Serbest Çalışanların Verilerinin Ticari Amaçla İşlenmesi

1/164

 Expediente N.º: EXP202404641

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a
través de una denuncia de la asociación Institut per a la Cultura Democratica a L
´era Digital (Instituto para la Cultura Democrática en la Era Digital), recibida el
27/12/2022, de ciertos hechos que podrían vulnerar la legislación en materia de
protección de datos de carácter personal.

A fin de esclarecer los hechos puestos en conocimiento de esta Agencia, en fecha
13/04/2023, mediante nota interior, la Directora de la Agencia Española de Protección
de Datos insta a la Subdirección General de Inspección a iniciar actuaciones previas
de investigación -previstas en el artículo 67 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante, LOPDGDD)- ante diversas entidades, entre ellas CAMERDATA, S.A., con
NIF A78035896 (en lo sucesivo, CAMERDATA), entidad frente a quien se dirige el
presente procedimiento sancionador.

La nota interior que ordena a la Subdirección General de Inspección la apertura de
actuaciones de investigación previa refleja, entre otras, estas cuestiones:

“[…] En concreto, se denuncia que, desde el momento en que alguien se registra
como autónomo dándose de alta en el censo de actividades económicas de la Agencia
Estatal de la Administración Tributaria, el nombre, DNI, teléfono, correo electrónico y
dirección que se notifiquen son tratados como información de interés profesional.
Como consecuencia de este tratamiento, si los datos coinciden con los datos privados,
por ejemplo, el caso de aquellos que trabajan desde su domicilio personal, dicha
información de trabajadores autoempleados queda expuesta en internet, fácilmente
accesible desde los buscadores. Además de lo anterior, en algunos casos, los datos
que aparecen al acceder a alguno de los enlaces, además del nombre y apellidos,
DNI, dirección, correo electrónico, teléfono y actividad comercial, se refieren a
información financiera o incidencias judiciales y probabilidades de impago, habiendo
sido obtenidos del Registro Mercantil, Boletín Oficial del Estado, cámaras de comercio,
etcétera.
[…]”

La denuncia recibida en la Agencia explica que las personas físicas interesadas en
darse de alta como empresarios autónomos proporcionan a la Administración tributaria
su nombre, su DNI, un teléfono, un email y su dirección. Datos que son tratados por la
Agencia Estatal de Administración Tributaria (AEAT), la Cámara de Comercio,
Industria, Servicios y navegación de España (CDE), la empresa CAMERDATA y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/164

diversas consultoras privadas. Hace constar que las cadenas de tratamientos que se
llevan a cabo entre la AEAT, la CDE, CAMERDATA y consultoras privadas conducen a
que los datos de empresarios autónomos que coinciden con sus datos personales
queden expuestos e incluso sean vendidos en internet, pudiendo generar con ello
varios incumplimientos de la normativa en materia de protección de datos de carácter
personal.

La denuncia incluye como anexo un documento denominado “La venta de los datos de
las personas en régimen de autónomos” que, según indica en su primera página, se
corresponde con el “Apartado 5 del informe: Privacidad, Protección de Datos vs
Abusos Institucionalizados:https://xnet-x.net/es/datos-por-liebre-xnet-abusos-reforma-
ley-proteccion-datos/”. El documento anexado incorpora, entre otras, las siguientes
capturas de pantalla:

(i) Captura de pantalla de los resultados obtenidos -dice el documento- tras una
búsqueda en Google efectuada por el nombre y apellidos de un empresario autónomo.
Muestra los resultados correspondientes a la web de www.expansion.com y de
https://autonomos.axesor.es. Los datos de la persona física son ilegibles por estar
sombreados y corresponden, supuestamente, al nombre y apellidos del empresario
autónomo. El documento indica que, al entrar en alguno de esos enlaces, se accede
además de a nombre y apellidos, a datos tales como el DNI, la dirección, el correo
electrónico, el teléfono, la actividad comercial e, incluso, a información financiera,
incidencias judiciales y probabilidades de impago.

(ii) Captura de pantalla de la información supuestamente asociada a la misma persona
anterior, cuyos datos personales son ilegibles por estar sombreados, obtenida al
consultar una página de rating. Consta en el documento:

“[…] es un autónomo cuyo negocio está censado en ***LOCALIDAD.1 la actividad
CNAE del negocio es comercio al por mayor de productos alimenticios, bebidas y
tabaco y su actividad SIC es comestibles en general. Nuestros informes le
proporcionarán la información más completa sobre la actividad empresarial de como el
NIF, teléfono, dirección en ***LOCALIDAD.1, scoring y calificación de crédito,
probabilidad de impago y capacidad máxima de solvencia, incidencias judiciales […].

Por otro lado nuestros informes investigados sobre la actividad comercial de […] están
especialmente indicados para operaciones de riesgo elevado y/o para clientes
morosos […] La información contenida en esta ficha es solo un extracto de toda la
información de autónomos y profesionales disponible en axesor […] También puede
acceder a los informes de los ejecutivos o administradores cuyo nombre coincida con
[…] (en caso de existir según las publicaciones del Boletín Oficial del Registro
Mercantil).”

(iii) Captura de pantalla del resultado de una búsqueda efectuada -dice el documento-
a través de la web de CDE, en el Censo Público de Empresas. Consta que “Si desea
obtener más información, consulte el Fichero de Empresas de Camerdata Online”.

SEGUNDO: La Subdirección General de Inspección procede a realizar actuaciones
previas de investigación para el esclarecimiento de los hechos en cuestión en virtud de
las funciones asignadas a las autoridades de control en el artículo 57.1 y de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/164

poderes otorgados en el artículo 58.1, ambos del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad
con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se
tiene conocimiento, entre otros, de los siguientes extremos recogidos en el Informe
firmado por el inspector actuante del que se transcriben estos fragmentos:

<< […]
RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

Con fecha 17/10/2023 se comprueba que:
1. Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42
“Censo de Actividades económicas” consta:
“Descripción de la actividad
Control fiscal: gestión, liquidación y recaudación del impuesto sobre actividades
económicas.
Finalidad
Aplicación efectiva del sistema tributario estatal y aduanero.
Interesados
Empresarios, profesionales y artistas
Datos
NIF/DNI, Nombre y Apellidos, Dirección
Información comercial
Tratamientos
Recogida
Registro
Almacenamiento
Estructuración
Modificación
Actualización
Copia
Análisis
Consulta
Extracción
Difusión
Interconexión
Limitación
Supresión
Destrucción
Otros
Destinatarios
INE
Otros órganos de la Comunidad Autónoma
Diputaciones Provinciales
Otros órganos de la Administración Local
Cámaras de comercio, industria y navegación
Diputaciones forales vascas, Comunidad foral de Navarra
[…]”

2. Dentro de la información sobre protección de datos publicada en internet por la
AEAT apartado 3.6 “Destinatarios” consta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/164

“De acuerdo al artículo 95 de la Ley General Tributaria todos los datos, informes o
antecedentes obtenidos por la Administración tributaria en el desempeño de sus
funciones tienen carácter reservado y sólo podrán ser utilizados para la efectiva
aplicación de los tributos o recursos cuya gestión tenga encomendada y para la
imposición de las sanciones que procedan, sin que puedan ser cedidos o
comunicados a terceros.
Sin embargo, el artículo 95 de la Ley General Tributaria también establece una serie
de casos tasados donde sí se contempla que la Agencia Tributaria pueda ceder o
comunicar datos a terceros, que podrán ser de dos tipos:
-Cesiones o comunicaciones de datos en casos del tipo la colaboración en el
cumplimiento de obligaciones fiscales con otras administraciones públicas, la lucha
contra el delito fiscal y contra el fraude en diferentes ámbitos, la colaboración con
investigaciones de los órganos judiciales y el ministerio fiscal, el control de la propia
actividad de la Agencia Tributaria.
En estos casos, de acuerdo con el artículo 6 del Reglamento UE 2016/679 no será
necesario recabar el consentimiento expreso del ciudadano, para que se puedan
realizar estas cesiones o comunicaciones. Por otro lado, de acuerdo con el artículo 14
del Reglamento UE 2016/670, de producirse una cesión o comunicación no será
necesario informar al ciudadano.
-Resto de cesiones y comunicaciones que no se contemplan expresamente en el
artículo 95, y que son necesarias en el ámbito de la colaboración entre
Administraciones públicas para facilitar la prestación de servicios públicos al
ciudadano.
En estos casos siempre será necesario que la Administración que solicita los datos
cuente con el consentimiento expreso del ciudadano.
[…]”

3. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-
sede-electronica/datos-personales.html consta un primer apartado con el hiperenlace
con texto “Información sobre protección de datos” que reenvía a la URL del punto
siguiente. Consta más abajo en la sección de “Ayuda” otro hiperenlace con texto
“Información al interesado sobre protección de datos”.

4. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-
sede-electronica/datos-personales/informacion-sobre-proteccion-datos.html consta:
“Información sobre protección de datos
La Agencia Estatal de Administración Tributaria (en adelante “Agencia Tributaria”)
responsable de todos los tratamientos de datos de carácter personal que se realicen
en el desarrollo de su actividad, salvo que se indique lo contrario en un tratamiento
concreto.
Estos tratamientos se realizarán sobre los datos de carácter personal de las personas
que usan los servicios que ofrece en el desarrollo de su actividad que podrán ser los
sujetos obligados tributarios, sus representantes, empleados o empleadas públicos o
cualquier otra persona que utilice sus servicios. En adelante nos referiremos a ellas
como personas interesadas.
En relación con el uso de la web de la Agencia Tributaria por parte de las personas
interesadas, se informa de que sus datos de carácter personal sólo podrán obtenerse
para su tratamiento cuando sean adecuados, pertinentes y no excesivos, en relación
con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se
hayan obtenido.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/164

La Agencia Tributaria realiza estos tratamientos de acuerdo con la normativa vigente
en materia de protección de los datos personales, de seguridad de la información y la
propia normativa específica que regula su actividad y que recoge todos los aspectos
relativos a las condiciones en las que se pueden realizar tratamientos de datos de las
personas interesadas.
En este sentido, se han adoptado las medidas técnicas y organizativas necesarias
para evitar la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales. Las medidas adoptadas tienen en cuenta el estado
de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos y
se revisan periódicamente para garantizar su adaptación a nuevas situaciones o
escenarios de riesgo.
La Agencia Tributaria, como responsable de todos los tratamientos de los datos de
carácter personal de las personas interesadas y de acuerdo con los requisitos de
información al mismo recogidos en el artículo 14 del Reglamento (UE) 2016/679,
indica a continuación la información básica relativa a estos tratamientos:”.
Y asimismo consta:
a. En “Finalidad” consta exclusivamente:
“Aplicación efectiva del sistema tributario estatal y aduanero”
b. En el apartado de “Destinatarios” consta exclusivamente:
“Otras administraciones públicas del ámbito nacional e internacional”
c. En “Procedencia” consta exclusivamente:
“De la misma persona interesada, de otras Administraciones Públicas, de otras
personas físicas distintas a la interesada, de entidades privadas, de registros públicos
y de fuentes accesibles al público.>>

--Como consecuencia del requerimiento de información efectuado por la Inspección de
Datos en fecha 02/11/2023 a la AEAT, el Delegado de Protección de Datos de la AEAT
remite a esta agencia la siguiente información y documentos:
<<1. Que en relación a la información sobre protección de datos en relación a los
datos aportados al censo de empresarios, profesionales y retenedores (modelos 036 y
037) y la cesión de estos datos a CÁMARA, manifiesta que se proporciona:

a. A través del registro de actividades del tratamiento “tratamiento 5.1 Censo” en
la URL https://sede.agenciatributaria.gob.es/Sede/todas-gestiones/procedimientos-
notributarios/tratamiento-datos-personales/tratamiento-datos-
personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividades-
tratamiento/5_1-censo.html
b. Cuando se cumplimentan los modelos 36 y 37 aparece el texto en la pantalla
de "firmar y enviar":
"De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y
del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales, se
informa que los datos personales que va a facilitar serán tratados por la Agencia
Estatal de Administración Tributaria con la finalidad de la aplicación efectiva del
sistema tributario estatal y aduanero. Podrá encontrar más información sobre los
posibles tratamientos, cesiones y el procedimiento para ejercer los derechos
establecidos en los artículos 15 a 22 del reglamento en el siguiente enlace

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/164

(https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sede-electronica/datos-
personales.html)"
c. Que, además, en la sede electrónica se encuentra disponible el registro de
información suministrada, en las URL siguientes:
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA
E_CamCom08.pdf

2. Que en relación a los datos cedidos manifiesta que se encuentran en el Anexo I
del Convenio firmado entre AEAT y CÁMARA accesible en
https://www.boe.es/buscar/doc.php?id=BOE-A-2019-18316 .
Se comprueba, conforme a dicho Convenio y la Ley 4/2014, que los datos cedidos
conforme al art. 8 de la Ley 4/2014 son “Datos censales de empresas” y “Datos del
Impuesto sobre Actividades Económicas”.

3. Que la cesión de los datos censales de empresas según art. 8 Ley 4/2014 no
requiere de consentimiento del interesado ya que se realizan en base a la normativa
en materia cameral. Que se realizan en base a la obligación legal del art. 8 Ley
4/2014.

4. Que en el art. 22.3 del Real Decreto 669/2015, de 17 de julio, por el que se
desarrolla la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación, en relación al censo electoral se menciona:
“3. La Agencia Estatal de Administración Tributaria, así como las otras
administraciones territoriales competentes en materia tributaria colaborarán con los
órganos de gobierno de las Cámaras para proporcionarles la información necesaria
para la elaboración y constitución de los censos, garantizando que solo tendrán
acceso a dicha información los empleados de cada Cámara que determine el pleno
con el obligatorio deber de sigilo respecto de dichos datos. A tal efecto, la Agencia
Estatal de Administración Tributaria suministrará la información que se desprenda del
censo del Impuesto sobre Actividades Económicas junto con los datos de las
empresas que sean necesarios y que obren en otros censos que ésta elabora y
gestiona, en particular el Censo de Empresarios, Profesionales y Retenedores.”

5. Que “Respecto a la información habilitada a ceder relativa al Impuesto sobre
Actividades Económicas (IAE) y la que tenga carácter censal, entendiendo por tal a la
contenida en el Censo de Empresarios, Profesionales y Retenedores cuyo contenido
se establece en el art. 5 del Real Decreto 1065/2007, de 27 de julio, por el que se
aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e
inspección tributaria y de desarrollo de las normas comunes de los procedimientos de
aplicación de los tributos, se realiza sólo para la elaboración del censo público de
empresas.”

6. Que en el protocolo de intercambio de información de IAE ubicado en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf se menciona que los datos transferidos solo pueden ser
utilizados para los supuestos que contempla la normativa y no para otros usos.>>

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/164

--Como consecuencia del requerimiento de información que le remite la Inspección de
Datos, en fecha 14/11/2023 CAMERDATA facilita a esta agencia la siguiente
información y manifestaciones:
<<1. Que, en relación a los autónomos, tratan los siguientes datos, entre otros:
“NIF”:
Significado:
número de identificación fiscal
Origen del dato:
Censo público de empresas publicado por CÁMARA conforme a los dispuesto en la
Ley 4/2014 (en adelante Censo público de empresas).
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
“nombre empresa”
Significado:
Manera en la que se identifica la empresa respecto a sus obligaciones formales,
normalmente con los agentes que se relaciona, como Seguridad Social, Hacienda,
proveedores o clientes. Conocido como Razón social.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
“email genérico”
Significado:
Correo electrónico de contacto general de la empresa.
Origen del dato:
Kompass, a través del enriquecimiento de datos del censo público de empresas.
Se cede a:
A clientes finalistas que lo solicitan para su uso exclusivo interno.
“dirección”
Significado:
Dirección de la empresa formado por nombre de vía, número de vía y resto de
dirección.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
“código postal”
Significado:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/164

Código postal de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de direcciones.
“municipio”
Significado:
Población de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de direcciones.
“provincia”
Significado:
Provincia de la dirección de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de direcciones cada vez que se
carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
“teléfono”
Significado:
Número de teléfono de contacto general de la empresa.
Origen del dato:
INFORMA y DATACENTRIC. Se obtiene en el proceso de enriquecimiento de datos del
censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
“Tipo empresa”
Significado:
Forma jurídica de la empresa.
Origen del dato:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/164

Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
“Género empresa”
Significado:
Indicador del tipo de nombre de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de nombres cada vez que se
carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas que ofrece
CAMERDATA, entre ellos, por un lado, entidades del sector denominado de empresas
infomediarias o reutilizadoras de información (AXESOR, CERVED, DATACENTRIC,
EQUIFAX, IBERINFORM, MOODY’S) y por otro lado clientes finalistas que lo solicitan
para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de direcciones.

Aporta un extracto de su base de datos relativo a 500 registros donde, en la columna
“Nombre empresa” constan datos de nombres y apellidos, en la columna “Tipo
empresa” consta “11 AUTONOMO”, en la columna “Dirección” constan datos de lo que
parece nombre de vía, número de vía en todos los registros y en parte de los registros
consta también, piso y puerta. Consta asimismo en la columna “Género Empresa” una
“V” o “M” dependiendo de si el nombre dentro de la columna “Nombre empresa” se
considera de varón o de mujer.

2. Que tratan datos de un total de 1.665.049 autónomos, aunque no todos los
registros tienen informados todos los datos.

3. Sobre el sector de empresas infomediarias manifiesta:
a. Recopilan, analizan, transforman y tratan información del sector público/privado
para crear productos de valor añadido destinados a terceras empresas o ciudadanía
en general, sirviendo para la toma eficaz de decisiones.
b. Que las entidades que se valen de sus servicios y productos son todas las
entidades del IBEX35, todas las entidades financieras, administraciones públicas,
entre ellas las fuerzas y cuerpos de seguridad del Estado, pymes y empresarios
individuales para sus actividades comerciales y empresariales, cualquier ente obligado
a acceder a la información por cumplimiento de diferentes leyes que así se lo exigen,
cualquier ciudadano o entidades sin ánimo de lucro.
c. “Las empresas del sector infomediario operan en el mercado desde hace más
de dos décadas, siendo vital en su desempeño la reutilización y distribución de la
información que libremente se puede obtener de las diferentes fuentes públicas
existentes en su más amplio concepto y contexto.
En un mundo en el que tanto el acceso como la transparencia de la información son
clave para la seguridad en cualquier operación mercantil, las empresas de este sector
son el referente que dota de la necesaria seguridad al tráfico mercantil global y actúa
como una pieza imprescindible en el impulso de la economía general mediante la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/164

aplicación de las mejores técnicas del tratamiento de la información en aras de
garantizar la calidad, seguridad, veracidad y fiabilidad de la misma. La labor de las
empresas infomediarias debe considerarse, por tanto, como de interés público
general.
Adicionalmente, es importante destacar la labor que se realiza para las Pymes, como
parte esencial del tejido empresarial español. Así, por un lado, se permite que
empresarios individuales, con reducidos recursos, puedan utilizar sistemas de
información de alto valor añadido, sin tener que asumir costes individuales elevados
por la consulta directa a la fuente de origen, respecto de sus clientes y proveedores y
por otro lado, también se facilita que su propia información empresarial sea accesible
a sus proveedores y entidades financiera en aras a promover su actividad y
operaciones mercantiles.
El sector infomediario es cada vez más indispensable a la hora de agilizar y mejorar la
gestión de los negocios, y el impacto directo de las oportunidades generadas es
mayor tanto a nivel económico como político y/o social.
Además, este sector interactúa con el resto de sectores, generando valor en muchas
de sus actividades, por lo que a la hora de valorar dicho sector hay que tener en
cuenta que crece tanto en vertical, como el resto de los sectores, como también en
horizontal, siendo esta innegable transversalidad compleja de valorar.
La actuación del sector infomediario tiene un impacto directo no solo en la comunidad
de la información, sino también muy relevante en la actividad empresarial y en la
ocupación en la economía española. Según datos tomados del Informe del Sector
Infomediario presentado el pasado 14 de abril del 2023:
- A 31 de diciembre de 2019 existían 700 empresas Infomediarias activas identificadas
en España.
-Las ventas agregadas del ejercicio 2019 de las 591 empresas infomediarias de las
que se disponen de datos financieros ascendió a 2.543.042.052 €.
- El número agregado de empleados del ejercicio 2019 de las 588 empresas de las
que se disponen de datos de empleados ascendió a 21.998.
-El capital suscrito conjunto a 31 de diciembre de 2020 de las 700 empresas
identificadas como infomediarias ascendía a 311.911.961€.”
d. Que las principales fuentes de datos de las que se valen las empresas del
sector para la creación de los servicios y producto que prestan a la sociedad son:
• Boletines Oficiales, del Estado, de comunidades autonómicas y Provinciales.
• Boletín Oficial del Registro Mercantil y de la Propiedad Intelectual.
• Censo público de empresas de las Cámaras de Comercio, regulado por Ley 4/2014,
de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación.
• Información abierta, no protegida, del Catastro inmobiliario según Texto Refundido de
la Ley del Catastro Inmobiliario (TRLCI), aprobado por Real Decreto Legislativo
1/2004, de 5 de marzo.
• Guías y Repertorios profesionales.
• Guías de abonados a servicios de telefonía.
• Cualquier fuente referenciada por las propias Administraciones públicas en el
catálogo opendata bajo la Iniciativa de datos abiertos del Gobierno de España.

4. Sobre la información aportada a los interesados según art. 14 RGPD
manifiesta:
a. Se considera un esfuerzo desproporcionado según art. 14.5.b y considerando
62 RGPD y según Informe WP260.rev01 17/ES (última revisión de 11 de abril de 2018)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/164

el enviar una comunicación a cada interesado para notificarle el tratamiento como
autónomo o empresario individual.
i. Que hay 1.665.049 autónomos en la base de datos de CAMERDATA que
cabría notificar lo cual es un costo inasumible.
ii. Que según presupuesto de MEYDIS S.L. y Sociedad Estatal de Correos y
Comunicaciones S.A. las labores de manipulación, distribución, materiales de las
comunicaciones ascienden a 9.409.000€ y 4.266.900€ respectivamente.
Aporta copia de presupuestos de MEYDIS, S.L. de fecha 01/07/2021 donde consta la
cantidad de “1.600.000”. No consta un precio total.
Aporta copia de presupuestos de CORREOS donde no consta el presupuesto antes
mencionado, sí consta el texto “PRESUPUESTO CAMERDATA, CAMPAÑA
COMUNICACIÓN 2021” y “PRESUPUESTO TOTAL PARA 1.650.000 ENVÍOS”.
iii. Que CAMERDATA tiene unos ingresos anuales em 2019, 2020, 2021, 2022 de
941.238,83 €, 836.093,46 € , 885.999,51 € , 895.950,29 € respectivamente.
Aporta copia de auditorías de cuentas anuales a fechas 31/12/2019, 31/12/2020,
ejercicio 2021, 31/12/2022 con las mencionadas cifras en el apartado de “1. Importe
neto de la cifra de negocios”.
a. Que debido a este esfuerzo desproporcionado han iniciado un proceso
de publicación en las webs de las cámaras de comercio del texto
siguiente, que actualmente está publicado en la Cámara de Comercio
de Madrid, Valencia, Barcelona, Sabadell, Girona, Alicante, Castellón.
“Información para trabajadores autónomos relativa a la protección de datos personales
Mediante la presente comunicación se informa, a toda persona que tenga la condición
de trabajador autónomo, del tratamiento de sus datos personales por parte de
Camerdata y de las empresas asociadas a ASEDIE que están sujetas a su código de
conducta del sector infomediario de protección de datos que se relacionan: Axesor,
Datacentric, Iberinform, Informa y también Equifax.
Los datos tratados por CAMERDATA y las empresas relacionadas, han sido recabados
por CAMERDATA de forma legítima y obtenidos de un Censo oficial elaborado por
organismo público, correspondiendo a persona sujeto pasivo de los datos (el
trabajador autónomo) en el ejercicio de una actividad de las recogidas en el Real
Decreto de 2007 (RD 475/ 2007).
El tratamiento de estos datos tiene por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser
de su interés, así como la información comercial sobre la actividad empresarial llevada
a cabo por el Autónomo.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión, limitación de
su tratamiento u oposición al tratamiento de sus datos de contacto, puede dirigir su
solicitud a las direcciones que se indican a continuación. Le recordamos que puede
ejercer su derecho de oposición a la recepción de comunicaciones comerciales de
forma centralizada, utilizando los servicios de la Lista Robinson en:
https://www.listarobinson.es/:
Empresas asociadas a ASEDIE que están sujetas a su Código de conducta
CAMERDATA, S.A. Avda. Diagonal, 452, 3ª planta, 08006 en Barcelona o enviando un
email a: [email protected] Adjuntando en todo caso copia de documento que
acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de CAMERDATA
utilizando los mismos datos de contacto que los proporcionados para ejercer sus
derechos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/164

También puede consultar información adicional sobre el tratamiento de sus datos por
parte de CAMERDATA en el siguiente enlace:
https://www.camerdata.es/politica-privacidad
AXESOR CONOCER PARA DECIDIR S.A.
C/ Graham Bell, s/n, Edificio Axesor - 18100 Armilla, Granada
o enviando un email a: [email protected] Adjuntando en todo caso copia de documento
que acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de AXESOR
utilizando los mismos datos de contacto que los proporcionados para ejercer sus
derechos.
También puede consultar información adicional sobre el tratamiento de sus datos por
parte de AXESOR en el siguiente enlace:
https://www.axesor.es/informacion-tratamientos-rgpd
DATACENTRIC S.A.
C/ José Echegaray 9, 28232 Las Rozas, Madrid
o enviando un email a: [email protected] Adjuntando en todo caso copia de
documento que acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de DATACENTRIC
utilizando los mismos datos de contacto que los proporcionados para ejercer sus
derechos.
También puede consultar información adicional sobre el tratamiento de sus datos por
parte de DATACENTRIC en el siguiente enlace:
https://www.datacentric.es/politica-de-privacidad/
IBERINFORM S.A.
Calle Raimundo Fernández Villaverde, 57 Bis, Madrid 28003 (Madrid)
o enviando un email a: [email protected] Adjuntando en todo caso copia de
documento que acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de IBERINFORM
utilizando los mismos datos de contacto que los proporcionados para ejercer sus
derechos.
También puede consultar información adicional sobre el tratamiento de sus datos por
parte de IBERINFORM en el siguiente enlace:
https://www.iberinform.es/aviso-legal#section6
INFORMA S.A.
Avenida de la Industria, 32, 28108 - Alcobendas (Madrid)
o enviando un email a: [email protected] Adjuntando en todo caso copia de
documento que acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de INFORMA
utilizando los mismos datos de contacto que los proporcionados para ejercer sus
derechos.
También puede consultar información adicional sobre el tratamiento de sus datos por
parte de INFORMA en el siguiente enlace:
https://www.informa.es/textos-legales
Empresa No asociada a ASEDIE
EQUIFAX S.A.
Paseo de la Castellana, 259D, 28046 Madrid,
o enviando un email a: [email protected] Adjuntando en todo caso copia de documento
que acredite su identidad (DNI, pasaporte, o similar).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/164

Puede también contactar con el Delegado de Protección de datos de EQUIFAX
utilizando los mismos datos de contacto que los proporcionados para ejercer sus
derechos.
También puede consultar información adicional sobre el tratamiento de sus datos por
parte de EQUIFAX en el siguiente enlace:
https://www2.equifax.es/ederechos/asnef_20024.html.”
c. Incorporar dicho texto anterior a boletines y newsletters que las Cámaras editen
periódicamente consiguiendo con ellos una mayor difusión de la información.
d. Que se tiene intención, iniciando en el año 2024 y posteriormente con
periodicidad anual, de llevar a cabo la difusión del texto informativo en varios
periódicos de mayor circulación en España.
e. Que considera que con estas medidas se cumplen los criterios para validar la
excepción de la obligación de informar individualmente.

5. Sobre el código de conducta de ASEDIE manifiesta:
“[…]
En desarrollo de sus funciones estatutarias, ASEDIE ha elaborado el Código de
Conducta del Sector Infomediario (en adelante, Código de Conducta o Código). En la
elaboración del Código ha tenido en cuenta la opinión de los principales actores que
intervienen de una forma u otra en el sector infomediario, sobre todo de los asociados,
tanto en la faceta jurídica como en la de negocio, pero también de consultores y otras
personas con conocimiento de los aspectos relevantes del sector. La necesidad de la
seguridad jurídica y el reforzamiento del compromiso de los asociados con el
cumplimiento normativo en materia de protección de datos, entendido como un
requisito ineludible de negocio, han llevado a los órganos estatutarios de ASEDIE a
considerar necesario promover el Código de Conducta. El Código establece un marco
general que debe ser cumplido necesariamente por todas las empresas asociadas a
ASEDIE.
En todo caso, cualquier actuación derivada del cumplimiento del Código de Conducta
se realizará en estricto cumplimiento de la normativa vigente, en especial, de la
normativa de defensa de la competencia y de la normativa que resulte de aplicación a
la protección de datos de carácter personal.
En la elaboración y mejora del Código, ASEDIE ha contado con una importante
colaboración e implicación por parte de la AEPD, si bien han existido discrepancias
que han llevado a la Asociación a impugnar en vía contenciosa la denegación de la
aprobación del Código.
[…]”

Con fecha 22/01/2024 se obtiene de internet el contenido en estado borrador del
código de conducta de ASEDIE el cual se incorpora al expediente mediante diligencia.

6. Que en relación al tratamiento que supone la base de datos de empresas en el
caso de autónomos, manifiesta que:

a. “La finalidad concreta del tratamiento es la elaboración de un sistema o servicio
de información de empresas con datos de calidad para la promoción, directa o
indirecta, de los bienes o servicios de una empresa, organización o persona que
realice una actividad empresarial o profesional, sea en su propio nombre o en nombre
de un tercero.”
b. Que se basan en interés legítimo, y manifiesta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/164

“Camerdata realiza el tratamiento de datos personales de personas físicas en cuanto
relativos a su condición de empresarios individuales o profesionales liberales, es decir,
concernientes exclusivamente a su actividad empresarial.
En tales casos, se presume amparado por el interés legítimo conforme al artículo 6.1 f)
RGPD, salvo prueba en contrario, siempre que cumplan los siguientes requisitos:
(i) Que el tratamiento se refiera únicamente a los datos necesarios para las finalidades
indicadas en el punto b.- de esta respuesta, que permita a los clientes de los
responsables, o a ellos mismos, mantener relaciones con el interesado en el contexto
del desarrollo empresarial o profesional de la actividad que el interesado explote o
realice, respectivamente, como empresario individual o como profesional liberal.
A estos efectos, se considerará lícito el tratamiento amparado en dicho artículo 6.1 f)
del RGPD bajo la ponderación hecha más adelante.
(ii) El tratamiento se realice conforme lo establecido en el artículo 19 de la LOPDGDD,
es decir siempre que se cumplan los siguientes requisitos:
- Que el tratamiento se refiera únicamente a los datos necesarios para su localización
profesional.
- Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier
índole con la persona jurídica en la que el interesado preste sus servicios, o con la
actividad empresarial o profesional desempeñada por el empresario individual o
profesional liberal.
El interés legítimo previsto en los apartados anteriores se extiende, por cumplirse
dichos requisitos, al supuesto de que los datos sean tratados para informar
estrictamente sobre la actividad económica desempeñada por empresarios
individuales y profesionales liberales, y que ayuden a la toma de decisiones a terceros
clientes de los responsables del tratamiento a los efectos de contactar, iniciar y
mantener relaciones empresariales o profesionales, favoreciendo con ello la
promoción y desarrollo empresarial o económico.
No quedará amparada por la presunción de interés legítimo establecido en los casos
(i) y (ii) el uso de los datos para tratamientos que tenga como finalidad entablar una
relación con los interesados en su faceta personal, no empresarial o profesional.
Fuera de estos dos supuestos, conforme a lo establecido en el Considerando (47) y el
art. 6.1.f) del RGPD, cuando se trate estos datos fuera del alcance, los criterios y/ o
las finalidades indicadas, el responsable del tratamiento, o el tercero por cuenta de
quien actúe aquel, deberá haber llevado a cabo una ponderación propia entre su
interés legítimo y los intereses, derechos y libertades de los interesados, que
determine que el tratamiento pretendido no vulnera esos intereses, derechos y
libertades del interesado, debiendo en todo caso aplicar las medidas de seguridad
necesarias.
Interés legítimo del responsable o de los terceros.
La existencia de un interés legítimo por parte de Camerdata y de sus clientes (a los
que presta los servicios relacionados con la finalidad del tratamiento) para el
tratamiento de los datos personales indicados, tiene su fundamento en la necesidad
de conocer los datos identificativos de los empresarios individuales y profesionales
liberales, como un dato necesario dentro del conjunto total de datos empresariales o
profesionales que se ofrecen en los diferentes productos y servicios de información
que comercializa Camerdata. Datos que son relevantes para las relaciones
comerciales o profesionales de los interesados y que solo pueden ser tratados para
esos fines, de tal manera que no pueden ser utilizados para relaciones directas con
las personas físicas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/164

El interés legítimo de Camerdata sería doble. Por un lado, el que deriva de su
vertiente de fuente de financiación, propio de toda actividad empresarial, y, por otro
lado, contribuir al desarrollo y fomento de las relaciones empresariales o
profesionales, ofreciendo un sistema de información de calidad a los actores del tejido
empresarial y a los particulares, dando cobertura a la seguridad jurídica demandada
por las partes de cualquier relación mercantil o contractual en su operativa en el
mercado, dando, con ello, satisfacción a un interés económico y social general.
En efecto, hay que señalar que Camerdata obtiene los datos de fuentes públicas y el
tratamiento que realiza sobre ellos obedece al objetivo de incrementar la calidad de
los datos y ofrecer así a los clientes interesados un sistema de información de
empresas que operan en todo el territorio nacional, cumpliendo, con ello, un interés
general para el sector empresarial.
En el tratamiento de datos por parte de Camerdata subyace también un interés
legítimo de sus clientes y de los propios interesados, que necesitan conocer esta
información, bien para dar a conocer sus servicios y productos, bien para ofrecerlos a
terceros o bien para realizar operaciones mercantiles o profesionales con terceros, o
incluso para poder ejercitar las oportunas acciones legales que en su caso les
correspondan. Por otro lado, cada vez más el acceso, conocimiento y valoración de
dichos datos empresariales viene impuesto por ley, por ejemplo, por la Ley 10/2010 de
prevención del blanqueo de capitales y la financiación del terrorismo.
Nos encontramos, por tanto, ante un tratamiento de datos empresariales que garantiza
de forma general el interés legítimo de cualquier tercero de conocer esta información.
Cabe destacar, una vez más, que las fuentes de obtención de la información, que se
tratan para estas finalidades, tienen la consideración de públicas en su más amplio
sentido, bien porque la publicación de los datos responde a la exigencia y aplicación
de una norma legal que exige que dicha información sea conocida y accesible para
todo el mundo, o bien por haber sido hecha manifiestamente pública por el propio
interesado.
Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales que
requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento expuesto en este
documento, por cuanto:
1º. La información de los interesados objeto del tratamiento se ceñirá únicamente a la
tipología de datos empresariales o profesionales, y para las finalidades y según el
alcance expuesto en este documento.
2º. Los datos se han obtenido fuentes públicas.
3º. Se garantiza el ejercicio de los derechos de los interesados regulados en los
artículos 15 a 22 del RGPD.
Además, los propios interesados tienen interés en el tratamiento de sus datos
empresariales o profesionales, pues pueden acceder a la base de datos de
Camerdata para contactar con terceros empresarios o profesionales para el
ofrecimiento de sus servicios y productos, y tienen interés en ser localizados por
terceros que acceden a la base de datos de Camerdata para iniciar relaciones
comerciales.
A mayor abundamiento y en cumplimiento del principio de minimización de datos (art.
5.1.c RGPD UE) los datos tratados, relacionados en el punto 1 del presente escrito de
respuesta, son pertinentes, adecuados y limitados a los estrictamente necesarios para
la finalidad para la que son tratados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/164

Resultado de la ponderación:
1º - El tratamiento de esta información es lícito: El tratamiento de los datos es
necesario para conseguir las finalidades empresariales y económico-sociales que se
pretenden.
2º - Las fuentes de obtención de la información tienen la consideración de fuentes
públicas en su más amplio sentido, bien porque la publicación de los datos responde a
la exigencia y aplicación de una norma legal que requiera que dicha información sea
conocida y esté accesible al público en general. En este sentido, los datos se podrán
obtener de las siguientes fuentes:
a) Fuentes públicas: Principalmente, las que se han citado anteriormente.
b) Datos que el interesado hubiese hecho manifiestamente públicos. Se entenderá
que este tipo de datos pueden ser objeto del tratamiento, sobre la base de licitud del
interés legítimo, en la medida en que el art. 9.2. apartado e) del RGPD permite tratar
datos de categorías especiales de datos por el hecho de que el interesado los haya
hecho manifiestamente públicos, por lo que con mayor razón se podrán tratar datos
que no comprendan dichas categorías, como es el caso de los tratamientos de datos
que realizarán los responsables del tratamiento.
c) Cualesquiera otras fuentes públicas siempre que su tratamiento no esté impedido
por normativa legal o por derechos de legítimo autor o beneficiario del fichero de
procedencia de los datos, y el responsable del tratamiento haya llevado a cabo
previamente a la construcción del fichero una ponderación entre su interés legítimo o
el del tercero a los que se preste el servicio y los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales. En el
tratamiento de las fuentes públicas a que se refiere este párrafo, los responsables del
tratamiento cumplirán con los principios del tratamiento del art. 5 del RGPD.
3º - Las categorías de datos que se tratan son mínimamente invasivos en el derecho a
la intimidad del interesado, pues son datos ceñidos al desempeño de una actividad
empresarial o profesional, sin que en ningún momento existan datos de su esfera
familiar, ni mucho menos datos de categorías especiales de datos (artículo 9 RGPD).
Por lo demás, la base de datos de empresas de Camerdata no refiere ninguna
información crediticia ni sobre solvencia patrimonial.
4º - Es parte del interés legítimo que se considera para el tratamiento de esta
información el perjuicio que supondría para el interés general del tráfico mercantil el no
tratar esta información, en los términos expuestos dada la seguridad jurídica que
aportan en cualquier transacción del mercado. La inexistencia de referencias
informativas sobre la actividad empresarial de estos interesados en el mercado tendría
como consecuencia directa repercusiones claramente negativas en la actividad
económica, con el consiguiente perjuicio a la actividad económica general.
5º - El principio a la libre circulación de los datos, establecido y amparado por la propia
normativa europea en la materia (RGPD).
6ª - Las finalidades pretendidas para el tratamiento de estos datos por Camerdata no
difieren de las que tienen las fuentes de procedencia de los datos, la publicidad
registral de los Registro oficiales y el censo público de empresas de las Cámaras de
Comercio, (fuentes principales de obtención de esta información), pues persiguen
ofrecer a los consultantes la transparencia y seguridad jurídica necesarias. Este
hecho, junto a la amplia y reconocida existencia en el mercado y en la sociedad en
general de sistemas de información empresarial, influyen directamente en la existencia
de una expectativa razonable, por parte de los interesados, sobre la posibilidad de que
los datos de su desempeño empresarial o profesional puedan llegar a ser tratados. En
ocasiones, son los propios interesados quienes directamente hacen pública la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/164

información o permiten su difusión porque tienen interés en que se conozcan sus
datos de contacto y actividades empresariales o profesionales.
7º.- En el caso de los datos que sean públicos por cualquier causa, la Sentencia del
Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011 (asuntos
acumulados C-468/10 y C-469/10) indica, en sus Considerandos (44) y (45), que
cuando los datos figuran en fuentes accesibles al público, el responsable del
tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos, no
acceden a datos relativos a la vida privada del interesado, dado que la información ya
es de público conocimiento. Como consecuencia, hay un impacto menor en los
derechos del interesado, lo que debe ser apreciado en su justo valor en la
ponderación con el interés legítimo perseguido por el responsable del tratamiento o
por el tercero o terceros a los que se comuniquen los datos.”

7. Que en relación al tratamiento que supone la cesión de la base de datos de
empresas en el caso de autónomos a terceras entidades, manifiesta que se basan en
interés legítimo y la finalidad tal y como se indica en el punto anterior.

Aporta copia de contrato fechado a 15/02/2016 y firmado entre CAMERDATA y
CÁMARA donde consta que (se añade subrayado):
a. CÁMARA es la cedente y CAMERDATA es la cesionaria.
b. “[…]
V. Sobre la base de los indicados datos que recibe de las Administraciones públicas
colaboradores (que actualmente son la Agencia Estatal de la Administración Tributaria,
la Agencia Diputación Foral de Navarra y las Cámaras de Comercio del País Vasco),
la Cámara de Comercio de España elabora el censo público de empresas bajo la
denominación de "Censo Básico de Empresas", garantizando la confidencialidad en el
tratamiento y el uso exclusivo de la información recibida.
[…]”
c. “Que la información empresarial es una de las áreas tradicionales donde las
Cámaras de Comercio, con arreglo a sus funciones y finalidades, han venido
ofreciendo servicios a las empresas. Con el fin principal de gestionar adecuada y
coordinadamente dichos servicios, el ahora extinguido Consejo Superior de Cámaras
de Comercio (hoy sustituido por la Cámara de Comercio de España) y las Cámaras de
Comercio constituyeron en 1985 la mercantil CAMERDATA, S.A., entidad instrumental
cameral para el desarrollo de dicha actividad.
Según el artículo 4 de los Estatutos sociales de CAMERDATA, S.A., el objeto social de
la misma consiste en el desarrollo y explotación de un sistema de información
empresarial y las aplicaciones derivadas del mismo.”
d. “[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un
sistema de información empresarial denominado "Fichero de Empresas Españolas",
que es una base de datos diferente del "Censo Básico de Empresas" elaborado por la
Cámara de Comercio de España, si bien para desarrollarlo está interesada en obtener
una copia de la información empresarial del "Censo Básico de Empresas".
e. “[…]
Primera. Objeto.
Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez,
recibe y adquiere para sí, una copia de la totalidad de los datos empresariales
obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en
adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/164

contiene los campos de información que se indican en el Anexo 1 de 3.160.984
Registros de Empresas.
A estos efectos se entiende por Registro de Empresa todos los campos de información
del Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos
Cedida, tomándose como identificador de dicho registro el NIF de las mismas.
[…]
Segundo. Finalidad.
La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus
actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y
los tratará, completará y enriquecerá en los términos convenidos en el presente
Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros
interesados como base de datos de información de las empresas que operan en
territorio español.
[…]”
f. Consta en el Anexo 1, los campos de “NIF de la empresa”, “nombre o
denominación social de la empresa”, “domicilio principal”, “domicilio de actividad”,
“sección actividad IAE”, “actividad IAE”.
g. “Segundo.- Finalidad.
La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus
actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y
los tratará, completará y enriquecerá en los términos convenidos en el presente
Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros
interesados como base de datos de información de las empresas que operan en
territorio español.”
h. “12.2.- Asimismo manifiesta la Cedente que la Base de Datos Cedida y sus
actualizaciones contiene datos relativos a empresarios individuales y a datos de
personas físicas que prestan sus servicios a personas jurídicas, relativos únicamente
al nombre y apellidos, las funciones o puestos desempeñados, así como la dirección
postal o electrónica, teléfono y número de fax profesionales, todo ello de conformidad
con lo dispuesto en el artículo 2 del RLOPD.”
i. En el ANEXO 2 al contrato de cesión de 15/02/2016 con las “Condiciones de la
cesión de la Base de Datos Cedida” consta que:
i. “Que los datos incluidos en la Base de Datos Cedida y sus actualizaciones se
obtienen del censo público de empresas que regula la Ley 4/2014 elaborado por la
Cedente bajo la denominación de Censo Básico de Empresas.”
ii. Obligaciones de CAMERDATA:
“B) Obligaciones de la Cesionaria
b. 1) La Cesionaria se obliga a incorporar la información de la Base de Datos Cedida
en el Fichero de Empresas Españolas y a tratarla y comercializarla en los términos
convenidos en el Contrato y sus Anexos.
b.2) La Cesionaria se compromete a tener siempre actualizados los datos
empresariales del Fichero de Empresas Españolas y a tal efecto se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de Datos Cedida que
ésta realice periódicamente dentro de los quince (15) días laborables siguientes a la
fecha en que reciba la comunicación escrita al efecto de la Cedente.
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus actualizaciones, y a no
realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la información de los Registros
de Empresa de la Base de Datos Cedida actualizada dentro de los treinta (30) días

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/164

laborales siguientes a la fecha en que la reciba de la Cedente y a tratarla en los
términos que se indican en el siguiente párrafo b.4).
(iv) Efectuar dicha actualización sobrescribiendo el Fichero de Empresas Españolas
con la información de la Base de Datos Cedida actualizada por cada Código
Administración remitido. En consecuencia, la Cesionaria quedará obligada a suprimir
del Fichero de Empresas Españolas la información de la Base de Datos Cedida
entregada anteriormente relativa a dichos Códigos Administración, la cual quedará
completamente sustituida y sin efecto, y sin que la Cesionaria pueda usar dicha
información para la finalidad del Contrato ni para ninguna otra; únicamente podrá
conservarla bloqueada a disposición de las Administraciones públicas, Jueces y
Tribunales para la atención de las posibles responsabilidades que eventualmente se
deriven del tratamiento y comercialización de dicha información durante el plazo de
prescripción de éstas.
b.3) La Cesionaria únicamente podrá informar a los terceros interesados de que la
fuente de información del Fichero de Empresas Españolas referente a los campos del
Anexo I del Contrato se corresponde con la del Censo Básico de Empresas cuando
dicho fichero haya incorporado la información de la última Base de Datos Cedida
actualizada de la Cedente. En caso contrario, no podrá informar dicha fuente.
b.4) Recibida la Base de Datos Cedida o la actualización de la misma, la Cesionaria
procederá a:
(i) Homogeneizar nombres y direcciones expresados en diferentes elementos (a modo
de ejemplo: calle / rua / Kale / carrer, homogeneizando todas ellas a calle) sin que ello
suponga modificar el contenido esencial de la información empresarial contenida en
dicha Base de Datos Cedida.
(ii) Incorporar la información de la Base de Datos Cedida o sus actualizaciones tratada
de esta forma al Fichero de Empresas Españolas propiedad de la Cesionaria.
b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y comercializa
tendrá las siguientes características:
(i) El registro de la empresa y los campos de la misma de la Base de Datos Cedida
indicados en el Anexo 1 del Contrato. Los restantes campos de dicho Fichero incluidos
por la Cesionaria no modificarán, alterarán ni contradecirán los campos de la Base de
Datos Cedida y sus actualizaciones.
(ii) Campos desarrollados por la Cesionaria a partir de algoritmos creados por ella
misma.
(iii) Campos aportados por la Cesionaria: como Forma jurídica, actividad principal,
sede social, sucursales, actividad negocial.
(iv) Campos aportados por otras fuentes legítimas y actualizadas: Nombre comercial,
teléfono, fax, CNAE, web, fecha constitución, número de empleados, volumen de
negocio, importaciones/exportaciones, cargos (hasta 5 cargos con nombre y
apellidos), género de la empresa (para distinguir cuando se trata de autónomos no
sección 2 0 3), coordenadas geodésicas (en 3 sistemas universales) u otros.
[…]

Aporta copia de contrato fechado a 01/07/2022 y firmado entre CAMERDATA e
INFORMA D&B S.A.U. (en adelante INFORMA) donde consta que:
a. CAMERDATA autoriza a INFORMA a comercializar su base de datos de
autónomos a través de la empresa BUREAU VAN DIJK EDITIONS ELETRONIQUES
SRL (en adelante, BVD), empresa de MOODY’S ANALYTICS.
b. Que INFORMA será responsable y se obliga a que MOODY’S ANALYTICS
únicamente podrá utilizar la información para:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/164

“Servicios de marketing.
Enriquecimiento de NIF (dado un documento se devolverán los campos que se
soliciten provenientes de la base de datos entregada).
Elaboración de informes comerciales y de negocio del empresario individual en su
faceta empresarial, nunca en lo relativo a su actividad personal.
Segmentación en procesos de venta y pricing
Prestación de servicios de prevención de fraude relativos a la validación de
información e identificadores
Servicios de solvencia patrimonial y crédito (servicios de Analytics Scores) en su
faceta empresarial.”

