agencia no se limita a invocar
de forma genérica la naturaleza de la actividad de la entidad reclamada. Por el
contrario, la apreciación de la negligencia como agravante se basa en un criterio
cualificado: la existencia de principios jurisprudenciales consolidados y públicamente
conocidos desde hace años, en particular desde la Sentencia del Tribunal Supremo de
21 de mayo de 2014, relativa a los requisitos que deben concurrir para considerar lícita
la inclusión de datos personales en un sistema de información crediticia. Dicha
sentencia, que establece con claridad los límites al tratamiento basado en el interés
legítimo del acreedor, ha sido reiteradamente citada por la doctrina y por resoluciones
de esta misma Agencia. Se considera, por tanto, que una entidad especializada como
Asnef-Equifax, que opera de manera continuada en un sector intensivo en el
tratamiento de datos personales sensibles, no puede alegar desconocimiento de tales
principios sin incurrir en una conducta negligente especialmente relevante.

Así, la negligencia no se imputa en abstracto, sino en atención al grado de
especialización, experiencia y deber de diligencia reforzada que se presume en
operadores del sector, a quienes cabe exigir un estándar más alto de cumplimiento
normativo en materia de protección de datos personales.

Respecto a la infracción del artículo 17 del RGPD, es cierto que la argumentación
sobre la agravante de negligencia reproduce la doctrina contenida en la Sentencia del
Tribunal Supremo de 5 de junio de 2007. Sin embargo, dicha doctrina —que distingue
de forma precisa entre las responsabilidades del acreedor como responsable del
tratamiento y del gestor del fichero común como responsable del sistema— ha sido
también reiteradamente asumida por la Agencia en su interpretación histórica del
régimen aplicable a los sistemas de información crediticia.

Por tanto, debe advertirse que la negligencia apreciada no se sustenta únicamente en
la reiteración de un criterio estructural, sino también en el hecho de que Asnef-Equifax,
como corresponsable del tratamiento y operador especializado, ha venido aplicando
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/60

un procedimiento operativo que, a juicio de esta Agencia, no se ajusta a las exigencias
derivadas del deber de atender de forma efectiva y material el ejercicio del derecho de
supresión. No se trata de una aplicación automática o redundante de agravantes, sino
de una valoración diferenciada conforme a la conducta concreta observada en el
procedimiento.

En consecuencia, las agravantes aplicadas encuentran respaldo suficiente tanto en la
normativa aplicable como en la jurisprudencia consolidada, y responden a un juicio
ponderado de la actuación de la entidad reclamada en el marco de su específica
posición jurídica y su rol en el ecosistema del tratamiento de datos personales. No
puede, en este contexto, pretenderse que el estándar de diligencia exigido a una
entidad como Asnef-Equifax sea equiparable al de cualquier responsable ordinario del
tratamiento.

III. Respecto del Derecho de Supresión, artículo 17 del RGPD.

El Artículo 17 del RGPD establece, sobre el “Derecho de supresión”, lo siguiente:

“1. El interesado tendrá derecho a obtener sin dilación indebida del
responsable del tratamiento la supresión de los datos personales que le
conciernan, el cual estará obligado a suprimir sin dilación indebida los datos
personales cuando concurra alguna de las circunstancias siguientes: a) los
datos personales ya no sean necesarios en relación con los fines para los que
fueron recogidos o tratados de otro modo; b) el interesado retire el
consentimiento en que se basa el tratamiento de conformidad con el artículo 6,
apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en
otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo
al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el
tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21,
apartado 2; d) los datos personales hayan sido tratados ilícitamente; e) los
datos personales deban suprimirse para el cumplimiento de una obligación
legal establecida en el Derecho de la Unión o de los Estados miembros que se
aplique al responsable del tratamiento; f) los datos personales se hayan
obtenido en relación con la oferta de servicios de la sociedad de la información
mencionados en el artículo 8, apartado 1.

2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud
de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del
tratamiento, teniendo en cuenta la tecnología disponible y el coste de su
aplicación, adoptará medidas razonables, incluidas medidas técnicas, con
miras a informar a los responsables que estén tratando los datos personales de
la solicitud del interesado de supresión de cualquier enlace a esos datos
personales, o cualquier copia o réplica de los mismos.

3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a)
para ejercer el derecho a la libertad de expresión e información; b) para el
cumplimiento de una obligación legal que requiera el tratamiento de datos
impuesta por el Derecho de la Unión o de los Estados miembros que se
aplique responsable del tratamiento, o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/60

responsable; c) por razones de interés público en el ámbito de la salud pública
de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; d) con
fines de archivo en interés público, fines de investigación científica o histórica o
fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida
en que el derecho indicado en el apartado 1 pudiera hacer imposible u
obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e)
para la formulación, el ejercicio o la defensa de reclamaciones.”

En el caso especial que nos ocupa, cuando el tratamiento de datos hacer referencia a
su inclusión en los ficheros de solvencia patrimonial, el art. 32 LOPDGDD, establece:

1. El responsable del tratamiento estará obligado a bloquear los datos cuando
proceda a su rectificación o supresión.

2. El bloqueo de los datos consiste en la identificación y reserva de los mismos,
adoptando medidas técnicas y organizativas, para impedir su tratamiento,
incluyendo su visualización, excepto para la puesta a disposición de los datos a
los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas
competentes, en particular de las autoridades de protección de datos, para la
exigencia de posibles responsabilidades derivadas del tratamiento y solo por el
plazo de prescripción de las mismas. Transcurrido ese plazo deberá
procederse a la destrucción de los datos.

3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta
de la señalada en el apartado anterior.

4. Cuando para el cumplimiento de esta obligación, la configuración del
sistema de información no permita el bloqueo o se requiera una adaptación
que implique un esfuerzo desproporcionado, se procederá a un copiado seguro
de la información de modo que conste evidencia digital, o de otra naturaleza,
que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no
manipulación de los datos durante el mismo.

5. La Agencia Española de Protección de Datos y las autoridades autonómicas
de protección de datos, dentro del ámbito de sus respectivas competencias,
podrán fijar excepciones a la obligación de bloqueo establecida en este
artículo, en los supuestos en que, atendida la naturaleza de los datos o el
hecho de que se refieran a un número particularmente elevado de afectados,
su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado
para los derechos de los afectados, así como en aquellos casos en los que la
conservación de los datos bloqueados pudiera implicar un coste
desproporcionado para el responsable del tratamiento.”

En el presente caso, ASNEF incluye, con fecha 02/11/22, 09/01/23 y 07/03/23 los
datos personales del reclamante en su fichero de solvencia, a iniciativa del a entidad
SD IBERIAN.

Por su parte, el reclamante, con fechas 15/11/22, 16/01/23 y 14/03/23, traslada a
ASNEF las correspondientes solicitudes de cancelación de datos personales, y ésta
las traslada a la entidad presuntamente acreedora, SD IBERIAN para que se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/60

pronuncie sobre dichas solicitudes, sin recibir respuesta alguna, según manifiesta la
propia ASNEF.

Pues bien, solamente después de no haber recibido contestación alguna de la entidad
SD IBERIAN, ASNEF procede a dar de baja cautelar del fichero de solvencia, los datos
personales del reclamante con fecha de baja, 24/11/22; 25/01/23 y 24/03/23
respectivamente y así lo describe en su respuesta al requerimiento de información
realizado por esta Agencia el 24/05/23, siendo el motivo de la baja, “C. GDPR”, según
consta en la documentación aportada, lo que significa que: “se dan de baja durante la
gestión de ejercicios de derecho en nuestro Servicio de Atención al Consumidor (SAC)
al no recibir respuesta por parte por parte del acreedor durante el plazo establecido.
[…]