Aporta copia de contrato fechado a 29/09/2022 y firmado entre CAMERDATA e
INFORMA donde consta que:
a. INFORMA facilita a CAMERDATA información de empresas que conste en su
base de datos con el fin de que CAMERDATA pueda incluirla en su base de datos y
comercializarla. Que dicha información comprende, entre otros datos, CIF, nombre de
la empresa, dirección completa, teléfono de la empresa, ventas.
Asimismo, INFORMA facilita a CAMERDATA el fichero FIBAEMP PRENORMALIZADO
con el fin de que CAMERDATA pueda incluirlo en su base de datos y comercializarla
entre sus clientes. Consta como contenido de dicho fichero los datos de CIF/NIF,
nombre o razón social, estado de la empresa y fecha del dato, CNAE, web y fecha del
dato.
b. CAMERDATA facilita a INFORMA el fichero de empresas españolas (FIBAEMP)
con el fin de que INFORMA pueda incluir en su fichero dicha información y
comercializarla entre sus clientes. Consta que entre esos datos se incluyen, CIF/NIF,
nombre o razón social (en los empresarios individuales), IAE, domicilio completo (calle,
municipio, provincia), teléfonos.
Asimismo, CAMERDATA facilita a INFORMA el fichero FIBAEMP PRENORM con el fin
de que INFORMA pueda realizar el tratamiento para devolver a CAMERDATA el
fichero FIBAEMP PRENORMALIZADO. Consta como contenido de dicho fichero
FIBAEMP PRENORM los datos de CIF/NIF, nombre o razón social, IAE (actividad
económica).
c. CAMERDATA autoriza a INFORMA a comercializar su base de datos de
empresarios individuales a la empresa BVD.
d. Que BVD únicamente podrá utilizar la información para:
“Servicios de marketing.
Enriquecimiento de NIF (dado un documento se devolverán los campos que se
soliciten provenientes de la base de datos entregada).
Elaboración de informes comerciales y de negocio del empresario individual en su
faceta empresarial, nunca en lo relativo a su actividad personal.
Segmentación en procesos de venta y pricing
Prestación de servicios de prevención de fraude relativos a la validación de
información e identificadores
Servicios de solvencia patrimonial y crédito (servicios de Analytics Scores) en su
faceta empresarial.”
e. “SEPTIMA. PROTECCIÓN DE DATOS
7.1 En el suministro de información entre las partes
Ambas partes se someten expresamente al Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de Abril de 2016 (en adelante, RGPD), a la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/164

garantía de los derechos digitales (en adelante, LOPDGDD), a la Ley 34/2002 de 11
de julio, de servicios de la sociedad de la información y comercio electrónico (en
adelante, LSSI) y a restante normativa aplicable en esta materia.
A estos efectos CAMERDATA declara que los datos que comunica al amparo del
presente Acuerdo (fichero Camerdata) contienen datos personales de empresarios
individuales (interesados) relacionados con la actividad mercantil de los mismos, y
nunca con su ámbito privado, y, que se trata de un tratamiento lícito en los términos
del Articulo 6.1.f) del RGPD y, en la medida en que CAMERDATA garantiza que los
mismos provienen de lo que se ha venido conociendo como fuentes de acceso
público, CAMERDATA garantiza que los mismos podrán ser utilizados para entablar
una relación con dichos interesados en su condición de empresarios individuales.
De igual manera, INFORMA declara que los datos que facilita al amparo del presente
Acuerdo (Fichero Informa) contienen datos personales de personas de contacto
(interesados), relacionados con su localización profesional y con la finalidad de
mantenimiento de relaciones de cualquier índole con la persona jurídica en la que el
interesado preste sus servicios, y nunca con su ámbito privado, y que se trata de un
tratamiento lícito en los términos del artículo 6.1.f) del RGPD y, en la medida en que
INFORMA garantiza que los mismo provienen de lo que se ha venido conociendo
como fuentes de acceso público y encuestas telefónicas a las propias empresas, de
forma tal que INFORMA garantiza que los mismos podrán ser utilizados para contactar
con los interesados, siempre que la finalidad sea mantener relaciones de cualquier
índole con la persona jurídica en la que el interesado presta sus servicios.
Que tanto INFORMA como CAMERDATA son responsables de sus respectivas
políticas de privacidad sobre los datos y las adaptarán, en su caso, a los
requerimientos establecidos en la normativa para garantizar el cumplimiento de la
legislación aplicable.
Asimismo, como consecuencia de la cesión por parte de CAMERDATA a INFORMA de
los datos contenidos en el Fichero Camerdata, INFORMA pasará a ser considerada
como responsable del tratamiento de los mismos, comprometiéndose a cumplir con
cuantas obligaciones legales le correspondan como tal.
Adicionalmente, como consecuencia de la cesión por parte de INFORMA a
CAMERDATA de los datos contenidos en el Fichero Informa, CAMERDATA pasará a
ser responsable del tratamiento de los mismos, comprometiéndose a cumplir con
cuantas obligaciones legales le correspondan como tal.
[…]”

Aporta copia de contratos fechados a 15/09/2009, 25/07/2012 (extensión del contrato
anterior), 25/07/2014 (prórroga del anterior), 24/05/2018 y firmados entre CAMERDATA
y AXESOR CONOCER PARA DECIDIR S.A. (en adelante AXESOR) o, en su
denominación anterior, INFOTEL Información y Telecomunicaciones, S.A. (en adelante
INFOTEL) donde consta que:
a. En el contrato de fecha 15/09/2009 consta que:
i. “l.- Que INFOTEL como sociedad mercantil, es proveedor de información
empresarial y comercial y dispone de un amplio Datawarehouse con datos sobre
Entidades Mercantiles, no Mercantiles, Negocios y Empresarios Autónomos a través
de su página en Internet, www.axesor.es.
ll.- Que CAMERDATA es una empresa creada por las Cámaras de Comercio a fin de
elaborar ficheros de las actividades negociales que se desarrollan en su ámbito de
actuación, así como de ofrecer el servicio de información pública sobre la información
contenida entre otros, en su fichero denominado Empresarios Individuales, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/164

conformidad con lo previsto en la Ley Básica 3/1993 de 22 de marzo de Cámaras
Oficiales de Comercio, Industria y Navegación y de conformidad con la Ley Orgánica
15/1999 de Protección de Datos.
III.- Que INFOTEL se halla interesada en acceder a dicha información pública,
obteniendo un listado de actividades negociales de Empresarios Autónomos con el
objeto de permitirle enriquecer parte de su fichero, en concreto los Empresarios
Autónomos que INFOTEL obtiene de diversas fuentes de acceso público, y que son
parte del Datawarehouse que INFOTEL o sus Clientes utilizan en sus actividades de
prospección comercial para la realización de acciones marketing promocional y
publicitario además de proveer de dicha información empresarial y comercial a sus
clientes a través de los servicios y productos de su página en internet www.axesor.es.”
ii. “PRIMERA: OBJETO.
Mediante el presente documento, CAMERDATA suministrará a INFOTEL:
1º. Información contenida en el Fichero de su propiedad, denominado Empresarios
Individuales, de conformidad con el detalle de servicios contenido en el ANEXO al
presente contrato, y que queda incorporado al mismo a todos los efectos. La
información a suministrar procede del Fichero elaborado por CAMERDATA a partir de
los datos de gestión e inscripción de los Autónomos en las Cámaras de Comercio, así
como, en tanto el campo de teléfono no se hallare informado en origen, de los
repertorios de abonados a servicios de telecomunicaciones.”
iii. Que en el ANEXO al contrato consta los datos de identificadores, nombre
(razón social y nombre comercial, si está disponible), dirección completa (sigla, calle,
número, resto de dirección, código postal, municipio, provincia, comarca), IAE
(Impuesto de Actividades Económicas), teléfono correspondiente a la dirección de la
sede, entre otros datos.
iv. “En el uso de la información del fichero de CAMERDATA objeto de este
contrato para el enriquecimiento de los registros del Datawarehouse de INFOTEL, a
efectos de que el titular de los datos que se facilitan pueda ejercer los derechos que le
asisten en virtud de que pudiera aplicarle lo dispuesto en la Ley Orgánica 15/1999, por
dejar de operar la excepción del art. 2.3 del RD 1720/2007, INFOTEL procederá a
indicar a sus clientes que en las acciones publicitarias o de prospección comercial que
realicen a raíz de la consulta a este Datawarehouse, deberán incluir en todo caso la
siguiente mención obligatoria:
"Conforme al artículo 2.3 RD 1720/2007, del Reglamento de desarrollo de la Ley
15/1999, de 13 de diciembre de Protección; de datos de carácter personal, los datos
de empresarios individuales de contacto utilizados quedan fuera del ámbito de dicha
Ley. No obstante, si en adelante concurrieran las circunstancias que hicieran que sus
datos queden al amparo de la LOPD, puede ejercer sus derechos de Acceso,
Rectificación, Cancelación y Oposición, dirigiéndose a Infotel Información y
Comunicaciones adjuntando documento oficial de acreditación de su persona a
[email protected] o al fax 902101062.
INFOTEL deberá advertir a sus clientes que deben utilizar dicha información única y
exclusivamente para promocionar productos o servicios directamente relacionados
con el sector de actividad al que pertenecen las actividades que se le suministran no
pudiendo utilizarla para otros fines que no sean los anteriormente señalados, ni
comunicarla a terceros siquiera sea para su conservación. "
b. En el contrato de fecha 25/07/2012 consta que CAMERDATA suministrará a
AXESOR los datos de empresas jurídicas y empresas físicas con los datos, entre
otros:
i. “CIF” con descripción “CIF jurídicas/secuencial físicas”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/164

ii. “nombre empresa”
iii. “calle”, “número”, “resto” con descripción de “resto dirección (escalera, piso,
puerta,…)”
iv. Solo para empresas jurídicas: “código postal”, “municipio”, “provincia”,
“comarca”, “teléfono”, “fax”.
c. En el contrato de fecha 24/05/2018 consta el título “ADDENDA AL CONTRATO
DE SUMINISTRO DE DATOS, SUSCRITO EL 15 DE SEPTIEMBRE DE 2009 ENTRE
CAMERDATA S.A. E INFOTEL INFORMACIÓN Y TELECOMUNICACIONES S.A.
(ACTUALMENTE AXESOR CONOCER PARA DECIDIR S.A.)” y consta que:
i. CAMERDATA (o EL TITULAR) y AXESOR adecúan el contrato anterior, suscrito
con fecha 15/09/2009, al RGPD.
ii. Que CAMERDATA es cedente de los datos y responsable del tratamiento de los
mismos y AXESOR es cesionario.
iii. Que CAMERDATA garantiza tener la base jurídica suficiente para la cesión
objeto del contrato, así como la legalidad de la construcción del fichero.
iv. Que “A estos efectos, CAMERDATA declara que los datos contenidos en su
directorio de Empresas y empresarios y que facilita al amparo del citado Contrato (en
adelante el FICHERO) contienen datos de carácter personal de personas físicas
identificados como empresarios individuales (en adelante, los INTERESADOS o
DESTINATARIOS), considerando que los tratamientos que se realizan sobre los
mismos se refieren únicamente en dicha condición, es decir estrictamente en lo
relacionado con la actividad mercantil, nunca sobre su ámbito privado de los mismos.”
v. “AXESOR gestionará y responderá directamente y por su cuenta los derechos
que confiere el RGPD que reciba directamente a su nombre de los INTERESADOS,
en la forma y plazos indicados en la normativa.”
vi. “CAMERDATA gestionará y responderá directamente y por su cuenta los
derechos que confiere el RGPD que reciba directamente a su nombre de los
INTERESADOS, en la forma y plazos indicados en la normativa.”
vii. En las obligaciones de AXESOR consta “1º. Utilizar los datos personales objeto
de tratamiento, o los que recoja para su inclusión, sólo para la prestación de los
servicios indicados en el Contrato Principal.”
No consta explícitamente el rol de AXESOR en relación al tratamiento.
viii. Que en las obligaciones sobre protección de datos comunes a ambas partes
consta:
“CUARTO. OBLIGACIONES SOBRE PROTECCION DE DATOS COMUNES A LAS
PARTES.
1º. Código de Conducta ASEDIE: Mientras ambas partes sean asociados de la
Asociación multisectorial de la Información (ASEDIE), quedan sujetas al cumplimiento
del Código de Conducta en materia de Protección de datos aprobado por la
Asociación, debiendo extender las obligaciones impuestas en el mismo a los servicios
que CAMERDATA presta a AXESOR en el Contrato Original, y AXESOR por su parte a
los servicios que presta a sus clientes, utilizando para ello los registros del FICHERO,
conforme lo establecido en el Anexo I de dicho Código de Conducta.
[…]
2º. Gestión de los derechos de los INTERESADOS:
Las partes deberán comunicarse de inmediato y en cualquier caso como máximo,
todos los viernes y en su defecto en último día hábil de la semana, todas las
solicitudes atendidas efectivamente de supresión , rectificación, oposición de datos de
aquellos Autónomos que hayan acreditado la baja de su actividad empresarial y por
tanto dejando de tener la consideración de Empresario individual, o bien se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/164

encuentren en alguna situación especial que haga que el tratamiento que cada parte
realice con sus datos, implique una posible vulneración de sus derechos
fundamentales.
Las comunicaciones de las supresiones de los datos de cada parte, deberán hacerse
llegar en un listado que agrupe todas las efectuadas por semana, mediante la remisión
de un email con inclusión de las referencias cifradas o con cualquier otra medida de
seguridad equivalente a las siguientes direcciones de email:
Envíos a Axesor: [email protected]
Envíos a Camerdata: [email protected]
3º. Notificaciones sobre Brechas de Seguridad:
Cada parte notificará a la otra, utilizando los datos del apartado "Notificaciones sobre
protección de datos" de esta adenda, lo más inmediatamente posible cualquier
destrucción, pérdida, alteración, divulgación o acceso a Datos Personales de la que
tenga conocimiento y que afecte a los tratamientos de la otra parte ("Violación de
Seguridad"), siempre dentro del plazo de las 24 horas posteriores a la toma de
conocimiento de la misma.
La parte que haya sufrido la violación de seguridad deberá colaborar con la otra parte,
para mitigar cualquier efecto que pueda afectar a los datos que ésta trate.
Será responsabilidad de la parte que sufra la brecha de seguridad, comunicar a los
INTERESADOS y a la autoridad de control, en los casos en que así fuera necesario
según lo indicado en el RGPD, así como responder ante cualquier perjuicio que sufra
la contraria.
4º. Medidas de seguridad aplicables a los datos facilitados:
EL TITULAR y AXESOR, adoptarán las medidas de índole técnica y organizativas
necesarias que garantizarán la seguridad, confidencialidad e integridad de los datos
de carácter personal y evitarán su alteración, pérdida, tratamiento o acceso no
autorizado de conformidad con lo dispuesto en el RGPD, y habida cuenta del estado
de la tecnología, la naturaleza de los datos y los riesgos a que estos están expuestos.”

Aporta copia de contrato fechado a 29/07/2008 y firmados entre CAMERDATA e
IBERINFORM INTERNACIONAL S.A. (en adelante IBERINFORM o EL CLIENTE)
donde consta que:
“l.- Que CAMERDATA es una empresa creada por las Cámaras de Comercio a fin de
elaborar ficheros de las actividades negociales que se desarrollan en su ámbito de
actuación (denominado Fichero de Empresas Españolas), así como de ofrecer el
servicio de información pública sobre la información contenida en dicho fichero, de
conformidad con lo previsto en la Ley Básica 3/1993 de 22 de marzo de Cámaras
Oficiales de Comercio, Industria y Navegación.
lI.- Que EL CLIENTE se halla interesada en acceder a dicha información pública,
obteniendo un listado de actividades negociales.
[…]
PRIMERA: OBJETO.
El objeto del presente contrato es regular las condiciones de suministro al CLIENTE,
por parte de CAMERDATA, de la formación contenida en el Fichero de Empresas
Españolas de CAMERDATA (en adelante, el Fichero), de conformidad con el detalle de
servicios que se especifican en el ANEXO al presente contrato, y que queda
incorporado al mismo a todos los efectos.
Segunda: Condiciones de suministro y utilización

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/164

CAMERDATA suministrará al CLIENTE un listado con información de empresas,
según las características (perfil de búsqueda, campos de información, formato y
soporte técnico) que se especifican en el ANEXO (punto 1).
[…]
Cuarta: Protección de datos
En el marco de este contrato, ambas partes se comprometen a respetar la legislación
vigente en materia de protección de datos de carácter personal.
En particular CAMERDATA como titular del FEE es la responsable de éste ante
cualquier organismo administrativo o judicial. No obstante, toda la información
contenida en el FEE es relativa a sociedades mercantiles y empresarios individuales
únicamente en su faceta mercantil, quedando fuera del ámbito legislativo en materia
de Protección de datos, de acuerdo con el artículo 2 del Reglamento de desarrollo de
la Ley 15/1999, de 13 de diciembre.
El CLIENTE utilizará la información entregada para el enriquecimiento de ficheros
propios.
Si el CLIENTE realizase campañas de prospección comercial con la información
suministrada deberá informar previamente a CAMERDATA e incluir en todo caso la
siguiente mención obligatoria:
"El listado de direcciones comerciales utilizado para la realización de esta campaña
publicitaria ha sido elaborado por Camerdata, S.A. (Av. Diagonal, 452, 3' planta, 08006
Barcelona, teléfono 902 21 42 21, [email protected] ), entidad participada
por las Cámaras de Comercio y responsable del Fichero de Empresas españolas, ante
la cual usted podrá informarse del origen de los datos.
De acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley 15/1999, de 13 de
diciembre de Protección de datos de carácter personal, éstas quedan excluidas del
ámbito de aplicación de la LOPD. No obstante, de acuerdo con la Ley General de
Telecomunicaciones, en su artículo 38.3-h), usted podrá cancelar sus datos
electrónicos cuando concurran los requisitos establecidos en el citado artículo"
Además, en este supuesto, cuando la información suministrada sea relativa a
empresarios individuales el CLIENTE deberá incorporar en las etiquetas o soportes de
envío los códigos de actividad negocial de éstos, incluidos en el listado que se
entrega, a fin de identificar que nos dirigimos a ellos en su faceta mercantil (Ejemplo.
Act. Negocial: 1, 7). El CLIENTE se compromete a utilizar dicha información para
incorporarla a los informes que realice para sus clientes, así como transmitirla de
forma parcial en el desarrollo de sus actividades comerciales.
El CLIENTE no utilizará dicha información para otros fines que no sean los
anteriormente señalados.
[…]”
Y en el ANEXO al contrato consta, los datos de “razón social (nombre empresa)”,
“dirección completa”, “teléfonos y faxes disponibles”, “CIF”, entre otros.

Aporta copia de contrato fechado a 25/04/2017, 24/05/2018 (ADDENDA AL
CONTRATO DE INTERMEDIACIÓN SUSCRITO EL 25 DE ABRIL DE 2017 ENTRE
CAMERDATA S.A. Y DATACENTRIC, PDM, S.A.), 19/07/2019 y firmados entre
CAMERDATA y DATACENTRIC PDM S.A. (en adelante DATACENTRIC) donde consta
que:
a. En el contrato de 25/04/2017 consta:
i. “PRIMERA. OBJETO
El objeto del presente contrato es regular las condiciones de colaboración entre
CAMERDATA y DATACENTRIC relativas a la prestación de los siguientes servicios:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/164

- La cesión del fichero de Autónomos, por parte de CAMERDATA a favor de
DATACENTRIC con la finalidad de que DATACENTRIC pueda hacer uso de la misma
en su actividad empresarial.
- La cesión de datos o campos de información por parte de DATACENTRIC a
CAMERDATA, para su tratamiento informatizado.
El contenido de los servicios y productos objeto de cesión se regula en la siguiente
Estipulación.
SEGUNDA.CONDICIONES DE SUMINISTRO DE LOS DATOS
CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos (empresarios
individuales) en la modalidad Premium. Esta modalidad incluye el derecho: de uso
interno por parte de DATACENTRIC de distribución y comercialización de los datos a
terceras empresas (a excepción de las empresas infomediarias, a modo de ejemplo se
citan; Informa, Experian, Arvato, Equifax, Iberinform, Axesor, Ardan, etc...), con la
finalidad de que sea utilizado por los destinatarios para uso exclusivo interno, nunca
para su posterior distribución o venta.”
ii. La información contendrá, entre otros datos, nombre o razón social, NIF,
dirección completa, teléfono.
iii. Que los registros que componen los ficheros entregados a DATACENTRIC son
de empresarios individuales y se encuentran excluidos del régimen de aplicación de la
normativa de protección de datos de acuerdo con el art. 2 Real Decreto 1720/2007.
b. En el contrato de 24/05/2018 consta:
i. La finalidad es adaptar el contrato referenciado al RGPD. El contrato
referenciado continúa en vigor en lo no modificado.
ii. “A estos efectos, CAMERDATA declara que los datos que facilita al amparo del
citado Contrato (en adelante el FICHERO) contienen datos de carácter personal de
personas (en adelante, los INTERESADOS o DESTINATARIOS), considerando que se
trata de datos personales relacionados con la actividad mercantil del usuario, no con
su ámbito privado, y que se trata de un tratamiento lícito en los términos del art. 6.1 .f)
del RGPD, de forma tal que permite enviarles publicidad de los sectores incluidos en
la política de privacidad de DATACENTRIC[…]”
iii. DATACENTRIC es responsable y encargado del tratamiento y CAMERDATA es
responsable del tratamiento.
iv. “[…]CAMERDATA como titular del FICHERO y responsable del tratamiento de
los datos autoriza a DATACENTRIC a comercializar el fichero a CLIENTES que
contraten la realización de las campañas reguladas en el correspondiente contrato con
encargados de tratamiento que no estuvieran alojados en territorio del EEE, siempre
que los clientes en su condición de EXPORTADOR DE DATOS cuenten con la debida
autorización del Director de la Agencia Española de Protección de datos para llevar a
cabo la citada transferencia internacional[…]”

Y anexo al contrato consta un “CONTRATO DE PRESTACIÓN DE SERVICIOS DE
TRATAMIENTO DE DATOS” donde consta que:
i. CAMERDATA es responsable del tratamiento y DATACENTRIC es encargado
del tratamiento.
ii. DATACENTRIC prestará los servicios de tratamiento necesarios para la
realización de campañas publicitarias.
c. En el contrato de 19/07/2019 consta que en relación al contrato de 25/04/2017,
CAMERDATA autoriza a DATACENTRIC a distribuir y comercializar la base de datos
de autónomos titularidad de la primera, a la empresa infomediaria EQUIFAX IBÉRICA,
S.L. y a las empresas pertenecientes a su grupo. Y que la distribución del fichero se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/164

realizará con finalidad de “servicios de marketing” limitados al ámbito empresarial y
nunca privado, enriquecimiento de NIF, identificación de si la persona en autónomo
con la finalidad de su localización.

Aporta copia de contrato fechado a 23/08/2021 y firmados entre CAMERDATA y
CERVED GROUP S.p.A. (una entidad localizada en Italia, en adelante CERVED)
donde consta, de su traducción no oficial del inglés, que:
a. Que CERVED es una empresa que se dedica al ejercicio de actividades de
información comercial.
b. CAMERDATA cederá a CERVED la base de datos de empresas y autónomos
para su actividad de negocio para su uso interno y el de sus empresas subsidiarias.
Que CERVED también usará la información para distribución y comercialización a
terceras empresas excepto a empresas infomediarias señaladas.
c. La información contendrá, entre otros datos, nombre o razón social, NIF,
dirección completa, teléfono, coordenadas geográficas.
d. Que los registros que componen los ficheros entregados a CERVED incluyen
información de autónomos y datos personales en relación a su actividad comercial, no
en relación a su esfera privada y que es un tratamiento lícito bajo el art. 6.1.f. RGPD.

Aporta clausulado general utilizado en la firma de contratos con entre 500 y 900
clientes al año a los que se les ceden los datos para su uso propio exclusivo. En dicho
clausulado consta (se añade subrayado):
“CONDICIONES GENERALES DE CONTRATACIÓN
Primera: Objeto
El objeto de estas Condiciones Generales de contratación es regular las condiciones
de adquisición, por parte del CLIENTE y de suministro, por parte de CAMERDATA,
relativas a la información sobre empresas contenida en el Fichero de Empresas
Españolas de CAMERDATA.
Segunda: Suministro y utilización del Fichero
CAMERDATA suministrará al CLIENTE un fichero con información de empresas,
según las características (perfil de búsqueda, campos de información, formato y
soporte técnico) que se especifican en el presupuesto aceptado por el CLIENTE.
El CLIENTE deberá utilizar la información tal y como se le suministra, sin manipular el
contenido de los campos de información del listado entregado.
La información suministrada por CAMERDATA podrá ser utilizada por el CLIENTE
durante doce meses, a partir de la fecha de suministro.
La información facilitada al CLIENTE es propiedad de CAMERDATA, por lo que, sin el
consentimiento de ésta última, no podrá ser suministrada total o parcialmente a un
tercero. El CLIENTE adoptará las medidas necesarias en orden a su almacenamiento,
manipulación y, en su caso, destrucción, eliminando con ello la posibilidad de uso
indebido por terceros.
Queda expresamente prohibida la venta o cesión a terceros por parte del CLIENTE de
una parte o de la totalidad de la información suministrada.
El incumplimiento por parte del CLIENTE de las obligaciones contenidas en esta
cláusula podrá dar lugar a que CAMERDATA ejercite las correspondientes acciones
judiciales y, en todo caso, a que el CLIENTE la indemnice en los daños causados que,
de común acuerdo, ambas partes fijan en una cantidad mínima consistente en el
quíntuplo del precio de la información suministrada.
CAMERDATA utiliza el servicio de exclusión publicitaria que proporciona la Asociación
Española de Economía Digital (Adigital), también conocido como servicio de listas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/164

Robinson. Por lo que la información objeto de este contrato relativa a los empresarios
individuales (en caso que la hubiera), se puede utilizar en el ámbito de la publicidad
personalizada dentro de los plazos que contempla el reglamento. Una vez pasado
dicho plazo, el CLIENTE deberá excluir de la información suministrada los nuevos
Robinson que pudieran haber aparecido antes de utilizarla en el ámbito de la
publicidad personalizada.
Tercera: Fuentes de la información
CAMERDATA certifica que dicho fichero sólo contiene datos de sociedades
mercantiles y empresarios individuales que realizan actividades mercantiles.
CAMERDATA garantiza la legalidad de las fuentes utilizadas para la elaboración del
fichero.
Asimismo, están protegidas por el Real Decreto Legislativo 1/1996, de 12 de abril, en
su redacción introducida en la Ley 5/1998, de 6 de marzo, de incorporación al derecho
español de la directiva 96/9 de la Comunidad Europea de 11 de marzo de 1996, sobre
la protección jurídica de las bases de datos.
[…]
Sexta: Protección de datos
Los datos objeto de este contrato puede contener datos de carácter personal que
pueden constituir un fichero de datos personales. Estos datos, de acuerdo con la
normativa en materia de protección de datos, han sido recogidos y se distribuyen con
la única finalidad de facilitar el contacto con las empresas identificadas en relación con
su actividad empresarial, de acuerdo con las restricciones que establece el
Reglamento Europeo (UE) 2016/679, General de Protección de Datos. En el caso de
que el CLIENTE almacene los datos contenidos en este archivo para su uso futuro, se
convertirá en responsable de su tratamiento en los términos previstos en el
Reglamento Europeo (UE) 2016/679, General de Protección de Datos (en adelante
RGPD), asumiendo todas las obligaciones que esta normativa impone a los
responsables del tratamiento de datos de carácter personal.
Para dar cumplimiento al principio de transparencia y a las obligaciones descritas en
los artículos 14.1 y 14.2 del RGPD, el CLIENTE debe realizar comunicaciones
individuales a los interesados cuando los datos no han sido obtenidos directamente
del interesado.
Al ser los datos provenientes de fuentes de acceso público y en el caso de existir
alguno de los motivos legalmente previstos, si el CLIENTE no realiza comunicación
individual a los interesados, adoptará como medidas adecuadas para proteger los
derechos, libertades e intereses legítimos de los interesados, las siguientes:
El CLIENTE, deberá facilitar la información indicada en los apartados 1 y 2 del artículo
14 del RGPD con un lenguaje claro y sencillo, de forma concisa, transparente,
inteligible y de fácil acceso, a más tardar en el momento de la primera comunicación
que se realice a los interesados. Esta comunicación podrá consistir en la inclusión del
texto siguiente, incorporándolo claramente visible en las comunicaciones publicitarias
que remitan a los interesados, o mediante una locución en caso de que el comunicado
se realice por medio telefónico.
“Los datos de contacto utilizados para el envío de esta comunicación han sido
obtenidos por (el CLIENTE ) tras haber sido recabados de (CAMERDATA).
Los tratamientos de estos datos tienen por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciéndole diferentes bienes o servicios que pudieran
ser de su interés.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión, limitación de
su tratamiento, u oponerse al mismo, así como el derecho a la portabilidad de sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/164

datos de contacto, puede dirigir su solicitud a la siguiente dirección: ________, o
enviando un email a __________, adjuntando en todo caso copia de documento que
acredite su identidad (DNI, pasaporte, o similar)”.
Para conocer la totalidad de la información relacionada con sus datos, visite por favor
nuestra página web: (Enlace a la página web del CLIENTE , donde se desarrollaran
con detalle los derechos relativos al RGPD)”
Si el CLIENTE tiene obligación de contratar un Delegado de protección de datos,
deberá añadir:
“Puede también contactar con el Delegado de Protección de datos del Titular a través
de la siguiente dirección: ________, o enviando un email a __________, “
En cualquier caso, la información deberá mantenerse en el resto de comunicaciones
que se realicen tras la primera.
El CLIENTE se compromete a no realizar campañas de telemárketing sin operador
humano, con la información suministrada cuando ésta sea relativa a datos telefónicos.
[…]”

Aporta copia de contrato fechado a 29/06/2020 y firmado entre CAMERDATA y
KOMPASS S.A. (en adelante KOMPASS) donde consta que:
“[…]
l. Que KOMPASS España es una Compañía fundada a principios de los años 60 y que
forma parte de Kompass Internacional, una empresa francesa con más de 65 años de
experiencia a sus espaldas como proveedor de Información empresarial B2B.
ll. Que CAMERDATA es una empresa creada por las Cámaras de Comercio con la
finalidad de elaborar una Base de Datos, denominada Fichero de Empresas
Españolas (en adelanten FEE), de la cual es titular, en la que se contengan los datos
de todas aquellas personas físicas y jurídicas que desarrollan actividades
empresariales, así como para ofrecer el servicio de información y asesoramiento
empresarial a sus asociados, en relación con dicha Base de Datos. Todo ello de
conformidad con lo previsto en la Ley Básica 4/2014 de 1 de abril, de Cámaras
Oficiales de Comercio, Industria y Navegación.
[…]
PACTOS
Primero: Objeto
El objeto del presente contrato es regular las condiciones de colaboración entre
CAMERDATA y KOMPASS relativas a la prestación de los siguientes servicios:
- La cesión de 107.897 CIFs de registros contenidos en la base de datos Fichero de
Empresas Españolas (en adelante FEE) de los cuales CAMERDATA no tiene el campo
e-mail genérico informado y parcialmente el campo URL informado, por parte de
CAMERDATA a favor de KOMPASS con la finalidad de que KOMPASS realice un
trabajo de "webcrawling"
- La cesión del campo URL de los 107.897 CIFs en el caso que KOMPASS lo tenga
informado (55.576 registros contabilizados) y los registros de los cuales se haya
obtenido el e-mail genérico fruto del trabajo de "webcrawling" por parte de KOMPASS
a CAMERDATA, para poder hacer uso de la misma en su actividad empresarial.
El contenido de los servicios y productos objeto de cesión se regula en los siguientes
apartados.
Segundo: Condiciones de suministro de los datos
CAMERDATA cederá a KOMPASS los 107.897 CIFs fruto de un estudio previo
realizado, para su utilización en el mencionado trabajo de "webcrawling".
KOMPASS cederá a CAMERDATA el campo URL de los 55.576 registros analizados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/164

KOMPASS cederá a CAMERDATA el campo e-mail genérico de los registros
resultantes de los trabajos de "webcrawling" sobre los que se haya conseguido
obtener el campo e-mail genérico, (tantos como se hayan conseguido por registro)
relacionándolos con su CIF's correspondiente
Tercero: "Webcrawllng"
KOMPASS realizará con sus propios medios unos trabajos de "webcrawling" sobre la
base de datos entregada por CAMERDATA consistentes en la aplicación de algoritmos
de búsqueda y reconocimiento de patrones en Internet, para a partir de las URL's
proporcionadas, intentar obtener los e-mails genéricos asociados a dichas URL's.
[…]
Quinto: Protección de datos
KOMPASS y CAMERDATA se comprometen a cumplir con la legislación española
sobre protección de datos y de la intimidad personal. En el caso de que no se pudiera
cumplir con dicha legislación deberá abstenerse de recibir la información u otros
servicios relacionados con ella, de acuerdo con lo previsto en la legislación nacional
sobre la materia.
KOMPASS garantiza que los e-mails genéricos obtenidos no contienen datos
personales y por lo tanto pueden utilizarse como tales.”

Aporta copia de contrato fechado a 20/03/2023 y firmado entre CAMERDATA y
KOMPASS donde consta que:
“[…]
PACTOS
Primero: Objeto
El objeto del presente contrato es regular las condiciones de colaboración entre
CAMERDATA y KOMPASS relativas a la prestación de los siguientes servicios:
- La cesión de los registros contenidos en la base de datos Fichero de Empresas
Españolas (en adelante FEE) que no contengan el campo e-mail genérico informado,
por parte de CAMERDATA a favor de KOMPASS con la finalidad de que KOMPASS
realice un trabajo de "webcrawling" y posteriormente pueda hacer uso de la misma en
su actividad empresarial.
- La cesión de los registros en la base de datos de KOMPASS que contengan el
campo e-mail genérico informado y los registros de los cuales se haya obtenido el e-
mail genérico fruto del trabajo de "webcrawling" y las URL de los mismos por parte de
KOMPASS a CAMERDATA, para poder hacer uso de la misma en su actividad
empresarial.
El contenido de los servicios y productos objeto de cesión se regula en los siguientes
apartados.
Segundo: Condiciones de suministro de los datos
CAMERDATA cederá a KOMPASS los NIFs de los registros contenidos en la base de
datos FEE que Kompass tenga el campo URL informado y que CAMERDATA no
dispone del campo e-mail genérico (145.101 registros): KOMPASS cederá a
CAMERDATA los registros resultantes de los trabajos de "webcrawling" sobre los que
se haya conseguido obtener el campo e-mail genérico, los siguientes campos:
NIF
URL utilizada para el 'Webcrawling" (sobre todo el universo de los 145.101 registros
E-mail genérico obtenido (tantos como se hayan conseguido por registro)
Tercero: "Webcrawling"
KOMPASS realizará con sus propios medios unos trabajos de "webcrawling" sobre la
base de datos entregada por CAMERDATA consistentes en la aplicación de algoritmos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/164

de búsqueda y reconocimiento de patrones en Internet, para a partir de las URL's
disponibles, intentar obtener los e-mails genéricos asociados a dichas URL's.
[…]”

Aporta copia de contrato fechado a 03/02/2020 y firmado entre CAMERDATA y
DMOVO ANALYTICS, S.L. (en adelante DMOVO) donde consta que:
“[…]
EXPONEN
l.- Que Dmovo es una compañía independiente, dedicada a la Prestación de Servicios
profesionales de consultoría estratégica, organizativa, de negocio, operativa y
tecnológica en los ámbitos de Tecnologías de la Información (TIC) y de Marketing
ll.- Que EL CLIENTE está interesado en contratar a Dmovo la prestación de servicios
de desarrollo tecnológico, tratamiento de la información y consultoría.
[…]
CLÁUSULAS
PRIMERA.- OBJETO DEL PRESENTE CONTRATO
El presente Contrato tiene como objeto establecer un marco de colaboración para la
prestación de servicios de desarrollo tecnológico, tratamiento de la información y
consultoría por parte de Dmovo.
Los servicios constan de un proceso periódico de tratamiento y adecuación de los
datos de nombres y domicilios de los registros de empresas y autónomos de los que
EL CLIENTE es responsable del tratamiento.
Las especificaciones y los requerimientos técnicos de los servicios a prestar quedan
detallados en el ANEXO I (Oferta SmartAddress) al presente Contrato, los cuales
consistirán en los concretos servicios a presentar por Dmovo y aceptados en todos
sus términos por EL CLIENTE, y que quedarán incorporados al presente documento
como parte integrante del mismo a todos los efectos.
[…]
QUINTA.- SERVICIOS INCLUIDOS
Los servicios concretos regulados por el presente contrato son los siguientes:
Proceso de normalización Batch para Camerdata
Dmovo realizará los procesos de normalización de datos 4 veces al año con un
volumen estimado de 10 millones de registros.
Además, se realizará un proceso anual para los registros pertenecientes al País Vasco
y Navarra. Para este caso se estima un volumen aproximado de 500.000 registros.
Procesos a realizar.
Normalización de Poblaciones (INE)
Normalización de vías de Vías. (INE)
Asignación de Código Postal.
Asignación de Sección Censal. (INE)
Asignación de Coordenadas.
Asignación de cuadrícula (GRID 100>(100).
Normalización de Nombres.
Entrega del fichero en el formato definido por EL CLIENTE
SEXTA.- CONFIDENCIALIDAD
Dmovo se compromete a aceptar la Información Confidencial en un marco de
confianza para la debida ejecución de los servicios convenidos y a no facilitarla a
ningún tercero, ni utilizarla para su propio beneficio sin obtener el previo
consentimiento escrito de la otra parte.
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/164

--Se indica en el Informe de Inspección:

<<Con fecha 16/11/2023 se comprueba que:

1. En la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividades-
tratamiento/5_1-censo.html no existe ningún contenido.

2. En la URL
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml y en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA
E_CamCom08.pdf consta información sobre el “Diseño de Registro del Fichero del
Impuesto sobre Actividades Económicas para las Cámaras de Comercio para la
entrega del fichero Anual del ejercicio 2008 y siguientes” donde consta una tabla
descriptiva de los datos intercambiados donde se incluyen los datos, entre otros, de
“NIF”, “Apellidos y Nombre o razón social”, “domicilio fiscal actual”, “domicilio tributario”
(dentro del cual se encuentra también el dato “teléfono”).

3. En el BOE de 20 de diciembre de 2019, al que se puede acceder a través del
enlace https://www.boe.es/boe/dias/2019/12/20/pdfs/BOE-A-2019-18316.pdf, consta
(se añade subrayado):
“CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y
LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN
DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A
LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICO-
ADMINISTRATIVAS
[…]
Primera. Objeto del Convenio.
1. El presente Convenio tiene por objeto establecer un marco general de colaboración
sobre las condiciones y procedimientos por los que se debe regir la cesión de
información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia
Tributaria) a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en
adelante, Cámaras) y a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España (en adelante, Cámara de Comercio de España), preservando
en todo caso los derechos de las personas a que se refiera la misma.
2. […]
Segunda. Finalidad de la cesión de información.
La cesión de información procedente de la Agencia Tributaria tendrá como finalidad
exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras
en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el
ejercicio de las mismas, la normativa reguladora exija la aportación de una
certificación expedida por la Agencia Tributaria o la presentación, en original, copia o
certificación, de las declaraciones tributarias de los interesados o de cualquier otra
comunicación emitida por la Agencia Tributaria, en particular en el caso de no
obligados a declarar. En estos supuestos, la información que debe constar en tales
documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte
necesaria para el ejercicio de tales funciones y se refiera a un elevado número de
interesados o afectados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/164

En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar
por las Cámaras.
La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas tendrá como finalidad exclusiva la elaboración del censo público de
empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014
Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
atribuye a las Cámaras, así como la elaboración del censo electoral a que hace
referencia el artículo 17 de la misma Ley.
Tercera. Autorización de los interesados en la información suministrada.
La cesión de información tributaria deberá contar con la previa autorización expresa
de los interesados, según lo establecido en el artículo 95.1.k) de la LGT, en los
términos y con las garantías que se establecen en el artículo 2.4 de la Orden del
Ministerio de Economía y Hacienda de 18 de noviembre de 1999.
No obstante, la cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas impuesta por el artículo 8 de la citada Ley 4/2014 no
requerirá la previa autorización de los interesados.
Cuarta. Destinatarios de la información suministrada.
La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a
los órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión, incluidos los órganos de
fiscalización competentes en la medida en que, por aplicación de su propia normativa,
participen en los procedimientos a que se refiere la cláusula segunda del presente
Convenio. En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio.
Todo ello sin perjuicio de la estricta afectación de la información remitida por la
Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier
caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia
Tributaria.
[…]
Séptima. Cesión de información.
1. Para el cumplimiento de las finalidades descritas en la cláusula segunda se
establecen los suministros de información que se recogen en el Anexo I al presente
Convenio.
[…]
Octava. Control y seguridad de los datos suministrados.
[…]
2. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este Convenio:
a) Control interno por parte del ente cesionario de la información.
Las Cámaras realizarán controles sobre la custodia y utilización que de los datos
recibidos realicen las autoridades, funcionarios o resto de personal dependientes de
ellas, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la
cláusula decimotercera del presente Convenio de los resultados obtenidos en dicho
seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria. Impedirán el acceso
a la información suministrada por parte de personal no autorizado, estableciendo la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/164

trazabilidad de los accesos a la información suministrada, y desarrollando auditorías
del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el
cumplimiento de las condiciones que sustentan cada una de las cesiones.
[…]
Novena. Tratamiento de datos personales.
En el caso de que la información incorpore datos personales de los interesados, tanto
el cedente, la Agencia Tributaria, como el cesionario, la Cámara de Comercio de
España y las Cámaras, tratarán los datos de acuerdo al Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 y a la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información tributaria.
En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del
Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de
la Dirección General.
En el caso de los cesionarios de los datos, la Cámara de Comercio de España y las
Cámaras, el Responsable del Tratamiento a los efectos del Reglamento General de
Protección de Datos será la persona que designe cada Cámara.
Décima. Obligación de sigilo.
1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los
datos o información suministrados en virtud de este Convenio estarán obligados al
más estricto y completo sigilo respecto de ellos. La violación de esta obligación
implicará incurrir en las responsabilidades penales, administrativas y civiles que
resulten procedentes, así como el sometimiento al ejercicio de las competencias que
corresponden a la Agencia de Protección de Datos.
[…]
ANEXO I AL CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER
TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS
FUNCIONES PÚBLICO-ADMINISTRATIVAS
[…]

ANEXO III
El presupuesto para la celebración y ejecución del presente Convenio es la condición
de Administración pública, tanto de la Cámara Oficial de Comercio, Industria, Servicios
y Navegación de España como de las propias Cámaras Oficiales, destinándose el
suministro de información a realizar por la Agencia Estatal de Administración
Tributaria, en todo caso, al ejercicio de funciones públicas.
Las funciones públicas a desarrollar por la Cámara Oficial de Comercio, Industria,
Servicios y Navegación se relacionan directa e indirectamente en las letras d) a i) del
artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:
[…]”

4. Que en la URL
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/164

ercambioIAE2006.pdf consta el “PROTOCOLO DE INTERCAMBIO DE
INFORMACION DEL I. A. E. ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y ENTIDADES LOCALES / CÁMARAS DE COMERCIO” donde consta:
“[…]
Por otra parte la información del censo del Impuesto sobre Actividades Económicas,
así como las altas bajas o variaciones del mismo, es necesaria para la Cámaras de
Comercio en la gestión de las exacciones integradas en el Recurso Cameral
Permanente, motivo por el que a partir del ejercicio 2006 se utilizará el mismo
procedimiento telemático para proporcionar esta información a las Cámaras de
Comercio.
[…]
5. PETICIÓN DE FICHEROS DE I.A.E.
Aunque la Agencia Tributaria está obligada al suministro de la Información del I.A.E. a
todas las entidades locales que tengan competencias gestoras y/o recaudatorias en
dicho impuesto y a las Cámaras de Comercio para la gestión y Recaudación de las
exacciones integradas en el Recurso Cameral, este procedimiento se basa en una
solicitud previa de la información deseada, cosa que aunque pueda parecer un
obstáculo, aporta varias e importantes ventajas, como son:
• Las entidades locales y Cámaras de Comercio pueden solicitar el tipo de información
que deseen, en cualquier momento, y cuantas veces lo estimen oportuno. Las
peticiones así efectuadas quedan registradas automáticamente en el Registro de
Entrada de Datos de la AEAT, lo que permite un seguimiento posterior de la petición.
[…]
ANEXO II. Modelo de autorización para el intercambio telemático de información de
IAE.
[…]
la información solicitada será utilizada exclusivamente para los fines conferidos por la
normativa del impuesto sobre actividades económicas a este
ayuntamiento/organismo , sin que puedan utilizarse en perjuicio del interesado o
afectado, ni cedidos a terceros, salvo en los casos expresamente previstos por la ley"
[…]“>>

--Consta en el Informe de Investigación que:
<<Con fecha 21/11/2023 se comprueba que:
1. Que en el Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el
Reglamento General de las actuaciones y los procedimientos de gestión e inspección
tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación
de los tributos, en su art. 5, consta que “En el Censo de Empresarios, Profesionales y
Retenedores, además de los datos mencionados en el artículo 4 de este reglamento,
para cada persona o entidad constará la siguiente información” y en el art. 4 constan
como datos los siguientes:
“Artículo 4. Contenido del Censo de Obligados Tributarios.
1. Los datos que se incluirán en el Censo de Obligados Tributarios serán para las
personas físicas los siguientes:
a) Nombre y apellidos, sexo, fecha de nacimiento, lugar de nacimiento, estado civil y
fecha del estado civil.
b) Número de identificación fiscal español.
c) Número de identificación fiscal de otros países, en su caso, para los residentes.
d) Código de identificación fiscal del Estado de residencia, en su caso, para no
residentes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/164

e) Número de pasaporte, en su caso.
f) Condición de residente o no residente en territorio español.
g) Domicilio fiscal en España y la referencia catastral del inmueble, salvo que no esté
obligado a ello de acuerdo con la normativa que le sea de aplicación.
h) En su caso, domicilio en el extranjero.
i) Nombre y apellidos o razón social o denominación completa y número de
identificación fiscal de los representantes legales para las personas que carezcan de
capacidad de obrar en el orden tributario
[…]”>>

--Consta en el Informe de Investigación:
<<Como consecuencia del requerimiento de información efectuado por la inspección,
con fecha 21/11/2023, CÁMARA remite a esta agencia la siguiente información y
manifestaciones […]
1. “La base de datos del censo público de empresas de la Cámara de España lo
integran, conforme al artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014),
las personas jurídicas y físicas, nacionales o extranjeras, que ejerzan actividades
comerciales, industriales, de servicios y navieras en territorio nacional.

Se incluyen únicamente aquellas actividades económicas de empresas, personas
físicas y jurídicas, cuya actividad se halle en alguno de los epígrafes de las Divisiones
números 1 a 9, ambas inclusive, de la Sección Primera del Anexo I del Real Decreto
Legislativo 1174/1990, de 28 de septiembre, por el que se aprueban las tarifas y la
instrucción del Impuesto sobre actividades Económicas, y que no hayan causado baja.

El origen de los datos que integran el censo público de empresas de la Cámara
España son los datos del Impuesto de Actividades Económicas y los censales de las
empresas que sean necesarios cedidos por la Agencia Estatal de la Administración
Tributaria, en virtud del Convenio de 25 de noviembre de 2019, suscrito entre la
Administración Tributaria y la Cámara de España para la cesión de información de
carácter tributario a las Cámaras Oficiales de Comercio, industria, Servicios y
Navegación españolas para el cumplimiento de sus finalidades y el ejercicio de sus
funciones público-administrativas, que ha sido prorrogado mediante adenda de fecha
19 de diciembre de 2023. Asimismo, también tienen su origen en los datos del
Impuesto de Actividades Económicas cedidos por la Diputación Foral de Navarra y en
los cedidos por las Cámaras de Comercio del País Vasco.[…]”

2. Que el número total de autónomos o empresarios individuales o personas
físicas que constan actualmente en el censo público de empresas es de 1.459.498.

3. Que los datos que contiene el censo público de empresas de CÁMARA son:
NIF/CIF
Nombre, primer apellido, segundo apellido.
Dirección postal de la actividad económica.
Código postal de la actividad económica.
Provincia de la actividad económica.
Municipio de la actividad económica.
Descripción de la actividad económica ejercida.
Aporta extracto de la base de datos donde constan estos datos, entre otros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/164

4. “[…]Los campos relacionados anteriormente se proporcionan únicamente a
CAMERDATA, S.A., como entidad mercantil constituida por múltiples Cámaras de
Comercio españolas y por la Cámara de España, para su inclusión en su Fichero de
Empresas Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de
forma legítima y disponer de una base de datos de calidad de las empresas que
operan en territorio español para poder ofrecerla empresas y a terceros interesados.
[…]”

5. Que respecto a la obligación de información del art. 14 RGPD, no le resulta de
obligación, según el art. 14.5 c). Que la obtención de datos está expresamente
establecida por la Ley 4/2014 y a las funciones público-administrativas que ésta
atribuye a CÁMARA.
Manifiesta que el art. 3 Ley 4/2014 establece:
“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tienen como
finalidad la representación, promoción y defensa de los intereses generales del
comercio, la industria, los servicios y la navegación, así como la prestación de
servicios a las empresas que ejerzan las indicadas actividades.
Asimismo, ejercerán las competencias de carácter público que les atribuye esta Ley y
las que les puedan ser asignadas por las Administraciones Públicas con arreglo a los
instrumentos que establece el ordenamiento jurídico. […]"
Que el art. 5.1 Ley 4/2014 establece las funciones público-administrativas de
CÁMARA:
“g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de todas las
empresas, así como de sus establecimientos, delegaciones y agencias radicados en
su demarcación.
j) Impulsar actuaciones dirigidas al incremento de la competitividad de las pequeñas y
medianas empresas, y fomentar la innovación y transferencia tecnológicas a las
empresas. (...) "
Y que el art. 8 Ley 4/2014 establece en relación al citado censo:
"Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación elaborarán un
censo público de empresas del que formarán parte las personas físicas o jurídicas,
nacionales o extranjeras, que ejerzan las actividades comerciales, industriales, de
servicios y navieras en territorio nacional (...)."
Que el art. 21.1 Ley 4/2014 dispone las siguientes funciones:
"[…]
a) Promover los intereses generales del comercio, la industria, los servicios y la
navegación, en el ámbito estatal.
b) Representar al conjunto de las Cámaras ante las diversas instancias estatales e
internacionales.
c) Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras
españolas.
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio,
Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1 del
artículo 5 de esta Ley. […]”

6. Que “la obtención de los datos que integran el censo público de empresas
(relacionados en el punto anterior) y su tratamiento para la elaboración de un censo
público de todas las empresas, sean personas físicas o jurídicas, constituye el
desempeño de una función público-administrativa de las Cámaras de Comercio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/164

españolas y que la Cámara de España ejerce, en el ámbito estatal y en coordinación
con las Cámaras de Comercio, para el cumplimiento de las finalidades camerales,
promoviendo así los intereses generales del comercio, la industria, los servicios y la
navegación e impulsando, en particular, actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (en gran parte, autónomos).”

7. Que la legitimación para el tratamiento que supone que censo público de
empresas es la obligación legal, según art. 5.1.g y 8 de la Ley 4/2014. Que también es
el interés público.
Y manifiesta:
“[…]
Sin perjuicio del ejercicio de su función público-administrativa de elaborar un censo
público de empresas, con su gestión la Cámara de España también cumple un
objetivo o misión de interés público o general que (i), de un lado, es inherente a sus
funciones propias del artículo 21.1.d) de la Ley 4/2014, en relación con las finalidades
camerales del artículo 3 de la misma Ley, como es la promoción de los intereses
generales del comercio, la industria, los servicios y la navegación y del desarrollo
empresarial y económico, y la función principal de prestación de servicios a todas las
empresas que ejerzan dichas actividades, entre ellos, los servicios de información
empresarial, reforzando así su papel de apoyo a las pequeñas y medianas empresas
en el ámbito del incremento de su competitividad (párrafo 12, apartado l, del
Preámbulo de la Ley 4/2014), y que (ii), de otro lado, se halla implícito en la función
público-administrativa consistente en impulsar actuaciones dirigidas al incremento de
la competitividad de las pequeñas y medianas empresas (artículo 5.1.j) de la Ley
4/2014).
En este sentido, el Preámbulo de la Ley 4/2014 (párrafo 6, apartado l) destaca el
objetivo o misión de interés público de las finalidades, funciones y actividades de las
Cámaras de Comercio:
"Conscientes de su importancia y necesidad como instituciones básicas para el
desarrollo económico y empresarial de nuestro país, se mantiene su naturaleza como
corporaciones de derecho público, garantizando el ejercicio de las funciones público-
administrativas que, en e/ actual contexto económico, tienen una especial relevancia
de cara a la regeneración del tejido económico y la creación de empleo y se consagra
su finalidad de representación, promoción y defensa de los intereses generales del
comercio, la industria, los servicios y la navegación, así como la prestación de
servicios a todas las empresas.”
La Ley 4/2014 atribuye a la Cámara de España el ejercicio y cumplimiento de
funciones de interés público o general -a/ tratarse de funciones de carácter público-
administrativo, entre las que se encuentra la elaboración y gestión de un censo público
de empresas, necesario para el cumplimiento de sus finalidades y el ejercicio de las
demás funciones público-administrativas camerales.
Así, la Ley 4/2014 determina la finalidad del tratamiento y su necesidad para el
cumplimiento de una misión realizada en interés público.
De este modo, tanto la necesidad del tratamiento de datos realizado, como las
finalidades de interés público, vienen impuestas por una norma con rango de Ley.”

8. Respecto a la finalidad del tratamiento manifiesta:
“La finalidad del tratamiento que realiza la Cámara de España reside en la promoción
de los intereses generales del comercio, la industria, los servicios y la navegación y
del desarrollo empresarial y económico y la función principal de prestación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/164

servicios a todas las empresas que ejerzan dichas actividades, entre ellos, los
servicios de información empresarial, reforzando así su papel de apoyo a las
pequeñas y medianas empresas, impulsando así actuaciones dirigidas al incremento
de su competitividad.
Con la gestión del censo público de empresas se ofrece al público en general y a las
empresas, en particular, un sistema o servicio de información de empresas con el
objetivo de dar mayor transparencia y seguridad al tráfico jurídico mercantil, ayudando
al desarrollo económico y empresarial y, cumpliendo, con ello, un interés público
general para el sector empresarial y profesional y la creación de empleo.
Finalidad de la que participan los propios interesados, los autónomos o empresarios
individuales, que tienen interés en formar parte de esa base de datos tanto para ser
localizados por terceros interesados en sus productos y servicios, como para acceder
a su vez a esa base de datos para ofrecerlos a terceros.”

9. En relación a la cesión de los datos a CAMERDATA manifiesta:
“La Cámara de España proporciona los datos del censo público de empresas a
Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima y
disponer de una base de datos de calidad de las empresas que operan en territorio
español para poder ofrecerla empresas y a terceros interesados.
La base de legitimación del tratamiento de los datos del censo público de empresas
por Camerdata se ampara en que el tratamiento es necesario para la satisfacción de
intereses legítimos perseguidos por el responsable del tratamiento o por un tercero,
siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y
libertades fundamentales del interesado que requieran la protección de datos
personales (artículo 6.1. f) del RGPD).
En este sentido, se contribuye al desarrollo y fomento de las relaciones comerciales e
industriales, disponiendo así de un sistema de información empresarial de calidad
para los actores del tejido empresarial, impulsando el desarrollo económico y
empresarial y confiriendo a una mayor seguridad en el tráfico mercantil, dando, con
ello, satisfacción a un interés general.
En el tratamiento de los datos del censo público de empresas por parte de Camerdata
subyace también un interés legítimo de los propios empresarios, que necesitan
disponer de esta información bien para conocer los servicios y productos de otros
empresarios o bien dar a conocer los suyos a terceros.
Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales que
requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento de los datos del
censo público de empresas, por cuanto:
1º. La categoría de datos personales tratados se limita a los del censo público de
empresas de la Cámara de España y para finalidades acordes con las propias de su
elaboración.
2º. Los datos que se tratan son los contenidos en el censo público de empresas, base
de datos de acceso público en la web de la Cámara de España.
3º. Se garantiza en todo momento el fácil ejercicio de los derechos de los Interesados
regulados en los artículos 15 a 22 del RGPD UE.
Resultado de la ponderación:
1º - El tratamiento se considera lícito.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/164

2º - Los datos que se tratan son datos públicos, de acceso al público en general en la
web corporativa de la Cámara de España.
3º - Las categorías de datos tratados son mínimamente invasivos del derecho a la
intimidad del interesado, pues son datos ceñidos al desempeño por el interesado de
una actividad empresarial, sin que en ningún momento existan datos de su esfera
familiar, ni mucho menos datos de categorías especiales de datos (artículo 9 RGPD).
4º - El principio a la libre circulación de los datos, establecido y amparado por la propia
normativa europea en la materia (RGPD).
5º - Las finalidades pretendidas por el tratamiento de los datos por parte de
Camerdata son acordes y compatibles de las que tiene el censo público de empresas
de las Cámaras de Comercio, pues persiguen disponer de un sistema de información
empresarial de calidad para los actores del tejido empresarial, impulsando el
desarrollo económico y empresarial y confiriendo a una mayor seguridad en el tráfico
mercantil, dando, con ello, satisfacción a un interés económico general.
[…]”>>

-- Consta en el Informe de Investigación Previa:
<<Con fecha 22/03/2024 se comprueba, respecto de un autónomo elegido al azar
extraído de los listados aportados por CAMARA y CAMERDATA, que:

1. Se realiza una búsqueda en www.google.es por el nombre y apellidos de un
autónomo, constando resultados de la web www.expansion.com.

2. Que en la web www.expansion.com constan datos exclusivamente de nombre y
apellidos, código postal, provincia, municipio, año de inicio de actividad, actividad, SIC,
CNAE. Consta que los datos han sido obtenidos de fuentes públicas por AXESOR
CONOCER PARA DECIDIR S.A. Consta también que para ampliar más información
sobre el autónomo se ofrece un enlace a la web de autonomos.axesor.es. Pinchando
en ese enlace se redirige a la web de autonomos.axesor.es y se muestran
exclusivamente los datos de nombre y apellidos, código postal, municipio, provincia,
CNAE, SIC e información sobre su actividad.
Asimismo, consta en la web de autonomos.axesor.es el texto “Nuestros informes le
proporcionarán la información más completa sobre la actividad empresarial de […]
como el NIF, teléfono. dirección en Molledo (Cantabria), scoring calificación de crédito,
probabilidad de impago y capacidad máxima de solvencia. incidencias judiciales....”.

3. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, se
ofrecen resultados de búsqueda que pinchando en ellos redirige a la web de
einforma.com y donde constan datos de nombre, apellidos, localidad y provincia sobre
personas físicas. Que más en detalle constan datos de nombre y apellidos, código
postal, provincia, municipio, actividad, SIC, CNAE.
Además, en la web einforma.com consta, un enlace con “Acceda al informe ampliado
de esta empresa”. Asimismo, consta el texto “elnforma, marca de INFORMA D&B
S.A.U. (S.M.E.), es el líder en el mercado Español de información de empresas e
informes de empresas. Contamos con una base de datos de empresas de más de 500
millones de registros de empresas, donde podrás buscar empresas de todo el mundo,
más de 7 millones de agentes económicos nacionales y acceso a Prospecta.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/164

4. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio axesor.es, no se
ofrecen resultados de búsqueda.

5. Que en la web de censo.camara.es realizando una búsqueda por el campo
nombre e introduciendo el nombre y apellidos del mismo autónomo anterior, se ofrecen
resultados con los datos de nombre y apellidos, dirección postal, código postal,
provincia, municipio y actividad. A su vez se ofrece un enlace al fichero de empresas
de Camerdata Online (www.camerdata.es) para obtener más información.>>

--Consta en el Informe de Investigación previa:
<<Con fecha 22/03/2024 se comprueba que:

1. En el apartado 5.1. “censo” del registro de actividades del tratamiento de la
AEAT ubicado en https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacion-interesado-sobre-proteccion-datos/5-registro-
actividades-tratamiento/5_1-censo.html consta:
“Descripción de la actividad
Gestión y obtención de información de contribuyentes, ya sean personas físicas o
jurídicas. Para ello, se tratan la mayoría de los datos censales, incluyendo el histórico
de los mismos.
Finalidad.
Aplicación efectiva del sistema tributario estatal y aduanero
Interesados
Contribuyentes y obligados
Cualquier español o extranjero con DNI, NIE (DGP) o NIF (AEAT)
Datos.
DNI y datos asociados al documento, Nombre y Apellidos, Dirección, Teléfono, Correo
electrónico, fax, teléfono móvil, estado civil y en su caso cónyuge o excónyuge, país
de nacimiento, provincia de nacimiento, población de nacimiento, fecha de nacimiento,
nacionalidad, pasaporte, sexo, tipo de administración al que está adscrito el
contribuyente, número de identificación fiscal en Administración fiscal extranjera,
número de identificación del ayuntamiento, número de identificación electoral, número
de hoja padronal, nombre del padre, nombre de la madre.
Transacciones de bienes y servicios.
Obligaciones tributarias.
[…]
Destinatarios.
Organismos SS
Órganos CCAA
CCAA
Órganos Admón. Local
Diputaciones Provinciales
Diputación Foral Navarra
Agencia Tributaria
Diputaciones Forales Vascas
Cámara Comercio
[…]”>>

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/164

TERCERO: Según el informe recogido de la herramienta Axesor, la entidad
CAMERDATA, S.A., es una microempresa constituida en el año 1985 cuyo volumen de
negocio en el año 2021 -último ejercicio en el que presentó cuentas- es de 886.000€.

CUARTO: En fecha 15/04/2024 la Directora de la Agencia Española de Protección de
Datos acuerda iniciar un procedimiento sancionador a CAMERDATA, con arreglo a lo
dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción de las siguientes disposiciones del Reglamento
(UE) 2016/679, de 27 de abril, relativo a la Protección de las personas físicas en lo que
respecta al tratamiento de datos personales y a la libre circulación de estos datos y por
el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos,
en adelante RGPD):
-Artículo 6.1 del RGPD, tipificada en su artículo 83.5.a), concretada en haber recogido
y procesado en su fichero datos personales de los empresarios autónomos
transmitidos por la Cámara Oficial de Comercio, Industria, Servicios y Navegación de
España (CÁMARA), quien los ha obtenido de las Administraciones tributarias, sin que
el tratamiento esté fundado en una base jurídica adecuada con arreglo al RGPD.