ASNEF no puede limitarse a trasladar la solicitud a SD IBERIAN, para que ésta
decida, y seguir acríticamente sus indicaciones, atribuyendo a SD IBERIAN, como
entidad que ha facilitado los datos, la facultad para que resuelva acerca la solicitud del
ejercicio del derecho, sino que es la propia ASNEF la que debe dar respuesta fundada
al ejercicio del derecho de la parte reclamante, tal y como establece el artículo 26.3 del
RGPD: “…los interesados podrán ejercer los derechos que les reconoce el presente
Reglamento frente a, y en contra de, cada uno de los responsables.” Concretamente,
ASNEF está obligada a resolver la solicitud de ejercicio de derechos realizada por la
parte reclamante, procediendo a la supresión, mediante el previo bloqueo de los datos,
según establece el artículo 17 del RGPD y el artículo 32 de la LOPDGDD, con objeto
de impedir el tratamiento de los datos personales (la inscripción de la deuda).

En este sentido, la Sentencia del Tribunal Supremo 2040/2014, deja claro que ASNEF
no es un mero encargado y por tanto, no puede limitarse a seguir acríticamente las
indicaciones del acreedor:

“Ciertamente, el acreedor o quien actúe por su cuenta o interés será
responsable de la inexistencia o inexactitud de los datos que hubiera facilitado
para su inclusión en el fichero, en los términos previstos en la LOPD, pues es
él quien razonablemente puede comprobar los requisitos relativos a la
existencia, veracidad y pertinencia de los datos, al ser parte en la relación
contractual en la que se produjo el incumplimiento, y así lo ha declarado esta
sala en su sentencia núm. 226/2012, de 9 de abril”.

Pero una vez que el interesado ejercita el derecho de rectificación o cancelación ante
el responsable del registro de morosos, si la reclamación se realiza de manera
documentada y justificada, el responsable de este fichero ha de satisfacer este
derecho en los términos previstos en el art. 16 LOPD. No puede limitarse a trasladar la
solicitud al acreedor, para que este decida, y seguir acríticamente las indicaciones de
este, dando una respuesta estandarizada al afectado al que niega la cancelación que
es lo realizado por Equifax.

No se entendería, además, qué sentido tiene que el art. 38.3 del Reglamento imponga
al acreedor la obligación de conservar la documentación acreditativa de los requisitos
precisos para incluir los datos del deudor en el registro de morosos, a disposición no
solo de la Agencia Española de Protección de Datos sino también del responsable del
fichero común, si este cumple con dar traslado al acreedor del derecho de rectificación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/60

o cancelación ejercitado por el afectado y puede mantener los datos en el fichero tan
sólo con que el acreedor así se lo indique, sin estar obligado a valorar la solicitud de
cancelación ejercitada y, en su caso, pedir al acreedor la documentación que soporta
la inclusión de los datos en el registro de morosos para comprobar su pertinencia,
suficiencia y adecuación.

Por tanto, de conformidad con las evidencias de las que se dispone se considera que
los hechos conocidos son constitutivos de una infracción, imputable a ASNEF, por
vulneración del artículo 17 del RGPD.

IV. Tipificación y calificación de la infracción

De confirmarse, la citada infracción del artículo 17 del RGPD supone la comisión de
las infracciones tipificadas en el artículo 83.5.b) del RGPD que considera que la
vulneración de “los derechos de los interesados a tenor de los artículos 12 a 22;” es
sancionable, de acuerdo con el apartado 2 del mencionado artículo 83 del citado
Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía”.

Por otra parte, la LOPDGDD, en su artículo 71, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las
que resulten contrarias a la presente ley orgánica”.

Y el artículo 72, considera a efectos de prescripción, que son infracciones “muy
graves”:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las
infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes (…): k) El impedimento o
la obstaculización o la no atención reiterada del ejercicio de los derechos
establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)”

V. Sanción

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone se considera que procede graduar
la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo
83.2 del RGPD, que indica:

“2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas en el artículo 58, apartado 2, letras a) a h) y j).