-Artículo 6.1 del RGPD, tipificada en su artículo 83.5.a), concretada en haber cedido a
terceras entidades con fines de marketing datos personales de los empresarios
autónomos, transmitidos y recogidos de CÁMARA quien los obtiene de las
Administraciones tributarias, sin que el tratamiento esté fundado en una base jurídica
adecuada con arreglo al RGPD.

-Artículo 6.1. del RGPD, tipificada en su artículo 83.5.a), concretada en haber cedido a
KOMPASS con la finalidad de que le preste un servicio de realimentación de su
“Fichero de Empresas Españolas” y para los fines propios de esa mercantil, su base
de datos personales de empresarios autónomos, transmitidos y recogidos de CÁMARA
quien los obtiene de las Administraciones tributarias, sin que el tratamiento esté
fundado en una base jurídica adecuada con arreglo al RGPD.

-Artículo 14 del RGPD, tipificada en su artículo 83.5.b)

-Artículo 28 del RGPD, tipificada en su artículo 83.4.a)

QUINTO: Tal y como consta acreditado en la documentación que obra en el
expediente (folios 1.722 y 1.723), la notificación del citado acuerdo de inicio se efectúa
por medios electrónicos siendo la fecha de puesta a disposición el 15/04/2024 y la
fecha de aceptación de la notificación el 25/04/2024.

SEXTO: Mediante escrito presentado el 07/05/2024, CAMERDATA solicita, al amparo
del artículo 32 de la LPACAP, que se amplíe el plazo para presentar alegaciones y que
se le dé vista del expediente (folios 1724 y 1.725).

Aporta una copia de la escritura notarial de otorgamiento de poder, de fecha
29/01/2018, de la que resulta que la persona física que comparece como apoderado
de la mercantil está facultada para intervenir en su nombre en este procedimiento
administrativo sancionador en todos sus trámites e instancias con plenitud de
facultades (folios 1.799 y siguientes).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/164

Mediante escrito de fecha 10/05/2024, notificado electrónicamente el mismo día y cuya
notificación es aceptada el 14/05/2024 (folio 1.816), el órgano instructor acuerda
ampliar el plazo de alegaciones en cinco días adicionales y darle traslado de la copia
del expediente administrativo. Obran en el expediente los documentos que acreditan el
envío de la documentación (folios 1.811 a 1.813).

SÉPTIMO: CAMERDATA presenta su escrito de alegaciones en fecha 16/05/2024 en
el que solicita que se declare la nulidad del procedimiento y, subsidiariamente, se
acuerde su archivo.

1. Como alegación previa invoca la indefensión sufrida que conlleva la vulneración de
“los principios que rigen el procedimiento sancionador y sus derechos de defensa en
el mismo, con infracción de los preceptos legales aplicables en la materia y el artículo
24 de la Constitución”. Expone que la situación de indefensión de la que trae causa la
pretendida nulidad del procedimiento ha consistido en:

a)Haberle dirigido un requerimiento de información, previo a la incoación del
expediente, “sin que se le informara del motivo de tal requerimiento”, lo que ha
perjudicado gravemente su derecho de defensa en el procedimiento sancionador.

b) Haberle dado traslado de un expediente administrativo voluminoso sin concederle
un plazo adicional para poder formular adecuadamente sus alegaciones y para
proponer las pruebas oportunas.

Añade CAMERDATA que “Dada la gran extensión de dicho expediente (de 1.807
páginas) y el momento en que lo ha recibido (13 de mayo), le ha sido materialmente
imposible a esta empresa estudiar dicho expediente, por lo que se le han mermado
gravemente sus derecho de defensa en el presente expediente.”

2.Examen de las infracciones del RGPD que se atribuyeron a CAMERDATA en el
acuerdo de inicio.

2.1.Infracciones del artículo 6.1 del RGPD:

La alegación I del escrito de alegaciones, examina las infracciones del artículo 6.1. del
RGPD que se le imputan.

a) Haber recogido y procesado en su propio sistema de información los datos
transmitidos por la CDE sin un fundamento de licitud.
b) Haber cedido a terceras entidades, sin un fundamento de licitud, su Fichero de
Empresas Españolas, cuyos datos más relevantes, como el NIF, los obtuvo de la CDE.
c) Haber cedido a la empresa KOMPASS su Fichero con la doble finalidad de que le
preste un servicio de realimentación de la información recogida en él y para el uso por
esta entidad para sus propias actividades.

Las alegaciones dedican un epígrafe específico a hacerse eco de los razonamientos
en los que el acuerdo de inicio ha fundamentado las tres presuntas infracciones del
artículo 6.1 del RGPD. Así dice:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/164

“En virtud de un contrato de “Cesión de Bases de Datos Empresariales” celebrado en
2016 con la Cámara de España (CDE), Camerdata trata datos de autónomos o
empresarios individuales procedentes del censo público de empresas que elabora y
gestiona la CDE en virtud de lo dispuesto en los artículos 8 y 21.1, en conexión con el
artículo 5.1g), todos ellos de la Ley 4/2014.”

“El dato del NIF de los empresarios individuales excede de los datos necesarios para
su localización profesional. Por ello, no resultará de aplicación a efectos de determinar
la base jurídica del tratamiento de este dato la presunción de licitud que recoge el
artículo 19 de la LOPDGDD. Por tanto, será Camerdata quien deba justificar que
concurre para su tratamiento una base de legitimación.”

“En resumen, la CDE cede datos a Camerdata de empresarios individuales que no
figuran en el censo público de empresas y para finalidades que no se incluyen en el
artículo 8 de la Ley 4/2014; cede el denominado “Censo Básico de Empresas”.

“Con los datos cedidos por la CDE, Camerdata viene desarrollando y explotando
comercialmente un sistema de información empresarial denominado "Fichero de
Empresas Españolas" que es una base de datos diferente del "Censo Básico de
Empresas" elaborado por la CDE. Además, Camerdata facilita su Fichero de
Empresas Españolas a otras entidades con la finalidad, en ocasiones exclusiva, de
que le preste los servicios destinados a la realimentación de su fichero.”

Niega haber incurrido en alguna de las infracciones del artículo 6.1 del RGPD que se
le atribuyen puesto que, dice:

A. En relación con las infracciones del artículo 6.1. del RGPD descritas en los
apartados a) y b) existe una “base de legitimación legal” para el tratamiento o/y falta el
elemento de la culpabilidad.

B. En relación con la infracción del artículo 6.1. descrita en el acuerdo de inicio en la
letra c) la conducta consiste en un “tratamiento de datos exclusivamente de empresas
constituidas como personas jurídicas”.

Subsidiariamente, para el caso de apreciarse alguna de las infracciones del artículo
6.1.f) del RGPD, sostiene que no concurren en las conductas que se subsumen en ese
tipo infractor ninguno de los factores de agravación apreciados en el acuerdo de inicio.

A. Por lo que concierne a las infracciones del artículo 6.1. del RGPD que se
describieron en los apartados a) y b) CAMERDATA niega su existencia pues
considera que las conductas mencionadas (A.1) sí están amparadas en una base
legitimadora o bien (A.2.) falta en ellas el elemento de la culpabilidad.

A.1. Con ocasión de exponer los motivos por los que considera que no ha incurrido en
ninguna de las infracciones del artículo 6.1 del RGPD que se describen en los
apartados a) y b) antes citados, hace una extensa argumentación centrada en dos
cuestiones: I. Sus objeciones a las afirmaciones que hace el acuerdo de inicio y II. Las
premisas sobre las que, a su entender, debemos partir en la valoración de los hechos
que nos ocupa: Una de ellas, que los datos que son objeto de este procedimiento,
incluido el NIF de las personas físicas empresarias, son “datos empresariales” y que,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/164

en cuanto tales, están sujetos a un régimen particular. Otra, su particular interpretación
del artículo 19 de la LOPDGDD de la que concluye que el tratamiento de datos que ha
efectuado está amparado en una presunción iuris tantum de licitud y, por consiguiente,
corresponde a esta Agencia enervar la presunción de licitud que tiene a su favor.

I. Objeciones a las consideraciones que recoge el acuerdo de inicio:

Dice que el acuerdo de inicio, erróneamente, ha entendido que “la finalidad del
tratamiento del censo público de empresas de la CDE es únicamente la expresamente
determinada el artículo 8 de la Ley 4/2014, de lo que extrae la consecuencia de que
dicha finalidad es incompatible con la de ofrecerse comercialmente a las empresas y a
terceros interesados”.

Manifiesta que tal planteamiento es erróneo porque “la finalidad de un censo público
no puede ser otra, como su nombre indica, que la de ser público, es decir, la de
compartirse públicamente.” Insiste en que “el censo de empresas cameral no agota su
finalidad en su mera elaboración para publicitarse, sino que dicha publicidad del censo
cameral de empresas persigue una finalidad esencial ulterior, propia y específica de
las Cámaras de Comercio, como es el fomento de la competitividad de nuestras
empresas mediante políticas de apoyo a la actividad comercial y empresarial, sobre
todo de las pequeñas y medianas empresas, entre las que se cuentan principalmente
los autónomos o empresarios individuales.”

Indica que “Son múltiples e inequívocas las referencias de la Ley 4/2014 que
atribuyen a las Cámaras de Comercio la función primordial de promover la
competitividad empresarial, y ello con el objetivo último de promover activamente el
crecimiento económico general y la generación de empleo en nuestro país.”

Menciona entre ellas el apartado I del Preámbulo de la Ley 4/2014 y el artículo 5.1.j)
de la Ley 4/2014: “j) Impulsar actuaciones dirigidas al incremento de la competitividad
de las pequeñas y medianas empresas, y fomentar la innovación y transferencia
tecnológicas a las empresas.”

Afirma que “no puede entenderse correctamente la función de elaboración y gestión
de un censo público de empresas de los artículos 5.1.g), 7 y 8 de la Ley 4/20214, si no
se pone en conexión con la función del artículo 5.1.j) de la misma Ley.” “En otras
palabras, el censo público de empresas no es sino un instrumento para el
cumplimiento de una de las finalidades principales de la Cámaras, como es el fomento
de la competitividad de las pequeñas y medianas empresas.”

Al considerar el censo de empresas un “mero instrumento para el desarrollo de la
competitividad empresarial y el crecimiento de la economía y de la generación de
empleo” CAMERDATA concluye que, toda vez que la Ley 4/2014 no establece cómo
debe hacerse público el censo de empresas, es “del todo legítimo” que se le dé “la
máxima difusión posible.” Por eso, dice, no solo no es incompatible, sino que es
“plenamente congruente” que el censo público de empresas esté no sólo disponible
desde la web de la CDE, “sino que además pueda comercializarse en formato digital
para alcanzar con ello su máximo potencial para la finalidad de interés público que
persigue.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/164

Indica también que, siendo los “datos empresariales del censo público de empresas
por definición, públicos, no alcanza a entender cuál pueda ser el deber de
confidencialidad o de sigilo que pueda pesar sobre los mismos”.

Afirma que “los datos que publicó en su web la CDE son: (1) el nombre o
denominación social de la empresa; (2) domicilio principal; (3) domicilio de actividad;
(4) sección de actividad IAE y (5) actividad IAE. Y concluye que “Por tanto, respecto
de estos datos no hay duda de que no afectan a la esfera privada de los autónomos o
empresarios individuales y de que no se incumplen los requisitos del RGPD, al
tratarse de datos públicos y cuya publicidad es notoriamente conocida por los propios
autónomos o empresarios, pues así resulta del artículo 8 de la Ley 4/2014 y de la web
de la CDE.”

Respecto al dato del NIF de los empresarios personas físicas reconoce que “es cierto
que este dato no figura en el censo público de empresas” y dice que la CDE “no lo
cede a Camerdata conforme al pacto 12.2 del contrato suscrito entre la CDE y
Camerdata el 15 de febrero de 2016.”

Dice en tal sentido: “Camerdata recibe de CDE el NIF de los empresarios individuales
y autónomos encriptado con algoritmo MD5 (Message Digest Algorithm 5) empleado
habitualmente para almacenar datos de forma segura. El algoritmo empleado es de
tipo HASH o huella única y tiene como principal característica que no es posible
obtener el valor de entrada (NIF) correspondiente a un valor de salida (HASH o huella
MD5), de manera que es Camerdata quien obtiene el NIF por sus propios medios.

Argumenta que la Ley 4/2014 “no define qué datos empresariales integran el censo
público de empresas, por lo que podría entenderse incluido el NIF”.

Defiende que el NIF es imprescindible “para el debido cumplimiento de la obligación
legal de proporcionar datos veraces y exactos.” “Tan sólo el NIF es inalterable, por lo
que únicamente con el NIF se garantiza la veraz localización e identificación del
autónomo o empresario individual.”

Rechaza que el NIF de los autónomos pueda considerarse un datos sensible; afirma
que es “un dato empresarial” y que, en cuanto tal, “no forma parte de la privacidad e
intimidad de los empresarios individuales”. Así, dice: “el NIF de los autónomos o
empresarios individuales no puede considerarse un dato sensible, no sólo porque no
se encuentra entre los datos de categoría especial de los artículos 9 y 10 del RGPD,
sino porque constituye sin duda un dato empresarial, pues (i) sin el mismo no pueden
operar en el tráfico jurídico mercantil ni pueden emitir facturas, (ii) se inscribe en el
Registro mercantil respecto de los navieros y respecto de todos aquellos otros
empresarios individuales que se inscriban en dicho Registro (artículos 81 y ss. y
artículo 87 y ss., respectivamente, del Reglamento del Registro Mercantil) y (iii) se
exige para la prestación de servicios de la sociedad de la información (artículo 10 de la
Ley34/2002, de 11 de julio, de servicios de la sociedad de la información y de
comercio electrónico).

A modo de resumen de la postura que defiende, dice: “En definitiva, el NIF, como dato
de carácter empresarial, no forma parte de la privacidad e intimidad de los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/164

empresarios individuales, sino que es un dato imprescindible para operar en el
mercado y para la seguridad del tráfico jurídico mercantil.”

II. Premisas para la valoración de estos tratamientos en opinión de CAMERDATA.

Al referirse a las premisas que constituyen el punto de partida de la valoración de los
hechos CAMERDATA no hace sino reiterar con expresiones distintas la misma idea ya
expuesta.

a. La primera premisa sería, a su juicio, constatar que estamos ante “datos
empresariales”.

Dice en ese sentido que “los datos tratados no se refieren a los datos personales de
las personas físicas en cuanto tales, esto es, en lo relativo a su esfera o ámbito de
actuación privada, sino a datos de personas físicas en su condición de autónomos o
de empresarios individuales, es decir, en cuanto que ejercen actividades comerciales,
industriales, de servicios o navieras, pues tal es la configuración del censo público de
empresas que elaboran y gestionan las Cámaras de Comercio conforme a lo previsto
en los artículos 5.g), 7, 8 de la Ley 4/2014.”

Y sostiene que el régimen aplicable en materia de protección de datos es distinto del
general: “Por tanto, no cabe duda de que los datos de los empresarios individuales, en
cuanto actúan en tal condición, tienen una protección completamente diferenciada de
los datos personales de las personas físicas en lo que atañe a su ámbito de actuación
particular o privada.”

b. Por lo que respecta al artículo 19 de la LOPDGDD, menciona un párrafo del
acuerdo de inicio, página 45, que dice que la LOPDGDD dedica a los empresarios
individuales un precepto, el artículo 19. El párrafo en cuestión dice lo siguiente:

“Por su parte, la LOPDGDD dedica a los datos de los empresarios individuales un
precepto, el artículo 19 - “Tratamiento de datos de contacto, de empresarios
individuales y de profesionales liberales”- que se limita a establecer una presunción
iuris tantum de licitud del tratamiento, sobre la base del apartado f) del artículo 6.1 del
RGPD, respecto a los datos de contacto que conciernen a los empresarios
individuales ““cuando se refieran a ellos únicamente en dicha condición” y no se traten
para entablar una relación con los mismos como personas físicas”.

La simple mención en el acuerdo de inicio a este precepto de la LOPDGDD lleva a
CAMERDATA a esta conclusión: “Por tanto, no cabe duda de que los datos de los
empresarios individuales, en cuanto actúan en tal condición, tienen una protección
completamente diferenciada de los datos personales de las personas físicas en lo que
atañe a su ámbito de actuación particular o privada.”

Y hace, a continuación respecto al artículo 19 de la LOPDGDD una afirmación tan
taxativa como errónea, por cuanto se refiere a los “datos” sin matizar qué tipo de datos
de los empresarios autónomos: “De este modo, el artículo 19 de la LOPDGDD
establece una presunción legal “iuris tantum” de que el tratamiento de los datos de los
autónomos o empresarios individuales es lícito al amparo del artículo 6.1.f) del RGPD
cuando se cumplan unos requisitos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/164

Afirmación errónea en tanto en cuanto es incompleta: los requisitos efectivamente han
de cumplirse , y los recoge el artículo 19.2 del RGPD. Pero, no todos los datos de los
empresarios personas físicas están bajo la presunción de licitud a la que nos
referimos, sino, exclusivamente, como se dijo en el acuerdo de inicio (página 45,
párrafo antes transcrito), “los datos de contacto”.

En consonancia con la interpretación errónea que CAMERDATA hace del artículo 19
de la LOPDGDD -pues al incluir en ella a todos los datos de los empresarios
individuales se aparta de la previsión legal- sostiene que el precepto citado le exime de
tener que llevar a cabo la ponderación de que no prevalecen los intereses o los
derechos y libertades fundamentales del interesado que requieran la protección de
datos personales sobre el interés del responsable.

CAMERDATA pretende justificar su interpretación del artículo 19 de la LOPDGDD con
un argumento que en nada puede apoyar la tesis que defiende: un fragmento de la
exposición de motivos (“Preámbulo”) de la LOPDGDD en el que lo que se indica que,
en relación a tratamientos concretos el legislador ha establecido una presunción iuris
tantum de prevalencia del interés legítimo del responsable cuando el tratamiento se
“lleve a cabo con una serie de requisitos” (en los que la exposición de motivos no
entra) y añade -y esta es la idea que se quiere transmitir- que, nada impide que
cuando no se cumplan “estrictamente las condiciones previstas en el texto”, la licitud
del tratamiento pueda fundarse en la prevalencia del interés legítimo del responsable
si bien, dice la exposición de motivos, “el responsable deberá llevar a cabo la
ponderación legalmente exigible, al no presumirse la prevalencia del interés legítimo.”

Seguidamente, apoyándose en un evidente error del acuerdo de inicio - toda vez que
en la página 45 del acuerdo de inicio se dijo claramente que el tratamiento de los datos
de los empresarios amparados por la presunción de licitud eran los datos de contacto-
incluido en la página 50, en el que se mencionan en lugar de los datos de contacto los
datos de localización, CAMERDATA llega a la conclusión interesada según la cual se
está interpretando que los requisitos del apartado 1 del artículo 19 de la LOPDGDD
son igualmente extensibles al supuesto, distinto, regulado en el apartado 2 del mismo
artículo 19 de la misma Ley Orgánica.

Además de traer a colacion los comentarios recogidos en el Dictamen del Consejo de
Estado sobre el entonces artículo 20 del Anteproyecto de Ley Orgánica hace mención
a que el Consejo de Estado en su Dictamen “ viene a explicitar la distinta razón de ser
de estas dos presunciones legales al poner en conexión la previsión del artículo 20.1
del Anteproyecto sobre los datos de las personas físicas que presten servicios en
personas jurídicas (que se corresponde con la del artículo 19.1 de la LOPDGDD) con
el artículo 88 del RGPD, que regula el tratamiento de datos en el ámbito laboral, pues
viene a considerar, con toda lógica, que el supuesto de las personas físicas que
prestan servicios en personas jurídicas hace referencia a los trabajadores en el ámbito
laboral.
Por ello, recomienda sustituir la remisión que el artículo 20.1 del Anteproyecto hace al
artículo 6.1.f) del RGPD, por la remisión al artículo 88 del RGPD:

“Las disposiciones del apartado 1 de este artículo podrían, no obstante, tener
cobertura en el artículo 88 del Reglamento, en la medida en que se refieran a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/164

trabajadores. El citado artículo de la norma europea habilita a los Estados miembros
para establecer, a través de disposiciones legislativas o de convenios colectivos,
"normas más específicas para garantizar la protección de los derechos y libertades en
relación con tratamiento de datos personales de los trabajadores en el ámbito laboral,
en particular a efectos de contratación de personal, ejecución del contrato laboral,[…]”

Por lo cual, añade CAMERDATA, “Si bien esta remisión al artículo 88 del RGPD no se
ha trasladado al vigente artículo 19.1 de la LOPDGDD, lo que sí es indudable es que
esta apreciación del Consejo de Estado pone de relieve la distinta naturaleza de los
datos personales de los trabajadores en la esfera laboral (ámbito propio del artículo
19.1), mucho más privativa, y, en consecuencia, el distinto grado de protección que
merecen, pues, a diferencia de los empresarios individuales, no se exponen
abiertamente en el mercado ofreciendo sus actividades y servicios empresariales a
todos los potenciales clientes.”

CAMERDATA concluye de su argumentación que, a su entender, queda acreditada la
aplicación de la presunción iuris tantum de licitud amparada en el artículo 6.1.f) del
RGPD en relación con los tratamientos de datos que se encuadraron en el acuerdo de
inicio como infracciones del artículo 6.1 RGPD, supuestos de los apartados a) y b). Y
que, en tanto esta Agencia no ha desvirtuado la presunción de licitud de la que goza,
procede acordar el archivo del procedimiento por lo que respecta a las aludidas
infracciones.

La entidad dice textualmente: “procede aplicar legalmente la presunción de
prevalencia del interés legítimo de esta empresa en su condición de responsable del
tratamiento de los datos de los autónomos o empresarios individuales, pues dicha
presunción no ha sido desvirtuada, por lo que las actuaciones descritas en las letras a)
y b) del apartado I.1. anterior no constituyen ninguna infracción del artículo 6.1.f) del
RGPD, sino que se amparan en el mismo en virtud de los dispuesto en el artículo 19.2
de la LOPDGDD.”
En consecuencia, por este motivo procede archivar este procedimiento sancionador en
cuanto a dichas actuaciones.

A.2. Con relación a las infracciones del artículo 6.1. del RGPD que se describieron en
los apartados a) y b) del acuerdo de inicio CAMERDATA niega su existencia
basándose en la ausencia del imprescindible elemento de la culpabilidad.

La mercantil CAMERDTA dedica una extensa exposición al examen del elemento de la
culpabilidad, necesario para que pueda exigirse responsabilidad sancionadora, y
menciona a tal efecto algunas sentencias del TJUE, en particular a las dictadas en los
asuntos C-683/21) C-807/21.

Seguidamente, subraya que, a su parecer, es llamativo – dice- que el acuerdo de inicio
no mencionara “circunstancias de relevancia a los efectos del presente procedimiento,
conocidos por el órgano supervisor y de control, que inciden de manera directa en la
determinación de la existencia o no de intencionalidad o negligencia por parte de
Camerdata.”

Cita como circunstancias de relevancia:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/164

-La Resolución de 27/02/2001 de la AEPD recaída en el expediente iniciado como
consecuencia de la denuncia efectuada a una Cámara de Comercio por la transmisión
a terceros de los datos contenidos en el censo público de empresas regulado por la
Ley 3/1993.

-La consulta del Gabinete Jurídico de la AEPD que, dice, recupera la interpretación
realizada en la resolución indicada anteriormente (enlace a la resolución:
https://www.aepd.es/documento/2001-9901.pdf)

-La respuesta del Gabinete Jurídico a una consulta de ASEDIE, de fecha 30/09/2014,
número de referencia 383358/2014 (consulta que se plantea con posterioridad a la
aprobación de la Ley 4/2014) en la que el Gabinete Jurídico de la Agencia informó en
estos términos:
“De este modo, siempre que los datos se refieran únicamente a personas jurídicas, sin
contener más datos personales que los mencionados en el artículo 2.2 del reglamento
de desarrollo de la Ley Orgánica, o a empresarios individuales, en los términos que
acaban de describirse y relacionados única y exclusivamente con la actividad
mercantil de tales empresarios, las normas de protección de datos no será aplicables,
por lo que, sin perjuicio de lo dispuesto en otras normas, su comunicación no estará
sometida a lo dispuesto en la Ley Orgánica 15/1999.”

-La Resolución en la que se denegó la aprobación del Código de Conducta de ASEDIE
(Expediente Nº CC/0003/2018), en el que ni la Subdirección General del Registro
Central de Protección de Datos, ni el propio Gabinete Jurídico de la AEPD, en sus
respectivos informes, encontraron objeciones al tratamiento de datos personales de
empresarios individuales y profesionales liberales. Transcribe este párrafo:

“Respecto del resto de contenidos, el informe de la Subdirección General del Registro
General de Protección de Datos emite una valoración general positiva, considerando
que responde a necesidades particulares del promotor, que facilita y especifica la
aplicación del RGPD y que proporciona garantías suficientes.”

-El informe del Gabinete Jurídico de la AEPD N/REF 0089/2020, en el cual se
especifican los tratamientos en los que no se aprecia la prevalencia del interés legítimo
del responsable del tratamiento, concretamente, los tratamientos de datos (i) para los
sistemas de información crediticia relativos al cumplimiento de obligaciones dinerarias,
financieras o de crédito y (ii) de los sistemas de información sobre solvencia
patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho
manifiestamente públicos, contenidos en la secciones 2ª y 3ª del Anexo II, y que
deberían suprimirse.“Sin embargo, en dicho Informe no se hace objeción alguna al
Anexo I del Código de Conducta en el que se recogen los servicios de información de
relevancia económica sobre sociedades mercantiles y otras personas jurídicas,
empresarios individuales y profesionales liberales.”

-Que la Secretaría General de la AEPD ha acordado iniciar el expediente de
contratación EX20240028 de “Servicios de análisis de información de carácter
económico-financiero y mercantil” cuyo objeto consiste en la contratación de un
servicio para la AEPD de información de carácter económico-financiero y mercantil
para cualquier entidad, independientemente de su forma jurídica, incluyendo dentro de
la contratación a los autónomos, asociaciones y fundaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/164

En atención a las consideraciones precedentes CAMERDATA afirma que “se constata
de forma patente” que no ha actuado en ningún momento con intencionalidad o
negligencia en el tratamiento de datos personales de empresarios individuales y
profesionales liberales. Afirmación que apoya en que:
(i) con anterioridad a la aprobación del RGPD, no existía duda alguna acerca de la
licitud del tratamiento de datos de los empresarios individuales por parte de esta
empresa.
(ii) Que desde el año 2017, la AEPD ha mantenido reuniones de trabajo e intercambio
de documentos con la asociación ASEDIE, “ha emitido informes con pronunciamientos
favorables al tratamiento de los datos personales de empresarios individuales que
ahora considera contrarios al RGPD, e incluso va a contratar a una empresa,
probablemente del sector infomediario, precisamente para tratar datos personales de
empresarios individuales y profesionales liberales.”

Sin ninguna razón que la respalde afirma que “la ausencia de culpabilidad” que invoca
está fundamentada “en la confianza legítima que ha generado la propia actuación de
la AEPD” en relación con los datos de autónomos o empresarios individuales.

Concluye de sus reflexiones que, no estando presente el elemento subjetivo de la
culpabilidad (en ninguna de sus manifestaciones) procede acordar el archivo del
procedimiento en relación con las infracciones del artículo 6.1 del RGPD a las que se
refirió el acuerdo de inicio en los supuestos a) y b) en él descritos.

B. En relación con la infracción del artículo 6.1.del RGPD descrita en el acuerdo de
inicio en la letra c) –“c) Haber cedido a la empresa KOMPASS su Fichero con la doble
finalidad de que le preste un servicio de realimentación de la información recogida en
él y para el uso por esta entidad para sus propias actividades”- CAMERDATA alega
que la conducta consiste en un “tratamiento de datos exclusivamente de empresas
constituidas como personas jurídicas”.

CAMERDATA afirma que los datos cedidos no incumplen el RGPD, al ser
exclusivamente datos de empresas constituidas como personas jurídicas. Por tal
motivo rechaza la infracción del artículo 6.1 del RGPD apreciada en el acuerdo de
inicio, concretada en la comunicación por CAMERDATA a KOMPASS, sin una base de
licitud, de los datos personales de empresarios autónomos para la realimentación del
fichero y uso posterior en su actividad empresarial sin base de legitimación.

Menciona los dos contratos suscritos con la empresa KOMPASS SPAIN, SLU que
tienen por objeto la realización de trabajos de “webcrawling” sobre la base de los datos
cedidos por CAMERDATA, consistentes en la aplicación de algoritmos de búsqueda y
reconocimiento de patrones en internet para, a partir de las URL’s de las webs de
empresas de que se dispone, intentar obtener las direcciones electrónicas genéricas
asociadas a esta URL’s.

Contrato de 20/06/202:
-CAMERDATA cede 107.807 CIF de los registros contenidos en la base de datos
Fichero de Empresas Españolas de los cuales Camerdata no tiene campo de e-mail
genérico informado y parcialmente el campo de URL informado.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/164

Contrato de 20/03/2023:

- CAMERDATA cede los NIF de los registros contenidos en la base de datos Fichero
de Empresas Españolas que KOMPASS tenga el campo URL informado y que
Camerdata no dispone del campo de e-mail genérico (145.101)

En defensa de la tesis de que los datos tratados son exclusivamente de personas
jurídicas invoca:

-Que el universo de registros cedidos es totalmente distinto respecto del número de
autónomos o empresarios individuales del Fichero de Empresas Españolas:
CAMERDATA trata datos de un total de 1.665.049 autónomos o empresarios
individuales, mientras que el número de registros cedidos a KOMPASS es de 107.807
(en el contrato de 2020) y de 145.101 (en el contrato de 2023).

-Que el contrato de 2020 se refiere expresamente a Códigos de Identificación Fiscal
(CIF’s), lo que claramente -aunque erróneamente desde 2008- indica que se trata de
datos de empresas constituidas como personas jurídicas. Este error de denominación
se corrige en el contrato de 2023 pues, en rigor, desde 2008 el CIF pasó a
denominarse también NIF, aplicable antes únicamente a las personas físicas.

-Que obra en el expediente, aportado como documento anexo 5 a las alegaciones al
acuerdo de inicio, un escrito firmado por el CEO de KOMPASS que declara que los
registros utilizados para la realización de sus trabajos de “webcrawling” han sido
exclusivamente de sociedades jurídicas, sus NIF’s, sus direcciones URL y sus correos
electrónicos genéricos, y en ningún caso de personas físicas o empresarios
individuales.

Invoca el artículo 53.3 de la LPACAP conforme al cual, en los procedimientos
administrativos de naturaleza sancionadora, se establece la presunción de no
existencia de responsabilidad administrativa mientras no se demuestre lo contrario,

Concluye que, no siendo los datos cedidos en virtud del contrato suscrito con
KOMPASS datos personales -no son datos de empresarios autónomos, sino
únicamente de empresas personas jurídicas- tal actuación no infringe el artículo 6.1 ni
ningún otro precepto del RGPD, al no serle éste aplicable conforme a su considerando
14, debiendo proceder al archivo del procedimiento por lo que respecta a esta
infracción.

Con carácter subsidiario a lo indicado en los apartados A. y B precedentes, que versan
sobre las infracciones del artículo 6.1 del RGPD que se le imputaron en el acuerdo de
inicio, sostiene que no cabe apreciar la concurrencia en el presente caso de ninguno
de los elementos del artículo 83.2 del RGPD que se han tomado en consideración
para graduar la sanción. Los argumentos que a tal efecto aduce CAMERDATA no son
sino una reiteración de los que ha venido invocando en sus alegaciones para negar la
existencia de las infracciones del artículo 6.1. descritas en los apartados a) y b)
precedentes.

3. La alegación II del escrito de alegaciones examina la infracción del artículo 28 del
RGPD que se le atribuyó en el acuerdo de inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/164

CAMERDATA comienza indicando que el acuerdo de inicio le atribuyó una presunta
infracción del artículo 28 del RGPD al entender que el contrato suscrito entre ella y
DMOVO ANALITYCS, S.L., de fecha 03/02/2020, para la prestación de determinados
servicios, “si bien contiene una cláusula de confidencialidad, no incorpora las demás
previsiones que el artículo 28.3 RGPD establece, por lo que ha de entenderse
incumplida esta obligación.”

Rechaza la infracción imputada puesto que, dice, el contrato sí cumple las previsiones
del artículo 28.3 del RGPD.

En ese sentido afirma que el contrato que le vincula como responsable del tratamiento
a DMOVO como encargado del tratamiento, establece el “objeto, la duración, la
naturaleza y finalidad del tratamiento” “el tipo de datos personales, categorías de
interesados, y las obligaciones y derechos del responsable”. Y añade que, además,
hace referencia expresa y reiterada a la observación y cumplimiento de las previsiones
del RGPD y de la LOPDGDD “en materia de acceso, tratamiento y cesión de datos de
carácter personal.”

Aporta con sus alegaciones (documento nº6) el “Convenio de Confidencialidad” que
ambas partes suscribieron el 18/12/2019. Explica que tal documento no se aportó en el
momento de cumplimentar el requerimiento previo de información realizado por la
AEPD, “pues entonces no se informó y, por tanto, se desconocía el alcance del
mismo.”

En su defensa ha hecho constar en qué estipulaciones del Convenio de
Confidencialidad de 18/12/2019 y del Contrato de 03/02/2020 se han recogido cada
una de las previsiones del artículo 28.3 del RGPD, apartados a) a h) (no se menciona
el apartado b) con el objetivo de acreditar que todas las exigencias del artículo 28.3 del
RGPD tienen su reflejo documental en el Contrato o en el Convenio de
Confidencialidad. Dice en este sentido:

1.La previsión del artículo 28.3.a) del RGPD, a tenor de la cual “el encargado tratará
los datos siguiendo únicamente las indicaciones documentadas del responsable”, se
incorpora en el Pacto 2.3.b) del Convenio de confidencialidad que prevé que “la
utilización de la información y datos objeto de tratamiento se hará única y
exclusivamente para el desarrollo y ejecución de la relación contractual, de
conformidad con los acuerdos establecidos entre las partes y siguiendo las
indicaciones de Camerdata”. El pacto continúa diciendo “sin que en ningún caso
pueda tratarlas, utilizarlas o aplicarlas para una finalidad diferente o con infracción de
dicha normativa”.

2. La previsión del artículo 28.3.c) del RGPD, relativo a “todas las medidas necesarias
de conformidad con el artículo 32 RGP” sobre la “Seguridad del tratamiento”, se
incorpora a través de:

-El Pacto 2.3.a) del Convenio, a tenor del cual la parte receptora de la información se
obliga a disponer de “los medios técnicos y organizativos necesarios a fin de
garantizar la seguridad y confidencialidad de cuanta información de carácter personal
sea entregada”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/164

-El Pacto 2.3.e) del Convenio, a tenor del cual “no se registrarán datos de carácter
personal en ficheros que no reúnan las condiciones legalmente exigidas “respecto a
su integridad y seguridad y la de los centros de tratamiento, locales, equipos, sistemas
y programas”.
-Los Pactos 2.3.g) y 2.3.k) del Convenio, conforme a los cuales las garantías y criterios
de confidencialidad del Convenio se extenderán “a cualquier tipo de soporte que
contenga datos de carácter personal (digital o no digital) a los que se tenga acceso”
por razón del desarrollo y ejecución de la relación contractual.

3. El artículo 28.3.d) del RGPD , a tenor del cual el primer encargado “respetará las
condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del
tratamiento”, se traslada en el Pacto 2.3.d) del Convenio que prohíbe subcontratar con
terceros “la realización de ningún acceso o tratamiento de los datos personales
comunicados sin la previa autorización expresa y por escrito” de Camerdata.

4. El artículo 28.3.e) del RGPD, en virtud del cual “el encargado asistirá al
responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas
técnicas y organizativas apropiadas, siempre que sea posible, para que éste pueda
cumplir con su obligación de responder a las solicitudes que tengan por objeto el
ejercicio de los derechos de los interesados establecidos en el capítulo III”, se traslada
en los Pactos 2.5 y 2.6 del Convenio.

En virtud del primero DMOVO se obliga a comunicar inmediatamente a Camerdata “el
contenido y alcance de cualquier derecho de acceso, rectificación, cancelación y
oposición, que haya realizado cualquier titular de los datos de carácter personal que
estén siendo tratados en calidad de encargado de su tratamiento”. Y conforme al
Pacto 2.6. DMOVO “no tramitará directamente ninguna respuesta a los titulares de los
datos, limitándose su actuación a mantener informado en todo momento” al
responsable, quien asume la responsabilidad dar curso a cualquier ejercicio de
derechos de los interesados en materia de protección de datos personales.

5.El artículo 28.3.f) del RGPD, conforme al cual el encargado ayudará al responsable
“a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36,
teniendo en cuenta la naturaleza del tratamiento y la información a disposición del
encargado” se incorpora a través del Pacto 2.3.f) del Convenio.

En él se establece la obligación de DMOVO tanto de cumplir “lo dispuesto en la
LOPDGDD y el RGPD” como de vigilar “la correcta protección lógica y física de los
datos personales facilitados” por el responsable y la implementación de las “medidas
técnicas y de organización que sean necesarias teniendo en cuenta el estado de la
tecnología, la naturaleza de los datos almacenados y los riesgos a los que están
expuestos, ya provengan de la acción humana o del medio físico o natural”.

6. El artículo 28.3.g) RGPD, conforme al cual, a elección del responsable, el
encargado suprimirá o devolverá todos los datos personales una vez finalice la
prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos
que se requiera la conservación de los datos personales en virtud del Derecho de la
Unión o de los Estados miembros” se incorpora a través de:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/164

-El Pacto 2.3.q) del Convenio. En él se prevé que, a la finalización o resolución de la
relación contractual DMOVO “devolverá toda la información confidencial y todos los
datos de carácter personal facilitados por … (Camerdata) no conservará ninguna
copia de las mismas, destruyendo de forma inmediata cualquier soporte o documento
en el que conste alguna información confidencial o dato de carácter personal, sin
necesidad de un expreso requerimiento” de Camerdata.

-El Pacto 1.4 del Convenio que prevé que, al finalizar la relación contractual, ambas
partes “se restituirán todos los datos, documentación, soportes informáticos o
telemáticos o de cualquier clase que se hayan facilitado en ejecución de la misma,
excepto en el caso de que haya una obligación legal de conservación de dichos
soportes de conformidad y en la forma que disponga la normativa de aplicación”.

7. El artículo 28.3.h) del RGPD, relativo a la puesta a disposición del responsable de
toda la información necesaria para demostrar el cumplimiento de las obligaciones
establecidas en el presente artículo, así como para permitir y contribuir a la realización
de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor
autorizado por dicho responsable, así como, a tenor de su párrafo segundo, a la
obligación del encargado de informar inmediatamente al responsable si, en su opinión,
una instrucción infringe el presente Reglamento u otras disposiciones en materia de
protección de datos de la Unión o de los Estados miembros, se incorpora a través de:

-El Pacto 2.3.ll) del Convenio, en virtud del cual DMOVO permite a Camerdata la
realización de “cualquier tipo de control sobre la seguridad e integridad de los datos
objeto de tratamiento, en cumplimiento de la obligación de tutela y control que tiene el
responsable frente del encargado del tratamiento”. Prevé también que Camerdata
pueda “inspeccionar por sí misma o por los técnicos que designe al efecto, los locales,
instalaciones, equipos y medidas implantadas” por DMOVO, como la obligación de
DMOVO de mantener informada a Camerdata de “cualquier tipo de incidencia que
pueda tener repercusión en la integridad o confidencialidad de los datos”.

Concluye de su exposición que a través del Contrato de 2020 y del Convenio de
Confidencialidad de 2019 se incorporaron a la regulación de la relación contractual las
previsiones del artículo 28.3 del RGPD, por lo cual tal obligación se ha cumplido y no
se ha incurrido en ninguna infracción del precepto, entendiendo que procede acordar
el archivo del procedimiento sancionador en lo que respecta a tal infracción.

4. La alegación III del escrito de alegaciones examina la presunta infracción del
artículo 14 del RGPD que le atribuyó el acuerdo de inicio.

Las alegaciones comienzan indicando que el acuerdo de inicio atribuye a
CAMERDATA una presunta infracción del artículo 14 del RGPD que consiste en que
“no ha informado en ningún caso a los titulares de los datos del tratamiento que
realiza”.

CAMERDATA entiende que las consideraciones y razonamientos jurídicos del acuerdo
de inicio no se ajustan a los hechos ni al ordenamiento jurídico por los siguientes
motivos:
a. La conducta descrita no constituye una infracción del artículo 14 del RGPD por
cuanto (i) se ha cumplido el deber de información a los interesados a tener del artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

56/164

14.5 del RGPD, por concurrir un esfuerzo desproporcionado y(ii) por no haber sido
cometida con culpa o negligencia.

b. Subsidiariamente estima que no puede apreciarse la concurrencia de ninguno de los
factores utilizados para graduar el importe de la sanción de multa que podría
corresponderle: Gravedad, culpa o intencionalidad, categoría de datos sensible,
vinculación con la actividad del infractor.

(i) Afirma que sí ha cumplido con el deber de información a los interesados. Considera
aplicable el artículo 14.5.b) conforme al cual:
“5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la
medida en que:
a) […]
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información.”

Invoca el considerando 62 del RGPD. Menciona que “el Grupo de Trabajo sobre
Protección de Datos personales del art. 29, en su Informe WP.rev01 17/ES (última
revisión de 11 de abril de 2018), indica, al igual que el Considerando 62 del RGPD,
que la referencia a los tratamientos con fines de archivo, histórico, fines de
investigación científica o histórico o fines estadísticos, es una mención a determinados
tratamientos en los que más fácilmente concurrirá un esfuerzo desproporcionado, pero
no son los únicos tratamientos en los que puede concurrir dicha excepción del deber
de información individual a los interesados.”

Advierte que tanto el Considerando 62 como el Informe citado refieren como criterios a
considerar para valorar la existencia de un esfuerzo desproporcionado el número de
interesados, la antigüedad de los datos y las garantías adecuadas.

Explica que, en el presente caso, el número de interesados excede de un millón y
añade que también se cumple el criterio de las garantías adecuadas adoptadas. Dice
que, del tenor del artículo 14.5.b) del RGPD resulta que el criterio de las garantías
adecuadas es una acción que el responsable debe de realizar en caso de que el
esfuerzo desproporcionado concurra. El precepto citado establece que, “(…) En tales
casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información.”

Sobre las garantías que ha adoptado dice que se ha publicado un texto informativo en
las webs de las Cámaras de Comercio de Madrid, Barcelona, Valencia, Castellón,
Alicante, Gerona y Sabadell. Añade que también en la web de Camerdata.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

57/164

Indica que se “incorporará” (acción futura) el texto informativo sobre el tratamiento de
los datos de los empresarios autónomos a “los boletines y newsletters” que las
Cámaras editan periódicamente. Indica que se “difundirá” (acción futura) en varios
periódicos de mayor circulación de España en formato papel y/o digital con
periodicidad anual.

Concluye que “cumple los criterios para validar la exención de la obligación de
informar individualmente sobre el tratamiento”. Motivos que concreta en los siguientes:
a. “Identifica claramente el tratamiento de datos personales referido a […] empresarios
individuales incluidos en el censo público de empresas”. b. Motiva las causas que
fundamentan el carácter desproporcionado que implicaría el cumplimiento de la
obligación de informar. c. Expone las medidas compensatorias adoptadas y
acordadas. d. Ha elaborado y difundido en su web n texto informativo sobre el
tratamiento de datos.

(ii) CAMERDATA niega la existencia de la infracción del artículo 14 del RGPD por
ausencia del necesario elemento de la culpabilidad. Se remite a la exposición hecha
sobre el elemento de la culpabilidad con ocasión de examinar la infracción del artículo
6.1 del RGPD y menciona a tal efecto algunas sentencias del TJUE, en particular a las
dictadas en los asuntos C-683/21) C-807/21.

Sostiene que “la ausencia de culpabilidad” que invoca está fundamentada “en la
confianza legítima que ha generado la propia actuación de la AEPD” en relación con
los datos de autónomos o empresarios individuales. Y dice a continuación:

“En efecto, la actuación llevada a cabo desde la AEPD ha creado expectativas lógicas
y razonables de legitimidad y licitud en el tratamiento de datos personales empresarios
individuales y profesionales liberales, de manera que Camerdata, como empresa
integrante de la asociación ASEDIE, ha actuado siempre en la creencia legítima de
estar obrando dentro la legalidad, creencia fundada en el comportamiento y
pronunciamientos de la propia AEPD.”

Concluye que, no estando presente el elemento subjetivo de la culpabilidad (en
ninguna de sus manifestaciones) procede acordar el archivo del procedimiento en
relación con la infracción del artículo 14 del RGPD.

Con carácter subsidiario, a fin de justificar que no concurre ninguno de los elementos
utilizados para graduar la sanción, acude en esencia a los mismos argumentos
esgrimidos hasta el momento.

OCTAVO: Fase de prueba. Apertura y relación de pruebas a practicar.

Conforme a lo dispuesto en el artículo 77.2 de la LPACAP el órgano instructor acuerda
en fecha 16/09/2024 abrir un periodo de práctica de prueba por un plazo de treinta
días.
Así consta en la Diligencia firmada el 16/09/2024 (folio 1.972) en la que se detallan las
pruebas que acuerda practicar:

1.Dar por reproducidos a efectos probatorios:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

58/164

1.1. La denuncia presentada por la asociación Institut per a la Cultura Democratica a L
´era Digital (Instituto para la Cultura Democrática en la Era Digital) el 27/12/2022.
1.2. La nota interior de la Directora de la Agencia Española de Protección de Datos, de
fecha 13/04/2023, en la que insta a la Subdirección General de Inspección a iniciar
actuaciones previas de investigación, conforme al artículo 67 de la LOPDGDD.
1.3. Toda la documentación generada y recibida en el curso de las actuaciones de
investigación previa, así como el Informe de Actuaciones de Investigación firmado por
el inspector actuante.
1.4. Las alegaciones de CAMERDATA, S.A., al acuerdo de inicio del expediente
sancionador y sus documentos anexos.

2. Incorporar al expediente arriba referenciado:
2.1. Los siguientes documentos que forman parte del expediente sancionador con
referencia EXP202301678, que se tramita frente a CÁMARA DE COMERCIO,
INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA (CÁMARA o CDE): Sus
alegaciones al acuerdo de inicio y el único documento anexo aportado con ellas, un
certificado firmado por el Director General de CAMERDATA, S.A.
2.2. Capturas de pantalla obtenidas del censo de empresas españolas accesible
desde la página web de CDE.
2.3. Informe del Gabinete Jurídico de la AEPD número 089/2020.

3. Solicitar a:
3.1. CAMERDATA, S.A., que remita a esta Agencia determinada información y
documentación.
3.2. CDE que remite a esta Agencia determinada información y documentación.

NOVENO: Fase de prueba. Diligencias de incorporación de documentos.

1. Mediante diligencia firmada por el órgano instructor el 16/09/2024 (folios 1.974 y
siguientes) se deja constancia de la incorporación al presente expediente
administrativo de los siguientes documentos obtenidos el día 16/09/2024 de la página
web de la CÁMARA DE COMERCIO DE ESPAÑA (CDE), en particular del Censo
Público de Empresas accesible desde
https://www.camara.es/funcionconsultiva/consulta-del-censo-publico-de-empresas.

Las capturas de pantalla incorporadas dejan constancia de estos extremos:

a. Que CDE informa en su página web bajo la rúbrica “Censo Público de Empresas”,
“DESCRIPCIÓN”, en estos términos: “Te facilitamos los datos incluidos en el Censo
Público que contiene todas las entidades jurídicas y físicas de las Cámaras Oficiales
de Comercio, Industria, Servicios y, en su caso, de Navegación de España.”

Indica que el fichero “recoge un registro por actividad (no acumula varias actividades
en una misma dirección) y recopila los siguientes datos por registro: Nombre,
Dirección, Código Postal, Municipio, Actividad.” Por tanto, entre los datos que facilita
no está incluido el NIF.

b. Que, en relación con los empresarios personas físicas, efectuada una consulta al
censo público de empresas, los datos que se facilitan son: el nombre y apellidos, la
dirección postal (nombre de la vía y número), el código postal, nombre de la provincia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

59/164

y del municipio, código de IAE y descripción de la actividad. Por tanto, entre los datos
que se facilitan no está incluido el NIF.

c. Que, efectuada una consulta de un empresario persona física al censo público de
empresas, debajo de la información indicada en el punto precedente, se incluye esta
leyenda con un enlace directo a CAMERDATA: “Si desea obtener más información,
consulte el Fichero de Empresas de Camerdata On-line”.

2.Mediante diligencia firmada por el órgano instructor el 16/09/2024 (folios 1980 a
2005) se deja constancia de la incorporación al presente expediente administrativo:

-Escrito de alegaciones al acuerdo de inicio del EXP202301678, presentado ante esta
Agencia por CÁMARA.
-El documento anexo al escrito de alegaciones presentado por CÁMARA en el
EXP202301678: un certificado emitido por el Director General de CAMERDATA.

3.Mediante diligencia firmada por el órgano instructor el 16/09/2024 (folios 2006 a
2.180) se deja constancia de la incorporación al presente expediente sancionador del
Informe del Gabinete Jurídico de la Agencia Española de Protección de Datos número
089/2020.

DÉCIMO: Fase de prueba. Pruebas solicitadas CAMERDATA y respuesta de la
entidad.

Mediante escrito de fecha 16/09/2024, notificado el mismo día, notificación que es
aceptada por CAMERDATA el 17/09/2024, se le comunica la apertura de una fase de
prueba y se le requiere para que facilite la información y documentación que en tal
escrito se detalla (folios 1960 a 1968 y 1970).

En fecha 01/10/2024 se recibe escrito solicitando la ampliación del plazo por el
máximo permitido legalmente (folios 2.181 a 2.183 y 2.193). El acuerdo del órgano
instructor en el que otorga la ampliación solicitada, de fecha 01/10/2024, se comunica
a CAMERDATA siendo la fecha de puesta a disposición el 01/10/2024 y la aceptación
de la notificación el 09/10/2024 (folios 2.193 a 2.196).

CAMERDATA responde al trámite de prueba mediante escrito presentado el
09/10/2024 (folios 2.198 a 2.422). Se detalla a continuación la información y
documentación solicitada por el órgano instructor en fase de prueba y la respuesta de
CAMERDATA.

1.- Se solicita que aporte el Registro de la Actividad de Tratamiento relativa a la base
de datos de empresas con relación a los empresarios autónomos desde el año 2021.

Repuesta:
Aporta, como documento 3 el “Registro Actividades de Tratamiento.xlsx”, “en el que
consta el registro de las actividades de tratamiento en relación con los empresarios
autónomos desde el año 2021.”

2.-. Se solicita que remita la documentación en la que conste la evaluación de los
riesgos para los derechos y libertades de las personas físicas de las operaciones de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

60/164

tratamiento que CAMERDATA lleva a cabo en relación con los datos personales de los
empresarios autónomos obtenidos de CDE, así como las medidas técnicas y
organizativas adecuadas que se hayan implementado para aplicar de forma efectiva
dichos principio de licitud y transparencia en las operaciones de tratamiento de datos
que realiza.

Respuesta:
“Se aporta, como documento 4, el documento “Evaluación de Riesgos.xlsx” donde
constan el análisis y evaluación de los riesgos y las medidas técnicas y organizativas
que se han implementado en relación con los empresarios autónomos.

La documentación acreditativa de las medidas técnicas y organizativas adecuadas
implementadas para aplicar de forma efectiva dichos principios se encuentra
referenciada como respuesta al apartado 5.10.”

3.- Habida cuenta de que en sus alegaciones al acuerdo de inicio del procedimiento ha
invocado como fundamento de licitud de los tratamientos de datos que lleva a cabo la
prevalencia del interés legítimo de CAMERDATA y/o de los terceros con los que
contrata sobre los intereses o los derechos y libertades fundamentales de los titulares
de los datos, se solicita que aporte la información documentada de la ponderación
realizada que justifique que estos últimos -los intereses o los derechos y libertades
fundamentales de los interesados- no prevalecen en el tratamiento de datos que
realiza.

Respuesta:
“En nuestro escrito de alegaciones de 16 de mayo de este año se manifestó que los
datos de los empresarios individuales, en cuanto actúan en tal condición, tienen una
protección completamente diferenciada de los datos personales de las personas
físicas en lo que atañe a su ámbito de actuación particular o privada, ya que el artículo
19.2 de la LOPDGDD establece una presunción legal “iuris tantum” de que el
tratamiento de los datos de los autónomos o empresarios individuales es lícito al
amparo del artículo 6.1.f) del RGPD cuando se cumplan unos requisitos, en concreto,
cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar
una relación con los mismos como personas físicas.

Por ello, entiende esta empresa que esta presunción de prevalencia del interés
legítimo del responsable del tratamiento de los datos exime de tener que llevar a cabo
la ponderación de que sobre dicho interés del responsable no prevalezcan los
intereses o los derechos y libertades fundamentales del interesado que requieran la
protección de datos personales, tal como resulta también del apartado V del propio
Preámbulo de la LOPDGDD al referirse al Título IV en que se inserta el artículo 19.

De este modo, cabe entender que esta presunción legal de prevalencia del interés
legítimo del responsable, en tanto presunción “iuris tantum”, comporta que, en todo
caso, deba ser enervada por medio de una actividad probatoria en contario.

Sin perjuicio de lo anterior, y con base en la presunción del artículo 19 de la
LOPDGDD, el juicio de ponderación se ha realizado en el borrador de Código de
Conducta de ASEDIE, asociación de la que CAMERDATA es miembro. Se aporta,
como Documento 5: “Juicio de ponderación sobre la base jurídica del interés legítimo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

61/164

de Autónomos de Camerdata.pdf”, el juicio de ponderación sobre los servicios de
información de relevancia económica sobre sociedades mercantiles y otras personas
jurídicas, empresarios individuales y profesionales liberales, extraído del mencionado
Código de
Conducta de ASEDIE.

Siendo el ámbito de aplicación del mismo más amplio que los datos de objeto de
tratamiento por parte de CAMERDATA (pues, respecto de los autónomos o
empresarios, tan solo se tratan los datos necesarios para la correcta identificación y
localización, sin comprender datos de relevancia económica), con mayor razón dicho
juicio de ponderación se considera extensible a CAMERDATA.”

4.-En su escrito de 13/11/2023, de respuesta al requerimiento informativo de la
Inspección de Datos, manifestó sobre el dato del NIF de los empresarios individuales
que tal dato formaba parte de “la base de datos de empresas de CAMERDATA con
relación a autónomos”, que su origen era “el censo público de empresas publicado por
la Cámara de Comercio de España conforme a lo dispuesto en la Ley 4/2014 (en
adelante, Censo público de empresas), y se obtiene cada vez que se carga un nuevo
censo de empresas […]” (página 2 de su escrito).

En sus alegaciones al acuerdo de inicio ha manifestado: << Por lo que respecta al
dato del NIF, es cierto que este dato no figura en el censo público de empresas, y la
CDE no lo cede a Camerdata conforme al pacto 12.2 del contrato suscrito entre la
CDE y Camerdata el 15 de febrero de 2016. Camerdata recibe de CDE el NIF de los
empresarios individuales y autónomos encriptado con algoritmo MD5 (Message Digest
Algorithm 5) empleado habitualmente para almacenar datos de forma segura. El
algoritmo empleado es de tipo HASH o huella única y tiene como principal
característica que no es posible obtener el valor de entrada (NIF) correspondiente a un
valor de salida (HASH o huella MD5)[…]>>

Se solicita que explique las razones de ese cambio radical en la información facilitada.

Respuesta:
“El cambio en la información facilitada obedece a un error de hecho producido en la
preparación de la información y documentación necesaria para dar respuesta al
requerimiento informativo de la AEPD notificado el 20 de octubre de 2023, debido al
gran volumen de información solicitado. La información correcta es la comunicada por
medio de nuestro escrito de alegaciones al acuerdo de inicio del procedimiento
sancionador de fecha 16 de mayo de este año.”

5.-. A la vista del certificado emitido por el Director General de CAMERDATA, S.A., se
solicita que informe, acreditando documentalmente su respuesta, desde qué fecha
CAMERDATA dejó de obtener de CÁMARA el NIF de los empresarios autónomos en
texto plano.

Respuesta:
“Hasta donde se ha podido comprobar con los datos históricos que se conservan en
cumplimiento de las obligaciones legales, CDE siempre ha entregado el NIF
encriptado con el código MD5 y no se tiene constancia de que se haya entregado este
dato en texto plano.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

62/164

6.-CAMERDATA manifiesta a través del certificado emitido por su Director General
(…).

Se solicita que informe, acreditando documentalmente su respuesta, de conformidad
con la previsión del artículo 5.2. del RGPD, cuáles son esos “otros medios” a través de
los cuales obtiene el dato del NIF. En particular, que informe y acredite cuál es el
origen del dato del NIF de los 500 autónomos que constan en la muestra remitida a
esta AEPD en respuesta al requerimiento de información, cómo se obtuvieron y fecha
en que se obtuvieron. Asimismo, se solicita que informe sobre el fundamento de licitud
de este tratamiento.

Respuesta:
“(…)

En cuanto al fundamento de la licitud de este tratamiento, éste se halla en el hecho de
que el dato del NIF de los autónomos o empresarios individuales constituye un dato
empresarial de indudable interés general al ser imprescindible tanto para la seguridad
jurídica del tráfico mercantil como para el desarrollo de las relaciones comerciales, el
crecimiento económico y la creación de puestos de trabajo.
Únicamente por medio del NIF se puede identificar de forma unívoca e inalterable a
los
autónomos o empresarios individuales con los que se pretenda establecer una
relación de negocio, evitando de esta manera errores de identificación y las molestias
y perjuicios que estos podrían ocasionar si solo estuvieran disponibles su nombre y
apellidos.

En efecto, los nombres y apellidos de los autónomos o empresarios individuales no
son
suficientes para su correcta y unívoca identificación, toda vez que hay muchos
nombres y apellidos coincidentes, el nombre se puede cambiar, puede alterarse el
orden de los apellidos e incluso los apellidos pueden cambiar. Tan sólo el dato del NIF
es inalterable, por lo que únicamente con este dato se garantiza la veraz localización e
identificación del autónomo o empresario individual.

De este modo, el dato del NIF se considera imprescindible asimismo para el debido
cumplimiento de la obligación legal de proporcionar datos veraces y exactos.

Por otro lado, el tratamiento de los datos personales de los autónomos o empresarios
individuales se considera legítimo conforme a la presunción legal del artículo 19.2 de
la de la LOPDGDD, según el cual es lícito al amparo del artículo 6.1.f) del RGPD
cuando los datos se refieran a los autónomos o empresarios individuales únicamente
en dicha condición y no se traten para entablar una relación con los mismos como
personas físicas, como es el caso del tratamiento realizado por CAMERDATA.

Por lo demás, el NIF de los autónomos o empresarios individuales no puede
considerarse un dato sensible sino un dato empresarial, pues (i) sin el mismo no
pueden operar en el tráfico mercantil ni emitir facturas, (ii) se inscribe en el Registro
mercantil respecto de los navieros y respecto de todos aquellos otros empresarios
individuales que se inscriban en dicho Registro (artículos 81 y ss. y artículo 87 y ss.,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

63/164

respectivamente, del Reglamento del Registro Mercantil) y (iii) se exige para la
prestación de servicios de la sociedad de la información (artículo 10 de la Ley34/2002,
de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico).

Finalmente, tampoco se ha acreditado ningún perjuicio efectivo en relación con el
tratamiento de este dato empresarial que permita considerar grave su tratamiento,
tratamiento que se lleva haciendo de forma pública desde hace tiempo sin que hasta
la fecha se haya advertido de la posible ilicitud del mismo.

7.- Se solicita que acredite el origen de los datos de los 500 empresarios autónomos
registrados en la muestra aportada (una relación de 500 autónomos correspondientes
a los registros resultantes de haberlos ordenado alfabéticamente por el primer apellido,
comenzando por la letra “P”). Si el origen fuera CDE, deberá aportar justificación de la
transmisión realizada por CDE y del contenido de la información transmitida.

Respuesta:
“El origen de los datos de la muestra de los 500 registros indicados corresponde, en
parte (todo excepto los NIF), a los ficheros recibidos de CDE en fechas 27/06/2023
(censo zona norte) y 21/03/2023 (censo resto nacional), y en lo restante (los NIF), a la
elaboración de Camerdata tal y como se describe más abajo (último párrafo de esta
respuesta y respuesta a la pregunta 5.6 anterior), a partir de los hashes
proporcionados por CDE. El NIF no lo recibe Camerdata de CDE”.

Se aporta, como justificación de la transmisión realizada por CDE en fecha 21/03/2023
en los ficheros adjuntos:

Documento 6: “email_envío_CDE_21-03-2023.msg”: email enviado por CDE que, a su
vez, contiene el documento donde se detalla la información transmitida, documento
que también se aporta: Documento 6 BIS: “ENVIADO A CAMERDATA 2022v7.docx”
Se aporta, como justificación de la transmisión realizada por CDE en fecha 27/06/2023
en los ficheros adjuntos:

Documento 7: “email_envío_CDE_27-06-2023.msg”: email enviado por CDE que, a su
vez, contiene el documento donde se detalla la información transmitida, documento
que también se aporta Documento 8: “ENVIADO A CAMERDATA 2023_v1.docx”:
En cuanto al contenido de la información transmitida, ésta consiste en dos ficheros
recibidos de CDE:
1) Como se ha dicho, un fichero con el siguiente formato: NÚMERO: número
secuencial que CDE asigna a cada empresario individual CÓDIGO MD5: código MD5
resultante de aplicar el algoritmo MD5 al NIF 2) Y otro fichero con el siguiente formato,
según se detalla en el documento “ENVIADO A CAMERDATA 2023_v1.docx :
Identificación:
Número (número secuencial que CDE asigna a cada empresario individual)
Nombre (apellidos y nombre)
En referencia al domicilio principal:
sg (sigla de vía)
calle (nombre de vía)
numero (número de vía)
es_pis_pta (escalera,piso,puerta)
codmun (código de municipio)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

64/164

municipio (nombre de municipio)
codpos (código postal)
En referencia al domicilio de actividad:
sg (sigla de vía)
calle (nombre de vía)
numero (número de vía)
es_pis_pta (escalera,piso,puerta)
codmun (código de municipio)
municipio (nombre de municipio)
codpos (código postal)
Actividad:
seccion (sección de actividad)
epigrafe (código de actividad)
origen (código de origen)
A tal efecto, en la captura de pantalla siguiente, con los 25 primeros registros del
primer
fichero, constan los siguientes datos (NÚMERO/CÓDIGO MD5):
Asimismo, en la captura de pantalla siguiente, con los 25 primeros registros del
segundo
fichero, constan los siguientes datos:
Como

Como se ha expuesto en el anterior apartado 5.6., sobre estos dos ficheros se aplica
el
siguiente proceso: (…) y a cada combinación se le aplica el algoritmo MD5. El código
MD5 resultante se cruza con el primer fichero antes referido recibido de CDE para
obtener la correspondencia con el número secuencial asociado al resto de datos.

8.- Se solicita que explique, acreditando documentalmente las afirmaciones en las que
apoye su respuesta, el motivo por el cual CDE aplica el algoritmo hash al NIF de los
empresarios y la utilidad de los “hash” de los NIF de los empresarios autónomos que le
proporciona CDE. En definitiva, se le requiere para que informe detalladamente de la
finalidad del tratamiento de ese dato (el “hash” del NIF de cada uno de los empresarios
autónomos que reconoce recibir de CDE).

Respuesta:
“Esta empresa entiende que tal explicación y acreditación corresponde únicamente a
CDE, al ser ésta una decisión que compete a la misma y a sus servicios informáticos.”

9.-. En la respuesta al requerimiento informativo de la Inspección de Datos
CAMERDATA ofreció una lista de todos los datos que contiene su base de datos de
empresas con relación a los empresarios autónomos y mencionó entre ellos el
denominado “ID Camerdata” (página 2 de su escrito). Asimismo, en el documento en
formato Excel que CAMERDATA aportó a la Inspección de Datos anexo a su respuesta
al requerimiento informativo -una relación de 500 autónomos correspondientes a los
registros resultantes de haberlos ordenado alfabéticamente por el primer apellido,
comenzando por la letra “P”- figura el campo “ID Camerdata” cumplimentado con un
dato alfanumérico.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

65/164

Se solicita que informe del significado preciso del dato “ID Camerdata”; del origen del
dato alfanumérico que consta para cada registro de empresario autónomo en el
referido campo “ID Camerdata”; del procedimiento utilizado para generarlo; en su
caso, la tipología de datos personales que se utilizan por su generación y si disponen
de la clave criptográfica para descifrar los datos personales; de cuál es la finalidad de
su tratamiento y de si es o no objeto de cesión y en su caso de la identidad de sus
destinatarios.

Respuesta:
“El campo “ID Camerdata” es un identificador que se utiliza como clave para identificar
cada registro de la base de datos.

El “ID Camerdata” se obtiene como (…)”.

Así mismo, no se proporciona a los cesionarios de dicho dato ninguna clave
criptográfica
para que lo puedan descifrar.

El dato “ID Camerdata” se cede a los que solicitan los servicios de información de
empresas que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado empresas infomediarias o reutilizadoras de información y, por otro lado,
clientes finalistas que lo solicitan para su uso exclusivo interno.

10.- En su respuesta al requerimiento informativo de la Inspección, después de invocar
el interés legítimo de CAMERDATA y de sus clientes como base jurídica del
tratamiento de los datos de los empresarios autónomos que lleva a cabo, se refiere a
los derechos y libertades de los interesados y afirma que éstos “no se verán
vulnerados por el tratamiento expuesto en este documento, por cuanto […] 3º. Se
garantiza el ejercicio de los derechos de los interesados regulados en los artículos 15
a 22 del RGPD.”

Se solicita que acredite cómo se informa a los interesados de sus derechos y cómo se
garantiza el ejercicio de los derechos por los interesados, en particular el derecho de
oposición.

Respuesta:
“En referencia a cómo CAMERDATA informa a los interesados de sus derechos se
adjuntan los ficheros:
-Documento 9: “CONTROL Cámaras Info Autónomos.xlsx”, donde se lleva un control
de peticiones semestrales a diferentes cámaras, sobre la necesidad de enviar
boletines informativos o news letters a interesados.

Como evidencia de estas peticiones se adjuntan los ficheros:
- Documento 10:
“RECORDATORIO_ENVÍO_INFO_AUTÓNOMOS_CÁMARA_GIRONA.pdf”,
Documento 11:
“RECORDATORIO_ENVÍO_INFO_AUTÓNOMOS_CÁMARA_SABADELL.pdf
Documento 12:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

66/164

“RECORDATORIO_ENVÍO_INFO_AUTÓNOMOS_CÁMARA_VLC.pdf” que contienen
correos electrónicos, dirigidos a las Cámaras, para recordar la necesidad de realizar la
publicación de news letters o Boletines semestrales.

Como evidencia se adjunta una muestra de algunas de las notificaciones realizadas
por diferentes Cámaras, a modo de ejemplo:
- Documento 13: “Boletín Camara Alicante 9 may 2024.pdf“
- Documento 14: “Boletín_Camara_VLC-22_marzo_2022.pdf”
- Documento 15: “Boletín Electrónico. Miércoles 12 de junio de 2024.eml”
- Documento 16: “BOLETIN DIGITAL CÁMARA ALICANTE_ Incorporar

Información relativa a los trabajadores autónomos.eml”
- Documento 17: “BUTLLETÍ SABADELL INFO AUTÒNOMS OK.eml”
- Documento 18: “NEWSLETTER CÁMARA MADRID_ Incorporar
noticia_autónomos.eml”

En lo relativo a la ubicación del contenido referente al ejercicio de los derechos del
interesado, se adjunta el fichero:
- Documento 19:
“URL_FOOTERs_CAMERDATA_Y_CÁMARAS_DE_COMERCIO.xlsxx”,con una
muestra de las URLs de los footers, tanto de CAMERDATA como de diferentes
Cámaras de Comercio, en las que se informa a los interesados sobre la Información
para autónomos relativa a la protección de datos personales y al ejercicio de los
derechos de los interesados.

En referencia a cómo CAMERDATA garantiza a los interesados el ejercicio de sus
derechos se adjuntan los ficheros:
- Documento 20: “PROCEDIMIENTO_DERECHOS_INTERESADOS_REV.pdf”, que
describe el sistema que permite establecer el ejercicio de los derechos del interesado
a la información, acceso, supresión, limitación, oposición y rectificación con la finalidad
de garantizar el ejercicio de los mismos.
Documento 21: “Protocolo_Robinsons_Camerdata.pdf”, que describe las operaciones
del entorno 24h, donde se realizan las acciones relativas a las altas, modificaciones o
supresiones de los solicitantes.
- Documento 22: “CORREO RESPUESTA DERECHOS INTERESADOS.pdf”, dónde
se muestra el correo tipo, generado por el entorno 24h, una vez se han realizado
acciones relativas a las altas, modificaciones o supresiones de los solicitantes.
- Documento 23: “CAPTURA PANTALLA WEB CAMERDATA LOG24H.pdf”, dónde se
muestra una captura de pantalla de acceso al entorno 24h, únicamente accesible por
el personal autorizado para realizar las acciones relativas a las altas, modificaciones o
supresiones de los solicitantes.
- Documento 24: “CAPTURA REGISTRO CRM DE SOLICITUDES
INTERESADOS.pdf”, dónde se muestra una captura de pantalla con la evidencia del
registro de las solicitudes, de los interesados y su estado, así como la fecha de
gestión de la solicitud y acción solicitada por el interesado.
- Documento 25: “MUESTRA EMAILS SOLICITUD INTERESADOS.pdf”, con algunos
ejemplos de la mensajería, de interesados que solicitan su baja. - Documento 26:
“MUESTRA EMAILS RESPUESTA INTERESADOS.pdf”, con algunos ejemplos de
correo electrónico, con la respuesta de CAMERDATA, que se genera una vez se ha
procedido a la o supresión de sus datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

67/164

11.- En su respuesta al requerimiento informativo de la Inspección de Datos declaró
que el número total de autónomos que constaba entonces en su base de datos era de
1.665.049 y advirtió, además, que “no todos los registros tienen informados la totalidad
de los datos listados anteriormente”. Paralelamente, entre los datos listados que según
CAMERDATA son objeto de tratamiento mencionó el “email genérico” (cuyo origen,
dijo, es KOMPASS) y el dato “teléfono” (cuyo origen, dijo, es INFORMA y
DATACENTRIC)

a. Se solicita que indique, el número total de registros de autónomos en los que consta
en su base de datos el email y en los que consta el teléfono, después de obtener la
información de KOMPASS, INFORMA y DATACENTRIC, y manifieste del total de
registros de autónomos qué porcentaje de registros no tiene cumplimentado el dato de
“email genérico” y qué porcentaje no tiene cumplimentado el dato teléfono.

b. Asimismo, se solicita que, de la muestra de empresarios autónomos aportada en las
Actuaciones de Investigación -una relación de 500 autónomos correspondientes a los
registros resultantes de haberlos ordenado alfabéticamente por el primer apellido,
comenzando por la letra “P- acredite la procedencia de los números de teléfono que
constan ella.

Respuesta:
a. “Nº total de registros de autónomos con email: 0
Nº total de registros de autónomos con teléfono: 242.308
Porcentaje de registros de autónomos que no tiene cumplimentado el dato de email:
100%
Porcentaje de registros de autónomos que no tiene cumplimentado el dato de teléfono:
82,9%”

b. “El origen de los teléfonos de la muestra es el siguiente:
Origen Informa: 75
Origen Datacentric (antiguo Schober): 7
32 teléfonos con origen en proveedores cuya relación comercial se extinguió antes de
la aplicación del RGPD”.

12.- En su respuesta a la pregunta de la Inspección de Datos relativa a cómo informa a
los interesados en cumplimiento del artículo 14 del RGPD, manifestó que, en
cumplimiento de la previsión del último inciso del artículo 14.5.b), había adoptado
determinadas medidas compensatorias para proteger los derechos, libertades e
intereses legítimos de los interesados afectados por el tratamiento de sus datos:

a. Se solicita que acredite documentalmente en qué fecha CAMERDATA insertó en la
página web de las siete Cámaras de Comercio que indica el anunció informativo, cuyo
texto facilitó a esta Agencia en su respuesta al requerimiento de la Inspección.

b. Afirmó también en su respuesta que tenía previsto incorporar el texto del anuncio
antes mencionado en los “boletines y Newsletters” que las Cámaras de Comercio
editan periódicamente. Se solicita que informe, acreditando documentalmente su
respuesta, en su caso, si esta medida se encuentra implantada en la actualidad y, de
ser así, desde qué fecha, en qué boletín y de qué Cámara de Comercio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

68/164

Respuesta:

a. “En referencia a este punto, se adjuntan los siguientes ficheros:

-Documento 27: “SOLICITUD NUEVA WEB CAMERDATA INFORMACION
AUTÓNOMOS.pdf”, que contiene el correo electrónico referente a la solicitud de
CAMERDATA al proveedor del proceso del desarrollo de la nueva web de
CAMERDATA y la implementación relativa a Información para autónomos así como de
protección de datos. Esta inserción implica que todos los portales web de las
Cámaras, que gestiona CAMERDATA, disponen del mismo contenido.

-Documento28:
“PRESSUPOST_TASCA_FOOTER_INFORMACION_AUTONOMOS.pdf”, dónde se
reflejan las interacciones previas a la implementación del FOOTER y el acuerdo sobre
los trabajos a realizar por parte del proveedor del desarrollo de la web KINCLIENT.”

-Documento 29: “PRESUPUESTO IMPLEMENTACIÓN FOOTER INFORMACION
AUTÓNOMOS NUEVA WEB CAMERDATA.pdf”, que contiene el presupuesto del
proveedor KINGCLIENT, en el que se describen los trabajos relativos al desarrollo del
FOOTER de la nueva web de CAMERDATA.

En relación con dichos trabajos, se adjunta el archivo:
-Documento 30: “KINGCLIENT FRA. 1056401475.pdf”, como evidencia de la
realización de los trabajos referenciados en el anterior presupuesto. (Documento 29).
-Documento 9: “CONTROL_Cámaras_Info Autónomos.pdf”, donde se evidencian las
fechas e interacción con las diferentes Cámaras en la petición, control, actualización y
lanzamiento de las webs, así como los boletines y/o News letters.

Sobre la inserción del texto informativo, por parte de las Cámaras, en su propia web,
se adjuntan los archivos:
-Documento 31: “CONFIRMACIÓN_CÁMARA_ALICANTE.pdf”
-Documento 32: “CONFIRMACIÓN_CÁMARA_BCN.pdf”
-Documento 33: “CONFIRMACIÓN_CÁMARA_CASTELLÓN.pdf”
-Documento 34: “CONFIRMACIÓN_CÁMARA_MD.pdf”
,con una relación de correos electrónicos y su correspondiente evidencia, de la fecha
de inserción del texto informativo de éstas.

No se dispone de evidencias por escrito de la inserción de los anuncios respecto de
las Cámaras de Valencia, Girona y Sabadell, ya que las gestiones para su solicitud se
hicieron telefónicamente. Se solicitará, si es necesario, un certificado o conformidad
de estas Cámaras referente a la inserción, tal y como se indica en el Documento ya
adjuntado “CONTROL_Cámaras_Info Autónomos.pdf” (Documento 9), en el que se
realiza el control de estas operaciones.”

b. “Esta medida se encuentra implantada en la actualidad. Las fechas de envíos, por
parte de las Cámaras, así como la fecha de inicio de estos envíos, en cada caso están
recogidas en el fichero:
- Documento 9: “CONTROL_Cámaras_Info Autónomos.xlsxx”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

69/164

En respuesta a este punto, se adjuntan los ficheros:
-Documento 13: “Boletín Camara Alicante 9 may 2024.pdf“
-Documento 14: “Boletín_Camara_VLC-22_marzo_2022.pdf”
-Documento 15: “Boletín Electrónico. Miércoles 12 de junio de 2024.eml”
-Documento 16: “BOLETIN DIGITAL CÁMARA ALICANTE_ Incorporar Información
relativa a los trabajadores autónomos.eml”
-Documento 17: “BUTLLETÍ SABADELL INFO AUTÒNOMS OK.eml”
-Documento18: “NEWSLETTER CÁMARA MADRID_ Incorporar
noticia_autónomos.eml” que contienen correos con ejemplos de BOLETINES y NEWS
LETTERS de diferentes CÁMARAS y que incluyen el texto transcrito en nuestro
escrito de alegaciones de 16 de mayo de esta año.

Por otro lado, se adjuntan los ficheros:
-Documento10:
“RECORDATORIO_ENVÍO_INFO_AUTÓNOMOS_CÁMARA_GIRONA.pdf”,
Documento11:
“RECORDATORIO_ENVÍO_INFO_AUTÓNOMOS_CÁMARA_SABADELL.pdf
Documento 12: “RECORDATORIO_ENVÍO_INFO_AUTÓNOMOS_CÁMARA_VLC.pdf”
que recogen una muestra de las peticiones que se realizan de forma semestral a
diferentes Cámaras, siendo esta acción realizada por parte de CAMERDATA de forma
proactiva e incluida en el borrador del código de conducta de ASEDIE, como una de
las medidas compensatorias propuestas referenciadas, pendiente de resolución por
parte de la AEPD”.

13.-Se solicita que aporte la documentación acreditativa de que el contrato de
“Servicios SmartAddress”, celebrado el 03/02/2020 entre CAMERDATA y DMOVO
ANALYTICS, cuya copia se aportó como anexo número 25 con la respuesta a la
Inspección de Datos, estaba vigente en la fecha en la que se le hizo el requerimiento
informativo, el 19/10/2023, que fue recibido por CAMERDATA el 20/10/2023, toda vez
que la cláusula octava del contrato dispone “Este contrato tendrá una duración de tres
años” por lo que su vigencia habría finalizado el 03/02/2023. En caso de existir otro
contrato que le hubiera sustituido se solicita que aporte la copia.

Respuesta:
“La Cláusula Octava del contrato de “Servicios SmartAddress”, celebrado el
03/02/2020 entre CAMERDATA y DMOVO ANALYTICS, dispone literalmente que:

“OCTAVA. - DURACIÓN DEL CONTRATO.
El presente acuerdo tendrá una duración de tres años.
obstante lo anterior, las Partes acuerdan que el presente Contrato se entenderá
automáticamente prorrogado por periodos sucesivos anuales, a contar desde la
finalización del periodo inicial previsto en el párrafo precedente, salvo que con una
antelación mínima de DOS MESES a la fecha de expiración de su término inicial o de
cualesquiera de sus prórrogas, alguna de ellas remita a la otra comunicación
fehaciente en sentido contrario.”

No habiéndose producido ninguna comunicación entre las partes en sentido contrario
a la prórroga automática anual pactada, no hay duda de que el contrato se hallaba
vigente el 19/10/2023, fecha en la que se le hizo el requerimiento informativo por parte
de la AEPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

70/164

Como prueba que acredita documentalmente este hecho, se aporta, como Documento
35: “factura FV230576 de DMOVO a CAMERDATA SA.pdf”, la factura anual FV230576
emitida por DMOVO ANALYTICS frente a CAMERDATA SA en fecha 27/02/2023,
correspondiente a los servicios del periodo comprendido entre el 3/02/2023 y el
2/02/2024, toda vez que la Cláusula Novena del Contrato establece un coste de
24.000 € al año por todos los servicios.”

14.-. Se solicita que aporte el documento Anexo I al contrato de “Servicios
SmartAddress” celebrado el 03/02/2020 entre CAMERDATA y DMOVO ANALYTICS.

La cláusula primera del contrato precitado se refiere al Anexo I en su párrafo tercero y
dispone: “las especificaciones y los requerimientos técnicos de los servicios a prestar
quedan detallados en el ANEXO I (Oferta SmartAddress) al presente Contrato, los
cuales consistirán en los concretos servicios a prestar por Dmovo y aceptados en
todos sus términos por EL CLIENTE, y que quedarán incorporados al presente
documento como parte integrante del mismo a todos los efectos”.

Respuesta:

“Se adjunta, el fichero:
Documento 36: “Oferta-SmartAddress.pdf”, la Oferta SmartAddress, la cual. tal como
se especifica en el propio documento, se trata de una oferta comercial de servicios,
trabajada entre las partes y previa a la firma del contrato, en la que se detallan las
especificaciones y requerimientos técnicos de los servicios a prestar.”

15.- Se solicita que informe si durante la vigencia del contrato de “Servicios
SmartAddress”, en alguna ocasión, DMOVO solicitó a CAMERDATA autorización para
ceder a terceros o utilizar para su propio beneficio la información obtenida y si
CAMERDATA autorizó en alguna ocasión este tratamiento. En tal sentido, la
estipulación sexta del contrato de “Servicios SmartAddress” precitado permite a
DMOVO facilitar a terceros o utilizar en su propio beneficio la información confidencial
recibida de CAMERDATA si previamente ha obtenido su consentimiento para tal
tratamiento.

Respuesta:
“Durante la vigencia del contrato CAMERDATA no ha autorizado a DMOVO en
ninguna ocasión la cesión a terceros de la información objeto del contrato, como
tampoco ha autorizado en ninguna ocasión la utilización para el beneficio propio de
DMOVO de dicha información.”

16.-.El “Convenido de Confidencialidad y Tratamiento de Datos” celebrado con
DMOVO el 18/12/2019 hace referencia a la existencia de una relación negocial entre
ambas entidades -“RN”- en cuyo marco tiene lugar un tratamiento de datos al que es
aplicable el citado Convenio. Se solicita que aporte copia del contrato o de los
contratos o acuerdos que regían la aludida “RN”.

Respuesta:
“La relación negocial –“RN”- a la que se refiere el “Convenio de Confidencialidad”
celebrado con DMOVO el 18/12/2019 es la que se termina concretando mediante la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

71/164

firma del contrato de “Servicios SmartAddress”, suscrito poco después el 03/02/2020
entre CAMERDATA y DMOVO ANALYTICS.

Pese a lo expresado en el Manifiestan I del Convenio de Confidencialidad, no ha
existido entre CAMERDATA y DMOVO ANALYTICS ninguna otra relación negocial
formalizada con carácter previo a dicho Convenio de Confidencialidad. Se desconoce
el origen de este error de hecho, pues con posterioridad cambió la dirección de
CAMERDATA. Cabría suponer que probablemente se debió a la circunstancia de que
el Convenio y el Contrato de “Servicios SmartAddress” se estuvieron negociando al
mismo tiempo, y de que el Convenio se acabó firmando con anterioridad a la completa
concreción de los términos del Contrato, por lo que bien pudo suceder que por error se
arrastrara el Manifiestan I de un borrador inicial del Convenio.

Por otro lado, la fecha del 15 de febrero del 2016 que se cita en el Manifiesto II del
“Convenio de Confidencialidad” celebrado con DMOVO el 18/12/2019 se refiere a la
fecha del contrato de Cesión de Bases de Datos Empresariales entre la Cámara de
Comercio de España y Camerdata. Entendemos que la redacción Manifiesto II del
“Convenio de Confidencialidad” suscrito con DMOVO el 18/12/2019 pudiera llevar a
alguna confusión en este sentido, pero lo cierto es que no existe ningún contrato ni
acuerdo anterior con DMOVO.”

17.- Se solicita que acredite la vinculación del contrato de “Servicios SmartAddress”
suscrito 03/02/2020 con el “Convenido de Confidencialidad y Tratamiento de Datos”
suscrito con DMOVO el 18/12/2019, documento que ha facilitado a esta Agencia con
sus alegaciones al acuerdo de inicio (anexo 6), habida cuenta de que ha manifestado
en su escrito de alegaciones que las previsiones del artículo 28.3. del RGPD que faltan
en el contrato de “Servicios SmartAddress” están incluidas en el Convenio de
Confidencialidad que ahora aporta.

Respuesta:
“Como se ha expuesto, la relación negocial –“RN”- a la que se refiere el “Convenio de
Confidencialidad” celebrado con DMOVO el 18/12/2019 no es otra que la que se
termina
concretando mediante la firma del contrato de “Servicios SmartAddress”, suscrito el
03/02/2020 entre CAMERDATA y DMOVO ANALYTICS.

En este sentido, en las relaciones precontractuales es aconsejable y habitual suscribir
un convenio de confidencialidad entre los posibles futuros contratantes con carácter
previo a la firma del correspondiente contrato de servicios, y ello a los efectos de
poder avanzar en sus negociaciones y concretar adecuadamente los términos de la
futura relación contractual.

En cualquier caso, la vinculación entre los referidos Convenio de confidencialidad y
Contrato de “Servicios SmartAddress” es evidente para las partes contractuales, pues
en sus relaciones comerciales se sujetan a ambos documentos contractuales, dando
pleno cumplimiento a las previsiones de los mismos.”

18.- En sus alegaciones al acuerdo de inicio ha manifestado que cumple las
previsiones del artículo 28.3. del RGPD y que el contrato de prestación de
determinados servicios que suscribió con DMOVO el 03/02/2020 -contrato de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

72/164

“Servicios SmartAddress”- “establece tanto el “objeto, la duración, la naturaleza y
finalidad del tratamiento” como “el tipo de datos personales, categorías de
interesados, y las obligaciones y derechos del responsable”, como así exige el citado
artículo.” Se solicita que especifique o transcriba la estipulación del contrato de
“Servicios SmartAddress” en la que, a su juicio, se indica el “ tipo de datos personales”
que CAMERDATA cede a DMOVO con ocasión del desarrollo y ejecución del contrato
de prestación de servicios y, por consiguiente, son objeto de tratamiento por DMOVO.

Respuesta:

“Por un lado, la Cláusula Quinta del contrato de “Servicios SmartAddress” se
especifican los procesos de normalización de datos a realizar. Dichos procesos son:
-Normalización de poblaciones (INE),
-Normalización de vías (INE),
-Asignación de código postal,
-Asignación de sección censal (INE),
-Asignación de coordenadas,
-Asignación de cuadrícula (GRID 100x100),
-Normalización de nombres y
-Entrega del fichero en el formato definido por el CLIENTE.
Por tanto, para posibilitar la ejecución y finalidad del contrato, los datos que se remiten
para su proceso son los estrictamente necesarios para que DMOVO pueda llevar a
cabo los procesos objeto del contrato.
Por su parte, la Cláusula Octava del contrato señala la duración del tratamiento.
Por otro lado, las obligaciones contractuales derivadas del Contrato de “Servicios
SmartAddress” se completan e integran con la regulación contractual contenida en el
Convenio de Confidencialidad, que es en el que constan de forma substancial el resto
de las previsiones del artículo 28.3 del RGPD. En particular:

-El Manifiestan II hace referencia al objeto del tratamiento y al tipo de datos
personales y categorías de interesados, pues se tratan los datos empresariales
cedidos por la CDE y los contenidos en el Fichero de Empresas Españolas de
CAMERDATA, así como a la naturaleza y finalidad del tratamiento consistente en la
homogeneización y volcado de los mismos en el citado Fichero.
-El Pacto Segundo, apartado 2.1., establece una obligación general de observar y
cumplir con lo establecido, específicamente en cuanto al tratamiento de datos de
carácter personal, en la LOPDGDD y en el RGPD.
-El Pacto segundo, apartados 2.2. y 2.3., establece las estipulaciones contenidas en
las letras a) a h) del artículo 28.3 del RGPD”

19.- Según el Contrato de Servicios SmartAddress celebrado el 03/02/2020 entre
CAMERDATA y DMOVO, esta última, para poder prestarle los servicios contratados,
recibe de CAMERDATA “información confidencial”.

a. Se solicita que informe y acredite documentalmente a qué datos tiene acceso
DMOVO para poder prestar a CAMERDATA los servicios objeto del contrato. (Nota: No
se está preguntando por los datos que son objeto de normalización por DMOVO,
nombres y direcciones).
b.-.Se solicita que informe si, con el fin de agilizar y facilitar la prestación del servicio
de normalización y garantizar la integridad de los datos, CAMERDATA proporciona a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

73/164

DMOVO, además de la información (toda o parte) que consta en cada registro de su
base de datos, el “hash” obtenido como resultado de aplicar esa función sobre la
información facilitada.

Respuesta:

a. “Los datos sobre los que se presta el servicio de normalización son los siguientes:
Nombre, Sigla vía, Nombre vía, Número vía, escalera-piso-puerta, Código municipio,
Denominación Municipio y Código Postal.

Por otro lado, hay que precisar que por la expresión “Información confidencial” de la
Cláusula Sexta del contrato de “Servicios SmartAddress” debe entenderse, como
sucede de forma habitual en los contratos en que se utiliza dicha expresión, que los
datos que se facilitan a DMOVO para prestar el servicio contratado tan solo se pueden
utilizar únicamente para la realización de dicho servicio, sin que pueda usarlos para
otra finalidad distinta ni cederlos a terceros sin la previa autorización por escrito de
CAMERDATA.
Así resulta de la propia Cláusula Sexta del contrato, según la cual:

“SEXTA. - CONFIDENCIALIDAD.
Dmovo se compromete a aceptar la información confidencial en un marco de
confianza para la debida ejecución de los servicios convenidos y a no facilitarla a
ningún tercero, ni utilizarla para su propio beneficio sin obtener el previo
consentimiento escrito de la otra parte.”
Y lo mismo establece el “Pacto Primero. - Confidencialidad”, apartado 1.1., del
“Convenio de Confidencialidad”.”

b. En ningún momento se facilita el “hash” a DMOVO.

20.CAMERDATA ha declarado en sus alegaciones al acuerdo de inicio que la
Autoridad Supervisora de Italia “aprobó en 2021 el Código de Conducta para el
tratamiento de datos personales con fines de información comercial, según el cual el
tratamiento de estos datos con dichos fines no requiere el consentimiento del
interesado, siendo necesario para la consecución de los intereses legítimos de los
proveedores que prestan servicios de información comercial y de los clientes que los
soliciten para comprobaciones legítimas, así como el interés común en la equidad de
las transacciones comerciales y el buen funcionamiento del mercado.”

Se solicita que aporte copia íntegra del documento citado y un enlace a la página web
de la Autoridad de protección de datos italiana que permita acceder al referido
documento.

Respuesta:

“El “Garante per la protezione dei dati personali”, autoridad de control italiana, aprobó
en 2021 el Código de conducta sobre las informaciones comerciales, cuyo promotor
fue la Asociación Nacional de las empresas de informaciones comerciales y de gestión
del crédito (ANCIC). El Código se publicó la Gazzetta Ufficiale della Republica Italiana,
“GU Serie Generale n. 124”, del 26 de mayo de 2021 y puede consultarse en el
siguiente link:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

74/164

https://www.gazzettaufficiale.it/atto/serie_generale/caricaDettaglioAtto/originario?
atto.dataPubblicazioneGazzetta=2021-05-
26&atto.codiceRedazionale=21A03063&elenco30giorni=false

Para mayor facilidad de la obtención del referido Código de Conducta, adjuntamos el
fichero:
-Documento 37: “Descarga Codigo Conducta Italia tal como aparece en la web
referenciada.pdf” tal como aparece en la web referenciada.”

21. CAMERDATA ha manifestado en sus alegaciones al acuerdo de inicio que “recibe
de CDE el NIF de los empresarios individuales y autónomos encriptado con algoritmo
MD5 (Message Digest Algorithm 5) empleado habitualmente para almacenar datos de
forma segura. El algoritmo empleado es de tipo HASH o huella única y tiene como
principal característica que no es posible obtener el valor de entrada (NIF)
correspondiente a un valor de salida (HASH o huella MD5), de manera que es
Camerdata quien obtiene el NIF por sus propios medios.” Se solicita que informe:

a. Si, además del NIF de los empresarios individuales encriptado, CDE también
proporciona a CAMERDATA ese dato, el NIF, en texto plano.

b. Si CDE le facilita a CAMERDATA el algoritmo utilizado para encriptar el dato del NIF.

c. Si, respecto al resto de los datos de los empresarios autónomos distintos del NIF
que CDE proporciona a CAMERDATA -sea de todos o de alguno de ellos- también le
facilita, además del texto plano del dato, el hash resultante de aplicar el algoritmo
sobre esa información de entrada.

Respuesta:
a. “Como se ha dicho, CDE no proporciona el dato NIF en texto plano sino encriptado
con el código MD5.”

b. “No, CDE no facilita a CAMERDATA el algoritmo utilizado para encriptar el dato del
NIF.”

c. “No, CDE no proporciona a CAMERDATA el hash resultante de aplicar el algoritmo
sobre el resto de los datos distintos del NIF de los empresarios autónomos.”

22.- CAMERDATA ha aportado con su respuesta al requerimiento de la Inspección,
documento 24, el contrato celebrado con KOMPASS ESPAÑA, S.L.U. el 20/03/2023 en
virtud del cual “CAMERDATA cederá a KOMPASS los NIFs de los registros contenidos
en la base de datos FEE que KOMPASS tenga el campo URL informado y que
CAMERDATA no dispone del campo e-mail genérico (145.101 registros)” y
“KOMPASS cederá a CAMERDATA los registros resultantes de los trabajos de
webcrawlingsobre los que se haya conseguido obtener el campo e-mail genérico los
siguientes campos:
-NIF -URL utilizada para el webcrawling (sobre todo el universo de los
145.101registros) -El e-mail genérico obtenido (tantos como se hayan conseguido por
registro)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

75/164

Para poder llegar a conocer el número de registros objeto del contrato, las partes
efectúan previamente un cruce de sus base de datos. Así, la cláusula 4ª del contrato
“Condiciones económicas”, dice: “Habiendo realizado trabajos previos de cruce de
ambas bases de datos, para verificar el número de registros objeto del contrato, se
han obtenido los siguientes resultados: [..]”.
Se solicita que informe del proceso de cruce de bases de datos entre CAMERDATA y
KOMPASS.

Respuesta:
“Tal como se alegó, el contrato con KOMPASS tiene por objeto trabajos de
webcrawling únicamente en relación con empresas personas jurídicas.

El proceso de cruce de bases de datos fue el siguiente: KOMPASS facilitó a
CAMERDATA la lista de NIFs de empresas personas jurídicas contenidos en su base
de datos con el campo URL informado. De esta lista CAMERDATA identificó 145.101
registros de empresas personas jurídicas sobre los que se realizó el tratamiento.”

23.- En los contratos que CAMERDATA suscribió con CERVED GROUP S.p.A., el
23/08/2021 y con Axesor Conocer Para Decidir, S.A., (inicialmente INFOTEL), el
24/05/2018 -del que forma parte la Adenda de 25/07/2012 al contrato de 2009 y su
Anexo I- consta que CAMERDATA proporciona a esas partes contratantes un hash,
además de facilitarles en texto plano determinados datos de los empresarios
autónomos.

El contrato con CERVED -documento 19 aportado con su respuesta al requerimiento
de la Inspección- indica en su cláusula segunda, “Condiciones de suministro de
datos”, que le facilita el “CAMERDATA MD5 internal code” además del “nombre o
nombre de la compañía”, el nombre comercial, el código de identificación español, la
dirección completa y el código de actividad IAE entre otros.

Por su parte, el contrato con AXESOR, en particular la Adenda de 2012, detalla en la
cláusula segunda los datos que CAMERDATA le suministra y remite a un Anexo I. Se
distingue entre el “Fichero 1”, relativo a empresas jurídicas y el “Fichero2” relativo a
“empresas físicas principales y sucursales excepto las empresas con IAE 8612”. El
Fichero 2, además de indicar que le facilita el “CIF”, que describe como
“CIFjurídicas/secuencial físicas”, el nombre de la empresa, el nombre comercial, el
nombre y número de la vía y el “resto de dirección”, añade el “MD5” que describe
como “Código Interno Camerdata”.

Se solicita:
a. Que informe, acreditando documentalmente su respuesta, cuál es la información de
entrada, la información sobre la cual se aplica la función hash y de la que obtiene
como resultado el “Código interno Camerdata”.
b. Si el “MD5” descrito en el contrato de AXESOR como “Código Interno Camerdata” y
el “CAMERDATA MD5 internal code” del contrato con CERVED es, exactamente lo
mismo que el “ID Camerdata”.

Respuesta:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

76/164

a. “El campo “Código interno Camerdata” se obtiene como resultado de aplicar el
algoritmo MD5 a una cadena de caracteres resultante de concatenar el número
secuencial, siglas de vía, nombre de vía, número de vía, resto dirección, código postal
y población.
A modo de ejemplo, y para acreditar la respuesta, sobre la cadena de entrada:
"CDT5DM000014322 ALBAIDA 0022 02 A 28037MADRID "
Se obtendría el siguiente “Código interno Camerdata”:
86dfad075717546b578a4891d80c1efa”

b. “El “MD5” descrito en el contrato de AXESOR como “Código Interno Camerdata” y
el “CAMERDATA MD5 internal code” del contrato con CERVED son exactamente lo
mismo que el “ID Camerdata”.”

24.- En relación con el contrato suscrito con INFORMA D&B, S.A.U., el 29/09/2022,
(aportado como documento 10 con su respuesta al requerimiento de la Inspección) se
solicita que aporte el Anexo I al que hace mención la cláusula sexta,
“Confidencialidad”, Anexo del que la citada cláusula dice que “forma parte integrante
del presente Acuerdo”.

Si bien CAMERDATA ha aportado con su respuesta al requerimiento de la Inspección,
integrado también en el documento 10, el denominado “Anexo I Convenio de
Confidencialidad en relación al fichero FIBAEMP_prenorm.TXT”, que no lleva fecha, el
contenido de este documento -que versa sobre un encargo de tratamiento y tiene un
objeto mucho más reducido que el contrato de septiembre de 2022- demuestra que no
puede ser ese el Anexo al que alude la estipulación sexta.

Respuesta:
“El Acuerdo de Colaboración Unificado suscrito entre INFORMA D&B, S.A.U y
CAMERDATA el 29/09/2022 (documento 10 aportado en su día) constituye, tal como
resulta de sus Exponen III, IV y V y de su Cláusula Primera, una unificación en un solo
texto contractual del acuerdo de colaboración inicial entre ambas partes de 1/01/2004
y de sus sucesivas modificaciones parciales posteriores operadas por medio de
anexos de 1/12/2013, 15/04/2016, 13/04/2018 y 24/05/2018, entre otros.

Por ello, la citada Cláusula Primera del contrato de 29/09/2022 dispone que:

“Por el presente Acuerdo unificado de Colaboración quedan extinguidos los derechos
y obligaciones y la totalidad de las cláusulas contenidas en los contratos y anexos que
se reproducen a continuación, que quedan sustituidos por los términos del presente
Acuerdo Unificado de Colaboración.”

En este proceso de unificación de la regulación de la relación contractual entre
INFORMA y CAMERDATA se incluyó como anexo al Acuerdo de Colaboración
Unificado de 29/09/2022 el “Anexo I Convenio de Confidencialidad en relación al
fichero FIBAEMP prenorm.TXT”, que era el Convenio de Confidencialidad que se
suscribió el 15/04/2016 junto con el Anexo del acuerdo inicial de la misma fecha, el
cual no llegó a adaptarse completamente al nuevo Acuerdo Unificado. Por esta razón
existen discordancias entre el Acuerdo Unificado y su Anexo I.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

77/164

A tal efecto, se adjunta como Documento 38: “2016_Conveni Informa
2016_Confidencialidad PreNormalización FIBAEMP”, el Convenio de Confidencialidad
de 15/04/2016, que es el mismo “Anexo I Convenio de Confidencialidad en relación al
fichero FIBAEMP prenorm.TXT” si bien con algunas modificaciones menores.

No obstante, ello no comporta en modo alguno que dicho Anexo I no rija las relaciones
contractuales entre INFORMA y CAMERDATA, ni que restrinja en absoluto los
derechos y obligaciones vigentes relativas a la protección de datos de carácter
personal, pues ambas partes se sujetan íntegramente a la normativa del RGPD y de la
LOPDGDD al así establecerlo expresamente la Cláusula Séptima del Acuerdo
Unificado de 29/09/2022, por lo que no cabe ninguna duda, y así lo entienden ambas
partes contractuales, de que el Anexo I debe entenderse en los términos y con la
amplitud del Acuerdo Unificado y de la nueva normativa sobre protección de datos de
carácter personal.”

UNDÉCIMO: Con fecha 11/03/2025, se formuló propuesta de resolución por la
instructora del procedimiento en el sentido de que por la Presidencia de la AEPD se
sancionara a CAMERDATA por la infracción del art. 6.1 del RGPD con una multa de
200.000 euros y por la infracción del art. 14 del RGPD, con una multa de 60.000 euros.

Asimismo, se propuso el archivo de las siguientes infracciones que se le imputaron en
el acuerdo de iniciación:

Infracción del artículo 6.1. del RGPD consiste en” Haber cedido a la empresa
KOMPASS su Fichero con la doble finalidad de que le preste un servicio de
realimentación de la información recogida en él y para el uso por esta entidad
para sus propias actividades”

Infracción del artículo 28 del RGPD

Finalmente se propuso que se ordenaran las siguientes medidas:

(i) En un plazo máximo de un mes desde que la resolución sancionadora que se
dictase fuera ejecutiva, a la supresión de todos los datos personales relativos a
empresarios autónomos que obren en los ficheros de CAMERDATA que tengan origen
en la cesión de bases de datos efectuada por la Cámara de Comercio de España.
(ii) En un plazo máximo de un mes desde que la resolución sancionadora que se
dictase fuera ejecutiva, cese en el tratamiento de datos personales relativos a
empresarios autónomos procedentes de la Cámara de Comercio de España hasta que
cuente con una base de legitimación
(iiI) En un plazo máximo de tres meses desde que la resolución sancionadora que se
dictase fuera ejecutiva, informe en los términos del artículo 14 del RGPD del
tratamiento de los datos personales de los empresarios autónomos que ha efectuado
mediante un anuncio personalizado o relevante por su formato y caracteres, sin que
sea suficiente la inclusión de un anuncio general en la página web de las Cámaras de
Comercio.

DUODÉCIMO: Con fecha 27/03/2025 se recibe en esta Agencia escrito de alegaciones
de CAMERDATA que se centran en síntesis en manifestar que se ha producido una
infracción del principio de tipicidad, ausencia de infracción del art, 14, ausencia de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

78/164

culpabilidad y existencia de causas excluyentes de la culpabilidad, así como infracción
de los criterios aplicados para graduar la sanción e infracción del principio de
proporcionalidad, respecto de ambas infracciones, e improcedencia y
desproporcionalidad de las medidas correctivas propuestas.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: La CDE (en calidad de cedente) y CAMERDATA (en calidad de cesionaria)
suscriben el 15/02/2016 un “Contrato de cesión de base de datos empresariales”,
vigente en la fecha en la que se aportó a la Inspección de Datos, el 20/12/2023.

El fichero que es objeto de la cesión recibe en el contrato los nombres de “Censo
Básico de Empresas” y “Base de Datos Cedida”.

SEGUNDO: El contrato determina en las cláusulas (pactos) y expositivos que se
reproducen qué información deberá contener el fichero objeto de la cesión, la finalidad
para la que está previsto que la cesionaria trate los datos, las condiciones en las que
la cesionaria puede transmitirlos a terceros y las obligaciones asumidas por ambas
partes contratantes respecto a la descarga de la información y las actualizaciones:

-Respecto al “objeto” del contrato, a las empresas a las que se refiere la información
incluida en el fichero (registros) y a los “campos de información” relativos a cada
registro que deben incluirse en la base de datos cedida, estipula:

“Objeto” (pacto primero):

“1.1. Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su
vez, recibe y adquiere para sí, una copia de la totalidad de los datos empresariales
obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en
adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual
contiene los campos de información que se indican en el Anexo I de 3.160.984
Registros de Empresas.”
“[…]se entiende por Registro de Empresa todos los campos de información del Anexo
1 relativos a cada una de las empresas que contienen la Base de Datos Cedida,
tomándose como identificador de dicho registro el NIF de las mismas”

“1.2. Los Registros de Empresa que conforman la Base de Datos Cedida se refieren
única y exclusivamente a las indicadas en el párrafo segundo del anterior Expositivo
V”.

Registros de empresas que integran la base de datos objeto de la cesión. Se detallan
en el expositivo V del contrato, que establece:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

79/164

“Sobre la base de los indicados datos [los del expositivo IV] que recibe de las
Administraciones públicas colaboradoras (que actualmente son la Agencia Estatal de
la Administración Tributaria, la Agencia Diputación Foral de Navarra y las Cámaras de
Comercio del País Vasco) la Cámara de Comercio de España elabora el censo público
de empresas bajo la denominación de “Censo Básico de Empresas”, garantizando la
confidencialidad en el tratamiento y el uso exclusivo de la información recibida.

Dicho censo comprende única y exclusivamente las empresas cuya actividad se halle
en alguno de los epígrafes de las Divisiones números 1 a 9, ambas inclusive, de la
Sección Primera del Anexo I del Real Decreto Legislativo 1174/1990, de 28 de
septiembre, por el que se aprueban las tarifas y la instrucción del impuesto sobre
actividades Económicas, quedando fuera del Censo Básico de Empresas las
empresas cuya actividad se encuadre en las restantes Secciones y Divisiones de
dicho Anexo.”

Campos de información relativos a cada una de las empresas que contiene la Base de
Datos Cedida. El pacto 1.1. del contrato remite al “Anexo I” del contrato en el que se
establece:

“De conformidad con lo convenido en el Pacto Primero del Contrato, la Base de Datos
y sus actualizaciones tendrán los siguientes campos de información respecto de cada
empresa que conste en la misma (en adelante Registro de Empresa).
Datos de cada Registro de Empresa
1. NIF
2.Nombre o denominación social de la empresa
3.Domicilio principal
4.Domicilio de actividad
5.Sección actividad IAE
6.Actividad IAE”

-Respecto a la “Finalidad” de la cesión de datos por CÁMARA a CAMERDATA se
estipula (pacto segundo):
“La cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus
actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y
los tratará, completará y enriquecerá en los términos del presente Contrato con la
finalidad de ofrecerlo comercialmente a las empresas y a los terceros interesados
como base de datos de información de las empresas que operan en territorio español.”

-Respecto a la cesión por CAMERDATA a terceros de la información que recibe de la
CDE, el contrato autoriza a CAMERDATA a cederla una vez que haya sido incorporada
al fichero de su propiedad (Fichero de Empresas Españolas). Así, estipula (pacto
séptimo):

“7.1.-La Cesionaria no podrá ceder, en todo o parte, a un tercero los derechos y
obligaciones que le corresponden en virtud del presente contrato ni la Base de Datos
Cedida ni cualquiera de sus actualizaciones objeto del mismo sin la previa
autorización expresa y por escrito de la Cedente.
Se excluye de esta prohibición la cesión de los datos de la Base de Datos Cedida
incorporados en el Fichero de Empresas Españolas propiedad de la Cesionaria de
conformidad con lo convenido en los Pactos Segundo y Tercero del Contrato.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

80/164

-Respecto a las condiciones en las que se deberá llevar a cabo la cesión de la Base
de Datos Cedida y sus actualizaciones, el pacto tercero (Efectividad de la cesión)
remite al Anexo 2 del contrato, del que dice expresamente que forma parte de él a
todos los efectos. El Anexo 2 –“Condiciones de la cesión de la Base de Datos Cedida”-
especifica, entre otras, las siguientes obligaciones de cada parte contratante:

“Para la cesión de la Base de Datos Cedida y sus actualizaciones las Partes se
obligan a lo siguiente:
A) Obligaciones de la Cedente:
a.1)La Cedente garantiza a la Cesionaria:
(i) […]
(ii) Que los datos incluidos en la Base de Datos Cedida y sus actualizaciones se
obtienen del censo público de empresas que regula la Ley 4/2014 elaborado por la
Cedente bajo la denominación de Censo Básico de Empresas.
a.2) La cesión de la Base de Datos Cedida y sus actualizaciones:
(i) Alcanzará todos los campos de información que se indican en el Anexo 1 del
Contrato de Cesión de Base de Datos Empresariales de 15 de febrero de 2016 (en
adelante el contrato) de que la Cedente disponga en el momento de elaborarla.