Como circunstancia del artículo 83.2 del RGPD:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/60

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a): Todas aquellas personas inscritas en
el sistema de información crediticia de ASNEF estando exoneradas de sus
deudas que hayan intentado ejercer sus derechos ante dicha entidad, podido
ver limitado tal ejercicio en el caso de que la entidad acreedora no haya dado
respuesta al traslado de ASNEF.

- La intencionalidad o negligencia en la infracción (apartado b): ASNEF conocía
que su actuación era contraria a la normativa de protección de datos al menos
desde que esta entidad tuvo conocimiento de STS 2040/2014, dictada por la
Sala Primera el 21 de mayo de 2014, cuyo extracto se reprodujo anteriormente.

Con relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo
76, “Sanciones y medidas correctivas”, dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo
previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán
tenerse en cuenta: a) El carácter continuado de la infracción. b) La vinculación
de la actividad del infractor con la realización de tratamientos de datos
personales. c) Los beneficios obtenidos como consecuencia de la comisión de
la infracción. d) La posibilidad de que la conducta del afectado hubiera podido
incluir a la comisión de la infracción. e) La existencia de un proceso de fusión
por absorción posterior a la comisión de la infracción, que no puede imputarse
a la entidad absorbente f) La afectación a los derechos de los menores g)
Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

Como circunstancia del artículo 76.2 de la LOPDGDD, aplicada como agravante:

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (apartado b): ASNEF en el desarrollo de su actividad
empresarial, necesita tratar de forma habitual datos personales de aquellas
personas incluidas en su sistema de información crediticia, lo que supone que
tiene experiencia suficiente y debería contar con el adecuado conocimiento
para el tratamiento de dichos datos.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el art.
17 del RGPD, permite fijar una sanción de 100.000 euros (cien mil euros).

I. Sobre la licitud del tratamiento, artículo 6.1 del RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/60

El tratamiento de datos requiere la existencia de una base legal que lo legitime. Así, el
artículo 6.1 del RGPD, además del consentimiento, establece otras posibles bases que
legitiman el tratamiento de datos sin necesidad de contar con la autorización de su
titular. En particular, cuando sea necesario para la ejecución de un contrato en el que
el afectado es parte o para la aplicación, a petición de este, de medidas
precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre
dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos.

El tratamiento también se considera lícito cuando sea necesario para el cumplimiento
de una obligación legal aplicable al responsable del tratamiento, para proteger
intereses vitales del afectado o de otra persona física o para el cumplimiento de una
misión realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

En este sentido, la LOPDGDD, en su artículo 20 establece, sobre los “Sistemas de
información crediticia”, lo siguiente:

“1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos
personales relativos al incumplimiento de obligaciones dinerarias, financieras o
de crédito por sistemas comunes de información crediticia cuando se cumplan
los siguientes requisitos:

a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su
cuenta o interés. b) Que los datos se refieran a deudas ciertas, vencidas y
exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación
administrativa o judicial por el deudor o mediante un procedimiento alternativo
de resolución de disputas vinculante entre las partes. c) Que el acreedor haya
informado al afectado en el contrato o en el momento de requerir el pago
acerca de la posibilidad de inclusión en dichos sistemas, con indicación de
aquéllos en los que participe. La entidad que mantenga el sistema de
información crediticia con datos relativos al incumplimiento de obligaciones
dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de
tales datos y le informará sobre la posibilidad de ejercitar los derechos
establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679 dentro de
los treinta días siguientes a la notificación de la deuda al sistema,
permaneciendo bloqueados los datos durante ese plazo. d) Que los datos
únicamente se mantengan en el sistema mientras persista el incumplimiento,
con el límite máximo de cinco años desde la fecha de vencimiento de la
obligación dineraria, financiera o de crédito. e) Que los datos referidos a un
deudor determinado solamente puedan ser consultados cuando quien consulte
el sistema mantuviese una relación contractual con el afectado que implique el
abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de
un contrato que suponga financiación, pago aplazado o facturación periódica,
como sucede, entre otros supuestos, en los previstos en la legislación de
contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando
se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento
de los datos impugnando su exactitud conforme a lo previsto en el artículo
18.1.a) del Reglamento (UE) 2016/679, el sistema informará a quienes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