B) Obligaciones de la Cesionaria:
b.1) La Cesionaria se obliga a incorporar la información de la Base de Datos Cedida
en el Fichero de Empresas Españolas y a tratarla y comercializarla en los términos
convenidos en el Contrato y sus Anexos.

b.2) La Cesionaria se compromete a tener siempre actualizados los datos
empresariales del Fichero de Empresas Españolas y a tal efecto se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de Datos Cedida que
ésta realice periódicamente dentro de los quince (15) días laborables siguientes [..].
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus actualizaciones, y a no
realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la información de los Registros
de Empresa de la Base de Datos Cedida actualizada dentro de los treinta (30) días
laborables siguientes a la fecha en que la reciba de la Cedente […]”
(iv) Efectuar dicha actualización sobrescribiendo el Fichero de Empresas Españolas
con la información de la Base de Datos Cedida actualizada por cada Código
Administración remitido. En consecuencia, la Cesionaria quedará obligada a suprimir
del Fichero de Empresas Españolas la información de la Base de Datos Cedida
entregada anteriormente relativa a dichos Códigos Administración, la cual quedará
completamente sustituida y sin efecto, y sin que la Cesionaria pueda usar dicha
información para la finalidad del Contrato ni para ninguna otra; únicamente podrá
conservarla bloqueada a disposición de las Administraciones públicas, Jueces y
Tribunales […]”

b.3)La Cesionaria únicamente podrá informar a los terceros interesados de que la
fuente de la información del Fichero de Empresas Españolas referente a los campos
del Anexo 1 del Contrato se corresponden con la del Censo Básico de Empresas
cuando dicho fichero haya incorporado la información de la última Base de Datos
Cedida actualizada de la Cedente. En caso contrario no podrá informar de dicha
fuente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

81/164

b.4) Recibida la Base de Datos Cedida o la actualización de la misma, la Cesionaria
procederá a:
(i) Homogeneizar nombres y direcciones […]
(ii) Incorporar la información de la Base de Datos Cedida o sus actualizaciones
tratadas de esta forma al Fichero de Empresas Españolas propiedad de la Cesionaria.

b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y comercializa
tendrá las siguientes características:
(i) El registro de la empresa y los campos de la misma de la Base de Datos Cedida
indicados en el Anexo 1 del Contrato. Los restantes campos de dicho Fichero no
modificarán, alterarán ni contradecirán los campos de la Base de Datos Cedida y sus
actualizaciones.
(ii) Campos desarrollados por la Cesionaria a partir de algoritmos creados por ella
misma.
(iii) Campos aportados por la Cesionaria: como Forma jurídica, actividad principal,
sede social, sucursales, actividad negocial.
(iv) Campos aportados por otras fuentes legítimas y actualizadas: Nombre comercial,
teléfono, fax, CNAE, web, fecha constitución, número de empleados, volumen de
negocio, importaciones/exportaciones, cargos (hasta 5 cargos con nombres y
apellidos), género de la empresa (para distinguir cuando se trata de autónomos no
sección 2 o 3), coordenadas geodésicas (en 3 sistemas universales) u otros.”

b.6) La Cesionaria se obliga a suministra a la Cedente en soporte […] los datos y la
información que resulten necesarios del Fichero de Empresas Españolas […] con la
única finalidad de que la Cedente pueda verificar el cumplimiento de lo convenido en
el Contrato y sus Anexos.[…]”

TERCERO:CAMERDATA afirma (respuesta de 13/11/2023 al requerimiento de la
Inspección) que “todos los datos que contiene la base de datos de empresas de
CAMERDATA con relación a autónomos” son:

“NIF, Nombre empresa, Nombre comercial, Email genérico, Dirección, Código
Postal, Municipio, Provincia, Comarca, Sección censal, Teléfono, Teléfono2, Tipo
empresa, Actividad Principal IAE, Todas las actividades IAE, Tipo dirección,
Número sucursales, Web, Año constitución, Empleados, Importa/exporta,
Género Empresa, Actividad CNAE, Latitud wgs84, Longitud wgs84, Tipo coor
wgs84, ID Camerdata.”
Añade que no todos los registros de empresarios autónomos incluidos en su fichero
(que, dice, es de 1.665.049) tienen informados la totalidad de los datos indicados.

CUARTO: CAMERDATA afirma (respuesta de 13/11/2023 al requerimiento de la
Inspección) que el origen del dato del NIF de los empresarios individuales que se
incluye en su base de datos de empresas “es el censo público de empresas
publicado por la Cámara de Comercio de España”.

Dice (respuesta al requerimiento de la Inspección):

“El dato NIF es el Número de Identificación Fiscal.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

82/164

El origen del dato es el censo público de empresas publicado por la Cámara de
Comercio de España conforme a lo dispuesto en la Ley 4/2014 (en adelante,
Censo público de empresas), y se obtiene cada vez que se carga un nuevo
censo de empresas.
El dato NIF se cede a los clientes que solicitan los servicios de información de
empresas que ofrece Camerdata, entre ellos, por un lado, entidades del sector
denominado empresas infomediarias o reutilizadoras de información (Axesor,
Cerved, Datacentric, Equifax, Informa, Iberinform y Moody's) y, por otro lado,
clientes finalistas que lo solicitan para su uso exclusivo interno.”

QUINTO: CAMERDATA reconoce (alegaciones al acuerdo de inicio de este
procedimiento) que el dato del NIF no figura en el censo público de empresas: “es
cierto que este dato no figura en el censo público de empresas”.

Manifiesta que CDE no le cede el dato del NIF de los empresarios autónomos y que lo
obtiene por sus propios medios. Que lo recibe encriptado en un algoritmo MD5:

“Por lo que respecta al dato del NIF, es cierto que este dato no figura en el censo
público de empresas, y la CDE no lo cede a Camerdata conforme al pacto 12.2 del
contrato suscrito entre la CDE y Camerdata el 15 de febrero de 2016.”

“Camerdata recibe de CDE el NIF de los empresarios individuales y autónomos
encriptado con algoritmo MD5 (Message Digest Algorithm 5) empleado habitualmente
para almacenar datos de forma segura. El algoritmo empleado es de tipo HASH o
huella única y tiene como principal característica que no es posible obtener el valor de
entrada (NIF) correspondiente a un valor de salida (HASH o huella MD5), de manera
que es Camerdata quien obtiene el NIF por sus propios medios.”

SEXTO: Respecto a los medios a través de los cuales obtiene el dato del NIF de los
autónomos manifiesta (respuesta a las pruebas):

“El NIF se obtiene como resultado de aplicar el siguiente proceso:

- Entrada: fichero recibido de CDE (*) con el siguiente formato:
NÚMERO: número secuencial que CDE asigna a cada empresario individual
CÓDIGO MD5: código MD5 resultante de aplicar el algoritmo MD5 al NIF (*)”
En concreto para la muestra de 500 autónomos serían los ficheros recibidos de CDE
en fechas 27/06/2023 (zona norte) y 21/03/2023 (nacional),

- Proceso: se generan todas las combinaciones de numeraciones de NIF con formato
empresario individual y a cada combinación se le aplica el algoritmo MD5. El código
MD5 resultante se cruza con el fichero recibido de CDE para obtener la
correspondencia con el número secuencial asociado al resto de datos.

SÉPTIMO: CAMERDATA aporta, en prueba de la transmisión realizada por CDE :

En fecha 21/03/2023: Documento 6: “email_envío_CDE_21-03-2023.msg”. Es el email
enviado por CDE que, a su vez, contiene el documento donde se detalla la información
transmitida, Documento 6 BIS: “ENVIADO A CAMERDATA 2022v7.docx”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

83/164

En fecha 27/06/2023: el documento 7: “email_envío_CDE_27-06-2023.msg”.
Es el email enviado por CDE que contiene el documento donde se detalla la
información transmitida ( Documento 8: “ENVIADO A CAMERDATA 2023_v1.docx”)

El contenido de la información transmitida, consiste en dos ficheros recibidos de CDE:
1) Un fichero con el siguiente formato:
NÚMERO: número secuencial que CDE asigna a cada empresario individual
CÓDIGO MD5: código MD5 resultante de aplicar el algoritmo MD5 al NIF

2) Otro fichero con el siguiente formato, según se detalla en el documento “ENVIADO
A CAMERDATA 2023_v1.docx :
Identificación:
Número (número secuencial que CDE asigna a cada empresario individual)
Nombre (apellidos y nombre)
En referencia al domicilio principal:
sg (sigla de vía)
calle (nombre de vía)
numero (número de vía)
es_pis_pta (escalera,piso,puerta)
codmun (código de municipio)
municipio (nombre de municipio)
codpos (código postal)
En referencia al domicilio de actividad:
sg (sigla de vía)
calle (nombre de vía)
numero (número de vía)
es_pis_pta (escalera,piso,puerta)
codmun (código de municipio)
municipio (nombre de municipio)
codpos (código postal)
Actividad:
seccion (sección de actividad)
epigrafe (código de actividad)
origen (código de origen)

Aporta una captura de pantalla que afirma que corresponde a los 25 primeros registros
del primer fichero, constan los siguientes datos (NÚMERO/CÓDIGO MD5). Y una
captura de pantalla con los 25 primeros registros del segundo fichero.

OCTAVO: CÁMARA DE ESPAÑA ha manifestado:

1.En la respuesta al requerimiento de la Inspección (de 20/12/2023):
Que el “censo público de empresas” contiene, entre otros, el “campo NIF”. Y que
proporciona a CAMERDATA todos los campos relativos a los datos de los empresarios
autónomos que trata. Así consta en la respuesta al requerimiento de la Inspección:

Preguntada sobre qué datos de los empresarios autónomos trata:
“se detallan todos los datos que contiene el censo público de empresas de la Cámara
de España en relación con los autónomos o empresarios individuales:” y menciona
seguidamente: El “campo NIF”, “campo Nombre”; “campo Dirección”; “campo Código
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

84/164

Postal”; “campo Código Provincia”; “campo Provincia”; “campo Código Municipio”;
“campo Municipio”; “campo Epígrafe”; “campo Descripción” y “campo ID”.

Preguntada sobre la cesión de datos del censo público de empresas a terceras
entidades, entre otras a CAMERDATA:
“Los campos relacionados anteriormente se proporcionan únicamente a CAMERDATA,
S.A., como entidad mercantil constituida por múltiples Cámaras de Comercio
españolas y por la Cámara de España, para su inclusión en su Fichero de Empresas
Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de forma legítima
y disponer de una base de datos de calidad de las empresas que operan en territorio
español para poder ofrecerla empresas y a terceros interesados. […]” .

2. En las alegaciones al acuerdo de inicio del procedimiento EXP202301678, CDE
manifiesta que no cede a CAMERDATA el dato del NIF de los empresarios autónomos,
sino que entrega un “hash”, resultado de un proceso de encriptación, “de modo que lo
cierto es que Camerdata no recibe dichos NIFs de CDE.”

NOVENO: Sobre el censo público de empresas:

1.Consta acreditado que el censo público de empresas se publica en abierto a través
de la página web de la CDE, www.camara.es, y que la información que ofrece respecto
a los empresarios personas físicas versa, exclusivamente, sobre estos datos: nombre,
apellidos, dirección, código postal, municipio y actividad. No se publica el dato del
NIF.

Así lo acreditan las capturas de pantalla obtenidas de la página web de CDE en fecha
16/09/2024, incorporadas al expediente mediante Diligencia de fecha 17/09/2024 que
permiten constatar estos extremos:
a. Que en el sitio web www.camara.es (www.camara.es/funcion-consultiva/consulta-
del-censo-publico-de-empresas) bajo la rúbrica “Censo Público de Empresas” aparece
una relación de opciones y en la primera de ellas -“Descripción”- se ofrece la siguiente
información relativa al “Censo Público de Empresas”:
“Te facilitamos los datos incluidos en el Censo Público que contiene todas las
entidades jurídicas y físicas de las Cámaras Oficiales de Comercio, Industria,
Servicios y, en su caso, de Navegación de España.”

Que el fichero “recoge un registro por actividad (no acumula varias actividades
en una misma dirección) y recopila los siguientes datos por registro: Nombre,
Dirección, Código Postal, Municipio, Actividad.” No menciona el dato del NIF.

b. Que, efectuada una consulta sobre un empresario persona física al censo público
de empresas –desde “Censo Público de Empresas”, opción “Base de Datos” (que dice
“accede desde aquí a nuestra base de datos”) que remite a la pantalla “Consultar
Censo Nacional de Empresas”- el resultado de la consulta ofrece, exclusivamente,
estos datos: nombre y apellidos, la dirección postal (nombre de la vía y número), el
código postal, nombre de la provincia y del municipio, código de IAE y descripción de
la actividad. No figura el dato del NIF.

2.Consta acreditado en el expediente que cuando se efectúa una consulta sobre un
empresario individual al “censo público de empresas” a través de la web corporativa de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

85/164

CDE - desde “Censo Público de Empresas”, opción “Base de Datos” (que dice “accede
desde aquí a nuestra base de datos”) que remite a la pantalla “Consultar Censo
Nacional de Empresas”- la información que facilita incluye un link a la página web de
CAMERDATA precedido de esta leyenda: “Si desea obtener más información, consulte
el Fichero de Empresas de Camerdata Online”

DÉCIMO: En relación con el dato alfanumérico “ID Camerdata” que consta para cada
registro de empresario autónomo en el campo “ID Camerdata” CAMERDATA ha
declarado (respuesta al trámite de prueba):

 Que el campo “ID Camerdata” es un identificador que se utiliza como clave
para identificar cada registro de la base de datos.
 Que se obtiene como resultado de aplicar el algoritmo MD5 a una cadena de
caracteres resultante de concatenar el número secuencial, siglas de vía,
nombre de vía, número de vía, resto dirección, código postal y población. Y
añade “Por lo que no se utiliza ningún dato personal para la generación del
dato “ID Camerdata”.
 Que el ID Camerdata se cede a quienes solicitan los servicios de información
de empresas que ofrece CAMERDATA: entidades del sector denominado
empresas infomediarias o reutilizadoras de información y clientes finalistas que
lo solicitan para su uso exclusivo interno. No se proporciona la clave
criptográfica para que lo puedan descifrar.

UNDÉCIMO: CAMERDATA invoca como base legitimadora del tratamiento que
consiste en recoger de la CDE, incorporar a sus sistemas, depurar, enriquecer y ceder
a terceros clientes los datos de los empresarios autónomos que obran en su base de
datos (respuesta de 13/11/2023 requerimiento de la Inspección) el interés legítimo
(artículo 6.1.f) del RGPD). Añade que los datos se obtienen de fuentes públicas y se
presume, salvo prueba en contrario, que concurre la base jurídica del artículo 6.1.f) del
RGPD en virtud de lo establecido en el artículo 19 de la LOPDGDD.

En ese sentido, ha declarado:
-“el interés legítimo, tanto de Camerdata, [..], como del cliente que accede a los datos
con la finalidad de promocionar sus servicios y productos a terceros interesados en
ellos, así como facilitar información sobre empresarios individuales o profesionales
liberales a terceros interesados en contactar con aquellos para contratar sus servicios
o adquirir sus productos.”
-“[…] los datos de los empresarios individuales, en cuanto actúan en tal condición,
tienen una protección completamente diferenciada de los datos personales de las
personas físicas en lo que atañe a su ámbito de actuación particular o privada, ya que
el artículo 19.2 de la LOPDGDD establece una presunción legal “iuris tantum” de que
el tratamiento de los datos de los autónomos o empresarios individuales es lícito al
amparo del artículo 6.1.f) del RGPD cuando se cumplan unos requisitos, en concreto,
cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar
una relación con los mismos como personas físicas.

[…] esta presunción […] exime de tener que llevar a cabo la ponderación de que sobre
dicho interés del responsable no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, […].

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

86/164

De este modo, [...], en todo caso, deba ser enervada por medio de una actividad
probatoria en contario.”

No aporta la ponderación de los derechos e intereses enfrentados en el tratamiento
analizado y, a cambio, remite el “juicio de ponderación” que “se ha realizado en el
borrador de Código de Conducta de ASEDIE, asociación de la que CAMERDATA es
miembro.”

DUODÉCIMO: CAMERDATA cede su fichero de datos, entre otras, a las entidades que
posteriormente los ceden a sus propios clientes y a clientes que los adquieren para su
uso exclusivo, cuyo número anual oscila entre los 500 y 900 y cuya relación
contractual se rige por un “clausulado general” definido por esa mercantil.

Obran en el expediente, contratos con las siguientes entidades de los que resulta que
CAMERDATA cede su fichero con datos relativos a empresarios individuales:

1.INFORMA D&B S.A.U. (en adelante INFORMA), dos contratos:
(i) De 01/07/2022, en virtud del cual CAMERDATA autoriza a INFORMA a
comercializar su base de datos de autónomos a través de la empresa BUREAU VAN
DIJK EDITIONS ELETRONIQUES SRL (en adelante, BVD), empresa de MOODY’S
ANALYTICS.

(II) De fecha 29/09/2022 y donde consta, entre otras estipulaciones, que entre los
datos que se incluyen figura el CIF/NIF, nombre o razón social (en los empresarios
individuales), IAE, domicilio completo (calle, municipio, provincia), teléfonos. Contiene
una cláusula sobre Protección Datos que establece que ambas partes se someten
expresamente al RGPD, la LOPDGDD, la Ley 34/2021 y a la restante normativa
aplicable en esta materia. Se incluye este párrafo: “A estos efectos CAMERDATA
declara que los datos que comunica al amparo del presente Acuerdo (fichero
Camerdata) contienen datos personales de empresarios individuales (interesados)
relacionados con la actividad mercantil de los mismos, y nunca con su ámbito privado,
y, que se trata de un tratamiento lícito en los términos del Artículo 6.1.f) del RGPD y,
en la medida en que CAMERDATA garantiza que los mismos provienen de lo que se
ha venido conociendo como fuentes de acceso público, CAMERDATA garantiza que
los mismos podrán ser utilizados para entablar una relación con dichos interesados en
su condición de empresarios individuales.”

2. Contratos firmados entre CAMERDATA y AXESOR CONOCER PARA DECIDIR S.A.
(en adelante AXESOR) o, en su denominación anterior, INFOTEL Información y
Telecomunicaciones, S.A. (en adelante INFOTEL) de fechas 15/09/2009; 25/07/2012
(extensión del contrato anterior); 25/07/2014 (prórroga del anterior), 24/05/2018.

Consta en los contratos (cláusula primera) que CAMERDATA suministrará: “1º.
Información contenida en el Fichero de su propiedad, denominado Empresarios
Individuales, de conformidad con el detalle de servicios contenido en el ANEXO al
presente contrato, y que queda incorporado al mismo a todos los efectos. […]
Que en el ANEXO al contrato se mencionan los datos de identificadores, nombre
(razón social y nombre comercial, si está disponible), dirección completa (sigla, calle,
número, resto de dirección, código postal, municipio, provincia, comarca), IAE

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

87/164

(Impuesto de Actividades Económicas), teléfono correspondiente a la dirección de la
sede, entre otros datos.

3. Contrato suscrito entre CAMEDATA e IBERINFORM INTERNACIONAL S.A.,el
29/07/2008 donde consta que, en el marco de este contrato, ambas partes se
comprometen a respetar la legislación vigente en materia de protección de datos de
carácter personal. Se recoge en el contrato que “toda la información contenida en el
FEE es relativa a sociedades mercantiles y empresarios individuales únicamente en
su faceta mercantil, quedando fuera del ámbito legislativo en materia de Protección de
datos, de acuerdo con el artículo 2 del Reglamento de desarrollo de la Ley 15/1999,
de 13 de diciembre.” Consta que el CLIENTE también utilizará la información
entregada para el enriquecimiento de ficheros propios.

4. Contrato suscrito entre CAMERDATA S.A., y DATACENTRIC, PDM, S.A., de
25/04/2017 y la Adenda de 19/07/2019

5. Contrato entre CAMERDATA y CERVED GROUP S.p.A suscrito el 23/08/2021 en
virtud del cual la primera cede a CERVED la base de datos de empresas y autónomos
para su actividad de negocio para su uso interno y el de sus empresas subsidiarias.
Que CERVED también usará la información para distribución y comercialización a
terceras empresas excepto a empresas infomediarias señaladas.

DECIMOTERCERO: Obran en el expediente dos contratos suscritos entre
CAMERDATA y KOMPASS, S.A.

a. Contrato de fecha 29/06/2020 que rige las condiciones de la colaboración entre
CAMERDATA y KOMPASS relativa a la prestación de los siguientes servicios:
-“La cesión de 107.897 Cifs de registros contenidos en la base de datos de Fichero de
Empresas Españolas […]
-La cesión de la URL de los 107.897 Cifs en el caso de que KOMPASS[…]”.

b. Contrato de fecha 20/03/2023 que rige las condiciones de la colaboración entre
CAMERDATA y KOMPASS. En la cláusula segunda “Condiciones de suministro de los
datos” establece:
“Camerdata cederá a KOMPASS los NIFs de los registros contenidos en la base de
datos de FEE que KOMPASS tenga el campo URL informado y que Camerdata no
dispone del campo email genérico (145.101 registros)
Kompass cederá a Camerdata los registros resultantes de los trabajos de Webcrawling
sobre los que se haya conseguido obtener el campo email, los siguientes campos:
 NIF
 URL utilizada para el Webcrawling (sobre el universo de los 145.101 registros)
 Email genérico obtenido […]”

DECIMOCUARTO: Sobre la finalidad para la que CAMERDATA trata los datos de los
autónomos que obtiene de CDE.

1.El “Aviso Legal del uso del portal y de los servicios” de CAMERADATA (incorporado
mediante diligencia del inspector de18/10/2023) dice lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

88/164

“6. Información sobre el tratamiento de los datos (FEE y productos
comercializados) no obtenidos del interesado, relativos a marketing y publicidad
6.1. Información básica
Los registros tratados por Cameradata de la base de datos Ficheros de
Empresas Españolas que contienen datos personales, han sido obtenidos por
CAMERDATA tras haber sido recabados de forma legítima, pues los datos han
sido obtenidos de un Censo Oficial elaborado por organismo público, […]
Los tratamientos de estos datos tienen por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que
pudieran ser de su interés.
[…]
6.2.3. Legitimad del tratamiento:
[…] se realiza sobre datos que han sido obtenidos de un Censo Oficial elaborado
por organismo público, […] sin la necesidad de obtener su consentimiento
previo, en base al interés legítimo en conocer esta información que requieren los
Clientes de CAMERDATA, habilitado en el artículo 6.1.f del RGPD, y en el
Considerando 47 del RGPD, dado que la finalidad pretendida por nuestros
clientes es la realización de campañas de comunicaciones comerciales y de
marketing, ofreciendo diferentes bienes o servicios que pudieran ser de su
interés.
En otros casos, la legitimidad del tratamiento de estos datos por parte de los
Clientes de CAMERDATA, puede corresponder a los supuestos previstos en las
letras b) o c) del artículo 6.1 del RGPD.”
[…]
6.2.5. Finalidad del tratamiento
La finalidad del tratamiento es la realización de campañas de comunicaciones
comerciales y de marketing, para el ofrecimiento de productos o servicios
propios o de terceras empresas que pudieran ser de su interés, con fines de
mercadotecnia, dentro del ámbito empresarial y nunca del privado.
6.2.6. Destinatarios de los datos personales
Únicamente podrán acceder a los datos personales de los cuales CAMERDATA
es responsable del tratamiento, nuestros clientes que hayan solicitado el
encargo de la construcción de la base de datos a medida a entregar o bien a
terceras empresas que, a su vez, presten servicios a usuarios finales con las
mismas finalidades de mercadotecnia y aquellas empresas con las que hayan
suscrito acuerdos o contratos de encargado de tratamiento.”

2.El anuncio publicado en las webs corporativas de algunas Cámaras de Comercio
dice sobre la finalidad para la cual CAMERDATA trata los datos obtenidos de CDE:

“Los datos tratados por CAMERDATA y las empresas relacionadas, han sido
recabados por CAMERDATA de forma legítima y obtenidos de un Censo oficial
elaborado por organismo público,[…].
El tratamiento de estos datos tiene por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser
de su interés, así como la información comercial sobre la actividad empresarial llevada
a cabo por el Autónomo.”

DECIMOQUINTO: Deber de información

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

89/164

CAMERDATA no informa a los empresarios personas físicas del tratamiento que lleva
a cabo de datos personales que les conciernen.

Obran en el expediente los siguientes documentos aportados con el propósito de
acreditar que está exenta de la obligación de informar a los interesados en virtud de la
excepción recogida en el artículo 14.5.b) del RGPD por ser inasumible el coste
económico que implicaría realizar una comunicación informativa individual:
-Presupuesto de la empresa Meydis, S.L.,(materiales, manipulación y distribución de
las comunicaciones) por un importe de 9.409.000€.
-Presupuesto de la Sociedad Estatal Correos y Telégrafos, S.A., (manipulación,
distribución y franqueo de las comunicaciones) por un importe de 4.266.900€.
-Informes de auditoría de las cuentas anuales correspondientes a los ejercicios
económicos 2019, 2020, 2021 y 2022 de los que resulta que los ingresos anuales
obtenidos por su total actividad son, respectivamente, de 941.238,83€, 836.093,46€,
885.999,51€ y 895.950,29€.

DECIMOSEXTO: Deber de información

CAMERDATA afirma que ha publicado el siguiente texto informativo dirigido a
trabajadores autónomos relativo a la protección de sus datos personales en la web de
siete Cámaras de Comercio:

“Mediante la presente comunicación se informa, a toda persona que tenga la condición
de trabajador autónomo, del tratamiento de sus datos personales por parte de
Camerdata.
Los datos tratados por CAMERDATA han sido recabados por CAMERDATA de forma
legítima y obtenidos de un Censo oficial elaborado por organismo público,
correspondiendo a persona sujeto pasivo de los datos (el trabajador autónomo) en el
ejercicio de una actividad de las recogidas en el Real Decreto de 2007 (RD 475/
2007).
El tratamiento de estos datos tiene por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser
de su interés, así como la información comercial sobre la actividad empresarial llevada
a cabo por el Autónomo.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión, limitación de
su tratamiento u oposición al tratamiento de sus datos de contacto, puede dirigir su
solicitud a las direcciones que se indican a continuación.

Le recordamos que puede ejercer su derecho de oposición a la recepción de
comunicaciones comerciales de forma centralizada, utilizando los servicios de la Lista
Robinson en Empresas asociadas a ASEDIE que están sujetas a su Código de
Conducta:

CAMERDATA, S.A. […]
AXESOR CONOCER PARA DECIDIR S.A.
[…]
DATACENTRIC S.A.
[…]
IBERINFORM S.A.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

90/164

[…]
INFORMA S.A.
[…]
Equifax,S.A.”

DECIMOSÉPTIMO: Dmovo Analytics, S.L.,(DMOVO)

1.Obran en el expediente los siguientes documentos en relación con CAMERDATA y
DOMOVO:
a. Contrato de Servicios SmartAddress, de fecha 03/02/2020 (facilitado a la Inspección
de Datos anexo a la respuesta al requerimiento, documento 25).
b. Convenio de Confidencialidad de fecha 18/12/2019, (aportado anexo a las
alegaciones al acuerdo de inicio, documento 6).
c. “Sistema de Tratamiento Datos Geográficos”, Dmovo Analytics, S.L: que contiene la
oferta comercial al responsable del tratamiento. No tiene fecha. (Aportado en fase de
prueba, folios 2400 a 2.416)

2. Las estipulaciones que rigen el encargo de tratamiento y que deben incluirse en el
contrato u otro acto jurídico con arreglo a Derecho a tenor del artículo 28.3 del RGPD,
figuran incluidas en el texto de los documentos a, b y c.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para resolver este procedimiento la Presidencia de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina: "Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II

Datos personales sobre cuyo tratamiento versa este procedimiento sancionador.
Artículo 19 de la LOPDGDD

1.El procedimiento sancionador que nos ocupa versa exclusivamente sobre el
tratamiento de datos personales de empresarios individuales; de empresarios
personas físicas.

El artículo 4.1. del RGPD define los datos personales como “toda información sobre
una persona física identificada o identificable («el interesado»); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

91/164

indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.”

El artículo 1 del RGPD, “Objeto”, dispone:

“1.El presente Reglamento establece las normas relativas a la protección de las
personas físicas en lo que respecta al tratamiento de los datos personales y las
normas relativas a la libre circulación de tales datos.
2.El presente Reglamento protege los derechos y libertades fundamentales de las
personas físicas y, en particular, su derecho a la protección de los datos personales.”

El artículo 2 del RGPD, “Ámbito de aplicación material”, dedica el punto 2 a los
tratamientos de datos que están excluidos de su aplicación sin que ninguno de los
cuatro supuestos que detalla se refiera expresamente a los empresarios personas
físicas.

A su vez el Considerando 14 del RGPD señala que “La protección otorgada por el
presente Reglamento debe aplicarse a las personas físicas, independientemente de
su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus
datos personales. El presente Reglamento no regula el tratamiento de datos
personales relativos a personas jurídicas y en particular a empresas constituidas como
personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de
contacto.”

De lo expuesto se infiere que la protección que el RGPD dispensa se extiende al
tratamiento de los datos de las personas físicas y que las únicas excepciones a esta
regla son las contempladas en los cuatro supuestos descritos en el artículo 2.2. del
RGPD ninguno de los cuales menciona a los empresarios individuales. Así pues, los
datos de los empresarios personas físicas no están excluidos per se del ámbito
objetivo de aplicación del Reglamento (UE) 2016/679.

La actual situación contrasta con la normativa anterior, en la que el Reglamento de
desarrollo de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal
(RLOPD), aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establecía en
su artículo 2, “ Ámbito objetivo de aplicación”, apartado 3:
“3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia
a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán
excluidos del régimen de aplicación de la protección de datos de carácter personal.”
(El subrayado es nuestro)

2.Además de lo reseñado sobre el ámbito de aplicación del RGPD, debe tenerse en
cuenta que la LOPDGDD (artículo 19.2) incorpora, en relación con el tratamiento de
los datos personales de los empresarios individuales, una presunción iuris tantum de
licitud basada en la circunstancia legitimadora del tratamiento del artículo 6.1.f) del
RGPD. El artículo 19 de la LOPDGDD, “Tratamiento de datos de contacto, de
empresarios individuales y de profesionales liberales”, dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

92/164

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo
6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su
caso los relativos a la función o puesto desempeñado de las personas físicas que
presten servicios en una persona jurídica siempre que se cumplan los siguientes
requisitos:
a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
b) Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier
índole con la persona jurídica en la que el afectado preste sus servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a ellos
únicamente en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1
de esta ley orgánica podrán también tratar los datos mencionados en los dos
apartados anteriores cuando ello se derive de una obligación legal o sea necesario
para el ejercicio de sus competencias.” (El subrayado es nuestro)

La presunción iuris tantum de licitud establecida en el artículo 19.2 del RGPD se
circunscribe al tratamiento de los datos de contacto de los empresarios personas
físicas ( no, como se indicó erróneamente en el acuerdo de inicio, a los datos de su
localización) y exige, además, para que el tratamiento de los datos de contacto de los
empresarios individuales esté amparado en tal presunción -la prevalencia del interés
legítimo del responsable o de terceros- que se cumplan estos requisitos: (i)que “se
refieran a ellos [a los empresarios individuales] únicamente en dicha condición” de
empresario y (ii) que el tratamiento de los datos de contacto no tenga por finalidad
entablar una relación con ellos como personas físicas.

El dictamen 757/2017, de 26 de octubre, del Consejo de Estado, sobre el anteproyecto
de Ley Orgánica de Protección de datos (actual LOPDGDD) disipa las dudas que
pudieran surgir sobre el sentido y alcance de la presunción de licitud recogida en el
artículo 19.2 LOPDGDD. Al comentar el que era en el anteproyecto el artículo 20
(actual artículo 19) dice:

“El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las
personas físicas que presten servicios en una persona jurídica (apartado 1) y de
empresarios individuales (apartado 2), en ambos casos invocando como amparo
normativo lo dispuesto en el artículo 6.1.f) del Reglamento. En el primer caso, para
entender que existe licitud al amparo de ese artículo, el precepto exige que el
tratamiento se refiera únicamente a los datos necesarios para la localización
profesional del interesado y que la finalidad del tratamiento sea únicamente mantener
relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus
servicios; en el segundo, que el tratamiento se refiera únicamente a los datos de los
empresarios en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas”. (El subrayado es nuestro)

Resulta de lo expuesto que el tratamiento de datos personales de un empresario
persona física que no sean datos de contacto, por más que se refieran a ellos en su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

93/164

condición de empresario y de que su tratamiento no tenga por finalidad entablar una
relación con ellos como personas físicas, no podrán estar amparados por la
presunción iuris tantum de licitud en relación con el artículo 6.1.f) RGPD.

La consecuencia que se deriva es que, en el resto de los supuestos el responsable del
tratamiento viene obligado, en virtud del principio de responsabilidad proactiva (artículo
5.2. RGPD), a acreditar que existe una base jurídica adecuada conforme al RGPD en
la que se funda la licitud del tratamiento efectuado.

III
Sobre el responsable del tratamiento

A tenor de las actuaciones de investigación practicadas queda acreditada la existencia
de un tratamiento de datos personales de los empresarios personas físicas, de
acuerdo con lo establecido en los artículos 4.1 y 4.2 del RGPD, del que es
responsable CAMERDATA, pues esta entidad es quien determina los fines y los
medios de los tratamientos que lleva a cabo.

CAMERDATA obtiene datos personales de los empresarios personas físicas de la
CÁMARA DE ESPAÑA (CDE o CÁMARA) quien se los transfiere en virtud de un
contrato de “Cesión de Bases de Datos Empresariales” celebrado en 2016. Sin
embargo, la CDE no puede tratar con esa finalidad, ni con ninguna otra distinta de las
que concreta el artículo 8 de la Ley 4/2014 Básica de Cámaras de Comercio, Industria,
Servicios y Navegación, los datos que ha obtenido de las Administraciones tributarias.
No existe, por tanto, un fundamento de licitud para la cesión de datos que hace la CDE
a CAMERDATA. Esta entidad registra, estructura y organiza los datos recogidos de
CDE; además, los comunica para su uso con fines comerciales a terceras entidades y
permite el acceso a ellos de las entidades con las que contrata los servicios de
normalización de datos de su fichero.

IV
Contexto en el que se efectúa el tratamiento

1.- La Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación (en adelante, Ley 4/2014 o Ley Básica de Cámaras)

La Ley 4/2014, dictada -con la salvedad de su artículo 5.2- al amparo del artículo
149.1, apartados 6º, 13º y 18º, de la Constitución Española (C.E.), establece la
regulación básica de las Cámaras Oficiales de Comercio, Industria, Servicios y, en su
caso, Navegación, (en adelante, las Cámaras) y el régimen específico de la Cámara
Oficial de Comercio, Industria, Servicios y Navegación de España (en adelante,
Cámara de España o CDE).

De acuerdo con la citada Ley tanto las Cámaras como la CDE son corporaciones de
Derecho público y gozan de personalidad jurídica y plena capacidad de obrar para el
cumplimiento de sus fines.

La Ley 4/2014 introdujo en nuestro ordenamiento jurídico un sistema cameral de
“adscripción universal” sin obligación económica alguna a cargo de sus miembros, de
manera que la vinculación de éstos a la Cámara respectiva se produce “de oficio”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

94/164

(artículo 7). Con ello, la Ley 4/2014 se aparta del criterio seguido por la norma
precedente, la Ley 3/1993, que había establecido un modelo de adscripción obligatoria
y pago de cuotas obligatorio, y del introducido posteriormente a través de la reforma
operada en la Ley 3/1993 por el Real Decreto-ley 13/2010, que cambió a un modelo
cameral de “pertenencia voluntaria”.

El artículo 7 de la Ley 4/2014 dice sobre la adscripción a las Cámaras:

“Las personas físicas o jurídicas, nacionales o extranjeras, que ejerzan actividades
comerciales, industriales, de servicios o navieras en territorio nacional formarán parte
de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación dentro de
cuya circunscripción tengan establecimientos, delegaciones o agencias, sin que de
ello se desprenda obligación económica alguna ni ningún tipo de carga administrativa,
procediéndose a la adscripción de oficio de las mismas.” (El subrayado es nuestro)

El artículo 5 de la Ley Básica regula las funciones de las Cámaras distinguiendo, por
razón de su naturaleza, entre las funciones “de carácter público-administrativo”
(contempladas en el apartado 1), las “funciones público-administrativas […], en la
forma y con la extensión que se determine, en su caso, por las Comunidades
Autónomas” (apartado 2) y “otras actividades, que tendrán carácter privado y se
prestarán en régimen de libre competencia, que contribuyan a la defensa, apoyo o
fomento del comercio, la industria, los servicios y la navegación, o que sean de utilidad
para el desarrollo de las indicadas finalidades y, en especial, establecer servicios de
información y asesoramiento empresarial.” (apartado 3).(El subrayado es nuestro)

El artículo 5.1 de la Ley dispone que “Las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación tendrán las siguientes funciones de carácter público-
administrativo:
[…]
g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de todas las
empresas, así como de sus establecimientos, delegaciones y agencias radicados en
su demarcación.” (El subrayado es nuestro)

A su vez, dentro del capítulo V de la Ley 4/2014, dedicado a la Cámara Oficial de
Comercio, Industria, Servicios y Navegación de España, el artículo 21, “Funciones”,
dispone:
“1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
desarrollará las siguientes funciones:
a) Promover los intereses generales del comercio, la industria, los servicios y la
navegación, en el ámbito estatal.
b) Representar al conjunto de las Cámaras ante las diversas instancias estatales e
internacionales.
c) Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras
españolas.
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio,
Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1 del
artículo 5 de esta Ley.
[…]” .” (El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

95/164

A propósito de las funciones que tienen encomendadas, el apartado 6 del artículo 5 de
la Ley Básica de Cámaras establecen que tanto la CDE como las Cámaras “Para el
adecuado desarrollo de sus funciones, [..]. podrán celebrar convenios de los previstos
por las letras c) y d) del artículo 4.1 del Texto Refundido de la Ley de Contratos del
Sector Público, […], y celebrar contratos en los que las Administraciones Públicas se
acomodarán a las prescripciones del citado Texto Refundido y servirse de los
restantes instrumentos permitidos por el ordenamiento jurídico vigente. […].”

2.- Examen del artículo 8 de la Ley 4/2014.

Bajo la rúbrica “Censo público” el precepto establece:

“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional, para cuya
elaboración contarán con la colaboración de la administración tributaria
competente así como de otras administraciones que aporten la información
necesaria, garantizando, en todo caso, la confidencialidad en el tratamiento y el
uso exclusivo de dicha información.

Para la elaboración del censo público de empresas las administraciones
tributarias facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España y a las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación los datos del Impuesto sobre Actividades Económicas y
los censales de las empresas que sean necesarios. Únicamente tendrán acceso
a la información facilitada por la administración tributaria los empleados de cada
Cámara que determine el pleno.

Esta información se empleará para la elaboración del censo público de
empresas, para el cumplimiento de las funciones público-administrativas que la
presente Ley atribuye a las Cámaras, así como para la elaboración del censo
electoral a que se hace referencia en el artículo 17 de la misma.

Dicho personal tendrá, con referencia a los indicados datos, el mismo deber de
sigilo que los funcionarios de la administración tributaria. El incumplimiento de
este deber constituirá, en todo caso, infracción muy grave de conformidad con
su régimen disciplinario.” (El subrayado es nuestro)

La norma transcrita impone a la CDE y a las Cámaras la obligación de elaborar
(“elaborarán) un censo público de empresas y para el cumplimiento de esta obligación
prevé que cuenten con la colaboración de las Administraciones tributarias.

El precepto obliga a las Administraciones tributarias a comunicar - “facilitarán”, dice la
norma- tanto a la CDE como a las Cámaras “los datos” del impuesto sobre actividades
económicas (en lo sucesivo, IAE) y los censales de las empresas que resulten
“necesarios” para el cumplimiento de las finalidades que determina.

Además, se habilita a la CDE y a las Cámaras a tratar la información así obtenida no
sólo con la finalidad de elaborar un censo público de empresas, sino también para: i)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

96/164

cumplir “las funciones público-administrativas que la presente Ley atribuye a las
Cámaras” y ii) la elaboración del censo electoral al que hace referencia el artículo 17
de la Ley 4/2014.

La habilitación que la Ley otorga a las Administraciones tributarias para que cedan o
comuniquen a la CDE y al resto de Cámaras los datos del IAE y los censales de las
empresas necesarios para los fines que determina en su artículo 8 va acompañada del
establecimiento de salvaguardas que pretenden garantizar la protección del derecho
de las personas físicas a la protección de sus datos.

En este sentido, la Ley 4/2014 no solo determina cuáles son las finalidades específicas
para las que la CDE y las Cámaras podrán tratar los datos que les proporcionen las
Administraciones tributarias. Determina también qué datos pueden ser cedidos -“los
necesarios” para atender a dichas finalidades- e impone a los cesionarios de los datos
(la CDE y las Cámaras) la obligación de garantizar su “confidencialidad” durante el
tratamiento que efectúen y “el uso exclusivo” de la información así obtenida.

Es más, en aras a lograr el cumplimiento efectivo de la obligación de confidencialidad
de los datos, restringe las personas que dentro de la organización podrán acceder a la
información proporcionada por las Administraciones tributarias a aquella/s que el pleno
de la respectiva Cámara hubiera designado. Y añade que esa persona o personas
estará sometida al “deber de sigilo” exigido a los funcionarios de la Administración
tributaria.
El censo público de empresas, regulado en el artículo 8 de esta Ley, es un registro
institucional cuya finalidad principal es identificar y mantener actualizado el conjunto de
personas físicas o jurídicas, nacionales o extranjeras, que ejercen actividades
económicas —comerciales, industriales, de servicios o navieras— en el territorio
nacional. Su elaboración -y gestión- corresponde a las Cámaras de Comercio y se
basa en datos facilitados por las administraciones tributarias, así como por otras
administraciones públicas que puedan aportar información necesaria. Cabe señalar
que según se deduce de la ley, la finalidad de este censo no es comercial, sino
estrictamente público-administrativa. Por un lado, sirve de base para el cumplimiento
de las funciones que la ley atribuye a las Cámaras de Comercio en su calidad de
corporaciones de derecho público, como órganos de representación, promoción y
asesoramiento del tejido empresarial. También tiene como finalidad específica
adicional la conformación del censo electoral que determina quiénes pueden participar
en los procesos de elección de los órganos representativos de las propias Cámaras.
La misma limitación al personal específico respecto del acceso a los datos tributarios
utilizados para la elaboración del censo refleja que el censo tiene una naturaleza
institucional, vinculada al funcionamiento del sistema cameral y a la gestión pública del
tejido empresarial, y no puede entenderse como una fuente general de publicidad
económica ni confundirse con bases de datos de naturaleza privada utilizadas con
fines informativos o comerciales.
La regulación del Censo público de empresas es la que es. A pesar de la relevancia
funcional y económica que puede representar un ecosistema de información
empresarial, lo cierto es que el legislador, pudiendo haber optado por establecer
expresamente un régimen jurídico de publicidad o acceso generalizado a estos datos
—acompañado de las garantías adecuadas—, no lo ha hecho. La normativa vigente
en España -posiblemente a diferencia de otros países de la Unión Europea- no ha
articulado un marco normativo que disponga de forma abierta, y con respaldo legal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

97/164

expreso, la disponibilidad de estas bases de datos con información sobre empresarios
individuales, incluso cuando tal acceso pudiera servir a intereses públicos o privados
legítimos y estuviera mediado por obligaciones de transparencia, control y
responsabilidad.
De este modo, sólo cabe acudir a las posibilidades que ofrece el ordenamiento, en su
caso a una gestión de acceso individualizado o granularizado que no es el actual. No
se discute aquí la legitimidad, oportunidad o la utilidad de otras finalidades o intereses,
que no son las que ha determinado el legislador para el censo de empresas. El censo
de empresas no se ha configurado por el legislador para dar cobertura a un
instrumento para finalidades que pueden perseguirse mediante el tratamiento de datos
de empresarios individuales por parte de entidades infomediarias, como el interés
propio de tales entidades en estructurar y ofrecer información sobre actividades
empresariales o profesionales desarrolladas por personas físicas, en respuesta a una
demanda continuada de múltiples sectores. Esta finalidad, en su caso podría sustentar
un interés legítimo que permitiese crear productos informativos que apoyan la toma de
decisiones en entornos comerciales, contractuales o profesionales.
En consecuencia, varias finalidades que podrían considerarse legítimas en otros
contextos no encuentran encaje en el marco jurídico de este censo. Así, no se
contempla que el censo sirva como herramienta de verificación empresarial a
disposición de terceros, ni que facilite a empresas, administraciones públicas o
profesionales el acceso a datos para valorar la existencia, continuidad o capacidad
económica de un empresario antes de contratar o establecer relaciones jurídicas.
Aunque esa finalidad puede ser útil para mitigar riesgos o reforzar la seguridad en el
tráfico mercantil, no está prevista en la ley como función propia del censo cameral.
Tampoco se recoge entre sus objetivos permitir la verificación de la condición
profesional o empresarial de una persona física en cumplimiento de normativas
específicas, como las relacionadas con contratación pública, prevención del blanqueo
o financiación, por más que esas necesidades existan en otros ámbitos.
Asimismo, la ley no atribuye al censo una finalidad de promoción individual del
empresario, ni le otorga carácter publicitario en el sentido de aumentar la visibilidad o
posicionamiento competitivo del sujeto en el mercado. El acceso a los datos del censo
está además sujeto a estrictas condiciones de confidencialidad, lo que refuerza su
carácter restringido y de uso interno por parte de las Cámaras.
Finalmente, aunque el artículo 19 de la LOPDGDD y bajo sus condiciones permite el
tratamiento de datos de localización profesional de empresarios individuales para
facilitar relaciones económicas y jurídicas, no se vincula al censo público. Por tanto,
debe entenderse que el censo cameral no ampara ni habilita usos orientados al
tratamiento de datos con fines informativos, comerciales o de análisis por parte de
terceros, los cuales deben basarse en otras fuentes y mecanismos jurídicos distintos.
De pretenderse estas finalidades a través de instrumentos y tratamientos de datos,
debe contarse con una legitimación que no facilita la regulación del censo de
empresas.
Y, en cualquier caso, los tratamientos de datos que sean adecuados y pertinentes para
el censo de empresas según su diseño legal, han de cumplir con las disposiciones del
RGPD, de manera que los preceptos de la Ley 4/2014 relativos al censo público que
versen o estén relacionados con el tratamiento de los datos personales de los
empresarios personas físicas sólo pueden interpretarse a la luz del RGPD y de la
LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

98/164

3.- Comunicación de datos por la AEAT a la CDE y a las Cámaras

3.1.-Como hemos indicado, el artículo 8 de la Ley Básica de Cámaras impone a las
Administraciones tributarias un deber de colaboración con la CDE y las Cámaras
debiendo facilitarles los datos del IAE y los censales de las empresas que resulten
necesarios, entre otros fines, para la elaboración de un censo público de empresas.

La base jurídica de la cesión por la AEAT a la CDE y a las Cámaras, de los datos de
los empresarios individuales obtenidos a través del IAE y del censo de empresarios,
profesionales y retenedores para las finalidades y en los términos previstos en el
artículo 8 de la Ley 4/2014, es la establecida en la letra c) del artículo 6.1. del RGPD:
“el tratamiento es necesario para el cumplimiento de una obligación legal impuesta al
responsable. Todo ello, sin perjuicio de que la Administración tributaria cedente debe
siempre poder acreditar que el tratamiento efectuado ha respetado los demás
principios que, a tenor del artículo 5 del RGPD, presiden el tratamiento de los datos.

En cuanto al deber de informar de la cesión o comunicación de los datos, cabe señalar
que -pese a que el artículo 13 del RGPD obliga al responsable del tratamiento, cuando
los datos personales se hayan obtenido directamente del interesado, a informarle
sobre “los destinatarios o las categorías de destinatarios de los datos” (apartado 1,
letra e) y de que, “Cuando […]proyecte el tratamiento ulterior de datos personales para
un fin que no sea aquél para el que se recogieron” deberá proporcionar al “interesado,
con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier
información adicional pertinente a tenor del apartado 2” (apartado 3)- en el supuesto
que nos ocupa la AEAT no está obligada a informar de la cesión de sus datos a la CDE
o a las Cámaras y de la finalidad de tal comunicación.

Así resulta del apartado 4 del artículo 13 del RGPD que señala: “Las disposiciones de
los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado
ya disponga de la información”, interpretado a la luz del Considerando 62 del RGPD:
“[…], no es necesario imponer la obligación de proporcionar información cuando el
interesado ya posea la información, cuando el registro o la comunicación de los datos
personales estén expresamente establecidos por ley, […]”. Por tanto, en relación con
la cesión que la AEAT efectúa a la CDE de los datos tributarios de los empresarios
autónomos, en tanto representa para la AEAT una obligación impuesta por una norma
con rango de Ley (ex artículo 8 de la Ley 4/2014) no le es exigible, en aplicación del
artículo 13.4 del RGPD, la obligación de información.

Además, la AEAT incluye en su Registro de Actividades de Tratamiento (RAT) el
tratamiento que consiste en comunicar a CÁMARA DE ESPAÑA y a las Cámaras los
datos aportados al “censo de empresarios, profesionales y retenedores (modelos 036
y 037)”.

3.2.- Convenio entre CÁMARA DE ESPAÑA y la AEAT

CDE y la AEAT suscribieron en fecha 25/11/2019 un Convenio “para la cesión de
información de carácter tributario a las Cámaras Oficiales para el ejercicio de sus
funciones público-administrativas”, publicado en el BOE de 20/12/2019.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

99/164

El Convenio fue prorrogado en 2023. El 19/12/2023 la AEAT y la CDE suscribieron una
“Adenda de modificación y prórroga del convenio entre la Agencia Estatal de
Administración Tributaria y la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España para la cesión de información de carácter tributario a las
Cámaras Oficiales para el ejercicio de sus funciones público-administrativas”,
publicada en el BOE el 16/02/2024, en la que acuerdan prorrogar por cuatro años tal
convenio, que tendrá eficacia a partir del 20/12/2023, con las modificaciones
introducidas que afectan a las cláusulas octava (“Control y seguridad de los datos
suministrados”) y novena (“Protección de datos”).

El Convenio vigente en la actualidad incluye por tanto las modificaciones incorporadas
por la Adenda precitada. Su Exposición de Motivos, reproduce el siguiente párrafo que
consta en el Convenio original:

“La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
es una Corporación de Derecho Público, con personalidad jurídica propia y plena
capacidad de obrar para el cumplimiento de sus fines que le encomienda la Ley
4/2014, de 1 de abril, […]. Además, desarrolla funciones públicas, en especial
las que se relacionan directa e indirectamente en las letras d) a i) del artículo
21.1 de la Ley 4/2014.
Las Cámaras Oficiales de Comercio, […], cuando actúan en el ejercicio de las
funciones administrativas o de carácter público-administrativo encomendadas
por las leyes, tienen la consideración de Administraciones públicas.”
(El subrayado es nuestro)

El Convenio, con las modificaciones incorporadas a raíz de la Adenda suscrita en
diciembre de 2023, fija las condiciones y el procedimiento que rige la cesión de
información de la AEAT a las Cámaras y a la CDE -dice- “preservando en todo caso
los derechos de las personas a las que se refiere la misma” y, en síntesis, tiene este
contenido:

i. Afirma que su naturaleza es administrativa y se rige por lo dispuesto en la LRJSP
(cláusula vigesimoprimera)

ii. Establece que los datos suministrados por la Agencia Tributaria son los declarados
por los contribuyentes y demás obligados a suministrar información (cláusula sexta),
por lo que tienen naturaleza de datos tributarios.

iii. Establece que, en el caso de que la información incorpore datos personales de los
interesados, tanto el cedente, la Agencia Tributaria, como el cesionario, la Cámara de
Comercio de España y las Cámaras, tratarán los datos de acuerdo con el RGPD
(cláusulas novena)

iv. Sobre la finalidad de la comunicación de los datos a la CDE y a las Cámaras” , la
cláusula “Segunda. Finalidad de la cesión de la información”, dice:

“La cesión de información procedente de la Agencia Tributaria tendrá como
finalidad exclusiva la colaboración con la Cámara de Comercio de España y con
las Cámaras en el desarrollo de las funciones públicas que éstas tenga
atribuidas cuando, para el ejercicio de las mismas, la normativa reguladora exija
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

100/164

la aportación de una certificación expedida por la Agencia Tributaria o la
presentación, en original, copia o certificación, de las declaraciones tributarias de
los interesados o de cualquier otra comunicación emitida por la Agencia
Tributaria, en particular en el caso de no obligados a declarar. En estos
supuestos, la información que debe constar en tales documentos se solicitará
directamente de la Agencia Tributaria, siempre que resulte necesaria para el
ejercicio de tales funciones y se refiera a un elevado número de interesados o
afectados.

En el Anexo III del presente Convenio se recogen las funciones públicas a
desarrollar por las Cámaras.

La cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas tendrá como finalidad exclusiva la elaboración del
censo público de empresas, el cumplimiento de las funciones público-
administrativas que la Ley 4/2014 Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación atribuye a las Cámaras, así como la
elaboración del censo electoral a que hace referencia el artículo 17 de la misma
Ley.”

Por su parte, el Anexo III del convenio contempla por separado las funciones público-
administrativas de la CDE y las de las Cámaras.

“Las funciones públicas a desarrollar por la Cámara Oficial de Comercio,
Industria, Servicios y Navegación se relacionan directa e indirectamente en las
letras d) a i) del artículo 21.1 de la Ley 4/2014, .[…]:

Artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:

«1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de
España desarrollará las siguientes funciones:

d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de Comercio,
Industria, Servicios y Navegación, las funciones a que se refiere el apartado 1
del artículo 5 de esta Ley.
e) Informar, con el carácter y el alcance previstos en la legislación vigente, los
anteproyectos de leyes o disposiciones estatales de cualquier rango que afecten
directamente al comercio, la industria, los servicios y la navegación.
f) Asesorar a la Administración General del Estado, en los términos que ésta
establezca, en temas referentes al comercio, la industria, los servicios y la
navegación.
g) Desempeñar las funciones público-administrativas que se le atribuyan,
cuando afecten al conjunto del Estado.
h) Gestionar en los términos previstos en los acuerdos con el Ministerio de
Economía y Competitividad las actuaciones previstas en el Plan Cameral de
Internacionalización y en el Plan Cameral de Competitividad.
i) Desempeñar funciones de mediación y arbitraje mercantil, nacional e
internacional, de conformidad con lo establecido en la legislación vigente».”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

101/164

Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación son
Corporaciones de Derecho Público con personalidad jurídica y plena capacidad
de obrar para el cumplimiento de sus fines y que, cuando actúan en el ejercicio
de las funciones administrativas o de carácter público-administrativo
encomendadas por las leyes tienen la consideración de Administraciones
públicas. Las funciones de carácter público-administrativo se enumeran en el
artículo 5 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:

Artículo 5 de la Ley 4/2014, Básica de las Cámaras Oficiales de Comercio,
Industria, Servicios y Navegación:

«1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
tendrán las siguientes funciones de carácter público-administrativo:
a) […].
g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y agencias
radicados en su demarcación.
h) […]

2. También corresponderá a las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación desarrollar las funciones público-administrativas que se
enumeran a continuación, en la forma y con la extensión que se determine, en
su caso, por las Comunidades Autónomas.
a) […]”

v. Suministro de información (cláusula séptima). Los suministros de información se
recogen en el Anexo I al Convenio a tenor del cual cuando la información proceda de
los datos censales de empresa y esté destinada a la elaboración del “ censo público de
empresas” (artículo 8 de la Ley 4/2014) y para la elaboración del censo electoral
(artículo 17) se suministrará con periodicidad anual. Y tendrá periodicidad anual con
actualizaciones semestrales la información relativa a datos del IAE para la elaboración
del censo público de empresas (artículo 8 de la Ley 4/2014) y del censo electoral
(artículo 17).

vi. No se requiere previa autorización de los interesados cuando la cesión de los datos
del IAE y de los censales de las empresas venga impuesta por el artículo 8 de la Ley
4/2014.

vii. La estipulación cuarta dice que la información que cede la AEAT solo puede tener
como destinatarios los órganos de la CDE y de las Cámaras “ que tengan atribuidas las
funciones públicas que justifican la cesión”. Y añade:

“En ningún caso podrán ser destinatarios órganos, organismos o entes que realicen
funciones distintas de las descritas en la cláusula segunda de este Convenio”.
“Todo ello sin perjuicio de la estricta afectación de la información remitida por la
Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier
caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia
Tributaria.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

102/164

viii. La cláusula octava se refiere al control y seguridad de los datos tratados y dice:

“1. El control y seguridad de los datos suministrados se regirá por lo dispuesto en la
normativa vigente en cada momento en materia de protección de datos y seguridad de
la información y, en particular, por el Reglamento (UE) 2016/679 […], la Ley Orgánica
3/2018, […] las disposiciones reglamentarias del ordenamiento interno en materia de
protección de datos de carácter personal, el Real Decreto 3/2010, de 8 de enero, por
el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración
Electrónica […], y la Política de Seguridad de la Información de la Agencia Tributaria y
las Cámaras que se adhieran al presente Convenio.”

En el apartado 2 prevé la existencia de “controles sobre la custodia y la utilización de
la información suministrada al amparo de este Convenio” diferenciando entre los
controles internos que lleva a cabo el “ente cesionario de la información (apartado a) y,
(apartado b), “el control por el ente titular de la información cedida.”

ix. Obligación de sigilo. La cláusula décima establece que “Cuantas autoridades,
funcionarios y resto de personal tengan conocimiento de los datos o información
suministrados en virtud de este Convenio estarán obligados al más estricto y completo
sigilo respecto de ellos. La violación de esta obligación implicará incurrir en las
responsabilidades penales, administrativas y civiles que resulten procedentes, así
como el sometimiento al ejercicio de las competencias que corresponden a la Agencia
de Protección de Datos.”

4.-Elaboración por la CDE del censo público de empresas: Datos que contiene.

La CDE elabora un censo público de empresas en cumplimiento de lo dispuesto en el
artículo 8 de la Ley 4/2014. El censo público de empresas, en virtud del principio de
adscripción universal a las Cámaras del artículo 7 de la Ley 4/2014, incluye a todos los
empresarios, sean personas jurídicas o físicas. En la medida en que el censo público
trata datos de los empresarios personas físicas, datos de carácter personal, está
sometido a las disposiciones del RGPD.

La información sobre los empresarios individuales que ofrece el censo público de
empresas de la CDE, al que se puede acceder desde su web corporativa, contiene
estos datos exclusivamente:
-el nombre y apellidos
- la dirección (tipo de vía, nombre, número y en ocasiones el piso)
- la localidad,
- la provincia
-el código postal.
-el número del epígrafe del IAE
- descripción de la actividad.
Sin embargo, no consta el dato del NIF.

Así pues, el contenido del censo público de empresas que elabora la CDE, y al que
alude el artículo 8 de la Ley 4/2014 es, como su nombre indica, aquél que es accesible
públicamente, en la actualidad a través de la página web de la CDE para cuya
elaboración CDE no utiliza todos los datos que le transmiten las
Administraciones tributarias, sino sólo aquellos que sean “necesarios”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

103/164

Por el contrario, el denominado "Censo Básico de Empresas", que es el fichero objeto
de cesión entre la CDE y CAMERDATA en virtud del contrato privado suscrito entre
ambas en el año 2016, contiene más datos personales que los que proporciona el
censo público de empresas, puesto que ese “Censo Básico de Empresas” sí incluye
el dato del NIF de las personas físicas empresarias. En el censo público de empresas,
que, como se ha dicho, es accesible desde la página web corporativa de la CDE con
carácter general y gratuito, no facilita el dato del NIF.

Por tanto, el "Censo Básico de Empresas” no es el Censo Público de empresas a que
se refiere el artículo 8 de la Ley 4/2014 y contiene otros datos adicionales sujetos al
deber de confidencialidad.

El tratamiento que se materializa en la elaboración por CDE de un censo público de
empresas cumple con el principio de minimización de datos (artículo 5.1.c, RGPD)
pues los datos que se publican son únicamente los que resultan adecuados,
pertinentes y necesarios para la finalidad que el censo público persigue.

Para el censo público de empresas al que hace referencia la ley no era necesario este
dato. Cuestión que hubiera sido diferente es la inclusión y en su caso publicidad del
NIF de tratarse de otro instrumento de publicidad que no es el censo de empresas
regulado por la ley.
El dato del NIF del empresario individual no es necesario para la finalidad pretendida
con el tratamiento previsto en el artículo 8 de la Ley 4/2014: la elaboración de un
censo público de empresas. Es, además, un dato excesivo, pues a través de él se
identifica indubitadamente a la persona física. A lo que cabe añadir que el
ordenamiento jurídico no ha establecido una obligación general de publicidad formal
de ese dato (el NIF) para los empresarios individuales -frente a la que sí existe para
las sociedades mercantiles- con algunas salvedades: como la del empresario naviero y
algunas otras previstas en leyes especiales, como la Ley 10/2010 de Prevención del
blanqueo de capitales y de la financiación del terrorismo o en la Ley 34/2002, de 11 de
julio, de servicios de la sociedad de la información y de comercio electrónico. En ese
sentido cabe recordar que el artículo 19 del Código de Comercio español dispone: “1.
La inscripción en el Registro Mercantil será potestativa para los empresarios
individuales, con excepción del naviero.”

Los datos personales de los empresarios individuales que sean necesarios son los que
forman parte del censo público de empresas por imperativo del artículo 8 de la Ley
4/2014, el cual es accesible al público en general de manera libre y gratuita a través de
la página web de la CDE. La obligación impuesta por el artículo 8 de la Ley 4/2014
conlleva para los empresarios personas físicas -para todos, por mor del principio de
adscripción universal a las Cámaras- una restricción del derecho fundamental a la
protección de sus datos personales que les reconoce el artículo 18.4 de la C.E. y no
hay ninguna razón para que el alcance de tal restricción de su derecho fundamental se
acentúe innecesariamente incluyendo en el denominado censo público un dato, como
el NIF, que no es imprescindible.

La controversia que pudiera plantearse acerca de si el dato del NIF de los empresarios
individuales debe de ser objeto de tratamiento mediante su inclusión en el censo
público de empresas cuya elaboración se encomienda a la CDE y a las Cámaras, se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

104/164

resuelve negativamente tras un juicio de proporcionalidad aplicando la dotrina
constitucional recogida, entre otras, en la STC 39/2016, de 31 de marzo. El Tribunal
Supremo se hace eco de ella en la STS de 02/11/2016 (recurso 2538/2015) en la que
dice:

“suscitado el debate en sede de proporcionalidad entre los derechos invocados en
confrontación, debe recordarse que el Tribunal Constitucional ha venido perfilando ese
juicio de proporcionalidad, declarando que el mismo requiere la concurrencia de tres
requisitos o condiciones. De una parte, un juicio de idoneidad, referido a determinar si
la medida adoptada es susceptible de conseguir el objetivo propuesto. En segundo
lugar, un juicio de necesidad, entendido en el sentido de que la finalidad perseguida
con la medida resulta imprescindible para su legítima finalidad sin poder obtenerse por
otros medios que eviten la lesión de otros derechos o sea una afección menos intensa
Y en tercer lugar, un juicio de proporcionalidad en sentido estricto, en cuanto la medida
adoptada sea ponderada y equilibrada en cuanto se deriva de ella más beneficios para
el fin perseguido que perjuicios en la afección de los derechos también protegidos”.

A tal efecto señalamos que el objetivo del censo público de empresas es el que resulta
del artículo 8 de la Ley que lo establece. Precepto que, además de ser fundamento de
licitud del tratamiento de datos que conlleva el censo público de empresas, debería
especificar -por exigencia del artículo 6.3 del RGPD- los fines del tratamiento, los tipos
de datos y la posibilidad de comunicación a terceras entidades entre otras cuestiones.
El artículo 8 de la Ley 4/2014 alude a los datos “necesarios” y, ante la falta de mayor
concreción en el sentido indicado por el artículo 6.3 del RGPD, es obligado atenerse
a los límites del mandato legal aplicando en todo caso la normativa de
protección de datos. De acuerdo con ello el objetivo del precepto (artículo 8 Ley
4/2014) no es otro que elaborar un relación o lista de empresarios y, por lo que atañe a
las personas físicas, esa condición resulta del alta censal y de la inclusión en un
epígrafe del IAE, datos que constan en el censo público acompañado además de una
descripción de la actividad. Si también se facilita el nombre del negocio y el nombre y
apellidos de la persona física empresario así como una dirección -dato que en muchos
supuestos podría ser excesivo- es evidente que, a los fines de elaborar un censo
público de empresas, esto es, una relación de las empresas que realizan su actividad
en territorio español, cuando de empresarios individuales se trata, los datos
precitados son más que suficientes y no resulta en ningún caso “necesario” esto es, no
es “imprescindible, que conste en tal relación o censo un dato como el NIF que
identifica indubitadamente a la persona física cuya dignidad e integridad moral tiene
que prevalecer sobre otros intereses, por muy legítimos que estos sean.

Tampoco es admisible justificar la “necesidad” de que conste el dato del NIF del
empresario individual en esa relación de empresas que es el censo en supuestas
exigencias de la seguridad jurídica de las transacciones comerciales. Una cosa es
-como de hecho sucede- que el empresario individual facilite el dato del NIF en el
marco de las concretas relaciones comerciales que mantenga, precontractuales o
contractuales, y otra muy diferente la que aquí se plantea: la necesidad o no de que el
NIF del empresario individual esté incluido en una relación pública de empresas
españolas cuando la empresa como tal figura ya identificada en dicha relación o
listado. El juicio de proporcionalidad en sentido estricto no puede prosperar: Ningún
perjuicio se deriva a los efectos de la finalidad pretendida por el artículo 8 de la Ley
4/2014 -la elaboración de una relación de las empresas que radican en territorio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

105/164

español- de que el NIF del empresario individual no se incluya en la relación pública de
empresas cuando la empresa como tal ya consta identifica en ella por otros datos que
hemos mencionado. No se deriva, del hecho de no incorporar el dato del NIF de la
persona física empresaria en el listado, el más mínimo menoscabo de la seguridad
jurídica del tráfico mercantil, pues en el contexto de las relaciones que estos
empresarios mantengan con terceros en el desempeño de su actividad el dato en
cuestión sí se les proporciona cuando exista una obligación en tal sentido (por
ejemplo, cuando lo prevea la normativa específica sobre la emisión de facturas). Por el
contrario, es más que evidente el impacto negativo que tiene en la persona física que
se difunda públicamente, con carácter general y fuera del contexto de las concretas
relaciones negociales que mantenga, un dato como el NIF que le identifica
indubitadamente. Son también evidentes y conocidas, pues están a la orden del día,
las gravísimas consecuencias que pueden derivarse del tratamiento de la manera
indicada del dato del NIF de la persona física. En conclusión, no resulta proporcional a
los fines que persigue el censo público de empresas contemplado en el artículo 8 de la
Ley 4/2014 -precepto al que es obligado atenerse en la medida que constituye la base
jurídica de este tratamiento- que en él se incorpore el dato del NIF de los empresarios
personas físicas. Así lo ha entendido cabalmente la CDE que ha omitido incorporarlo al
censo público.

Reiteramos por tanto que, mientras el contenido del censo público de empresas que
elabora la CDE, y al que alude el artículo 8 de la Ley 4/2014 es, como su nombre
indica, aquél que es accesible públicamente, en la actualidad a través de la web
corporativa de la CÁMARA, la base de datos que CDE cede a CAMERDATA con el
nombre de “Censo Básico de Empresas”, tiene un contenido más amplio que el censo
público strictu sensu, pues en ella se incluye el dato de NIF de los empresarios
individuales obtenido por CDE a través de la información recibida de las
Administraciones públicas y que, en virtud del Convenio suscrito con la AEAT tiene
prohibido ceder a terceros.

VI
Sobre el artículo 19 de la LOPDGDD.

En la medida que se pretenda acudir al artículo 19 de la LOPDGDD para sostener la
legitimación del tratamiento de datos, procede recordar unas bases que tener en
cuenta. Así, el RGPD especialmente y la LOPDGDD son la regulación general que a
efectos constitucionales permite tratamientos de datos sin consentimiento. Una vía de
legitimación sin consentimiento es el interés legítimo amparado por el RGPD (art. 6.1
f). Cabe señalar que nuestro legislador en la LOPDGDD ha generado unos casos de
presunción de interés legítimo, en los que hay más certeza si se dan esos
presupuestos. En todo caso, la vía de legitimación de tratamientos sin consentimiento
por interés legítimo no requiere una "presunción normativa". El interés legítimo
constituye una base legal autónoma, que no depende de la existencia de una norma
nacional que lo presuma. Así lo reconoce expresamente el CEPD en sus recientes
directrices. La ausencia de presunción normativa por una ley (como en nuestro caso el
artículo 19.2 LOPDGDD, en modo alguno excluye la posibilidad de legitimación por
interés legítimo. Así, el “interés legítimo” puede operar válidamente incluso en
contextos no regulados expresamente en las legislaciones nacionales como en
supuestos de presunción de legitimidad. Eso sí, obliga para su evaluación a un análisis
más intensivo y en estos casos, su aplicación requiere una visión más restrictiva y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

106/164

garantista, no hay presunción, por lo que el responsable del tratamiento basado en
interés legítimo debe justificar, con base en el principio de responsabilidad proactiva, la
idoneidad, necesidad y proporcionalidad del tratamiento, así como la prevalencia
efectiva de su interés frente a los derechos y libertades del afectado. La ausencia de
presunción legal incrementa la carga argumental y documental del responsable del
tratamiento.
Hay que contemplar casos en los que hay una regulación de interés legítimo afín o
cercano al que se pretende sustentar (como el artículo 19.2º cuyos presupuestos aquí
no se dan). De igual modo hay que tener en cuenta regulaciones específicas (como la
Ley de Cámaras). En la regulación legal pueden darse prohibiciones expresas que sin
duda no permitirán los tratamientos de datos, también se pueden dar normas que
determinen u orienten la finalidad del uso de datos. En estos supuestos, ya caso por
caso, habrá que analizar si el desvío de la finalidad de los datos es o no compatible y
en su caso si puede legitimar esta nueva finalidad una base de legitimación nueva,
como una regulación específica o, en su caso, el interés legítimo. En estos supuestos,
la admisibilidad de la legitimación habrá de pasar, sin duda, por el cumplimiento de
toda una serie presupuestos, requisitos y garantías. Tales exigencias se harán más
intensas en razón de la naturaleza de los datos, el impacto en los colectivos afectados
y en diversos derechos, además de la protección de datos y las propias finalidades del
tratamiento.
Sobre estas bases, procede ahora descartar que se den los presupuestos del artículo
19 de la LOPDGDD. Este artículouna presunción iuris tantum de licitud del tratamiento
que atañe, entre otros sujetos, a los empresarios personas físicas. El artículo 19 de la
LOPDGDD, “Tratamiento de datos de contacto, de empresarios individuales y de
profesionales liberales”, dice:

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el
artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de
contacto y en su caso los relativos a la función o puesto desempeñado de las
personas físicas que presten servicios en una persona jurídica siempre que se
cumplan los siguientes requisitos:

a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.

b) Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el afectado preste sus
servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a
ellos únicamente en dicha condición y no se traten para entablar una relación
con los mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el
artículo 77.1 de esta ley orgánica podrán también tratar los datos mencionados
en los dos apartados anteriores cuando ello se derive de una obligación legal o
sea necesario para el ejercicio de sus competencias.”

Es indiscutible para esta Agencia, por las razones que se expondrán a continuación,
que el artículo 19.2. del RGPD no tiene otro alcance que el de establecer una

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

107/164

presunción de licitud que recae, exclusivamente, sobre los datos de contacto de los
empresarios individuales.

De acuerdo con su tenor literal el artículo 19.1 de la LOPDGDD articula una
presunción iuris tantum de licitud que se define a través de dos elementos: su
fundamento y su objeto. Se funda en el artículo 6.1.f) y tiene por objeto los datos de
contacto o eventualmente la función o puesto desempeñado. La presunción así
definida en el artículo 19.1 atañe a las personas físicas que prestan sus servicios en
una persona jurídica. Cuando el artículo 19.2. de la LOPDGDD se refiere a la
aplicación de “la misma presunción”, ésta hay que tomarla tal y como aparece definida
en el apartado 1: por los elementos mencionados de su fundamento y de su objeto. De
manera que el artículo 19.2. no dice, sino que la presunción iuris tantum, fundada en el
artículo 6.1.f), cuyo objeto son los datos de contacto se aplicará al tratamiento de los
datos de los empresarios autónomos.

Abona, además, tal interpretación del texto de la norma el dictamen 757/2017, de 26
de octubre, del Consejo de Estado sobre el anteproyecto de Ley Orgánica de
Protección de datos (actual LOPDGDD) que al comentar el que era en el anteproyecto
de Ley Orgánica el artículo 20 (actual artículo 19) dice:

“El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las
personas físicas que presten servicios en una persona jurídica (apartado 1) y de
empresarios individuales (apartado 2), en ambos casos invocando como amparo
normativo lo dispuesto en el artículo 6.1.f) del Reglamento. En el primer caso, para
entender que existe licitud al amparo de ese artículo, el precepto exige que el
tratamiento se refiera únicamente a los datos necesarios para la localización
profesional del interesado y que la finalidad del tratamiento sea únicamente mantener
relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus
servicios; en el segundo, que el tratamiento se refiera únicamente a los datos de los
empresarios en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas”.

El comentario que incluye el dictamen 757/2017 del Consejo de Estado sobre el
artículo 20 del Anteproyecto de Ley Orgánica (en la actualidad, artículo 19 de la
LOPDGDD) confirma que la presunción que en él se establece opera, exclusivamente,
sobre los datos de contacto de los empresarios autónomos. Esto, porque indica que el
artículo 20 del Anteproyecto “regula el tratamiento de los datos de contacto” y a
renglón seguido precisa de quiénes; quiénes son las personas a las que conciernen
tales datos: las personas físicas que prestan servicios en una persona jurídica
(apartado 1) “y” los empresarios individuales (apartado 2). Si lo que el dictamen
hubiera querido decir es que el artículo 20 del Anteproyecto regula el tratamiento de
los datos de contacto sólo respecto a las personas físicas que prestan sus servicios en
una persona jurídica y respecto a los empresarios individuales todos sus datos, la
conjunción copulativa “y” no existiría. A mayores, el comentario añade que “en ambos
casos”, es decir, en los tratamientos de datos de contacto del apartado 1 y del 2 del
artículo 20 del Anteproyecto, la base de licitud se encuentra en el artículo 6.1.f) del
Reglamento. Y, a partir de ahí, el comentario reseñado examina cuáles son los
requisitos, respectivamente, del apartado 1 y 2, sobre la base del artículo 6.1.f) RGPD,
para que el tratamiento – claramente, de los datos de contacto- sea lícito.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

108/164

Es más, El TJUE en su sentencia de 4 de octubre de 2024, asunto C 200/23,
considera que el artículo 6 del RGPD establece una lista exhaustiva de las causas que
pueden legitimar el tratamiento de datos personales debiendo ser objeto de una
interpretación restrictiva las que no se basan en el consentimiento del interesado.

“94 A este respecto, cabe recordar que el artículo 6, apartado 1, párrafo
primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los
que un tratamiento de datos personales puede considerarse lícito. Así pues,
para poder ser considerado legítimo, un tratamiento de datos personales debe
estar comprendido en uno de casos contemplados en dicha disposición [véase,
en ese sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas
Saeima (Puntos por infracciones de tráfico), C 439/19, EU:C:2021:504,
apartados 99 y jurisprudencia citada].

95 A falta de consentimiento del interesado para el tratamiento de sus datos
personales en virtud de dicho artículo 6, apartado 1, párrafo primero, letra a), o
cuando este no se haya prestado de forma libre, específica, informada e
inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento
puede, no obstante, estar justificado cuando cumple alguno de los requisitos de
necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b)
a f), del mencionado dicho Reglamento [véase, en este sentido, la sentencia de
4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio
de una red social), C 252/21, EU:C:2023:537, apartado 92].

96 En este contexto, las justificaciones previstas en esta última disposición,
en la medida en que permiten que un tratamiento de datos personales
realizado sin el consentimiento del interesado sea lícito, deben ser objeto de
una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y
otros (Condiciones generales del servicio de una red social), C 252/21,
EU:C:2023:537, apartado 93 y jurisprudencia citada].”

Siguiendo esta línea argumental ha de considerarse que la presunción de interés
legítimo contenida en el art. 19.2 de la LOPDGDD ha de interpretarse en sentido
estricto, por cuanto se trata de una disposición que no sólo permite el tratamiento de
datos personales sin consentimiento de los interesados, sino que legitima el
tratamiento de los datos personales de los empresarios individuales, sobre la base de
licitud del art. 6.1.f) del RGPD, sin requerir que el responsable del tratamiento realice
la obligatoria ponderación entre los intereses en conflicto.

Las normas han de ser interpretadas teniendo en cuenta no sólo el sentido propio de
las palabras, sino también su contexto, la realidad social del tiempo en que han de ser
aplicadas y el espíritu y los fines perseguidos por la normativa de la que forma parte
(art. 3.1 CC), y en el caso que se examina no puede decirse que la ley ha autorizado
el tratamiento de cualesquiera datos de los empresarios, para realizar cualesquiera
operaciones de tratamiento con cualquier finalidad sea lícita o no y con independencia
del origen lícito de los datos- personales, pues no cabría decir, por ejemplo, que la
norma está habilitando una contratación con un empresario individual al margen de su
voluntad.
El artículo 19 de la LOPD no puede desvincularse del RGPD. No es admisible
interpretarlo al margen o prescindiendo del RGPD sino sólo y exclusivamente en el
contexto del Reglamento del que trae causa. Y en tal sentido, se subraya que el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

109/164

objetivo que guía la elaboración del RGPD de garantizar una protección eficaz y
uniforme del derecho a la protección de datos personales en los Estados miembro de
la Unión.

Sobre este aspecto del RGPD dice la STJUE de 27/02/2025, asunto C-203/22:

"51 Por último, por lo que respecta a las finalidades del RGPD, es necesario
recordar que el objetivo de este Reglamento consiste, en particular, en
garantizar un nivel elevado de protección de los derechos y libertades
fundamentales de las personas físicas, sobre todo de su derecho a la
protección de los datos personales, consagrado en el artículo 16 TFUE y
garantizado como derecho fundamental en el artículo 8 de la Carta, que
completa el derecho a la vida privada garantizado en el artículo 7 de esta
[véase, en este sentido, la sentencia de 4 de octubre de 2024, Schrems
(Comunicación de datos al público en general), C 446/21, EU:C:2024:834,
apartado 45 y jurisprudencia citada].

52 Así, como precisa asimismo su considerando 11, el RGPD tiene como
finalidad reforzar y especificar los derechos de los interesados (sentencia de 4
de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C 487/21,
EU:C:2023:369, apartado 33 y jurisprudencia citada)"

El Considerando (11) indica que “La protección efectiva de los datos personales en la
Unión exige que se refuercen y especifiquen los derechos de los interesados y las
obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter
personal, y que en los Estados miembros se reconozcan poderes equivalentes para
supervisar y garantizar el cumplimiento de las normas relativas a la protección de los
datos de carácter personal y las infracciones se castiguen con sanciones
equivalentes.”

Con el propósito indicado el RGPD ha articulado mecanismos que la Directiva no
preveía con los que refuerza la eficacia del derecho fundamental y que no pueden
obviarse cuando se pretende interpretar una norma a la luz del RGPD. Cabe
mencionar, entre otros, el principio de responsabilidad proactiva (artículo 5.2), que se
proyecta sobre la totalidad de los principios del artículo 5.1. del RGPD y que traslada
la carga de la prueba de su cumplimiento al responsable del tratamiento. El enfoque
del riesgo que para los derechos y libertades fundamentales de las personas físicas
puede derivarse del tratamiento de los datos de carácter personal que les conciernen,
de manera que la repercusión que puede llegar a tener en los derechos y libertades
fundamentales la vulneración del derecho a la protección de datos dota a este derecho
fundamental de un carácter instrumental en la protección del conjunto de derechos y
libertades fundamentales del individuo. O la protección desde el diseño, que obliga al
responsable a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar
y poder demostrar que el tratamiento es conforme con el presente Reglamento.

El nombre, apellidos, el NIF e incluso la dirección del establecimiento mercantil en los
casos que es también el domicilio particular del empresario autónomo, son datos
personales del individuo y no pierden su naturaleza por la circunstancia de que
desarrolle una actividad empresarial. Una interpretación extensiva del artículo 19.2 de
la LOPDGDD que propugnara que todos los datos de carácter personal de un
empresario autónomo, cuando el tratamiento guarde alguna relación con la actividad
empresarial, están excluidos de la protección que el RGDP garantiza a “todas las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

110/164

personas físicas” sería radicalmente contraria al espíritu del RGPD y no tendría
soporte en uno solo de sus preceptos.

La interpretación del artículo 19.2 de la LOPDGDD que defendiera que el tratamiento
de todo dato de un empresario autónomo cuando “se refieran a ellos únicamente en
dicha condición” goza, de una presunción de licitud, anula de facto para este colectivo
de individuos el principio de responsabilidad proactiva (artículo 5.2) en lo que
concierne a la licitud del tratamiento de sus datos personales y con ello las garantías
que el RGPD establece para la protección de los derechos de las personas físicas.
Esto, insistimos, cuando los datos personales tratados nunca han perdido ese carácter
por el hecho de que su tratamiento se refiera a la persona física empresaria en tal
condición, expresión muy difícil de concretar en la práctica y que conduce
inexorablemente a una permanente situación de incertidumbre jurídica en lo que se
refiere a la protección de los datos personales de más de un millón y medio de
individuos.

La tesis favorable a entender comprendido en el artículo 19.2 de la LOPDGDD todos
los datos de las personas físicas que son empresarios autónomos no solo es contrario
al espíritu del RGPD y de sus disposiciones, además supondría una restricción de un
derecho fundamental desproporcionada en relación con los fines que persigue por
cuanto limitaría para un determinado colectivo el nivel de protección de los derechos y
libertades fundamentales de las personas físicas que persigue.

Interpretación que se refuerza con la reciente STJUE, 3 de abril de 2025, asunto C-
710/23, que en relación con los datos de las personas físicas que representan a las
personas jurídicas indica:

“22 Así pues, la información relativa a la identidad de las personas físicas
identificadas o identificables que, como órgano legalmente previsto o como
miembros de tal órgano, tengan poder para obligar a una sociedad con
respecto a terceros constituye «datos personales», en el sentido del artículo 4,
punto 1, del RGPD. El hecho de que esa información se integre en el contexto
de una actividad profesional no puede privarla de su calificación como datos
personales (véase, por analogía, la sentencia de 9 de marzo de 2017, Manni,
C-398/15, EU:C:2017:197, apartados 32 y 34 y jurisprudencia citada).

23 Como señala la Comisión, esta interpretación no puede ser invalidada
por el considerando 14 del RGPD, porque la segunda frase de este
considerando hace referencia al «nombre» y a los «datos de contacto» de la
persona jurídica, y no de las personas físicas que actúan en nombre o por
cuenta de una persona jurídica.

24 Concretamente, debe señalarse que el nombre y apellidos de una
persona física identificada o identificable constituyen datos personales, en el
sentido del artículo 4, punto 1, del RGPD. Lo mismo cabe decir de la firma de
tal persona física (véase, en este sentido, la sentencia de 4 de octubre de
2024, Agentsia po vpisvaniyata, C-200/23, EU:C:2024:827, apartado 136).

28 En todo caso, del tenor del artículo 4, punto 2, del RGPD no se
desprende en modo alguno que el legislador de la Unión quisiera reservar la
calificación de «tratamiento» a tales operaciones en función de la finalidad de
estas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

111/164

29 Esta interpretación es conforme con el objetivo perseguido por el RGPD
según resulta del artículo 1 y de los considerandos 1 y 10 de este Reglamento,
que consiste, en particular, en garantizar un elevado nivel de protección de los
derechos y libertades fundamentales de las personas físicas, sobre todo del
derecho al respecto de la vida privada, en relación con el tratamiento de los
datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el
artículo 16 TFUE, apartado 1 (véase, en este sentido, la sentencia de 9 de
enero de 2025, Association Mousse, C-394/23, EU:C:2025:2, apartado 21 y
jurisprudencia citada).

30 En concreto, la comunicación de datos como el nombre, los apellidos, la
firma y los datos de contacto de una persona física que representa a una
persona jurídica está comprendida en el concepto de «tratamiento», en el
sentido del artículo 4, punto 2, del RGPD. Como se desprende de los
apartados 27 a 29 de la presente sentencia, la circunstancia de que la
comunicación de tales datos tenga como única finalidad posibilitar la
identificación de una persona física autorizada a actuar en nombre de una
persona jurídica carece de pertinencia a efectos de la calificación como
«tratamiento», en el sentido de dicha disposición.

31 Habida cuenta de las consideraciones anteriores, procede responder a la
primera cuestión prejudicial que el artículo 4, puntos 1 y 2, del RGPD debe
interpretarse en el sentido de que la comunicación del nombre, de los
apellidos, de la firma y de los datos de contacto de una persona física que
representa a una persona jurídica constituye un tratamiento de datos
personales. La circunstancia de que esa comunicación se efectúe con el único
fin de posibilitar la identificación de una persona física autorizada a actuar en
nombre de dicha persona jurídica carece de pertinencia a este respecto.”

En consecuencia, esta Agencia entiende por ello que el tratamiento de datos
personales de un empresario persona física que no sean datos de contacto no goza de
la presunción de licitud basada en el artículo 6.1.f) del RGPD. Y esto, aunque el
tratamiento se refiera a datos de la persona física en su condición de empresario y
aunque el tratamiento no tenga por finalidad entablar una relación personal. La
consecuencia es, de conformidad con el principio de responsabilidad proactiva
(artículo 5.2 RGPD), que el responsable del tratamiento de datos personales de
empresarios individuales distintos de los datos de contacto no goza de la presunción
prevista en el artículo 19 de la LOPDGDD y tiene la carga de acreditar que el
tratamiento efectuado está amparado en un fundamento de licitud conforme al art. 6
del RGPD.

El sentido que a juicio de esta Agencia tiene el artículo 19.2 de la LOPDGDD
únicamente excluiría de la presunción de licitud los datos de contacto, por lo que el
responsable estará obligado a demostrar que el tratamiento de otros datos de los
empresarios individuales fue lícito por concurrir una base jurídica conforme al RGPD.

No obstante, sentado lo anterior, cabe referirse al supuesto de hecho particular que
aquí nos ocupa: el tratamiento de los datos de los empresarios individuales
procedentes de las Administraciones tributarias, en virtud de la Ley 4/2014, para los
fines expresamente determinados en la ley como son la elaboración del censo público,
el cumplimiento de funciones público-administrativas y la elaboración del censo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

112/164

electoral, sin que puedan ser utilizados para otra finalidad distinta de la establecida en
la ley. La comunicación de datos que realizan las Administraciones tributarias tiene su
amparo en la base de legitimación contenida en el art. 6.1.c) del RGPD, por cuanto
viene impuesta en la Ley 4/2014. Se hace especialmente complejo admitir un
tratamiento basado en el interés legítimo a partir de una finalidad impuesta por la ley.
Ello, en el mejor de los casos exigiría determinar un interés legítimo de intensidad
suficiente al tiempo de quedar garantizadas estructuralmente los derechos de los
afectados.

aun valorando que los intereses perseguidos podrían ser de intensidad y alcance
suficiente, en un supuesto de legitimación por interés legítimo sin un particular
sustento o presunción legal, habrían de ir acompañados de una ponderación y
evaluación estricta de que el tratamiento sea estrictamente proporcional. Siempre
acompañado de una actividad probatoria por quien no goza de una presunción legal
de interés legítimo. Así, en su caso, para que el interés legítimo pueda admitirse como
base válida de legitimación en un tratamiento de datos personales, especialmente
conforme más impactante y masivo sea el tratamiento, como lo sería en el caso
presente, sería necesario que se apliquen de forma efectiva una serie de garantías
compensatorias que aseguren la protección de los derechos y libertades de las
personas afectadas. El tratamiento debe ser estrictamente proporcional, lo que exige
que no se exceda en los datos tratados ni en los fines perseguidos. Además, debe
garantizarse la transparencia frente al interesado, informando de manera clara y
accesible sobre la base jurídica invocada y los intereses perseguidos. Es esencial que
el ejercicio del derecho de oposición esté realmente garantizado en la práctica,
incluyendo canales sencillos, eficaces y accesibles para su ejercicio. Asimismo, deben
adoptarse medidas técnicas y organizativas destinadas a reducir el impacto del
tratamiento sobre los derechos de los interesados, lo que puede incluir la
anonimización o seudonimización de los datos cuando sea posible. La entidad
responsable del tratamiento deberá haber realizado una evaluación previa de impacto
en protección de datos en los casos exigidos por la normativa o cuando el tratamiento
sea especialmente sensible, y valorar, en su caso, la necesidad de una consulta previa
a la autoridad de control. También debe poder demostrar que ha considerado la
expectativa razonable del interesado en función del contexto en que los datos fueron
recogidos.
Por otro lado, es aconsejable disponer de controles internos y auditorías periódicas
que verifiquen el cumplimiento de estas garantías, así como establecer mecanismos
adicionales de protección, como códigos de conducta o esquemas de certificación.
Todo ello puede completarse con una revisión periódica del tratamiento y de sus
efectos sobre los derechos de los afectados, con el fin de valorar si las condiciones del
interés legítimo y las medidas compensatorias siguen siendo adecuadas y
proporcionadas en el tiempo.
Esto significa que no debe tratarse más información de la imprescindible, ni
conservarla durante más tiempo del necesario. La minimización de datos y la limitación
de la finalidad se convierten así en condiciones ineludibles para validar el juicio de
necesidad.
En el caso presente, además, los interesados no tendrían ninguna expectativa de que
sus datos pudieran ser objeto del tratamiento.

VII
Contestación a las alegaciones al acuerdo de inicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

113/164

1.- CAMERDATA solicita que se declare la nulidad del procedimiento e invoca la
existencia de un vicio de nulidad radical como consecuencia de la vulneración del
derecho de defensa que garantiza el artículo 24 de la Constitución.

En tal sentido, cabe recordar que, según la doctrina reiteradamente expuesta por el
Tribunal Constitucional (TC), para que pueda apreciarse la existencia de indefensión
no es suficiente que se haya producido una infracción formal, sino que es preciso que
se haya causado una indefensión de carácter material. La STC 290/1993, Fundamento
jurídico 4, dice: “Para que pueda estimarse una indefensión con relevancia
constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y
defender en el proceso sus derechos, no basta con una vulneración meramente
formal, siendo necesario que de esa infracción formal se derive un efecto material de
indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998,
fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los
interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989,
fundamento jurídico 2º)". (El subrayado es nuestro)

-El primero de los hechos que CAMERDATA invoca como causante de la indefensión
es “haberle dirigido un requerimiento de información, previo a la incoación del
expediente, sin que se le informara del motivo de tal requerimiento”. Sobre ese
particular se hacen estas consideraciones:

Entre los poderes que el artículo 58.1 del RGPD otorga a las autoridades de
protección de datos se recogen:
“a) ordenar al responsable y al encargado del tratamiento y, en su caso, al
representante del responsable o del encargado, que faciliten cualquier información
que requiera para el desempeño de sus funciones;
[…]
e)obtener del responsable y del encargado del tratamiento el acceso a todos los datos
personales y a todo la información necesaria para el ejercicio de sus funciones”.

Debemos indicar, además, que el incumplimiento de esas órdenes está tipificado como
infracción administrativa en el RGPD, cuyo artículo 83.5 establece que se sancionará
“e) […] el no facilitar acceso en incumplimiento del artículo 58, apartado 1.”

A su vez, la LOPDGDD dispone en el artículo 47 que “Corresponde a la Agencia
Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del
Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el
artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la
presente ley orgánica y en sus disposiciones de desarrollo.”

El artículo 51 de la LOPDGDD se refiere de manera particular a las funciones de
inspección y en sus apartados 2 y 4 dice: “2.La actividad de investigación se llevará a
cabo por los funcionarios de la Agencia Española de Protección de Datos o por
funcionarios ajenos a ella habilitados expresamente por su Presidencia.”“4.Los
funcionarios que desarrollen actividades de investigación tendrán la consideración de
agentes de la autoridad en el ejercicio de sus funciones, y estarán obligados a guardar
secreto sobre las informaciones que conozcan con ocasión de dicho ejercicio, incluso
después de haber cesado en él.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

114/164

El alcance de la actividad de investigación se concreta en el artículo 53 de la
LOPDGDD en estos términos:
“1. Quienes desarrollen la actividad de investigación podrán recabar las informaciones
precisas para el cumplimiento de sus funciones, realizar inspecciones, requerir la
exhibición o el envío de los documentos y datos necesarios, examinarlos en el lugar
en que se encuentren depositados o en donde se lleven a cabo los tratamientos,
obtener copia de ellos, inspeccionar los equipos físicos y lógicos y requerir la
ejecución de tratamientos y programas o procedimientos de gestión y soporte del
tratamiento sujetos a investigación.”

Y correlativamente a estas funciones la LOPDGDD prevé un deber de colaboración en
el desarrollo de las investigaciones que lleva a cabo la Agencia: el artículo 52, “Deber
de colaboración”, dispone:
“1. Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y
los particulares estarán obligados a proporcionar a la Agencia Española de Protección
de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a
cabo su actividad de investigación.
Cuando la información contenga datos personales la comunicación de dichos datos
estará amparada por lo dispuesto en el artículo 6.1 c) del Reglamento (UE) 2016/679.”

En conclusión, existe un Reglamento europeo que obliga al responsable del
tratamiento a facilitar a la autoridad supervisora el acceso a la información necesaria
para el ejercicio de sus funciones y, además, tipifica como infracción administrativa el
incumplimiento de tal obligación. Y una Ley Orgánica que determina quién llevará a
cabo la labor de inspección, detalla las actividades en las que puede materializarse la
actuación inspectora y fija un deber de colaboración.

Las actuaciones de investigación en el curso de las cuales se dirigió a CAMERDATA
un requerimiento para que facilitara a esta Agencia la información y aportara los
documentos que le fueron solicitados, se abrieron por un acuerdo de la Directora de la
Agencia y se llevaron a cabo por un inspector de esta Agencia Española de Protección
de Datos, por tanto, con la cobertura que ofrece la LOPDGDD y el RGPD.

Cabe añadir que este tipo de actuaciones de inspección previa al inicio de un
procedimiento administrativo sancionador, cuando, como aquí acontece, están
recogidas en una Ley que además ha previsto sancionar su incumplimiento, son
acordes con el derecho a no auto inculparse y no representan -como se sugiere de
contrario- un menoscabo del derecho de defensa.

El Tribunal Constitucional (T.C.)se ha pronunciado sobre la obligada compatibilidad del
derecho a no auto incriminarse con ciertos deberes legales que pesan sobre el
administrado de colaborar con la Administración. El T.C. ha considerado trasladable al
ámbito del procedimiento sancionador el derecho a no declarar contra sí mismo (STC
197/1995, de 21 de diciembre) pero precisa que con matizaciones.

En ese sentido, a juicio del T.C., la matización básica que sufre este derecho es que
en el procedimiento administrativo sancionador debe conciliarse, por imperativo legal y
con la finalidad de garantizar bienes jurídicos trascendentales, con el cumplimiento por
parte del imputado, bajo amenaza de sanción, de ciertos deberes de colaborar con la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

115/164

Administración en la investigación o inspección de hechos. La STC 161/1997, de 2 de
octubre, afirma que el deber legal del conductor de un vehículo a motor de someterse
a la prueba de alcoholemia es acorde con el derecho a no declarar contra sí mismo
pues “en el complejo equilibrio de garantías e intereses que se concitan en el
procedimiento sancionador: las garantías frente a la autoincriminación […] no
alcanzan […] a integrar[…] la facultad de sustraerse a las diligencias de prevención,
de indagación o de prueba que […] puedan disponer las autoridades […] La
configuración genérica de un derecho a no soportar ninguna diligencia de prueba
dejaría inermes a los poderes públicos en el desempeño de sus funciones”. En el
mismo sentido se pronuncian las SSTC 76/1990, de 26 de abril y 197/1995 de 21 de
diciembre. En la jurisprudencia ordinaria existen también resoluciones en la misma
línea, por todas nos referimos a la STS de 21/05/2008 (rec. 3378/2007).

Por tanto, debe rechazarse la pretendida indefensión de la entidad CAMERDATA
causada por el hecho de que, en el marco de unas actuaciones de inspección, la
Inspección de Datos de la Agencia le dirigiera un requerimiento informativo previo a la
incoación del expediente sancionador. Tampoco puede derivarse indefensión por el
hecho de no haberle informado del motivo de tal requerimiento, pues esas actuaciones
se abrieron por acuerdo de la Directora de la Agencia conforme a la previsto en la
LOPDGDD.

- Por lo que atañe a la otra situación de indefensión alegada -haberle dado traslado de
un expediente administrativo voluminoso (de 1.807 páginas) “sin concederle un plazo
adicional” por lo que, dice, “ha sido materialmente imposible a esta empresa estudiar
dicho expediente, por lo que se le han mermado gravemente sus derecho de
defensa,”- son obligadas dos precisiones a tenor de las cuales la pretendida nulidad no
puede prosperar.

La primera precisión es que el tiempo máximo por el que se puede ampliar un plazo
administrativo a tenor de la LPACAP es la mitad del fijado inicialmente para el trámite
en cuestión. El artículo 32 de la LPACAP dice que “La Administración, salvo precepto
en contrario, podrá conceder de oficio o a petición de los interesados, una ampliación
de los plazos establecidos, que no exceda de la mitad de los mismos,[…]”.

Consta acreditado en la documentación que obra en el expediente que en escrito
firmado por el órgano instructor el 10/05/2024, a solicitud de CAMERDATA, se acordó
ampliar el plazo inicialmente fijado para formular alegaciones -10 días hábiles- por el
máximo permitido legalmente -5 días hábiles-. De manera que, en contra de lo que
erróneamente afirma CAMERDATA, sí se le concedió una ampliación de plazo para
alegar y ,además, por el máximo tiempo permitido.

La segunda precisión tiene que ver con la realidad de lo acontecido -extremos que
están acreditados por medio de la documentación del expediente- que vienen a
demostrar hasta qué punto la falta de tiempo para formular sus alegaciones y proponer
prueba está relacionada con la gestión que ha hecho esa entidad.

CAMERDATA aceptó la notificación del acuerdo de inicio el 25/04/2024 iniciándose al
día siguiente, el 26/04/2024, el cómputo del plazo de diez días hábiles para alegar. La
entidad solicita que se amplíe el plazo de alegaciones y la entrega de una copia del
expediente en escrito que presenta el 07/05/2024: cuando ya habían transcurrido 6
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

116/164

días hábiles de los 10 concedidos para alegar. En escrito de fecha 10/05/2024,
notificado electrónicamente el mismo día y cuya aceptación consta que tuvo lugar el
14/05/2024, se le comunica la ampliación del plazo que había solicitado y se le informa
del envío de la documentación. Respecto a la documentación solicitada, que, por su
volumen y por el formato de alguno de sus documentos, fue preciso enviar a través de
mensajería postal, CAMERDATA declara que la recibió el 13/05/2024.

Sin perjuicio de lo indicado y a mayor abundamiento, se pone de relieve que han
transcurrido varios meses desde que CAMERDATA tuvo en su poder la documentación
del expediente que le fue remitida -documentación que, por lo demás, conocía ya
antes sino en su totalidad sí en su gran mayoría- y, sin embargo, no ha hecho uso de
la posibilidad que le ofrece el artículo 76 de la LPACAP para presentar hasta el trámite
de audiencia alegaciones, documentos u otros elementos de juicio que convengan a
su derecho.

Por lo expuesto, la pretensión de que se declare la nulidad del procedimiento por una
supuesta vulneración del derecho de defensa no puede admitirse.

2. En defensa de su pretensión de que se proceda al archivo del procedimiento,
CAMERDATA alega la inexistencia de las infracciones que se le imputaron en el
acuerdo de inicio. En síntesis, expone estos argumentos:

2.1.Infracciones del artículo 6.1 del RGPD:

El acuerdo de inicio de este procedimiento imputó a CAMERDATA tres presuntas
infracciones del artículo 6.1del RGPD concretadas cada una de ellas en estos
tratamientos:
“a) Haber recogido y procesado en su propio sistema de información los datos
transmitidos por la CDE sin un fundamento de licitud.
b) Haber cedido a terceras entidades, sin un fundamento de licitud, su Fichero de
Empresas Españolas, cuyos datos más relevantes, como el NIF, los obtuvo de la CDE.
c) Haber cedido a la empresa KOMPASS su Fichero con la doble finalidad de que le
preste un servicio de realimentación de la información recogida en él y para el uso por
esta entidad para sus propias actividades.”

2.1.1. Infracciones de los apartados a) y b).

Invoca la existencia de una base jurídica de licitud, el artículo 6.1.f) del RGPD,
apoyado en la presunción iuris tantum de licitud del artículo 19.2 de la LOPDGDD. La
consecuencia, a su entender, es que corresponde a esta Agencia enervar la
presunción de licitud de la que goza, que considera extensible a todos los datos de los
empresarios en cuanto tales (en el que incluye el NIF).

Invoca la ausencia del elemento subjetivo de la culpabilidad que determinaría la
inexistencia de la infracción. Fundamenta la ausencia de culpabilidad “en la confianza
legítima que ha generado la propia actuación de la AEPD” en relación con el
tratamiento que viene haciendo de los datos de los empresarios autónomos.

Subsidiariamente invoca la inaplicación de las circunstancias apreciadas como
agravantes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

117/164

2.1.2.Infracción del apartado c)

Sobre la infracción del artículo 6.1.del RGPD descrita en el acuerdo de inicio en la letra
“c) Haber cedido a la empresa KOMPASS su Fichero con la doble finalidad de que le
preste un servicio de realimentación de la información recogida en él y para el uso por
esta entidad para sus propias actividades”-

CAMERDATA alega que los datos cedidos son, exclusivamente, datos de empresas
constituidas como personas jurídicas, por lo que rechaza que pueda vulnerarse el
RGPD. Subsidiariamente invoca la inaplicación de las circunstancias apreciadas como
agravantes.

El examen de esta infracción y de las alegaciones formuladas por CAMERDATA se
realiza en el Fundamento VI de esta propuesta de resolución.

2.2. Infracción del artículo 14 del RGPD

CAMERDATA entiende que las consideraciones y razonamientos jurídicos del acuerdo
de inicio no se ajustan a los hechos ni al ordenamiento jurídico por los siguientes
motivos:
a. La conducta descrita no constituye una infracción del artículo 14 del RGPD por
cuanto (i) se ha cumplido el deber de información a los interesados a tener del artículo
14.5.b) del RGPD, por concurrir un esfuerzo desproporcionado y(ii) por no haber sido
cometida con culpa o negligencia.

b. Subsidiariamente estima que no puede apreciarse la concurrencia de ninguno de los
factores utilizados para graduar el importe de la sanción de multa que podría
corresponderle: Gravedad, culpa o intencionalidad, categoría de datos sensible,
vinculación con la actividad del infractor.

El examen de esta infracción y de las alegaciones formuladas por CAMERDATA se
realiza en el Fundamento VIII de esta propuesta de resolución.

2.3. infracción del artículo 28 del RGPD.

Niega haber incurrido en la infracción de esta disposición que el acuerdo de inicio del
procedimiento sancionador le atribuyó al haber considerado que el contrato suscrito
con DMOVO ANALITYCS, S.L., de fecha 03/02/2020, para la prestación de
determinados servicios, “si bien contiene una cláusula de confidencialidad, no
incorpora las demás previsiones que el artículo 28.3 RGPD establece, por lo que ha
de entenderse incumplida esta obligación.”

El examen de esta infracción y de las alegaciones formuladas por CAMERDATA se
realiza en el Fundamento X de esta propuesta de resolución.

VIII

Contestación a las alegaciones a la propuesta de resolución

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

118/164

1. Según CAMERDATA se habría incumplido el principio de tipicidad
CAMERTATA se centra en reiterar que una interpretación literal o gramatical,
teleológica, que tenga en cuenta los antecedentes legislativos, la realidad social del
tiempo en que ha de ser aplicada, o basada en el contexto social y económico actual
en el que se aplica del artículo 19.2 de la LOPDPGDD, excluye que el tratamiento de
los datos de los empresarios individuales a los que se extiende la presunción de licitud
se limita a los meros “datos de contacto”.
Sin embargo, sobre esta cuestión ha de indicarse que el RGPD, de aplicación directa
en España desde 2018, no contempla ninguna exclusión general para los datos de
empresarios individuales. Por el contrario, considera que cualquier dato relativo a una
persona física identificada o identificable es un dato personal y debe estar sujeto a las
garantías establecidas en la normativa. En este sentido, el artículo 19.2 de la
LOPDGDD sólo prevé un interés legítimo para el tratamiento de datos de contacto de
empresarios individuales en el marco de relaciones profesionales, y bajo determinadas
condiciones o garantías.
El artículo 2.3 del RLOPD hacía referencia a "comerciantes, industriales o navieros",
pero sin establecer un principio general de exclusión del régimen de protección de
datos, sino delimitando en qué casos concretos podría no aplicarse. La LOPDGDD
deroga expresamente cuantas disposiciones de igual o inferior rango contradigan, se
opongan, o resulten incompatibles con lo dispuesto en el RGPD y en la LOPDGDD
(Disposición derogatoria única, apartado 3). El RGPD, no excluye de su manto
protector a los empresarios individuales, por tanto, ha de considerarse expresamente
derogado el artículo 2.3 del RLOPD.
El artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación, establece que la información
proporcionada por la Agencia Estatal de Administración Tributaria (AEAT) a las
Cámaras de Comercio debe destinarse exclusivamente a la elaboración del censo
público de empresas, censo electoral, y a las funciones públicas que la propia ley
atribuye a estas entidades.
Este límite legal impide un uso ulterior de los datos por parte de terceros con fines
distintos a los expresamente previstos en la norma, como es su comercialización a
través de bases de datos empresariales. CAMERDATA pretende ampararse en la
presunción del artículo 19.2 de la LOPDGDD sin tener en cuenta los límites de esta
presunción que además admite prueba en contrario al tratarse de una presunción iuris
tantum y que no admite tratamientos contrarios a la ley.
El Comité Europeo de Protección de Datos (CEPD) ha reiterado en sus Directrices
1/2024 sobre el tratamiento de datos personales basado en el interés legítimo que la
existencia de un interés legítimo exige un interés lícito lo que no ocurre en este caso.
Finalmente, en cuanto a que el NIF es imprescindible para el debido cumplimiento de
la obligación legal de proporcionar datos veraces y exactos y que es un dato de
carácter empresarial, hay que señalar es el propio art. 8 de Ley 4/2014 el que impone
la limitación del derecho fundamental a la protección de datos, confiriendo a CDE y a
las Cámaras la obligación de elaborar un censo público de empresas. Es esta ley la
que establece el alcance de la limitación al establecer su finalidad, como exige el
artículo 6.3 del RGPD, sin que el tratamiento de los datos pueda ir más allá de la
finalidad establecida legalmente. El artículo 8 no dice nada acerca de las condiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

119/164

en que un tratamiento ulterior de datos personales puede considerarse compatible con
los fines de su recogida inicial. El NIF no se publica en el censo público de empresas y
la ley habilitante establece una obligación de sigilo respecto de los datos suministrados
por las Administraciones tributarias. Por tanto, no cabe esgrimir la existencia de un
supuesto interés legítimo para justificar un tratamiento de datos que se encuentra
prohibido.
2. En relación con la ausencia de infracción del art. 14 del RGPD por cuanto a juicio de
CAMERDATA sería de aplicación la excepción recogida en en la letra b) del apartado 5
del art. 14, cabe indicar lo siguiente:

La alegación presentada por CAMERDATA pretende justificar la omisión del deber de
información del artículo 14 del RGPD mediante la invocación de la excepción
contemplada en su apartado 5.b), aludiendo a un supuesto esfuerzo desproporcionado
por la elevada cantidad de interesados.
Sin embargo, esta argumentación no puede prosperar por varias razones.
El Considerando 62 del RGPD, así como las Directrices sobre Transparencia del
CEPD, dejan claro que la exención debe interpretarse de forma restrictiva y solo puede
aplicarse cuando concurran circunstancias excepcionales, debiendo el responsable
probar de forma específica y documentada que se cumplen todos los requisitos.
En este caso, CAMERDATA no ha acreditado la imposibilidad técnica ni ha justificado
con criterios objetivos y verificables que el esfuerzo económico o administrativo resulte
efectivamente desproporcionado en los términos exigidos por el RGPD.
Y, sobre todo, y para el caso de admitir el esfuerzo desproporcionado de informar a
todos los interesados, habría sido imprescindible acreditar que hubiera adoptado las
medidas adecuadas para proteger los derechos, libertades e intereses legítimos de los
autónomos, en particular que hubieran puesto a su disposición la información que está
obligada a proporcionar de acuerdo con el artículo 14 apartados 1 y 2 del RGPD.
La publicación de una política de privacidad en una página web, no puede
considerarse una medida adecuada por sí sola cuando el tratamiento implica la
recogida y cesión de datos personales sin conocimiento previo de los interesados.
En este sentido, indican las Directrices sobre transparencia en virtud del Reglamento
2016/679 (wp260rev.01) del antiguo GT29, adoptadas por el CEPD, lo siguiente:
“64. Cuando un responsable del tratamiento pretenda acogerse a la excepción
contemplada en el artículo 14, apartado 5, letra b), aduciendo que facilitar la
información supondría un esfuerzo desproporcionado, este debe sopesar el
esfuerzo que implica para él facilitar la información al interesado y los efectos y
la repercusión de no recibir la información para el interesado. El responsable
del tratamiento debe documentar esta evaluación de conformidad con sus
obligaciones de responsabilidad proactiva. En tal caso, el artículo 14, apartado
5, letra b), especifica que el responsable del tratamiento debe adoptar medidas
adecuadas para proteger los derechos, libertades e intereses legítimos del
interesado. Esto se aplica igualmente cuando un responsable determina que
resulta imposible facilitar la información o que hacerlo podría imposibilitar u
obstaculizar gravemente el logro de los objetivos del tratamiento. Una medida
adecuada, tal como se especifica en el artículo 14, apartado 5, letra b), que los
responsables siempre deben adoptar es hacer pública la información. Los
responsables pueden hacerlo de varias formas, por ejemplo publicando la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

120/164

información en su sitio web, o anunciando proactivamente la información en un
periódico o en carteles en sus instalaciones. Además de hacer pública la
información, el resto de medidas adecuadas dependerá de las circunstancias
del tratamiento, pero estas pueden ser: llevar a cabo una evaluación de
impacto relativa a la protección de datos; aplicar técnicas de seudonimización a
los datos; minimizar los datos recogidos y el periodo de almacenamiento; y
aplicar medidas técnicas y organizativas para garantizar un nivel elevado de
seguridad. Por otro lado, pueden darse situaciones en las que el responsable
esté tratando datos personales sin que sea necesario identificar a los
interesados (por ejemplo, con datos seudonimizados). En tales cases, el
artículo 11, apartado 1, también puede ser pertinente, ya que dispone que un
responsable de datos no estará obligado a mantener, obtener o tratar
información adicional con vistas a identificar al interesado con la única finalidad
de cumplir el RGPD.”
Sin embargo, en este caso, CAMERDATA no ha adoptado ninguna medida adecuada
para proteger los derechos de los interesados. Aparte, tal y como ha señalado el
CEPD, este tipo de medidas no suple el deber de información individual,
especialmente en tratamientos con un alto impacto potencial sobre los derechos y
libertades de los afectados.
Por otra parte, no consta que CAMERDATA haya evaluado de forma individualizada
otras posibles medidas menos gravosas, como el envío de comunicaciones
progresivas o por capas, el uso de medios electrónicos automatizados, o cualquier
fórmula que, sin implicar un esfuerzo desproporcionado, garantizara un nivel mínimo
de información individualizada conforme al principio de transparencia.
En definitiva, la alegación presentada no acredita con el debido rigor que concurran los
requisitos legales para aplicar la excepción del artículo 14.5.b) del RGPD, ni que las
medidas adoptadas sean suficientes para sustituir el deber de información directa. La
actuación de CAMERDATA, por tanto, supone una vulneración clara del artículo 14, al
haberse tratado datos personales de miles de personas sin que estas hayan sido
informadas de manera efectiva y completa del tratamiento de sus datos personales, ni
de su procedencia, ni de sus derechos.
3 En cuanto, a la ausencia de culpabilidad debido a la existencia de causas
excluyentes de la culpabilidad en ambas infracciones, CAMERDATA argumenta que ha
realizado una Interpretación razonablemente justificada de la normativa aplicable
Pures bien, respecto de este argumento, es importante destacar que la Ley 40/2015
exige que las infracciones sean cometidas a título de dolo o culpa, pero esto no
significa que una empresa pueda eludir su responsabilidad alegando desconocimiento
o interpretaciones propias de la normativa. CAMERDATA tenía la obligación de
verificar la licitud de los datos que comercializaba, especialmente al tratar información
personal de empresarios individuales.
El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido
durante la vigencia de la derogada Directiva 95/46/CEE, cuyas previsiones son
aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es
la obligación del responsable del tratamiento de aplicar medidas que, en
circunstancias normales, garanticen que en el contexto de las operaciones de
tratamiento se cumplen las normas en materia de protección de datos y en tener
disponibles documentos que demuestren a los interesados y a las Autoridades de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