56/60

pudieran consultarlo con arreglo al párrafo anterior acerca de la mera
existencia de dicha circunstancia, sin facilitar los datos concretos respecto de
los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud
del afectado. f) Que, en el caso de que se denegase la solicitud de celebración
del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta
efectuada, quien haya consultado el sistema informe al afectado del resultado
de dicha consulta.

2. Las entidades que mantengan el sistema y las acreedoras, respecto del
tratamiento de los datos referidos a sus deudores, tendrán la condición de
corresponsables del tratamiento de los datos, siendo de aplicación lo
establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al
acreedor garantizar que concurren los requisitos exigidos para la inclusión en
el sistema de la deuda, respondiendo de su inexistencia o inexactitud.

3. La presunción a la que se refiere el apartado 1 de este artículo no ampara
los supuestos en que la información crediticia fuese asociada por la entidad
que mantuviera el sistema a informaciones adicionales a las contempladas en
dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin
de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de
técnicas de calificación crediticia”.

ASNEF-EQUIFAX es la entidad que mantiene el sistema de información crediticia en
su condición de corresponsable del tratamiento, por lo que le es de aplicación el
artículo 20.2 de la LOPDGDD, dado que, juntamente con la entidad acreedora, es
quien determina los fines y medios del tratamiento, siéndole de aplicación por tanto, lo
establecido por el artículo 26 del RGPD respecto a los corresponsables del
tratamiento.

Por su parte, debemos tener en cuenta el fundamento sexto de la STS de 20/12/22
(rec. 2737/22), en cuanto a la vigencia Real Decreto 1720/2007, visto anteriormente.

Por tanto, conforme a todo lo anterior, se acredita que las notificaciones de inclusión
en el fichero de solvencia no fueron debidamente llevadas a cabo por la reclamada,
habida cuenta que las cartas le fueron devueltas al ser enviadas a una dirección donde
el reclamante era desconocido, según consta en las anotaciones del servicio de
correos, no acreditando que, cumpliendo con la obligación establecida en el artículo
40.5 del RLOPD, comprobase con la entidad acreedora (SD IBERIAN) si la dirección
utilizada para la notificación correspondía con la contractualmente pactada a efectos
de comunicaciones.

Por todo lo expuesto, se determina que, en su condición de corresponsable, ASNEF
no debió registrar sin más y de forma reiterada en el sistema de información crediticia
los datos personales de la parte reclamante, en fechas 09/11/22, 09/01/23 Y 07/03/23
dado que conocía la no concurrencia de los requisitos establecidos en el artículo 20 de
la LOPDGDD para que pueda presumirse la existencia de un interés legítimo
prevalente, lo que supone la vulneración del artículo 6.1 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

57/60

Por tanto, de conformidad con las evidencias de las que se dispone, se considera que
los hechos conocidos serian constitutivos de una infracción, imputable al ASNEF, por
vulneración del artículo 6.1 del RGPD.

II. Tipificación y calificación de la infracción

De confirmarse, la citada infracción del artículo 6.1 del RGPD supone la comisión de
las infracciones tipificadas en el artículo 83.5.a) del RGPD que considera que la
infracción de “los principios básicos para el tratamiento, incluidas las condiciones para
el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el
apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas
administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4% como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía”.

La LOPDGDD en su artículo 71, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las
que resulten contrarias a la presente ley orgánica”.

Y el artículo 72, considera a efectos de prescripción, que son infracciones “muy
graves”:

1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las
infracciones que supongan una vulneración sustancial de los artículos
mencionados en aquel y, en particular, las siguientes: (…) b) El tratamiento de
datos personales sin que concurra alguna de las condiciones de licitud del
tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…).