121/164

control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en
materia de protección de datos.
Se tiene en cuenta a estos efectos lo señalado en el considerando 74 del RGPD,
“Debe quedar establecida la responsabilidad del responsable del tratamiento por
cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En
particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y
ha de poder demostrar la conformidad de las actividades de tratamiento con el
presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener
en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el
riesgo para los derechos y libertades de las personas físicas.”
Completando lo anterior y en desarrollo del artículo 5.2 del RGPD se ha de citar el
artículo 24 y 25 del mismo texto legal, indicando este último respecto a la “Protección
de datos desde el diseño y por defecto” que el derecho fundamental a la protección de
los datos personales es mucho más que mera tecnología, pues su enfoque es en los
riesgos en los derechos y libertades de los interesados derivados del tratamiento de
los datos personales,
“1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la
naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de
diversa probabilidad y gravedad que entraña el tratamiento para los derechos y
libertades de las personas físicas, el responsable del tratamiento aplicará, tanto
en el momento de determinar los medios de tratamiento como en el momento
del propio tratamiento, medidas técnicas y organizativas apropiadas, como la
seudonimización, concebidas para aplicar de forma efectiva los principios de
protección de datos, como la minimización de datos, e integrar las garantías
necesarias en el tratamiento, a fin de cumplir los requisitos del presente
Reglamento y proteger los derechos de los interesados.
2. El responsable del tratamiento aplicará las medidas técnicas y organizativas
apropiadas con miras a garantizar que, por defecto, solo sean objeto de
tratamiento los datos personales que sean necesarios para cada uno de los
fines específicos del tratamiento…”.
La falta de medidas para garantizar el principio de licitud y el derecho de información a
los interesados evidencian una actuación negligente.
4.infracción de los criterios aplicados para graduar la sanción
Sobre este particular cabe señalar que los motivos que han determinado la graduación
de las sanciones a imponer se recogen en el fundamento XIV de la presente
resolución, al que nos remitimos. No obstante, cabe resaltar lo siguiente:
El RGPD establece en su artículo 83.2 que la duración de una infracción y el número
de interesados es un criterio clave para graduar las sanciones, y ello es debido a que
refleja tanto el alcance del incumplimiento como la persistencia del responsable en
mantener una situación contraria a la normativa. En este caso, la continuidad del
tratamiento ilícito y la ausencia de información durante varios años a un volumen
elevado de interesados configura la gravedad de las infracciones, lo que agrava su
responsabilidad de CAMERDATA.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

122/164

En relación con el carácter especial del NIF, si bien el NIF no forma parte de las
categorías especiales de datos del artículo 9 del RGPD, su tratamiento indebido
reviste una especial sensibilidad, ya que constituye un dato clave para la identificación
y vinculación de una persona física con múltiples trámites administrativos, financieros y
fiscales, lo que agrava el impacto del tratamiento ilícito. El uso del NIF sin base jurídica
adecuada y sin la debida información a los interesados incrementa los riesgos de
suplantación de identidad y de utilización indebida, lo que implica la necesidad de
aplicar una sanción proporcional a la gravedad de la conducta infractora
Sobre la vinculación de la actividad del infractor, el artículo 76.2 de la LOPDGDD
indica que “De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta: (…)
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.”
El legislador ha previsto la posibilidad de que se tenga en consideración si el infractor
por su actividad está vinculado a la realización de tratamientos de datos personales,
por lo que la posibilidad de “reproche” ante la infracción podría ser mayor, y en el
presente caso lo es, se trata de una empresa vinculada a la realización de
tratamientos de datos personales, por lo que tal circunstancia ha sido tenido en cuenta
por esta Agencia para la graduación de la multa por las infracciones objeto del
presente procedimiento sancionador
En este sentido, la Audiencia Nacional ha considerado que es correcto apreciar la
agravante prevista en el art. 76.2.b) de la LOPDGDD siempre que exista la vinculación
antedicha y así lo ha considerado en numerosas sentencias, entre otras la fecha
04/07/2024, (rec. 382/2022) señala con relación a la citada circunstancia que:
“Como también, cabe apreciar la agravante del carácter continuado de la infracción,
recogida en el art. 76.2.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales, remitiéndonos para ello
cuando analizamos la aplicación del RGPD a la infracción que nos ocupa Como
igualmente, la apreciación de la vinculación de la actividad del infractor con la
realización de tratamientos de datos personales ( art. 72.2.b) la Ley Orgánica 3/2018,
de 5 de diciembre), debido a que la actividad de la parte recurrente está vinculada con
el tratamiento de datos tanto de clientes como de terceros; es conocida la citada
vinculación ya que la entidad por su actividad está en permanente contacto con
clientes y terceros tratando un gran volumen de datos, lo que le impone un mayor
deber de diligencia”
5. En lo atinente a la infracción del principio de proporcionalidad.
Hay que señalar que el artículo 83.1 del RGPD previene que “Cada autoridad de
control garantizará que la imposición de las multas administrativas con arreglo al
presente artículo por las infracciones del presente Reglamento indicadas en los
apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y
disuasoria”.
Las multas por tanto según se deduce del precepto invocado han de ser efectivas,
proporcionadas y disuasorias para la consecución de la finalidad pretendida por el
RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

123/164

Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario
que varios elementos se desplieguen de forma íntegra y completa. La aplicación de
reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los
Estados miembros aplicando su derecho nacional, ya sea por circunstancias
agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso
español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su
sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas
impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y
disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía
efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se
disminuirían los mecanismos de protección de los derechos y las libertades de los
ciudadanos y sería contrario con el espíritu del RGPD.
El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.
En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en
numerosas sentencias ha señalado que el principio de proporcionalidad no puede
sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la
Administración en la imposición de sanciones dentro de los límites legalmente
previstos, debe ser desarrollado ponderando en todo caso, las circunstancias
concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos
imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en
congruencia con la entidad de la infracción cometida y según un criterio de
proporcionalidad en relación con las circunstancias del hecho. De modo que la
proporcionalidad constituye un principio normativo que se impone a la Administración y
que reduce el ámbito de sus potestades sancionadoras.
Pues bien, de conformidad con las circunstancias que concurren en el presente caso,
las cuales han sido evaluadas meticulosa y convenientemente, la presente resolución
no vulnera el principio de proporcionalidad en la determinación de la sanción impuesta,
resultando ponderada y proporcionada a la gravedad de la infracción cometida, la
importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar
la sanción, sin que se aprecien razones que justifiquen aún más la minoración
efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas
sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción de
los artículos 6 y 14 del RGDP, “multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía”
En el presente caso, CAMERDATA cuenta con un volumen de negocio de resultando
que las multas impuestas por las infracciones de los artículos 6 y 14 del RGPD
ascienden a la cantidad de 100.000 euros que estarían en tramo inferior de la posible
multa administrativa que pudiera imponerse al responsable del tratamiento y muy lejos
del 4% como máximo del volumen de negocio total anual global del ejercicio financiero
anterior teniendo en consideración el volumen de negocio.
6- En relación con el carácter improcedente y desproporcionado de las medidas
correctivas propuestas, se indica que
En el presente caso se ordenan medidas correctoras a fin de evitar incidencias como
la producida y que ha dado lugar a la apertura del procedimiento sancionador. El
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

124/164

RGPD atribuye a la AEPD como autoridad de control poderes correctivos en su
artículo 58.2, apartados a) a j). Concretamente la letra d) del precepto establece que la
autoridad de control podrá “ordenar al responsable o encargado del tratamiento que
las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo …”
Las medidas correctivas que se ordenan en esta resolución tienden a solventar la
infracción cometida y a que puedan ser corregidos los efectos de la infracción, y ello
con la finalidad de que no se siga vulnerando el Derecho Fundamental a la protección
de datos de carácter personal de los interesados, por lo que no ca be hablar de
desproporcionalidad de la medida cuando lo único que pretende es impedir que se
siga incumpliendo el RGPD.
IX
Infracción de artículo 6.1 del RGPD

El artículo 5 del RGPD relativo a los principios que presiden el tratamiento de datos de
carácter personal, recoge entre ellos, artículo 5.1.a), el principio de licitud. Todo
tratamiento de datos de carácter personal necesita estar basado en alguna de las
causas de licitud que relaciona taxativamente el artículo 6.1 del RGPD, precepto que
dispone:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”

El principio de licitud garantiza que todas las operaciones de tratamiento de datos se
realicen con una base jurídica válida; que durante todo el ciclo del tratamiento los
datos se traten con una causa de justificación. Para cada diferente operación de
tratamiento el responsable debe establecer un fundamento jurídico válido y apropiado
al fin específico de ese tratamiento En virtud de este principio se obliga a los
responsables de tratamientos de datos a identificar una base jurídica válida antes de
proceder a cualquier operación de tratamiento.

El considerando 40 del RGPD dice:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

125/164

“Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

2. Se atribuye a CAMERDATA una infracción del artículo 6.1 del RGPD al haber
tratado sin una base jurídica adecuada con arreglo al RGPD datos personales de los
empresarios personas físicas, pues recoge los datos que le cede la CDE, los procesa
en su propio sistema de información y los cede a terceras entidades para su
explotación o para la realimentación de su propio fichero (denominado Fichero de
Empresas Españolas o FEE) o a personas individuales para su tratamiento con fines
propios.

El acuerdo de inicio de este procedimiento imputó a CAMERDATA tres presuntas
infracciones del artículo 6.1 del RGPD concretadas cada una de ellas en estos
tratamientos:
“a) Haber recogido y procesado en su propio sistema de información los datos
transmitidos por la CDE sin un fundamento de licitud.
b) Haber cedido a terceras entidades, sin un fundamento de licitud, su Fichero de
Empresas Españolas, cuyos datos más relevantes, como el NIF, los obtuvo de la CDE.
c) Haber cedido a la empresa KOMPASS su Fichero con la doble finalidad de que le
preste un servicio de realimentación de la información recogida en él y para el uso por
esta entidad para sus propias actividades.”

Las actuaciones de investigación acreditan que en cumplimiento del artículo 8 de la
Ley 4/2014 las Administraciones tributarias transfieren a CDE información obtenida del
IAE y de los datos censales concernientes a empresarios individuales. Las condiciones
de aplicables a la cesión de la información tributaria de los empresarios autónomos por
la AEAT a la CDE se regula en el convenio suscrito el 20/12/2019 (Convenio para la
cesión de información de carácter tributario a las Cámaras Oficiales para el
cumplimiento de sus funciones público-administrativas). El convenio prohíbe (cláusula
cuarta) que pueda cederse a terceros la información recibida.

La CDE y CAMERDATA suscribieron en 2016 un contrato de “Cesión de Bases de
Datos Empresariales” cuyo objeto es la cesión y transferencia por la primera a la
segunda de “una copia de la totalidad de los datos empresariales obrantes en el
Censo Básico de Empresas referido en el anterior Expositivo V (en adelante la Base
de Datos Cedida) […] la cual contiene los campos de información que se indican en el
Anexo I […].”

El contrato estipula que “La Base de Datos Cedida se actualizará periódicamente en
los términos que las Partes convienen en el contrato y sus anexos”. Entre los datos
personales de los empresarios individuales que integran la “Base de Datos Cedida”
figura incluido el dato del NIF.

En tal sentido, el Anexo I del contrato detalla que la base de datos y sus
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

126/164

actualizaciones tendrán los siguiente campos de información respecto de cada
empresa que conste en ella: Con el número 1 el “NIF de la empresa”. El resto de los
campos de información de la Base de Datos que se cede y se actualiza son (2) el
nombre o denominación social de la empresa; (3) domicilio principal; (4) domicilio de
actividad; (5) sección de actividad IAE y (6) actividad IAE.

CAMERDATA informó en su respuesta al requerimiento de la Inspección de “todos” los
datos personales relativos a empresarios autónomos que se incluían en su base de
datos y detalló cuál era su origen y si se cedían a terceros. El primero de los datos
que, según declaró entonces, constaba en sus sistemas era el dato del NIF del que
dijo sobre su origen:
“El origen del dato es el censo público de empresas publicado por la Cámara de
Comercio de España conforme a lo dispuesto en la Ley 4/2014 (en adelante, Censo
público de empresas), y se obtiene cada vez que se carga un nuevo censo de
empresas.”

Y sobre su cesión, que “El dato NIF se cede a los clientes que solicitan los servicios de
información de empresas que ofrece Camerdata, entre ellos, por un lado, entidades
del sector denominado empresas infomediarias o reutilizadoras de información
(Axesor, Cerved, Datacentric, Equifax, Informa, Iberinform y Moody's) y, por otro lado,
clientes finalistas que lo solicitan para su uso exclusivo interno.”

Sin embargo, tal y como consta acreditado en el expediente, el censo público de
empresas, esto es, aquel que se publica en la página web de la CDE al amparo de la
habilitación que le otorga el artículo 8 de la Ley 4/2014, no incluye el dato del NIF de
los empresarios personas físicas. Los datos que constan en el censo público son,
exclusivamente, nombre, apellidos, dirección, código postal, municipio y actividad
(epígrafe del IAE y descripción de la actividad).

En el acuerdo de inicio del procedimiento se indicó que CDE, además de haber cedido
a CAMERDATA sin una base jurídica los datos que constan en el censo público de
empresas, le había facilitado otros datos adicionales, como es el dato del NIF. En
definitiva, que había facilitado a CAMERDATA información adicional a la que figura
publicada en el censo público, toda vez que el dato del NIF no está incluido en él.

Respondió CAMERDATA en sus alegaciones al acuerdo de inicio ofreciendo una
versión nueva de los hechos (que justifica en un error material) .Reconoce ahora que
el dato del NIF no figura en el censo público de empresas y manifiesta que la CDE no
le cede el dato del NIF de los empresarios autónomos, sino que lo obtiene por sus
propios medios, pues lo que recibe es el NIF encriptado en un algoritmo MD5.

Llegados a este punto es obligado hacer una referencia particular al origen de dato del
NIF de los empresarios personas físicas que trata CAMERDATA en sus sistemas. Si
bien la información inicial era que se lo facilitaba la CDE en texto plano y que procedía
del censo público de empresas, una vez demostrado que no constaba en el censo
público, sostiene que lo que la CDE le proporciona no es el NIF sino el hash de los NIF
dato que ella obtiene por sus propios medios.

Esta alegación, sin embargo, no puede admitirse. Lo que la CDE cede a CAMERDATA
es el dato del NIF de los autónomos si bien seudonimizado. El resultado de aplicar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

127/164

función hash sobre el dato del NIF de los autónomos no da como resultado, en este
caso, una información anonimizada y por tanto excluida del ámbito de aplicación del
RGPD, sino que lo que se obtiene es un dato personal seudoninimazado que
CAMERDATA revierte, como se desprende de sus declaraciones y de lo que se
expondrá a continuación.

El artículo 4.5 del RGDP define la seudonimización como “el tratamiento de datos
personales de manera tal que ya no puedan atribuirse a un interesado sin utilizar
información adicional, siempre que dicha información adicional figure por separado y
esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos
personales no se atribuyan a una persona física identificada o identificable”.

El Considerando 26 del RGPD indica que los datos anonimizados están fuera del
ámbito de aplicación del RGPD:

“Por lo tanto los principios de protección de datos no deben aplicarse a la información
anónima”. Y que sí están comprendidos en la protección que dispensa el RGPD los
datos seudonimizados y la información vinculada con ese conjunto de datos:

“Los principios de la protección de datos deben aplicarse a toda la información relativa
a una persona física identificada o identificable. Los datos personales
seudonimizados, que cabría atribuir a una persona física mediante la utilización de
información adicional, deben considerarse información sobre una persona física
identificable. Para determinar si una persona física es identificable, deben tenerse en
cuenta todos los medios, como la singularización, que razonablemente pueda utilizar
el responsable del tratamiento o cualquier otra persona para identificar directa o
indirectamente a la persona física. Para determinar si existe una probabilidad
razonable de que se utilicen medios para identificar a una persona física, deben
tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios
para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento
del tratamiento como los avances tecnológicos. “

El carácter de dato personal seudonimizado que, en este caso, tiene el resultado
obtenido de aplicar la función hash sobre una determinada información de entrada se
evidencia a la luz del Dictamen 05/2014 sobre técnicas de anonimización, WP216,
adoptado por el Grupo de Trabajo del artículo 29 (GT29) el 10/04/2014. Más clara aún
resulta su explicación cuando la información sobre la que se aplica la técnica es, como
aquí sucede, el dato del NIF y esta circunstancia es conocida por CAMERDATA.

El Dictamen 05/2014 del GT29 dedica un epígrafe específico a la seudonimiazión
sobre la que dice:
“La seudonimización consiste en la sustitución de un atributo (normalmente un
atributo único) por otro en un registro. Por consiguiente, sigue existiendo una
alta probabilidad de identificar a la persona física de manera indirecta; en otras
palabras, el uso exclusivo de la seudonimización no garantiza un conjunto de
datos anónimo. No obstante, el presente dictamen examina este método debido
a las numerosas ideas falsas y errores existentes sobre él.
La seudonimización reduce la vinculabilidad de un conjunto de datos con la
identidad del interesado; se trata, por tanto, de una medida de seguridad útil,
pero no es un método de anonimización.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

128/164

El resultado de la seudonimización puede ser independiente del valor inicial (tal
sería el caso de un número aleatorio generado por el responsable del
tratamiento o de un apellido escogido por el interesado) o bien derivarse de los
valores originales de un atributo o conjunto de atributos, como por ejemplo en el
caso de funciones hash o sistemas de cifrado.”

Se refiere a las técnicas de seudonimización más utilizadas y menciona la función
hash:

“ Función hash: Se trata de una función que devuelve un resultado de tamaño
fijo a partir de un valor de entrada de cualquier tamaño (esta entrada puede
estar formada por un solo atributo o por un conjunto de atributos). Esta función
no es reversible, es decir, no existe el riesgo de revertir el resultado, como en el
caso del cifrado. Sin embargo, si se conoce el rango de los valores de entrada
de la función hash, se pueden pasar estos valores por la función a fin de obtener
el valor real de un registro determinado. Por ejemplo, si se aplica la función hash
al número de identificación nacional para seudonimizar un conjunto de datos,
dicho atributo se puede obtener simplemente ejecutando la función con todos los
posibles valores de entrada y comparando los resultados con los valores del
conjunto de datos. Habitualmente, las funciones hash se diseñan para poder
ejecutarse de manera relativamente rápida, por lo que están sujetas a ataques
de fuerza bruta16. También se pueden crear tablas precalculadas para lograr
una reversión masiva de un gran número de valores hash.
El uso de una función hash «con sal» (en la que se añade un valor aleatorio,
conocido como «sal», al atributo al que se aplica la función hash) puede reducir
la probabilidad de obtener el valor de entrada. No obstante, usando medios
razonables, todavía existe la posibilidad de calcular el valor original del atributo
que se oculta tras el resultado de una función hash con sal17.”

Traemos a colación la respuesta de CAMERDATA a la pregunta formulada en fase de
prueba acerca de cuáles son los medios por los que obtiene el dato del NIF de los
autónomos. Responde:

“El NIF se obtiene como resultado de aplicar el siguiente proceso:
- Entrada: fichero recibido de CDE (*) con el siguiente formato:
NÚMERO: número secuencial que CDE asigna a cada empresario individual
CÓDIGO MD5: código MD5 resultante de aplicar el algoritmo MD5 al NIF (*)”
[…]
- Proceso: se generan todas las combinaciones de numeraciones de NIF con formato
empresario individual y a cada combinación se le aplica el algoritmo MD5. El código
MD5 resultante se cruza con el fichero recibido de CDE para obtener la
correspondencia con el número secuencial asociado al resto de datos.”

Son dignos de mención dos elementos: Por una parte, el proceso que utiliza
CAMERDATA es el mismo que se describe en el Dictamen 05/2014 del GT29 como un
caso prototípico en el que puede revertirse la información facilitada a través de un
hash. Por otra, que la información de entrada incluye un número secuencial que CDE
asigna a cada empresario individual. También ese número secuencial figura en el
fichero con el resto de datos de los empresarios autónomos que le proporciona. En
ese sentido nos remitimos al Hecho Probado séptimo en el que consta la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

129/164

documentación que CAMERDATA ha facilitado en fase de prueba relativa a la
transmisión realizada por la CDE. Consta que la CDE le envía dos ficheros:

1) Un fichero con el siguiente formato:
NÚMERO: número secuencial que CDE asigna a cada empresario individual
CÓDIGO MD5: código MD5 resultante de aplicar el algoritmo MD5 al NIF.

2) Otro fichero con el siguiente formato, según se detalla en el documento
“ENVIADO A CAMERDATA 2023_v1.docx :
Identificación:
Número (número secuencial que CDE asigna a cada empresario individual)
Nombre (apellidos y nombre)
En referencia al domicilio principal:
sg (sigla de vía)
calle (nombre de vía)
numero (número de vía)
[…]”

Por consiguiente, el que CDE no haya facilitado a CAMERDATA el dato del NIF de los
autónomos en texto plano -tal y como se prevé en la letra del contrato suscrito entre
ambas- sino que, según manifiesta CAMERDATA, le proporcione el hash de los NIF,
no significa que no le facilite el dato del NIF. En este caso -con la información que se
proporciona, el número secuencial que CDE asigna a cada empresario individual- es
objeto de la cesión el dato personal del NIF de los empresarios individuales si bien
seudonimizado. Como deja claro el Dictamen del GT29 la técnica de hash puede
constituir una medida de seguridad, pero puede no implicar la anonimización del dato.

Recientemente, el 16/01/2025 el CEPD ha aprobado Directrices 01/2025 sobre la
seudonimización. El epígrafe 88 dice lo siguiente:

“88.En el ámbito de la seudonimización no debe ser posible atribuir datos
seudonimizados relativos a un interesado cuyos identificadores sean conocidos. Esto
podría hacerse aplicando la transformación de seudonimización a dichos
identificadores, obteniendo el seudónimo y localizando los datos seudonimizados
adjuntos a dicho seudónimo (Por ejemplo, si sabe que la transformación es
simplemente un hash SHA256 de un nombre, podría aplicar esto a todos los nombres
que tiene en otro lugar y luego ver qué hashes coinciden en el conjunto de datos). Por
lo tanto, la transformación debe incluir información que el responsable del tratamiento
seudonimizado mantenga en secreto y que una persona no autorizada no pueda
utilizar. Solo la posesión de la información secreta debe permitir el cálculo del
seudónimo dado el identificador. Con el fin de limitar la probabilidad de una conjetura
exitosa o una búsqueda por fuerza bruta, los secretos deben tener suficiente entropía
(La entropía se refiere aquí a la aleatoriedad del parámetro secreto. Por ejemplo: Si el
controlador selecciona la fecha en que se aplicó la transformación de seudonimización
como parámetro, la entropía de este parámetro será muy baja. Sin embargo, si el
controlador elige una cadena generada aleatoriamente de 20 caracteres alfanuméricos
como parámetro secreto, la entropía es alta). Para la primera clase, algoritmos
criptográficos, esta información toma la forma de parámetros secretos o claves. Para
la segunda clase, las tablas de búsqueda, los controladores mantienen las tablas en
secreto. (la traducción es nuestra)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

130/164

3. La base jurídica que CAMERDATA invoca en sus alegaciones al acuerdo de inicio
como fundamento del tratamiento de datos efectuado es la prevalencia de su interés
legítimo (artículo 6.1.f). Considera que a tenor del artículo 19.2 de la LOPGDD goza de
una presunción iuris tantum de licitud amparada en esa base jurídica, por lo que está
dispensada de acreditar la prevalencia de sus intereses legítimos sobre los intereses
derechos y libertades de los titulares de los datos. De acuerdo con ello correspondería
a esta Agencia enervar la presunción de licitud que a su entender le ampara.

Sin embargo, no puede admitirse la conclusión a la que CAMERDATA llega al
interpretar el alcance del artículo 19 de la LOPDGDD.

El artículo 19 de la LOPDGDD, “Tratamiento de datos de contacto, de empresarios
individuales y de profesionales liberales”, dispone:

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo
6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su
caso los relativos a la función o puesto desempeñado de las personas físicas que
presten servicios en una persona jurídica siempre que se cumplan los siguientes
requisitos:
a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
b) Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier
índole con la persona jurídica en la que el afectado preste sus servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a ellos
únicamente en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1
de esta ley orgánica podrán también tratar los datos mencionados en los dos
apartados anteriores cuando ello se derive de una obligación legal o sea necesario
para el ejercicio de sus competencias.” (El subrayado es nuestro)

El apartado 2 del artículo 19 de la LOPDGDD incorpora una presunción iuris tantum de
licitud, sobre la base de la circunstancia descrita en la letra f) del artículo 6.1 del
RGPD, respecto al tratamiento de los datos de los empresarios individuales que esta
circunscrita, exclusivamente, a los datos de contacto exigiendo además que se
cumplan estos requisitos: (i)que “se refieran a ellos únicamente en dicha condición” de
empresario y (ii) que el tratamiento de los datos de contacto no tenga por finalidad
entablar una relación con ellos como personas físicas.

La presunción iuris tantum de licitud que contempla el artículo 19.2. de la LOPDGDD
opera sólo sobre el tratamiento de los “datos de contacto” de los empresarios
individuales. Se exceptúa de esta regla general el caso de que el tratamiento de tales
datos de contacto tenga como finalidad entablar una relación con los empresarios
como personas físicas.

El dictamen 757/2017, de 26 de octubre, del Consejo de Estado, sobre el anteproyecto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

131/164

de Ley Orgánica de Protección de datos (actual LOPDGDD) disipa las dudas que
pudieran surgir sobre el sentido y alcance de la presunción iuris tantum de licitud
recogida en el artículo 19.2 LOPDGDD. Al comentar el que era en el anteproyecto el
artículo 20 (actual artículo 19) dice:

“El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las
personas físicas que presten servicios en una persona jurídica (apartado 1) y de
empresarios individuales (apartado 2), en ambos casos invocando como amparo
normativo lo dispuesto en el artículo 6.1.f) del Reglamento. En el primer caso, para
entender que existe licitud al amparo de ese artículo, el precepto exige que el
tratamiento se refiera únicamente a los datos necesarios para la localización
profesional del interesado y que la finalidad del tratamiento sea únicamente mantener
relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus
servicios; en el segundo, que el tratamiento se refiera únicamente a los datos de los
empresarios en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas”. (El subrayado es nuestro)

Resulta de lo expuesto que el tratamiento los datos personales de un empresario
persona física que no sean datos contacto , aunque además se refieran a ellos en su
condición de empresario y cuyo tratamiento no tenga por finalidad entablar una
relación con ellos como personas físicas, no estarán amparados por la presunción iuris
tantum de licitud en relación con el artículo 6.1.f) RGPD.

La consecuencia es que el responsable del tratamiento viene obligado, en virtud del
principio de responsabilidad proactiva (artículo 5.2. RGPD), a acreditar que existe una
base jurídica adecuada conforme al RGPD en la que se funde la licitud del tratamiento
efectuado.

Trasladando esas consideraciones a los hechos que examinamos se pone de
manifiesto que en la información concerniente a cada empresario autónomo que
CAMERDATA trata cedida por la CDE se incluyen numerosos datos que no son de
contacto: empezando por el NIF, dato que identifica indubitadamente a la persona
física, hasta el epígrafe del IAE. Por tanto, el fichero con la información relativa a cada
empresario, en tanto no se limita a tratar los datos de contacto, no goza de la
presunción de licitud basada en el interés legítimo prevalente (artículo 6.1.f RGPD).

La consecuencia que se deriva de lo expuesto es que ninguna presunción de licitud
ampara el tratamiento de datos de los empresarios autónomos que lleva a cabo
CAMERDATA.

Por su parte, CAMERDATA muestra en sus extensas alegaciones su discrepancia con
la idea de que la finalidad del censo público de empresas sea exclusivamente la que
deriva del articulo 8 de la LPACAP. Defiende además que el dato del NIF de los
empresarios autónomos es un dato empresarial. Dice en ese sentido: “En definitiva, el
NIF, como dato de carácter empresarial, no forma parte de la privacidad e intimidad de
los empresarios individuales, sino que es un dato imprescindible para operar en el
mercado y para la seguridad del tráfico jurídico mercantil.”

Considera que los datos de los empresaros autónomos están sometidos a un régimen
jurídico particular y ve en el artículo 19.2 del RGPD una confirmación de esa opinión:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

132/164

“Por tanto, no cabe duda de que los datos de los empresarios individuales, en cuanto
actúan en tal condición, tienen una protección completamente diferenciada de los
datos personales de las personas físicas en lo que atañe a su ámbito de actuación
particular o privada.”

Defiende una particular interpretación del artículo 19 que está en consonancia con el
régimen jurídico particular al que, dice, quedan sujetos los datos de los empresarios
autónomos a tenor de la cual “todos” los datos de los empresarios autónomos, cuando
se refieran a ellos en dicha condición están comprendidos en la presunción iuris
tantum que establece el artículo 19 de la LOPDGG.

Así, afirma: “De este modo, el artículo 19 de la LOPDGDD establece una presunción
legal “iuris tantum” de que el tratamiento de los datos de los autónomos o empresarios
individuales es lícito al amparo del artículo 6.1.f) del RGPD cuando se cumplan unos
requisitos.”

Afirmación errónea en tanto en cuanto es incompleta: los requisitos efectivamente han
de cumplirse y los recoge el artículo 19.2 de la LOPDGDD, pero no todos los datos de
los empresarios personas físicas están bajo la presunción de licitud a la que nos
referimos, sino, exclusivamente, como se dijo en el acuerdo de inicio (página 45,
párrafo antes transcrito), “los datos de contacto”.

CAMERDATA concluye así que el artículo 19.2 de la LOPDGDD le exime de tener que
llevar a cabo la ponderación de que no prevalecen los intereses o los derechos y
libertades fundamentales del interesado que requieran la protección de datos
personales sobre su interés legítimo o del de terceros.

4. Sobre las presuntas infracciones del artículo 6.1 del RGPD, apartados a) y b), que
se imputaron a CAMERDATA en el acuerdo de inicio.

4.1.El acuerdo de inicio imputó a esta entidad sendas infracciones del artículo 6.1 del
RGPD por las conductas descritas en los apartados a) y b):
a) Haber recogido y procesado en su propio sistema de información los datos
transmitidos por la CDE sin un fundamento de licitud.
b) Haber cedido a terceras entidades, sin un fundamento de licitud, su Fichero de
Empresas Españolas, cuyos datos más relevantes, como el NIF, los obtuvo de la
CDE.”:

Sostiene CAMERDATA:

(i)Que, basándose en los razonamientos expuestos, en relación con las conductas
descritas en los apartados a, y b, no está acreditada vulneración alguna del principio
de licitud , habida cuenta de que goza de una presunción de prevalencia del interés
legítimo en virtud del artículo 19.2. del RGPD.

(ii)Que, también ceñida a esos dos supuestos de infracción del artículo 6.1. del RGPD
que se imputaron en el acuerdo de inicio, no concurre en esas conductas el
indispensable elemento subjetivo de la infracción.

4.2.CAMERDATA alega que la ausencia de culpabilidad que invoca está fundamentada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

133/164

“en la confianza legítima que ha generado la propia actuación de la AEPD” en relación
con el tratamiento de los datos personales de los trabajadores autónomos o
empresarios individuales. Seguidamente, subraya que, a su parecer, es llamativo –
dice- que el acuerdo de inicio no mencionara “circunstancias de relevancia a los
efectos del presente procedimiento, conocidos por el órgano supervisor y de control,
que inciden de manera directa en la determinación de la existencia o no de
intencionalidad o negligencia por parte de Camerdata.”

Como circunstancias de relevancia cita:

-a. La Resolución de 27/02/ 2001 de la AEPD recaída en el expediente iniciado como
consecuencia de la denuncia efectuada a una Cámara de Comercio por la transmisión
a terceros de los datos contenidos en el censo público de empresas regulado por la
Ley 3/1993.

-b. La consulta del Gabinete Jurídico de la AEPD que, dice, recupera la interpretación
realizada la resolución indicada anteriormente (enlace a la resolución:
https://www.aepd.es/documento/2001-9901.pdf)

-c. La respuesta del Gabinete Jurídico a una consulta de ASEDIE, de fecha
30/09/2014, número de referencia 383358/2014 (consulta que se plantea con
posterioridad a la aprobación de la Ley 4/2014) en la que el Gabinete Jurídico de la
Agencia informó en estos términos:
“De este modo, siempre que los datos se refieran únicamente a personas jurídicas, sin
contener más datos personales que los mencionados en el artículo 2.2 del reglamento
de desarrollo de la Ley Orgánica, o a empresarios individuales, en los términos que
acaban de describirse y relacionados única y exclusivamente con la actividad
mercantil de tales empresarios, las normas de protección de datos no será aplicables,
por lo que, sin perjuicio de lo dispuesto en otras normas, su comunicación no estará
sometida a lo dispuesto en la Ley Orgánica 15/1999.”

-d.La Resolución en la que se denegó la aprobación del Código de Conducta de
ASEDIE (Expediente Nº CC/0003/2018), en el que ni la Subdirección General del
Registro Central de Protección de Datos, ni el propio Gabinete Jurídico de la AEPD, en
sus respectivos informes, encontraron objeciones al tratamiento de datos personales
de empresarios individuales y profesionales liberales. Así, en la resolución del referido
expediente se indica expresamente lo siguiente:
“Respecto del resto de contenidos, el informe de la Subdirección General del Registro
General de Protección de Datos emite una valoración general positiva, considerando
que responde a necesidades particulares del promotor, que facilita y especifica la
aplicación del RGPD y que proporciona garantías suficientes.”

-e.El informe del Gabinete Jurídico de la AEPD N/REF 0089/2020, en el cual se
especifican los tratamientos en los que no se aprecia la prevalencia del interés legítimo
del responsable del tratamiento, concretamente, los tratamientos de datos (i) para los
sistemas de información crediticia relativos al cumplimiento de obligaciones dinerarias,
financieras o de crédito y (ii) de los sistemas de información sobre solvencia
patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho
manifiestamente públicos, contenidos en la secciones 2ª y 3ª del Anexo II, y que
deberían suprimirse.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

134/164

“Sin embargo, en dicho Informe no se hace objeción alguna al Anexo I del Código de
Conducta en el que se recogen los servicios de información de relevancia económica
sobre sociedades mercantiles y otras personas jurídicas, empresarios individuales y
profesionales liberales.”

-f.Que la Secretaría General de la AEPD ha acordado iniciar el expediente de
contratación EX20240028 de “Servicios de análisis de información de carácter
económico-financiero y mercantil” cuyo objeto consiste en la contratación de un
servicio para la AEPD de información de carácter económico-financiero y mercantil
para cualquier entidad, independientemente de su forma jurídica, incluyendo dentro de
la contratación a los autónomos, asociaciones y fundaciones. En concreto, el objeto
del contrato constará de las siguientes actividades:

No es posible compartir los argumentos que CAMERDATA alega para sustentar la
“confianza legítima” que supuestamente ha generado la Agencia con su actuación y de
la que pretende derivar la ausencia de negligencia por su parte en el tratamiento de
datos personales de los empresarios autónomos realizado sin un fundamento de licitud
de acuerdo con el RGPD.

En cuanto a las menciones que hace en los apartados a., b. y c. precedentes se indica
que parece evidente que, cuando ha habido un cambio legislativo que afecta al ámbito
de aplicación de la normativa de protección de datos, una resolución dictada durante la
vigencia de la LOPD y de su Reglamente de desarrollo (vigente actualmente, pero en
lo que no se oponga al RGPD y la LOPDGDD), no puede coincidir con la que se dicte
aplicando la actual regulación. Esta Agencia no ha creado ninguna confianza legítima
indebida, lo que sí habría sucedido en caso de que, con la normativa actualmente
vigente actuara igual que con las disposiciones de la LOPD y del RLOPD que ya no
son de aplicación.

Por lo que atañe a la resolución denegatoria del Código de Conducta de ASEDIE
(apartado d) no puede ser utilizada para justificar la pretendida confianza legítima que
la Agencia habría generado indebidamente sobre el tratamiento de los datos
personales de los empresarios autónomos. Los principios que sustenta la decisión de
la Agencia de denegar la aprobación del Código de Conducta son los mismos que
resultan aplicables en algunas de las cuestiones que en este procedimiento plantea la
entidad frente a la que se dirige este procedimiento. Tanto la resolución de la AEPD
que deniega aprobar el citado Código de Conducta como otras resoluciones
sancionadoras de la AEPD muy próximas en el tiempo son exponente de la aplicación
de la normativa vigente y del criterio que defiende el RGPD, por lo que a tenor de ellas
no es posible alegar desconocimiento o confianza legítima en posiciones que la
Agencia hace tiempo que ha abandonado por exigirlo así el respeto del principio de
legalidad.

A propósito de la referencia que se hace al proceso de contratación iniciado por la
Secretaria General sobre la contratación de los servicios de información de una
empresa infomediaria se añaden dos elementos más.

Por una parte, 1) que este procedimiento sancionador versa sobre el tratamiento de
datos personales sin un fundamento de licitud, lo que no excluye que los datos de los
autónomos puedan ser objeto de tratamiento siempre que se basen en una de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

135/164

circunstancias que recoge el artículo 6.1 del RGPD, por lo que el responsable debe
actuar proactivamente para garantizar que el fundamento adecuado está presente.

Y 2) Que las conocidas como fuentes de acceso público no operan como bases
jurídicas del tratamiento conforme al RGPD (no hay más que las que menciona el
artículo 6.1) por lo que el responsable del tratamiento tiene la carga (ex artículo 5.2
RGPD), de adoptar las medidas para garantizar que el tratamiento que efectúa tiene
un fundamento de licitud y estar en condiciones de acreditar su cumplimiento.

4.3.En atención a las consideraciones precedente esta propuesta de resolución
concluye que la presunción iuris tantum de licitud establecida en el artículo 19.2 de la
LOPDGDD no tiene el sentido, ni por consiguiente el alcance, que le atribuye
CAMERDATA.

En consecuencia, considera acreditada la existencia de una infracción del artículo 6.1
del RGPD que se materializa en haber recogido de la CDE, procesado en sus
sistemas, en sus sistemas, cedido a terceras entidades, tanto para finalidades de
marketing como para realimentar el fichero de su propiedad o a personas para fines
propios, sin una base jurídica, toda vez que no opera sobre dicho tratamiento la
presunción iuris tantum de licitud del artículo 19.2 de la LOPDGDD.

5. Sobre la presunta infracción del artículo 6.1 del RGPD concretada en el acuerdo de
inicio en el supuesto “c) Haber cedido a la empresa KOMPASS su Fichero con la doble
finalidad de que le preste un servicio de realimentación de la información recogida en
él y para el uso por esta entidad para sus propias actividades.

5.1.En sus alegaciones al acuerdo de inicio CAMERDATA afirma que los datos cedidos
no incumplen el RGPD, al ser exclusivamente datos de empresas constituidas como
personas jurídicas. Por tal motivo rechaza la infracción del artículo 6.1 del RGPD
apreciada en el acuerdo de inicio, concretada en la comunicación por CAMERDATA a
KOMPASS, sin una base de licitud, de los datos personales de empresarios
autónomos para la realimentación del fichero y uso posterior en su actividad
empresarial sin base de legitimación.
En defensa de la tesis de que los datos tratados son exclusivamente de personas
jurídicas invoca:

-Que el universo de registros cedidos es totalmente distinto respecto del número de
autónomos o empresarios individuales del Fichero de Empresas Españolas:
CAMERDATA trata datos de un total de 1.665.049 autónomos o empresarios
individuales, mientras que el número de registros cedidos a KOMPASS es de 107.807
(en el contrato de 2020) y de 145.101 (en el contrato de 2023).

-Que el contrato de 2020 se refiere expresamente a Códigos de Identificación Fiscal
(CIF’s), lo que claramente -aunque erróneamente desde 2008- indica que se trata de
datos de empresas constituidas como personas jurídicas. Este error de denominación
se corrige en el contrato de 2023 pues, en rigor, desde 2008 el CIF pasó a
denominarse también NIF, aplicable antes únicamente a las personas físicas.

-Que obra en el expediente, aportado como documento anexo 5 a las alegaciones al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

136/164

acuerdo de inicio, un escrito firmado por el CEO de KOMPASS que declara que los
registros utilizados para la realización de sus trabajos de “webcrawling” han sido
exclusivamente de sociedades jurídicas, sus NIF’s, sus direcciones URL y sus correos
electrónicos genéricos, y en ningún caso de personas físicas o empresarios
individuales.

Invoca el artículo 53.3 de la LPACAP conforme al cual, en los procedimientos
administrativos de naturaleza sancionadora, se establece la presunción de no
existencia de responsabilidad administrativa mientras no se demuestre lo contrario,

Concluye que, no siendo los datos cedidos en virtud del contrato suscrito con
KOMPASS datos personales -no son datos de empresarios autónomos, sino
únicamente de empresas personas jurídicas- tal actuación no infringe el artículo 6.1 ni
ningún otro precepto del RGPD, al no serle éste aplicable conforme a su considerando
14, debiendo proceder al archivo del procedimiento por lo que respecta a esta
infracción.

5.2. Los contratos suscritos con KOMPASS fueron facilitados por CAMERDATA a
requerimiento de la Inspección en respuesta a la petición de que aportara copia de
todos los contratos con terceras entidades de los que se derivara un tratamiento, una
cesión de datos, de los empresarios autónomos.

Los dos contrato aportados, de 2020 y de 2023, no contienen ninguna mención
expresa a la naturaleza de los datos tratados. Por otra parte, el contrato celebrado en
2020 hace referencia a los CIFs (Códigos de Identificación Fiscal) que eran los
identificadores utilizados hasta 2008 para las personas jurídicas exclusivamente pero
que, con mucha frecuencia, continuaron empleándose como equivalente al NIF
durante años después.
El contrato de 2023 hace referencia al NIF, sin que conste indicación sobre la
naturaleza de los datos tratados por lo que es factible que sea una prórroga del
anterior que todo indica que versó sobre datos de entidades y no de personas físicas.

Se plantea una duda razonable sobre la existencia de un tratamiento contrario al
artículo 6.1 del RGPD en lo que atañe a la operación de tratamiento conectada con los
contratos celebrados con KOMPASS que debe resolverse acudiendo al principio in
dubio pro-reo. Este principio, en caso de duda respecto de un hecho concreto y
determinante, obliga en todo caso a resolver dicha duda del modo más favorable al
interesado.

Por todo lo expuesto procede archivar la infracción del artículo 6.1 del RGPD descrita
en el apartado c) Haber cedido a la empresa KOMPASS su Fichero con la doble
finalidad de que le preste un servicio de realimentación de la información recogida en
él y para el uso por esta entidad para sus propias actividades, mencionado en el
acuerdo de inicio.

6. En atención a las consideraciones precedente esta propuesta de resolución
concluye que la presunción iuris tantum de licitud establecida en el artículo 19.2 de la
LOPDGDD no tiene el sentido, ni por consiguiente el alcance, que le atribuye
CAMERDATA.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

137/164

En consecuencia, considera acreditada la existencia de una infracción del artículo 6.1
del RGPD que se materializa en haber recogido de la CDE, procesado en sus
sistemas, en sus sistemas, cedido a terceras entidades, tanto para finalidades de
marketing como para realimentar el fichero de su propiedad o a personas para fines
propios, sin una base jurídica, toda vez que no opera sobre dicho tratamiento la
presunción iuris tantum de licitud del artículo 19.2 de la LOPDGDD.

X
Tipificación y plazo de prescripción de la infracción del artículo 6.1 del RGPD

La infracción del artículo 6.1. del RGPD de la que esta propuesta de resolución
considera responsable a CAMERDATA se encuentra tipificada en el artículo 83.5 b) del
RGPD, precepto que dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía: a) los principios básicos para el tratamiento, incluidas las
condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;

A los solos efectos de determinar el plazo de prescripción de la infracción del artículo
6.1 del RGPD, la LOPDGDD dispone en su artículo 72, “Infracciones consideradas
muy graves”: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
a) […].
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”

XI
Infracción del artículo 14 del RGPD

El RGPD detalla en su artículo 5 los principios que presiden el tratamiento de los datos
personales y entre ellos menciona, artículo 5.1.a), el de transparencia.

El artículo 12.1 del RGPD bajo la rúbrica “Transparencia de la información,
comunicación y modalidades de ejercicio de los derechos del interesado”, dispone
que:

“El responsable del tratamiento tomará las medidas oportunas para facilitar al
interesado toda información indicada en los artículos 13 y 14, así como cualquier
comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma
concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en
particular cualquier información dirigida específicamente a un niño. La información
será facilitada por escrito o por otros medios, inclusive, si procede, por medios
electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse
verbalmente siempre que se demuestre la identidad del interesado por otros medios.”

El artículo 14 del RGPD versa sobre la información que el responsable está obligado a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

138/164

facilitar cuando los datos personales no se hayan obtenido del interesado:

“1. Cuando los datos personales no se hayan obtenido del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de estas o al lugar en que se hayan puesto a disposición.

2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

139/164

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.”

5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de naturaleza
estatutaria.”

En relación con el principio de transparencia se tiene en cuenta, además, lo expresado
en los Considerandos 39, 58, 60 y 61 del RGPD.

(39) “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas
físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando
o tratando de otra manera datos personales que les conciernen, así como la medida
en que dichos datos son o serán tratados. El principio de transparencia exige que toda
información y comunicación relativa al tratamiento de dichos datos sea fácilmente
accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho
principio se refiere en particular a la información de los interesados sobre la identidad
del responsable del tratamiento y los fines del mismo y a la información añadida para
garantizar un tratamiento leal y transparente con respecto a las personas físicas
afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales así como del modo de hacer valer sus
derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida. Los datos personales deben ser
adecuados, pertinentes y limitados a lo necesario para los fines para los que sean
tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su
plazo de conservación. Los datos personales solo deben tratarse si la finalidad del
tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que
los datos personales no se conservan más tiempo del necesario, el responsable del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

140/164

tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben
tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman
los datos personales que sean inexactos. Los datos personales deben tratarse de un
modo que garantice una seguridad y confidencialidad adecuadas de los datos
personales, inclusive para impedir el acceso o uso no autorizados de dichos datos
ydel equipo utilizado en el tratamiento.”

(58) “El principio de transparencia exige que toda información dirigida al público o al
interesado sea concisa, fácilmente accesible y fácil de entender, y que se utilice un
lenguaje claro y sencillo, y, además, en su caso, se visualice. Esta información podría
facilitarse en forma electrónica, por ejemplo, cuando esté dirigida al público, mediante
un sitio web. Ello es especialmente pertinente en situaciones en las que la
proliferación de agentes y la complejidad tecnológica de la práctica hagan que sea
difícil para el interesado saber y comprender si se están recogiendo, por quién y con
qué finalidad, datos personales que le conciernen, como es en el caso de la publicidad
en línea.
Dado que los niños merecen una protección específica, cualquier información y
comunicación cuyo tratamiento les afecte debe facilitarse en un lenguaje claro y
sencillo que sea fácil de entender.”

(60) “Los principios de tratamiento leal y transparente exigen que se informe al
interesado de la existencia de la operación de tratamiento y sus fines. El responsable
del tratamiento debe facilitar al interesado cuanta información complementaria sea
necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las
circunstancias y del contexto específicos en que se traten los datos personales. Se
debe además informar al interesado de la existencia de la elaboración de perfiles y de
las consecuencias de dicha elaboración. Si los datos personales se obtienen de los
interesados, también se les debe informar de si están obligados a facilitarlos y de las
consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en
combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible,
inteligible y claramente legible, una adecuada visión de conjunto del tratamiento
previsto. Los iconos que se presentan en formato electrónico deben ser legibles
mecánicamente.”

(61) “Se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra
fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los
datos personales pueden ser comunicados legítimamente a otro destinatario, se debe
informar al interesado en el momento en que se comunican al destinatario por primera
vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no
sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho
tratamiento ulterior, información sobre ese otro fin y otra información necesaria.
Cuando el origen de los datos personales no pueda facilitarse al interesado por
haberse utilizado varias fuentes, debe facilitarse información general.”

2.El acuerdo de inicio del procedimiento sancionador que nos ocupa atribuyó a
CAMERDATA una presunta infracción del artículo 14 del RGPD por no informar a los
interesados del tratamiento que lleva a cabo de datos que les conciernen.
CAMERDATA no obtuvo los datos personales directamente de los interesados, sino
que dicha información, particularmente el NIF, nombre y apellidos, dirección de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

141/164

actividad, epígrafe del IAE y descripción de la actividad, se adquirió de CDE quien, a
su vez, la recibe de las Administraciones tributarias.

El mandato recogido en el artículo 14 exige que el responsable del tratamiento
proporcione a los interesados determinada información relacionada con el tratamiento
de sus datos. La importancia de la obligación impuesta en ese precepto radica en que
ofrece a los interesados la comprensión clara y completa de cómo se están utilizando
sus datos personales, lo que resulta esencial para la construcción de una relación
basada en la confianza con las entidades que manejan sus datos. Facilita y garantiza
a sus titulares el ejercicio de sus derechos de protección de datos, incluido el derecho
a la objeción del tratamiento, acceso, rectificación, y supresión de sus datos
personales, entre otros. Refuerza la legitimidad del tratamiento de datos personales al
asegurar que se realice dentro del marco legal establecido y de acuerdo con los
principios del RGPD. Ayuda a proteger a los individuos contra el uso indebido de sus
datos personales, asegurando que solo se utilicen para fines específicos, legítimos y
explícitamente informados. Ayuda a los responsables del tratamiento con el
cumplimiento de la normativa de protección de datos, evitando sanciones, así como
daños a su reputación que podrían derivarse del incumplimiento.

En la respuesta al requerimiento informativo de la Inspección y en sus alegaciones al
acuerdo de inicio CAMERDATA invoca en su defensa que no ha vulnerado la
obligación de informar impuesta por el artículo 14 del RGPD pues sostiene que está
dispensada al amparo del artículo 14.5.b) del RGPD ya que la comunicación individual
de la información a cada interesado supondría un esfuerzo económico inasumible. A
ese respecto, obran en el expediente, aportados con su respuesta al requerimiento de
la Inspección, dos presupuestos con el importe que tendría la comunicación
personalizada a más de un millón de personas, así como información sobre su cifra de
negocio en los cuatro ejercicios anteriores.

CAMERDATA invoca que la dispensa de la obligación de informar a los titulares de los
datos se ampara en el artículo 14.5. b) del RGPD y el considerando 62 del RGPD y
está en consonancia con el criterio del Informe WP260.rev01 17/ES (última revisión de
11 de abril de 2018)

Como medidas encaminadas a reforzar las garantías de los interesados en un asunto
como el que nos ocupa manifiesta que ha iniciado un proceso de publicación en las
webs de las Cámaras de un anuncio informativo cuyo texto ha aportado -y que consta
en los Hechos Probado-. Ha declarado que tiene previsto iniciar la publicación en los
boletines y newsletters y en periódicos nacionales de gran difusión con periodicidad
anual.

El apartado 5 del artículo 14 establece que las disposiciones de los apartados 1 a 4 no
serán aplicables cuando y en la medida en que “b) la comunicación de dicha
información resulte imposible o suponga un esfuerzo desproporcionado, en particular
para el tratamiento con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos, a reserva de las condiciones y garantías
indicadas en el artículo 89, apartado 1, o en la medida en que la obligación
mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar
gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable
adoptará medidas adecuadas para proteger los derechos, libertades e intereses
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

142/164

legítimos del interesado, inclusive haciendo pública la información”.

Sobre ese particular -la imposibilidad de informar o el esfuerzo desproporcionado- las
Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679 adoptadas
el 29 de noviembre de 2017, revisadas por última vez y adoptadas el 11 de abril de
2018, del GT29, dicen:

“61. Conforme al artículo 14.5 (b), como ocurre con la situación de «prueba de
imposibilidad», el «esfuerzo desproporcionado» también puede aplicarse, en
particular, para el tratamiento «con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, a reserva de las condiciones y
garantías indicadas en el artículo 89, apartado 1». El considerando 62 también hace
referencia a estos objetivos como casos en los que el suministro de información al
interesado implicaría un esfuerzo desproporcionado y establece que, a este respecto,
debe tenerse en cuenta el número de interesados, la antigüedad de los datos y las
garantías adecuadas adoptadas. Dado el énfasis en el considerando 62 y el artículo
14.5 (b) sobre fines de archivo, investigación y estadísticos con respecto a la
aplicación de esta exención, la postura del GT29 es que dicha excepción no debe ser
utilizada habitualmente por los responsables del tratamiento que no procesen datos
personales con fines de archivo de interés público, fines de investigación científica o
histórica o fines estadísticos. El GT29 enfatiza el hecho de que, cuando estos son los
fines perseguidos, las condiciones establecidas en el artículo 89.1 deben seguir
cumpliéndose y el suministro de la información debe constituir un esfuerzo
desproporcionado.”

“64. Cuando un responsable del tratamiento pretenda aplicar la excepción del artículo
14.5 (b) sobre la base de que la provisión de la información implicaría un esfuerzo
desproporcionado, debería llevar a cabo un ejercicio de equilibrio para evaluar el
esfuerzo que supondría para el responsable del tratamiento proporcionar la
información al interesado en relación con la repercusión y los efectos sobre el
interesado si no se le proporcionase la información. Esta evaluación debe ser
documentada por el responsable del tratamiento de acuerdo con sus obligaciones de
rendición de cuentas.

En tal caso, el artículo 14.5 (b) especifica que el responsable debe tomar las medidas
adecuadas para proteger los derechos, libertades e intereses legítimos del interesado.
Esto es aplicable asimismo cuando un responsable determina que la provisión de la
información resulta imposible o probablemente imposibilitaría o perjudicaría
gravemente el logro de los objetivos del tratamiento. Una medida adecuada, tal como
se especifica en el artículo 14.5 (b), que los responsables del tratamiento siempre
deben tomar, es poner la información a disposición del público. Un responsable puede
hacerlo de varias maneras, por ejemplo, publicando la información en su sitio web o
publicitando proactivamente la información en un periódico o en carteles en sus
instalaciones. Otras medidas adecuadas, además de poner la información a
disposición del público, dependerán de las circunstancias del tratamiento, pero pueden
incluir llevar a cabo una evaluación del impacto de la protección de datos; aplicar
técnicas de seudonimización a los datos; minimizar los datos recopilados y el periodo
de almacenamiento, e implementar medidas técnicas y organizativas para garantizar
un alto nivel de seguridad.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

143/164

Así pues, por una parte, el artículo 14.5.b) precisa que, en tales casos, “el responsable
adoptará medidas adecuadas para proteger los derechos, libertades e intereses
legítimos del interesado, inclusive haciendo pública la información” y , por otra, el
considerando 64 menciona que: (i) el responsable deberá hacer una evaluación
documentada del tratamiento, de acuerdo con sus obligaciones de rendición de
cuentas, del esfuerzo que supondría proporcionar la información al interesado en
relación con la repercusión y los efectos sobre el interesado si no se le proporcionase
la información. (ii) Las medidas adecuadas para proteger los derechos, libertades e
intereses legítimos del interesado. (iii) Indica que una medida adecuada, “tal como se
especifica en el artículo 14.5 (b), que los responsables del tratamiento siempre deben
tomar, es poner la información a disposición del público. Un responsable puede
hacerlo de varias maneras, por ejemplo, publicando la información en su sitio web o
publicitando proactivamente la información en un periódico o en carteles en sus
instalaciones. Otras medidas adecuadas, además de poner la información a
disposición del público, dependerán de las circunstancias del tratamiento, pero pueden
incluir llevar a cabo una evaluación del impacto de la protección de datos; aplicar
técnicas de seudonimización a los datos; minimizar los datos recopilados y el periodo
de almacenamiento, e implementar medidas técnicas y organizativas para garantizar
un alto nivel de seguridad.”

A la vista de lo expuesto son dignos de mención estos extremos:

a) Respecto al contenido del anuncio que CAMERDATA ha publicado mediante su
inclusión en la página web de siete Cámaras de Comercio (según la información
ofrecida) la información que debería de hacerse pública es la indicada en el artículo 14
del RGPD. La información, conforme al artículo 12 del RGPD, deberá ser completa
pues el precepto indica que se adoptarán las medidas oportunas para facilitar al
interesado “toda información indicada en los artículos 13 y 14”. Si se analiza el anuncio
que CAMERDATA publica se observa que omite la información siguiente:

-No informa de las categorías de datos personales que trata (exigencia del artículo
14.1.d, RGPD)
-No informa del plazo durante el cual se conservarán los datos personales o, cuando
eso no sea posible, de los criterios utilizados para determinar este plazo (apartado a
del artículo 14.2).
-No informa de la fuente de la que proceden los datos personales y, en su caso, si
proceden de fuentes de acceso público. En el anuncio no se informa de que los datos
proceden de la información suministrada por la CDE. No se hace ninguna mención a
ella (exigencia del artículo 14.2.f) y se limita a indicar que se han obtenido de un
“Censo oficial elaborado por organismos públicos”
-No informa de los intereses legítimos del responsable del tratamiento o de un tercero,
pese a pretender que el tratamiento está basado en el artículo 6.1.f) (circunstancia del
artículo 14.1.b)

b)Asimismo, a la vista de lo indicado en el epígrafe 64 de las Directrices sobre
transparencia, “Cuando un responsable del tratamiento pretenda aplicar la excepción
del artículo 14.5 (b) sobre la base de que la provisión de la información implicaría un
esfuerzo desproporcionado, debería llevar a cabo un ejercicio de equilibrio para
evaluar el esfuerzo que supondría para el responsable del tratamiento proporcionar la
información al interesado en relación con la repercusión y los efectos sobre el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

144/164

interesado si no se le proporcionase la información. Esta evaluación debe ser
documentada por el responsable del tratamiento de acuerdo con sus obligaciones de
rendición de cuentas.”
Sin embargo, no se tiene constancia de que CAMERDATA haya evaluado y
documentado el esfuerzo que supondría para en comparación con la repercusión y los
efectos sobre el interesado de no proporcionarle la información.

c) Del considerando 61 resulta que el Grupo de Trabajo del artículo 29 destaca que la
exención del artículo 14.5.b) no debe ser utilizada habitualmente por los responsables
del tratamiento que no procesen datos personales con fines de archivo de interés
público, fines de investigación científica o histórica o fines estadísticos fines de
investigación científica o histórica o fines estadísticos.

d) La documentación aportada por CAMERDATA sobre la publicación de anuncios
informativos en algunas Cámaras de Comercio pone de manifiesto que, al menos en la
web de la Cámara de Valencia, el anuncio figura insertado en la pestaña de
“Transparencia” de la propia Cámara, de forma que difícilmente puede considerarse
que estemos ante un anuncio que cumpla unas condiciones mínimas de publicidad y
difusión.

En atención a lo expuesto se concluye que CAMERDATA no ha acreditado haber
cumplido las medidas adecuadas para proteger los derechos, libertades e intereses
legítimos de los interesados que permitan aplicar la exención del deber de informar del
artículo 14.5.b) del RGPD. Se reitera que las garantías adoptadas por CAMERDATA
resultan a todas luces insuficientes, pues algunas de ellas ni siquiera se habían
llevado a cabo en el momento de la realización de las actuaciones de inspección, sólo
se había implementado la consistente en incluir un texto informativo en la web de las
Cámara de Comercio de Madrid, Valencia, Barcelona, Sabadell, Girona, Alicante,
Castellón. Por tanto, además de ser insuficiente esta medida por sí sola, ni siquiera se
extiende a las webs de todas las Cámaras.

CAMERDATA ha invocado también en su defensa que en la infracción imputada no
concurre el elemento subjetivo de la culpabilidad por lo que ninguna responsabilidad
administrativa puede derivarse del supuesto incumplimiento de la obligación impuesta
por el artículo 14 del RGPD.

Por lo que respecta a la presencia del elemento culpabilístico de la infracción, no hay
duda de que concurre ese elemento y se concreta en una gravísima falta de diligencia
del responsable del tratamiento, CAMERDATA, que excede indiscutiblemente de la
omisión de la diligencia debida necesaria para integrar el elemento subjetivo de la
infracción. Tal es así que permite integrar, como agravante, la circunstancia de
culpabilidad (entendida como falta de diligencia, prevista en el artículo 83.2. del
RGPD.)

CAMERDATA sostiene que la ausencia de culpabilidad que invoca está fundamentada
“en la confianza legítima que ha generado la propia actuación de la AEPD” en relación
con el tratamiento de los datos personales de los trabajadores autónomos o
empresarios individuales. Seguidamente, subraya que, a su parecer, es llamativo –
dice- que el acuerdo de inicio no mencione “circunstancias de relevancia a los efectos
del presente procedimiento, conocidos por el órgano supervisor y de control, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

145/164

inciden de manera directa en la determinación de la existencia o no de intencionalidad
o negligencia por parte de Camerdata.”

Pues bien, las circunstancias de relevancia que CAMERDATA menciona son las
siguientes:

-a. La Resolución de 27/02/2001 de la AEPD recaída en el expediente iniciado como
consecuencia de la denuncia efectuada a una Cámara de Comercio por la transmisión
a terceros de los datos contenidos en el censo público de empresas regulado por la
Ley 3/1993.
-b. La consulta del Gabinete Jurídico de la AEPD que, dice, recupera la interpretación
realizada la resolución indicada anteriormente (enlace a la resolución:
https://www.aepd.es/documento/2001-9901.pdf)
-c. La respuesta del Gabinete Jurídico a una consulta de ASEDIE, de fecha
30/09/2014, número de referencia 383358/2014 (consulta que se plantea con
posterioridad a la aprobación de la Ley 4/2014) en la que el Gabinete Jurídico de la
Agencia informó en estos términos:
“De este modo, siempre que los datos se refieran únicamente a personas jurídicas, sin
contener más datos personales que los mencionados en el artículo 2.2 del reglamento
de desarrollo de la Ley Orgánica, o a empresarios individuales, en los términos que
acaban de describirse y relacionados única y exclusivamente con la actividad
mercantil de tales empresarios, las normas de protección de datos no será aplicables,
por lo que, sin perjuicio de lo dispuesto en otras normas, su comunicación no estará
sometida a lo dispuesto en la Ley Orgánica 15/1999.”
-d. La Resolución en la que se deniega la aprobación del Código de Conducta de
ASEDIE (Expediente Nº CC/0003/2018), en la que, dice, ni la Subdirección General
del Registro Central de Protección de Datos, ni el propio Gabinete Jurídico de la
AEPD, en sus respectivos informes, encontraron objeciones al tratamiento de datos
personales de empresarios individuales y profesionales liberales. Así, en la resolución
del referido expediente se indica expresamente lo siguiente:
“Respecto del resto de contenidos, el informe de la Subdirección General del Registro
General de Protección de Datos emite una valoración general positiva, considerando
que responde a necesidades particulares del promotor, que facilita y especifica la
aplicación del RGPD y que proporciona garantías suficientes.”
-e.El informe del Gabinete Jurídico de la AEPD N/REF 0089/2020, en el cual se
especifican los tratamientos en los que no se aprecia la prevalencia del interés legítimo
del responsable del tratamiento, concretamente, los tratamientos de datos (i) para los
sistemas de información crediticia relativos al cumplimiento de obligaciones dinerarias,
financieras o de crédito y (ii) de los sistemas de información sobre solvencia
patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho
manifiestamente públicos, contenidos en la secciones 2ª y 3ª del Anexo II, y que
deberían suprimirse.
“Sin embargo, en dicho Informe no se hace objeción alguna al Anexo I del Código de
Conducta en el que se recogen los servicios de información de relevancia económica
sobre sociedades mercantiles y otras personas jurídicas, empresarios individuales y
profesionales liberales.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

146/164

-f.Que la Secretaría General de la AEPD ha acordado iniciar el expediente de
contratación EX20240028 de “Servicios de análisis de información de carácter
económico-financiero y mercantil” cuyo objeto consiste en la contratación de un
servicio para la AEPD de información de carácter económico-financiero y mercantil
para cualquier entidad, independientemente de su forma jurídica, incluyendo dentro de
la contratación a los autónomos, asociaciones y fundaciones.
No es posible compartir los argumentos que la entidad alega para sustentar la
“confianza legítima” en el tratamiento que ella viene haciendo de los datos personales
de los empresarios autónomos y que, supuestamente, habría generado la Agencia con
su actuación. Confianza legítima supuestamente despertada por esta Agencia de la
que CAMERDATA pretende derivar la ausencia de negligencia en el incumplimiento de
la obligación de informar a los interesados que le impone el artículo 14 del RGPD.
Respecto a los hechos relevantes a los que se hace mención en los apartados a., b. y
c. precedentes, basta indicar que, , habiéndose producido un cambio que afecta al
ámbito de aplicación de la normativa de protección de datos en relación con las
personas físicas empresarias a raíz de la aplicación efectiva del RGPD, una resolución
dictada durante la vigencia de la LOPD y de su Reglamente de desarrollo (vigente
actualmente pero en lo que no se oponga al RGPD y la LOPDGDD), no puede
coincidir con la que se dicte aplicando la actual regulación. Esta Agencia no ha creado
ninguna confianza legítima indebida, lo que, por el contrario, sí habría sucedido en
caso de que, con la normativa actualmente vigente se aplicaran las disposiciones de la
LOPD y del RLOPD que ya no son de aplicación.
Por lo que atañe a la resolución denegatoria del Código de Conducta de ASEDIE
(apartado d) en ningún caso puede ser utilizada para justificar la pretendida confianza
legítima que la Agencia habría generado indebidamente sobre el tratamiento de los
datos personales de los empresarios autónomos. Los principios que sustenta la
decisión de la Agencia de denegar la aprobación del Código de Conducta son los
mismos que resultan aplicables en algunas de las cuestiones que en este
procedimiento se debaten y que son rechazados por CAMERDATA. Tanto la resolución
de la AEPD que deniega aprobar el citado Código de Conducta como otras
resoluciones sancionadoras de la AEPD muy próximas entre sí en el tiempo son
exponente de la aplicación de la normativa vigente y del criterio que defiende el
RGPD, por lo que a tenor de ellas no es posible alegar desconocimiento o confianza
legítima en posiciones que la Agencia hace tiempo que ha abandonado por exigirlo así
el respeto del principio de legalidad.
CAMERDATA sostiene que la ausencia de culpabilidad que invoca está fundamentada
“en la confianza legítima que ha generado la propia actuación de la AEPD” en relación
con el tratamiento de los datos personales de los trabajadores autónomos o
empresarios individuales. Seguidamente, subraya que, a su parecer, es llamativo –
dice- que el acuerdo de inicio no mencionara “circunstancias de relevancia a los
efectos del presente procedimiento, conocidos por el órgano supervisor y de control,
que inciden de manera directa en la determinación de la existencia o no de
intencionalidad o negligencia por parte de Camerdata.”
Como tales circunstancias de relevancia cita:
-a. La Resolución de 27 de febrero de 2001 de la AEPD recaída en el expediente
iniciado como consecuencia de la denuncia efectuada a una Cámara de Comercio por
la transmisión a terceros de los datos contenidos en el censo público de empresas
regulado por la Ley 3/1993.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

147/164

-b. La consulta del Gabinete Jurídico de la AEPD que, dice, recupera la interpretación
realizada la resolución indicada anteriormente (enlace a la resolución:
https://www.aepd.es/documento/2001-9901.pdf)
-c. La respuesta del Gabinete Jurídico a una consulta de ASEDIE, de fecha
30/09/2014, número de referencia 383358/2014 (consulta que se plantea con
posterioridad a la aprobación de la Ley 4/2014) en la que el Gabinete Jurídico de la
Agencia informó en estos términos: “De este modo, siempre que los datos se refieran
únicamente a personas jurídicas, sin contener más datos personales que los
mencionados en el artículo 2.2 del reglamento de desarrollo de la Ley Orgánica, o a
empresarios individuales, en los términos que acaban de describirse y relacionados
única y exclusivamente con la actividad mercantil de tales empresarios, las normas de
protección de datos no será aplicables, por lo que, sin perjuicio de lo dispuesto en
otras normas, su comunicación no estará sometida a lo dispuesto en la Ley Orgánica
15/1999.”
-d.La Resolución en la que se denegó la aprobación del Código de Conducta de
ASEDIE (Expediente Nº CC/0003/2018), en el que ni la Subdirección General del
Registro Central de Protección de Datos, ni el propio Gabinete Jurídico de la AEPD, en
sus respectivos informes, encontraron objeciones al tratamiento de datos personales
de empresarios individuales y profesionales liberales. Así, en la resolución del referido
expediente se indica expresamente lo siguiente:
“Respecto del resto de contenidos, el informe de la Subdirección General del Registro
General de Protección de Datos emite una valoración general positiva, considerando
que responde a necesidades particulares del promotor, que facilita y especifica la
aplicación del RGPD y que proporciona garantías suficientes.”
-e.El informe del Gabinete Jurídico de la AEPD N/REF 0089/2020, en el cual se
especifican los tratamientos en los que no se aprecia la prevalencia del interés legítimo
del responsable del tratamiento, concretamente, los tratamientos de datos (i) para los
sistemas de información crediticia relativos al cumplimiento de obligaciones dinerarias,
financieras o de crédito y (ii) de los sistemas de información sobre solvencia
patrimonial con datos obtenidos de fuentes públicas o que el interesado haya hecho
manifiestamente públicos, contenidos en la secciones 2ª y 3ª del Anexo II, y que
deberían suprimirse.
“Sin embargo, en dicho Informe no se hace objeción alguna al Anexo I del Código de
Conducta en el que se recogen los servicios de información de relevancia económica
sobre sociedades mercantiles y otras personas jurídicas, empresarios individuales y
profesionales liberales.”
-f.Que la Secretaría General de la AEPD ha acordado iniciar el expediente de
contratación EX20240028 de “Servicios de análisis de información de carácter
económico-financiero y mercantil” cuyo objeto consiste en la contratación de un
servicio para la AEPD de información de carácter económico-financiero y mercantil
para cualquier entidad, independientemente de su forma jurídica, incluyendo dentro de
la contratación a los autónomos, asociaciones y fundaciones. En concreto, el objeto
del contrato constará de las siguientes actividades:
No es posible compartir los argumentos que la entidad alega para sustentar la
“confianza legítima” que supuestamente ha generado la Agencia con su actuación y de
la que pretende derivar la ausencia de negligencia en el incumplimiento por
CAMERDATA de la obligación de informar a los interesados que le impone el artículo
14 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

148/164

En relación con las citas que se recogen en los apartados a., b. y c. precedentes basta
indicar que parece evidente que, cuando ha habido un cambio legislativo que afecta al
ámbito de aplicación de la normativa de protección de datos, una resolución dictada
durante la vigencia de la LOPD y de su Reglamente de desarrollo (vigente actualmente
pero en lo que no se oponga al RGPD y la LOPDGDD), no puede coincidir con la que
se dicte aplicando la actual regulación. Esta Agencia no ha creado ninguna confianza
legítima indebida, lo que sí habría sucedido en caso de que, con la normativa
actualmente vigente actuara igual que con las disposiciones de la LOPD y del RLOPD
que ya no son de aplicación. .
Por lo que atañe a la resolución denegatoria del Código de Conducta de ASEDIE
(apartado d) en ningún caso puede ser utilizada para justificar la pretendida confianza
legítima que la Agencia habría generado indebidamente sobre el tratamiento de los
datos personales de los empresarios autónomos. Los principios que sustenta la
decisión de la Agencia de denegar la aprobación del Código de Conducta son los
mismos que resultan aplicables en algunas de las cuestiones que en este
procedimiento se debaten y que son rechazados por CAMERDATA. Tanto la resolución
de la AEPD que deniega aprobar el citado Código de Conducta como otras
resoluciones sancionadoras de la AEPD muy próximas entre sí en el tiempo son
exponente de la aplicación de la normativa vigente y del criterio que defiende el
RGPD, por lo que a tenor de ellas no es posible alegar desconocimiento o confianza
legítima en posiciones que la Agencia hace tiempo que ha abandonado por exigirlo así
el respeto al principio de legalidad.
Cabe añadir una precisión más a propósito de la referencia que hace CAMERDATA al
proceso de contratación iniciado por la Secretaria General de esta Agencia sobre los
servicios de información de una empresa infomediaria. Por una parte, que el presente
procedimiento sancionador versa sobre el tratamiento de datos personales sin un
fundamento de licitud. Y que nada impide que los datos de los empresarios autónomos
sean objeto de tratamiento si el tratamiento cuenta con una base jurídica adecuada
con arreglo al RGDP. Por tanto, si una empresa infomediaria trata datos personales de
una persona física, sea empresario o no, deberá contar con una base jurídica
adecuada según el RGPD. Y nada impide que una infomediaria trate datos de
empresarios personas físicas que cumplan el principio de licitud. Con esas premisas la
Agencia puede contratar con una infomediaria quien podrá facilitarle información que
podrá ser o no de empresarios personas físicas pero que en todo caso deberá está
fundada en un base jurídica adecuada.
En consideración a las pruebas y evidencias que obran en el procedimiento, esta
propuesta de resolución aprecia la existencia de una infracción de la obligación de
informar a los interesados impuesta por el artículo 14 del RGPD.
Esta infracción es significativa por sí misma, con independencia de que el tratamiento
de los datos de los empresarios personas físicas efectuado por CAMERDATA sea
ilícito. Incluso en situaciones donde el tratamiento de datos personales pueda
considerarse ilícito debido a la falta de una base legal adecuada conforme al artículo
6.1 del RGPD, el responsable del tratamiento sigue estando obligado a cumplir con el
principio de transparencia y, por ende, debe informar a los interesados acerca del
tratamiento de sus datos en los términos del artículo 14 del RGPD si dichos datos no
fueron obtenidos directamente de los interesados, como ocurre en el presente
supuesto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

149/164

XII

Tipificación y plazo de prescripción de la infracción del artículo 14 del RGPD

La infracción del artículo 14 del RGPD de la que esta propuesta de resolución
considera responsable a CAMERDATA se encuentra tipificada en el artículo 83.5 b) del
RGPD, precepto que dispone:

“Serán sancionadas con multas administrativas de 20.000.000€ como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía las infracciones de las disposiciones siguientes:
[…]
b) los derechos de los interesados a tenor de los artículos 12 a 22:”

A los solos efectos de determinar el plazo de prescripción de la infracción del artículo
14 del RGPD la LOPDGDD dispone en su artículo 72.1:

“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…]
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica.”

XIII
Infracción del artículo 28 del RGPD

El acuerdo de inicio del procedimiento sancionador atribuye a CAMERDATA una
presunta infracción del artículo 28 del RGPD basada en que el contrato de encargo de
tratamiento suscrito con DMOVO -cuya copia aportó a requerimiento de la Inspección
de Datos- si bien contiene una cláusula de confidencialidad, no incorpora las demás
previsiones que el artículo 28.3 del RGPD establece, por lo que ha de entenderse
incumplida esta obligación.

El artículo 28 del RGPD, “Encargado del tratamiento”, dispone:

“1.Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiados, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.

2.El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa
por escrito, específica o general, del responsable. En este último caso, el encargado
informará al responsable de cualquier cambio previsto en la incorporación o
sustitución de otros encargados, dando así al responsable la oportunidad de oponerse
a dichos cambios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

150/164

3.El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:
“a) tratará los datos personales únicamente siguiendo instrucciones documentadas del
responsable, inclusive con respecto a las transferencias de datos personales a un
tercer país o una organización internacional, salvo que esté obligado a ello en virtud
del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en
tal caso, el encargado informará al responsable de esa exigencia legal previa al
tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés
público;
b) garantizará que las personas autorizadas para tratar datos personales se hayan
comprometido a respetar la confidencialidad o estén sujetas a una obligación de
confidencialidad de naturaleza legal;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;
e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través
de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que
este pueda cumplir con su obligación de responder a las solicitudes que tengan por
objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento
y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales una
vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias
existentes a menos que se requiera la conservación de los datos personales en virtud
del Derecho de la Unión o de los Estados miembros;
h) pondrá a disposición del responsable toda la información necesaria para demostrar
el cumplimiento de las obligaciones establecidas en el presente artículo, así como
para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por
parte del responsable o de otro auditor autorizado por dicho responsable.
En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará
inmediatamente al responsable si, en su opinión, una instrucción infringe el presente
Reglamento u otras disposiciones en materia de protección de datos de la Unión o de
los Estados miembros.”

CAMERDATA suscribe con DMOVO ANALYTICS, S.L., (en adelante DMOVO) el
03/02/2020 un contrato que tiene por objeto establecer un marco de colaboración para
la prestación de servicios de desarrollo tecnológico, tratamiento de la información y
consultoría por parte de DMOVO. Se indica que los servicios constan de un proceso
periódico de tratamiento y adecuación de los datos de nombres y domicilios de los
registros de empresas y autónomos de los que CAMERDATA es responsable de
tratamiento.

En sus alegaciones al acuerdo de inicio CAMERDATA niega la existencia de esta
infracción y sostiene que el contrato suscrito sí cumple las previsiones del artículo 28.3
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

151/164

del RGPD. En ese sentido, dice que el contrato establece el “objeto, la duración, la
naturaleza y finalidad del tratamiento” “el tipo de datos personales, categorías de
interesados, y las obligaciones y derechos del responsable”. Indica que, además, hace
referencia expresa y reiterada a la observación y cumplimiento de las previsiones del
RGPD y de la LOPDGDD “en materia de acceso, tratamiento y cesión de datos de
carácter personal.”

Aporta con sus alegaciones (documento nº6) el “Convenio de Confidencialidad” que
ambas partes suscribieron el 18/12/2019. Explica que no se aportó en el momento de
cumplimentar el requerimiento previo de información realizado por la AEPD, “pues
entonces no se informó y, por tanto, se desconocía el alcance del mismo.”

Su alegato consiste en indicar qué estipulaciones del Convenio de Confidencialidad de
18/12/2019 y del Contrato de 03/02/2020 se corresponden con cada una de las
previsiones del artículo 28.3 del RGPD con el objetivo de acreditar que todas las
exigencias del artículo 28.3 del RGPD tienen su reflejo en el Contrato o en el Convenio
de Confidencialidad. Dice en este sentido:

1.La previsión del artículo 28.3.a) del RGPD, a tenor de la cual “el encargado tratará
los datos siguiendo únicamente las indicaciones documentadas del responsable”, se
incorpora en el Pacto 2.3.b) del Convenio de confidencialidad que prevé que “la
utilización de la información y datos objeto de tratamiento se hará única y
exclusivamente para el desarrollo y ejecución de la relación contractual, de
conformidad con los acuerdos establecidos entre las partes y siguiendo las
indicaciones de Camerdata”. El pacto continúa diciendo “sin que en ningún caso
pueda tratarlas, utilizarlas o aplicarlas para una finalidad diferente o con infracción de
dicha normativa”.

2. La previsión del artículo 28.3.c) del RGPD, relativo a “todas las medidas necesarias
de conformidad con el artículo 32 RGP” sobre la “Seguridad del tratamiento”, se
incorpora a través de:

-El Pacto 2.3.a) del Convenio, a tenor del cual la parte receptora de la información se
obliga a disponer de “los medios técnicos y organizativos necesarios a fin de
garantizar la seguridad y confidencialidad de cuanta información de carácter personal
sea entregada”.
-El Pacto 2.3.e) del Convenio, a tenor del cual “no se registrarán datos de carácter
personal en ficheros que no reúnan las condiciones legalmente exigidas “respecto a
su integridad y seguridad y la de los centros de tratamiento, locales, equipos, sistemas
y programas”.
-Los Pactos 2.3.g) y 2.3.k) del Convenio, conforme a los cuales las garantías y criterios
de confidencialidad del Convenio se extenderán “a cualquier tipo de soporte que
contenga datos de carácter personal (digital o no digital) a los que se tenga acceso”
por razón del desarrollo y ejecución de la relación contractual.

3. El artículo 28.3.d) del RGPD , a tenor del cual el primer encargado “respetará las
condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del
tratamiento”, se traslada en el Pacto 2.3.d) del Convenio que prohíbe subcontratar con
terceros “la realización de ningún acceso o tratamiento de los datos personales
comunicados sin la previa autorización expresa y por escrito” de Camerdata.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

152/164

4. El artículo 28.3.e) del RGPD, en virtud del cual “el encargado asistirá al
responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas
técnicas y organizativas apropiadas, siempre que sea posible, para que éste pueda
cumplir con su obligación de responder a las solicitudes que tengan por objeto el
ejercicio de los derechos de los interesados establecidos en el capítulo III”, se traslada
en los Pactos 2.5 y 2.6 del Convenio.

En virtud del primero DMOVO se obliga a comunicar inmediatamente a Camerdata “el
contenido y alcance de cualquier derecho de acceso, rectificación, cancelación y
oposición, que haya realizado cualquier titular de los datos de carácter personal que
estén siendo tratados en calidad de encargado de su tratamiento”. Y conforme al
Pacto 2.6. DMOVO “no tramitará directamente ninguna respuesta a los titulares de los
datos, limitándose su actuación a mantener informado en todo momento” al
responsable, quien asume la responsabilidad dar curso a cualquier ejercicio de
derechos de los interesados en materia de protección de datos personales.

5.El artículo 28.3.f) del RGPD, conforme al cual el encargado ayudará al responsable
“a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36,
teniendo en cuenta la naturaleza del tratamiento y la información a disposición del
encargado” se incorpora a través del Pacto 2.3.f) del Convenio.

En él se establece la obligación de DMOVO tanto de cumplir “lo dispuesto en la
LOPDGDD y el RGPD” como de vigilar “la correcta protección lógica y física de los
datos personales facilitados” por el responsable y la implementación de las “medidas
técnicas y de organización que sean necesarias teniendo en cuenta el estado de la
tecnología, la naturaleza de los datos almacenados y los riesgos a los que están
expuestos, ya provengan de la acción humana o del medio físico o natural”.

6. El artículo 28.3.g) RGPD, conforme al cual, a elección del responsable, el
encargado suprimirá o devolverá todos los datos personales una vez finalice la
prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos
que se requiera la conservación de los datos personales en virtud del Derecho de la
Unión o de los Estados miembros” se incorpora a través de:

-El Pacto 2.3.q) del Convenio. En él se prevé que, a la finalización o resolución de la
relación contractual DMOVO “devolverá toda la información confidencial y todos los
datos de carácter personal facilitados por … (Camerdata) no conservará ninguna
copia de las mismas, destruyendo de forma inmediata cualquier soporte o documento
en el que conste alguna información confidencial o dato de carácter personal, sin
necesidad de un expreso requerimiento” de Camerdata.

-El Pacto 1.4 del Convenio prevé que, al finalizar la relación contractual, ambas partes
“se restituirán todos los datos, documentación, soportes informáticos o telemáticos o
de cualquier clase que se hayan facilitado en ejecución de la misma, excepto en el
caso de que haya una obligación legal de conservación de dichos soportes de
conformidad y en la forma que disponga la normativa de aplicación”.

7. El artículo 28.3.h) del RGPD, que se refiere a la puesta a disposición del
responsable toda la información necesaria para demostrar el cumplimiento de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

153/164

obligaciones establecidas en el presente artículo, así como para permitir y contribuir a
la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro
auditor autorizado por dicho responsable, así como de su párrafo segundo a tenor del
cual el encargado informará inmediatamente al responsable si, en su opinión, una
instrucción infringe el presente Reglamento u otras disposiciones en materia de
protección de datos de la Unión o de los Estados miembros, se incorpora a través de:

-Asimismo se establece en el Pacto 2.3.ll) del Convenio, la obligación de DMOVO de
mantener informada a Camerdata de “cualquier tipo de incidencia que pueda tener
repercusión en la integridad o confidencialidad de los datos”.

Prevé también que Camerdata pueda “inspeccionar por sí misma o por los técnicos
que designe al efecto, los locales, instalaciones, equipos y medidas implantadas” por
DMOVO, como la obligación de DMOVO de mantener informada a Camerdata de
“cualquier tipo de incidencia que pueda tener repercusión en la integridad o
confidencialidad de los datos”.

CAMERDATA concluye que, a través del Contrato de 2020 y del Convenio de
Confidencialidad aportado en el trámite de alegaciones, se incorporaron a la
regulación de la relación contractual las previsiones del artículo 28.3 por lo cual tal
obligación se ha cumplido y no se ha incurrido en ninguna infracción del precepto por
lo que procede acordar el archivo del procedimiento sancionador en lo que respecta a
tal infracción.

Cabe hacer dos precisiones adicionales. La primera, que ni en el contrato ni en el
Convenio de confidencialidad se hace mención a qué datos facilita CAMERDATA a
DMOVO para que lleve a cabo la prestación del servicio. No obstante, en el
documento aportado en fase de prueba, correspondiente al Anexo I al contrato,
denominado “Sistema de Tratamiento Datos Geográficos”, que contiene la oferta
comercial, se detalla el procedimiento a seguir y se especifica qué datos han de
tratarse previamente para llevar a cabo el proceso de normalización. Por otra parte, el
requisito del artículo 28.3.b) del RGPD al que no ha hecho mención CAMERDATA en
su escrito de alegaciones está también incluido en el Convenio de confidencialidad.

Así pues, estimando acreditado a través de la documentación que obra en el
expediente que en la relación contractual de DMOVO, como encargado de tratamiento,
y CAMERDATA, en calidad de responsable, constaban documentados (aunque
dispersos en tres documentos diferentes) todas los requisitos a los que alude el
artículo 28.3 del RGPD, no existen indicios de una conducta contraria a esa
disposición por lo que se debe proponer el archivo de la infracción citada -artículo
28.3.RGPD- que se atribuyó a CAMERDATA en el acuerdo de inicio de este
procedimiento.

XIV
Sanción

1. Los poderes correctivos atribuidos a la AEPD como autoridad de control se
relacionan en el artículo 58.2 del RGPD, apartados a) a j). El precepto menciona entre
ellos, apartado i), la potestad de sancionar con una multa administrativa con arreglo al
artículo 83 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

154/164

Procede imponer a CAMERDATA sendas multas administrativas por las infracciones
de los artículos 6.1 y 14 del RGPD a las que se hace mención en los Fundamentos
precedentes, sin perjuicio de las medidas correctivas que se ordenan.

El artículo 83 del RGPD, “Condiciones generales para la imposición de multas
administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la
imposición de multas por las infracciones del presente Reglamento indicadas en los
apartados 4,5 y 6, cumpla, en cada caso individual, los principios de efectividad,
proporcionalidad y carácter disuasorio.

El principio de proporcionalidad requiere una correlación entre la infracción y la
sanción, con interdicción de medidas innecesarias o excesivas, de manera que la
sanción sea apta para alcanzar los fines que la justifican. Para lograr la adecuación
entre la sanción y la infracción cometida el artículo 83.2 del RGPD ofrece una relación
de criterios que ayudan a graduar su importe. El precepto establece:

“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

La LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone en relación con
el artículo 83.2.k) que podrán tenerse en cuenta:
“a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

155/164

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

Por otra parte, debe tenerse en cuenta que los artículos 83.5 y 83.4 del RGPD
disponen, respectivamente, que el importe máximo de la sanción que se imponga será
la mayor de estas dos cantidades: “20.000.000 de euros o, tratándose de una
empresa, una “cuantía equivalente al 4% como máximo del volumen de negocio total
anual global del ejercicio financiero anterior” en el caso del artículo 83.5., y
“10.000.000 de euros o, tratándose de una empresa, una “cuantía equivalente al 2%
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior” en el caso del artículo 83.4. del RGPD.

Recordamos que en el Antecedente cuarto de esta propuesta consta que la cifra de
negocio de CAMERDATA durante el ejercicio 2021 fue de 886.000€.

2. Se examinan, respecto a cada una de las infracciones del RGPD de las que se
responsabiliza a CAMERDATA, qué circunstancias concurren en aras a la
determinación del importe de la sanción de multa.

2.1. Infracción del artículo 6.1 del RGPD:

En calidad de agravantes se aprecian los siguientes factores del artículo 83.2 del
RGPD que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad del
sujeto responsable:

-Artículo 83.2.a): “la naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”.

Esta circunstancia tiene especial relevancia en la graduación el importe de la multa
administrativa que procede imponer por la vulneración del principio de licitud. Esto,
porque los aspectos sobre los que la circunstancia del apartado a) hace pivotar la
mayor o menor gravedad de la conducta que se valora, una vez trasladados al
supuesto de hecho que nos ocupa, evidencian en el presente caso un indiscutible plus
de la antijuridicidad de la conducta y de la culpabilidad de CAMERDATA.

La operación de tratamiento efectuada sin una base jurídica adecuada con arreglo al
RGPD ha consistido en la recogida de datos personales de empresarios autónomos
cedidos por la CDE en virtud de un contrato privado y en la posterior cesión por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

156/164

CAMERDATA con fines comerciales -pues en eso consiste el objeto de la actividad
mercantil del sujeto responsable de esta infracción- a terceras entidades que los
utilizarán directamente con fines de marketing, esencialmente, o/y los cederán a su
vez a otras entidades para que los utilicen con fines similares.

La recogida de datos personales de los empresarios individuales, la sistematización, el
enriquecimiento y la ulterior transmisión que CAMERDATA lleva a cabo, ha podido
tener lugar - y en consecuencia, los datos personales de los empresarios autónomos
han podido llegar a manos de terceras entidades para su explotación para los fines
particulares de su actividad empresarial- gracias a la cesión realizada por la CDE.

Inciden en la naturaleza, propósito y alcance de esta operación de tratamiento
aspectos relevantes que no pueden obviarse y que son exponente de la gravedad del
tratamiento que se pretende valorar a efectos de la imposición de una sanción que sea
proporcionada, efectiva y disuasoria:

En primer término, que el Convenio suscrito entre la AEAT y la CDE (Convenio que se
publica en el BOE) para la cesión de los datos prohíbe expresamente (cláusula
cuarta) que la CDE ceda a terceros los datos obtenidos, pues la única finalidad de esa
cesión por las Administraciones tributarias es la elaboración del censo público de
empresas. Y ese es también el propósito del legislador que, en la Exposición de
Motivos de la Ley 4/2014, expositivo II, dice textualmente “que las Cámaras Oficiales
de Comercio, Industria, Servicios y Navegación confeccionarán un censo público de
empresas para cuya elaboración contarán con la colaboración de la administración
tributaria competente, garantizando, en todo caso, el […] uso exclusivo de la
información para los fines legalmente previstos.”

De manera que la finalidad encomendada a la CDE por el artículo 8 de la Ley
precitada se cumple y se agota con la publicación a través de su web corporativa del
censo, de forma que no puede obviarse esa limitación de la finalidad del tratamiento
de los datos sobre los que versa este procedimiento. En segundo término, no puede
obviarse tampoco que, estando limitada estrictamente a esa finalidad la información
que se publica a través del censo público, existiendo una prohibición expresa de
cesión de la información a terceros y disponiendo el artículo 8 de la Ley 4/2014 lo que
establece, la CDE transmita a CAMERDATA y esta entidad reciba sin ningún
cuestionamiento, no solo la información relativa a los autónomos a la que se puede
acceder desde su web corporativa, sino también datos adicionales, como el dato del
NIF de esas personas físicas que no se publica en el censo público de empresas. En
tercer término, que CAMERDATA es una sociedad instrumental de las Cámaras de
Comercio (así se refiere a ella la CDE) que fue constituida en la década de los 80 por
diversas Cámaras de Comercio.

La transmisión de los datos por la CDE a CAMERDATA se produce con el pleno
conocimiento por la primera de las posteriores transmisiones que CAMERDATA tiene
previsto hacer a terceras entidades y con pleno conocimiento por la segunda,
CAMERDATA, de cuál es el origen de los datos: las Administraciones tributarias. Basta
una lectura del contrato suscrito entre ambas en 2016 para verificar estos extremos.

Relevante es también el elevadísimo número de personas que se han visto afectadas
por el tratamiento ilícito de sus datos, en torno al millón y medio de personas físicas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

157/164

que son empresarios. La gravedad de la conducta se amplifica si se valoran las nulas
expectativas que los afectados podían albergar de que el tratamiento en el que se
materializa la infracción del artículo 6.1 del RGPD pudiera llevarse a cabo.

- Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

El elemento subjetivo o culpabilidad en sentido amplio es un requisito integrante de la
infracción administrativa. En nuestro ordenamiento jurídico está proscrita la exigencia
de responsabilidad objetiva. Puede mencionarse en ese sentido la sentencia
246/1991, de 19 diciembre, del Tribunal Constitucional que dice:
"En concreto, sobre la culpa, este Tribunal ha declarado que, en efecto, la Constitución
española consagra sin duda el principio de culpabilidad como principio estructural
básico del Derecho Penal […]. Este principio de culpabilidad rige también en materia
de infracciones administrativas, pues en la medida en que la sanción de dicha
infracción es una de las manifestaciones del ius puniendi del Estado resulta
inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin
culpa (STC 76/1990 )"

Además, el principio de culpabilidad se consagra en la Ley 40/2015 de Régimen
Jurídico del Sector Público que establece en el artículo 28, bajo la rúbrica
“Responsabilidad”:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

Siguiendo la definición recogida por la sentencia del Tribunal Supremo, Sala de lo
Contencioso administrativo, de 06/07/2010 “Debe entenderse por culpabilidad el juicio
personal de reprochabilidad dirigido al autor (por acción u omisión) de un hecho típico
y antijurídico; ello implica y requiere que el autor sea causa de la acción u omisión que
supone la conducta ilícita —a título de autor, cómplice o encubridor-; que sea
imputable, sin que concurran circunstancias que alteren su capacidad de obrar; y que
sea culpable, esto es, que haya actuado con conciencia y voluntariedad, bien a título
intencional, bien a título culposo.”

Las manifestaciones de la culpabilidad, entendida en sentido amplio- como elemento
de la infracción- son el dolo o intencionalidad y la culpa o negligencia que, a su vez,
puede presentar distintos grados.

En el presente caso, al apreciar la concurrencia, en calidad de agravante de la
infracción del artículo 6.1 del RGPD, de la circunstancia descrita en la letra b) del
artículo 83.2. del RGPD –“la intencionalidad o negligencia de la infracción”- no nos
estamos refiriendo al elemento culpabilístico indispensable para integrar el tipo
sancionador, sino a un “plus” adicional de culpabilidad: esto es, a la presencia en
la conducta infractora de una gravísima, muy relevante y significativa, falta de
diligencia de la responsable del tratamiento que excede por completo del
elemento subjetivo que integra la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

158/164

CAMERDATA ha tratado sin una base jurídica adecuada con arreglo al RGPD los
datos que conciernen a más de un millón y medio de personas físicas pese a que tenía
a su alcance todos los elementos de juicio y la información necesaria para constatar
que la cedente de los datos no estaba habilitada para cederlos y, por tanto, cualquier
tratamiento que ella hiciera de los datos así obtenidos -recepción, cesión a terceros
con fines comerciales y/o de marketing o con la finalidad de normalización de los
datos- carecía de un fundamento de licitud conforme al artículo 6.1 del RGPD. Incide
también en la valoración de su gravísima falta de diligencia que el tratamiento se
realiza en el marco de su actividad empresarial en la que la profesionalidad le obligaba
a un mayor rigor y diligencia en el cumplimiento de las obligaciones que le impone el
RGPD.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Aunque el tenor literal del artículo 83.2.g) del RGPD parece conectar este criterio de
graduación, exclusivamente, con el artículo 9 del RGPD, sin embargo, en el RGPD hay
referencias a otras clasificaciones de los datos que responden a la finalidad que
persigue el artículo 83.2 del RGPD, graduar el importe de la multa de acuerdo con los
principios de proporcionalidad y efectividad. Así, los considerandos 51 y 75 del RGPD
distinguen un grupo de datos personales que por su naturaleza son particularmente
“sensibles” por el importante riesgo que su tratamiento puede entrañar para los
derechos y libertades fundamentales ya que puede llegar a provocar daños y
perjuicios físicos, materiales o inmateriales.

En este grupo o categoría se incluyen, además de los datos especialmente protegidos
que regula el artículo 9 del RGPD, otros muchos. El considerando 75 menciona los
datos personales cuyo tratamiento puede entrañar un riesgo de gravedad y
probabilidad variables para los derechos y libertades de las personas físicas y se
refiere a aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación,
usurpación de identidad o fraude, pérdidas financieras, daño para la reputación,
pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no
autorizada de la seudonimización o cualquier otro perjuicio económico o social
significativo;”

El identificador numérico del DNI junto con el carácter de verificación correspondiente
al número de identificación fiscal identifica a una persona física de modo indubitado.
Esta cualidad lo convierte en un dato particularmente sensible en la medida en que, si
su tratamiento no va acompañado de las medidas técnicas y organizativas necesarias
para garantizar que quien se identifica con él es realmente su titular, un tercero puede
suplantar la identidad de una persona física con total facilidad, o, con otras palabras,
puede provocar un fraude de identidad, con los riesgos que ello comporta para la
privacidad, el honor y el patrimonio del suplantado.

-Artículo 83.2.k) RGPD en conexión con el artículo 76 b) de la LOPDGDD: “La
vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.”

El desarrollo de la actividad que le es propia exige de manera habitual tratar datos de
carácter personal, lo que incide en la diligencia que le es exigible para el cumplimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

159/164

de los principios que presiden el tratamiento de datos de carácter personal y la calidad
y efectividad de las medidas técnicas y organizativas que debe tener implementadas
para garantizar el respeto de este derecho.

No se aprecian factores que atenúen la culpabilidad o la antijuridicidad de la conducta
que vulnera el artículo 6.1 del RGPD.

En atención a las circunstancias concurrentes, se propone imponer a CAMERDATA
por la infracción del artículo 6.1. del RGPD una sanción de multa administrativa por el
importe de 200.000€ (doscientos mil euros)

2.2. Infracción del artículo 14 del RGPD:

Concurren en calidad de agravantes las siguientes circunstancias del artículo 83.2 del
RGPD que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad del
sujeto infractor:

- Artículo 83.2.a): “la naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido”.

Del examen de la naturaleza, alcance y propósito de la operación de tratamiento que
lleva a cabo CAMERDATA a la luz del incumplimiento de la obligación de transparencia
se concluye la extraordinaria gravedad de la infracción en la que ha incurrido.

La infracción del artículo 14 RGPD sobre la que se proyecta la circunstancia del
apartado a) afecta al deber de transparencia que el RGPD impone al responsable; al
deber de facilitar al interesado una información clara y completa del tratamiento de sus
datos personales más aún, en supuestos como el que nos ocupa en que el
responsable no recoge los datos directamente de su titular. El deber de informar se
convierte entonces en el instrumento imprescindible para garantizar de manera real y
efectiva que los titulares de los datos puedan ejercitar los derechos que tienen
reconocidos por la normativa de protección de datos ya que difícilmente pueden
ejercitarlos si ni siquiera saben que el tratamiento existe.

Cuando la operación de tratamiento tiene las características que aquí presenta, en la
que el sujeto infractor ha recogido los datos de una entidad que tampoco los recibió
de su titular y a quien tampoco le informó del tratamiento que de ellos hace -la cesión
a CAMERDATA- pese a estar obligado por el artículo 14 del RGPD, y en la que, a su
vez, ese cedente los ha obtenido de quien sí los recogió directamente del interesado
pero a quien no se le informó entonces de esta cadena de tratamientos posteriores,
toda vez que la transmisión por el receptor de los datos a su cesionaria -más tarde
cedente de CAMERDATA- se ha producido en cumplimiento de una obligación legal,
que los datos están vinculados al tratamiento para la finalidad específica prevista en la
Ley y que ha garantizado adicionalmente mediante un acuerdo con la cesionaria la
prohibición expresa de transmitirlos a terceros, la gravedad que deriva de la falta de
información en la que se ve envuelto el titular de los datos es extraordinaria. Incide
asimismo en la gravedad del incumplimiento del RGPD del que se responsabiliza a
CAMERDATA las nulas expectativas que puede llegar a tener el interesado que ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

160/164

facilitado sus datos a una Administración tributaria en cumplimiento de una obligación
legal, de que puedan llegar a ser tratados con la finalidad a la que CAMERDATA los
destina.

-Artículo 83.2.b): “la intencionalidad o negligencia en la infracción”.

El elemento subjetivo o culpabilidad en sentido amplio es un requisito integrante de la
infracción administrativa. En nuestro ordenamiento jurídico está proscrita la exigencia
de responsabilidad objetiva. Puede mencionarse en ese sentido la sentencia
246/1991, de 19 diciembre, del Tribunal Constitucional que dice:
"En concreto, sobre la culpa, este Tribunal ha declarado que, en efecto, la Constitución
española consagra sin duda el principio de culpabilidad como principio estructural
básico del Derecho Penal […]. Este principio de culpabilidad rige también en materia
de infracciones administrativas, pues en la medida en que la sanción de dicha
infracción es una de las manifestaciones del ius puniendi del Estado resulta
inadmisible en nuestro ordenamiento un régimen de responsabilidad objetiva o sin
culpa (STC 76/1990 )"

Además, el principio de culpabilidad se consagra en la Ley 40/2015 de Régimen
Jurídico del Sector Público que establece en el artículo 28, bajo la rúbrica
“Responsabilidad”:
“1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa
las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”

Siguiendo la definición recogida por la sentencia del Tribunal Supremo, Sala de lo
Contencioso administrativo, de 06/07/2010 “Debe entenderse por culpabilidad el juicio
personal de reprochabilidad dirigido al autor (por acción u omisión) de un hecho típico
y antijurídico; ello implica y requiere que el autor sea causa de la acción u omisión que
supone la conducta ilícita —a título de autor, cómplice o encubridor-; que sea
imputable, sin que concurran circunstancias que alteren su capacidad de obrar; y que
sea culpable, esto es, que haya actuado con conciencia y voluntariedad, bien a título
intencional, bien a título culposo.”

Las manifestaciones de la culpabilidad, entendida en sentido amplio- como elemento
de la infracción- son el dolo o intencionalidad y la culpa o negligencia que, a su vez,
puede presentar distintos grados.

En el presente caso, al apreciar la concurrencia, en calidad de agravante de la
infracción del artículo 14 del RGPD, de la circunstancia descrita en la letra b) del
artículo 83.2. del RGPD –“la intencionalidad o negligencia de la infracción”- no nos
estamos refiriendo al elemento culpabilístico indispensable para integrar el tipo
sancionador, sino a un “plus” adicional de culpabilidad: esto es, a la presencia en
la conducta infractora de una gravísima, muy relevante y significativa, falta de
diligencia de la responsable del tratamiento que excede por completo del
elemento subjetivo que integra la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

161/164

CAMERDATA ha incumplido la obligación de informar del tratamiento, en los términos
del artículo 14 del RGPD, a los interesados cuyos dato trata. A la vulnerabilidad que
esto supone para los interesados -habida cuenta de que CAMERDATA no recoge los
datos personales de ellos ni tampoco los recogió de ellos la entidad cedente, que,
además, tampoco les informó- se añade la ausencia de expectativas de los
interesados sobre la existencia de este tratamiento.

No es óbice para apreciar una muy grave falta de diligencia de CAMERDATA en el
incumplimiento de la obligación de informar, ciertas actuaciones por su parte
-examinadas en el Fundamento oportuno de esta propuesta- que no han tenido la
virtualidad de integrar una medida compensatoria de la ausencia de información.

-Artículo 83.2.g) RGPD: “Las categorías de los datos de carácter personal afectados
por la infracción”.

Aunque el tenor literal del artículo 83.2.g) del RGPD parece conectar este criterio de
graduación, exclusivamente, con el artículo 9 del RGPD, sin embargo, en el RGPD hay
referencias a otras clasificaciones de los datos que responden a la finalidad que
persigue el artículo 83.2 del RGPD, graduar el importe de la multa de acuerdo con los
principios de proporcionalidad y efectividad. Así, los considerandos 51 y 75 del RGPD
distinguen un grupo de datos personales que por su naturaleza son particularmente
“sensibles” por el importante riesgo que su tratamiento puede entrañar para los
derechos y libertades fundamentales ya que puede llegar a provocar daños y
perjuicios físicos, materiales o inmateriales.

En este grupo o categoría se incluyen, además de los datos especialmente protegidos
que regula el artículo 9 del RGPD, otros muchos. El considerando 75 menciona los
datos personales cuyo tratamiento puede entrañar un riesgo de gravedad y
probabilidad variables para los derechos y libertades de las personas físicas y se
refiere a aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación,
usurpación de identidad o fraude, pérdidas financieras, daño para la reputación,
pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no
autorizada de la seudonimización o cualquier otro perjuicio económico o social
significativo;”

El identificador numérico del DNI junto con el carácter de verificación correspondiente
al número de identificación fiscal identifica a una persona física de modo indubitado.
Esta cualidad lo convierte en un dato particularmente sensible en la medida en que, si
su tratamiento no va acompañado de las medidas técnicas y organizativas necesarias
para garantizar que quien se identifica con él es realmente su titular, un tercero puede
suplantar la identidad de una persona física con total facilidad, o, con otras palabras,
puede provocar un fraude de identidad, con los riesgos que ello comporta para la
privacidad, el honor y el patrimonio del suplantado.

-Artículo 83.2.k) RGPD en conexión con el artículo 76 b) de la LOPDGDD: “La
vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.”

El desarrollo de la actividad que le es propia exige de manera habitual tratar datos de
carácter personal, lo que incide en la diligencia que le es exigible para el cumplimiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

162/164

de los principios que presiden el tratamiento de datos de carácter personal y la calidad
y efectividad de las medidas técnicas y organizativas que debe tener implementadas
para garantizar el respeto de este derecho.

No se aprecian factores de atenuación

En atención a las circunstancias que concurren, procde imponer a CAMERDATA por la
infracción del artículo 14 del RGPD una sanción de multa administrativa por el importe
de 60.000€ (sesenta mil euros)

XV

En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y
los hechos que han dado lugar a la vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

Sin perjuicio de lo anterior se ordenan a CAMERDATA las siguientes medidas:

(i)En un plazo máximo de un mes desde que la resolución sancionadora que se
dictase fuera ejecutiva, proceda a la supresión de todos los datos personales
relativos a empresarios autónomos que obren en los ficheros de CAMERDATA que
tengan origen en la cesión de bases de datos efectuada por la Cámara de
Comercio de España.

(ii)En un plazo máximo de un mes desde que la resolución sancionadora que se
dictase fuera ejecutiva, proceda al cese en el tratamiento de datos personales
relativos a empresarios autónomos procedentes de la Cámara de Comercio de
España hasta que cuente con una base de legitimación

(iiI) En un plazo máximo de tres meses desde que la resolución sancionadora que
se dictase fuera ejecutiva, informe en los términos del artículo 14 del RGPD del
tratamiento de los datos personales de los empresarios autónomos que ha
efectuado mediante un anuncio personalizado o relevante por su formato y
caracteres, sin que sea suficiente la inclusión de un anuncio general en la página
web de las Cámaras de Comercio.

Se advierte que no atender la orden de adopción de medidas impuestas por este
organismo en la resolución sancionadora podrá ser considerado como una infracción
administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su
artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior
procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

163/164

la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a CAMERDATA, S.A., con NIF A78035896, por una infracción
del Artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, con una multa
administrativa (artículo 58.2.i RGPD) por el importe de 200.000€ (doscientos mil euros)

SEGUNDO: IMPONER a CAMERDATA, S.A., con NIF A78035896, por una infracción,
por una infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.b) del RGPD,
con una multa administrativa (artículo 58.2.i RGPD) por el importe de 60.000€ (cien mil
euros)

TERCERO: ARCHIVAR la infracción del artículo 6.1. del RGPD, tipificada en el artículo
83.5.a) del RGPD, consistente en “c) Haber cedido a la empresa KOMPASS su
Fichero con la doble finalidad de que le preste un servicio de realimentación de la
información recogida en él y para el uso por esta entidad para sus propias
actividades”, que se le imputó en el acuerdo de iniciación de este procedimiento.

CUARTO: ARCHIVAR la infracción del artículo 28 del RGPD, tipificada en el artículo
83.4.a) del RGPD, que se le imputó en el acuerdo de iniciación de este procedimiento.

QUINTO: ORDENAR a CAMERDATA, S.A., con NIF A78035896, que en virtud del
artículo 58.2.d) del RGPD, acredite haber procedido al cumplimiento de las siguientes
medidas

(i) En un plazo máximo de un mes desde que la resolución sancionadora que se
dictase fuera ejecutiva, acredite haber procedido a la supresión de todos los datos
personales relativos a empresarios autónomos que obren en los ficheros de
CAMERDATA que tengan origen en la cesión de bases de datos efectuada por la
Cámara de Comercio de España.

(ii) En un plazo máximo de un mes desde que la resolución sancionadora que se
dictase fuera ejecutiva, acredite haber procedido al cese en el tratamiento de datos
personales relativos a empresarios autónomos procedentes de la Cámara de
Comercio de España hasta que cuente con una base de legitimación

(iii) En un plazo máximo de tres meses desde que la resolución sancionadora que se
dictase fuera ejecutiva, acredite que informa en los términos del artículo 14 del RGPD
del tratamiento de los datos personales de los empresarios autónomos que ha
efectuado mediante un anuncio personalizado o relevante por su formato y caracteres,
sin que sea suficiente la inclusión de un anuncio general en la página web de las
Cámaras de Comercio.

SEXTO: NOTIFICAR la presente resolución a CAMERDATA, S.A.

SÉPTIMO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

164/164

Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES93-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es