III. Sanción

A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, y artículo 76.2.b) de la
LOPDGDD, señaladas anteriormente, en el apartado V.

De acuerdo con dichos preceptos, a efectos de fijar el importe de la sanción a imponer
en el presente caso por la infracción tipificada en el artículo 83.5.a) y artículo 6.1 del
RGPD, de la que se responsabiliza al reclamado, se estiman concurrentes las
siguientes circunstancias:

- La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto
afectan a un principio básico relativo al tratamiento de los datos de carácter
personal, como es el de legitimidad, que la norma sanciona con la mayor
gravedad; el nivel de los perjuicios sufridos por el reclamante que afectan a su
solvencia económica al habérsele incluido en sistemas comunes de
información crediticia sin la debía diligencia, art. 83.2.a del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

58/60

- La alta vinculación de la actividad del infractor con la realización de
tratamientos de datos personales. Se considera el nivel de implantación de la
entidad y la actividad que desarrolla, en la que se ven implicados datos
personales de millones de interesados. Esta circunstancia determina un mayor
grado de exigencia y profesionalidad y, consiguientemente, de la
responsabilidad de la entidad reclamada en relación con el tratamiento de los
datos, artículo 76.2.b) de la LOPDGDD en relación con el artículo 83.2.k).

- La intencionalidad o negligencia en la infracción, pues la reclamada incluyo los
datos sin que existiera el grado de diligencia que el responsable del tratamiento
está obligado a desplegar en el cumplimiento de las obligaciones que le
impone la normativa de protección de datos pudiéndose citar la SAN de
17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su
pronunciamiento es extrapolable al supuesto que analizamos. La sentencia,
después de aludir a que las entidades en las que el desarrollo de su actividad
conlleva un continuo tratamiento de datos de clientes y terceros han de
observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal
Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se
comporta con la diligencia exigible. Y en la valoración del grado de diligencia
ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe
duda de que, en el caso ahora examinado, cuando la actividad de la recurrente
es de constante y abundante manejo de datos de carácter personal ha de
insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones
legales al respecto” (art. 83.2,b RGPD).

El balance de las circunstancias contempladas en los arts. 83.2 del RGPD y 76.2 de la
LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el art.
6.1 del RGPD, permite fijar una sanción de 100.000 euros (cien mil euros).

I. Adopción de medidas.

De acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual
cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”., se requiere a la reclamada para que se mantenga la suspensión
cautelar de la inscripción de los datos personales del reclamante en el fichero de
solvencia crediticia hasta que se cumplan los requisitos del artículo 6.1 RGPD. La
imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el artículo 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución que ponga fin al presente procedimiento podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

59/60

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de
la Agencia Española de Protección de Datos

RESUELVE:

PRIMERO:

IMPONER a la entidad ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE
SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.: B82064833, por una infracción del
Artículo 17 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 100.000
euros (cien mil euros).

SEGUNDO:

IMPONER a la entidad ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE
SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.: B82064833, por una infracción del
Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 100.000
euros (cien mil euros).

TERCERO:

ORDENAR a la entidad ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE
SOLVENCIA Y CRÉDITO, S.L. (ASNEF), con CIF.: B82064833, que en virtud del
artículo 58.2.d) del RGPD, en el plazo de un mes desde que la presente resolución
sea firme y ejecutiva, acredite haber suspendido cautelarmente de la inscripción de los
datos personales del reclamante en el fichero de solvencia crediticia.

CUARTO:

NOTIFICAR la presente resolución a la entidad ASNEF-EQUIFAX, SERVICIOS DE
INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L.

QUINTO:

Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de
esta resolución) sin que el interesado haya hecho uso de esta facultad.

Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

60/60

la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta
resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD,
y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados
podrán interponer, potestativamente, recurso de reposición ante la Directora de la
Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición
adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción
Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente
a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.

De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso administrativo.

Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es