Serbest Meslek Verilerinin Ticari Veri Tabanında İşlenmesi

1/108

 Expediente N.º: EXP202404644

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: ***ENTIDAD.1 (en adelante, la parte denunciante) con fecha 27 de
diciembre de 2022 interpuso denuncia ante la Agencia Española de Protección de
Datos en relación a unos hechos que, a su juicio, podían ser susceptibles de infracción
en materia de protección datos.

En la mencionada denuncia se afirma que, para poder darse de alta como autónomos
en el censo de actividades económicas de la AEAT, se exige que los interesados
proporcionen el nombre, DNI, teléfono, correo electrónico y dirección, los cuales son
tratados como información de interés profesional. Asimismo, deben facilitar los datos al
Registro Mercantil.

Indica en su escrito que los citados datos, en el caso de trabajadores autónomos que
no poseen un domicilio profesional específico, pueden coincidir con datos personales
como el domicilio habitual de dichos trabajadores. Sostiene la parte reclamante que,
sin embargo, dichos datos son posteriormente tratados por AEAT, CÁMARA,
CAMERDATA así como consultoras privadas. Señala que varios datos de los
mencionados quedan expuestos libremente en Internet, permaneciendo accesibles a
un solo clic mediante buscadores pudiendo generarse, a su juicio, varios
incumplimientos de la normativa de protección de datos.

Sigue indicando en su escrito que el interés legítimo previsto en el art. 19.2 LOPDGDD
para el tratamiento de datos de autónomos únicamente sirve con el fin de mantener
relaciones de carácter profesional; sin embargo, se utilizan por CAMERDATA y
terceras empresas para publicarlos, indexarlos y realizar campañas de marketing con
ellos. De la misma forma afirma que los datos de autónomos están siendo utilizados
para finalidades para las que no se ha recibido información en el momento de
proporcionarlos a la AEAT. Que tampoco informan correctamente CÁMARA ni toda la
restante cadena de empresas que se benefician de estos datos. Indica, asimismo, que
se produce un sesgo de los datos publicados en función del poder adquisitivo, siendo
más publicados los datos de aquellos autónomos de menor poder adquisitivo.

Entre la documentación aportada por la parte reclamante se encuentra:

- Captura de pantalla de resultados de búsqueda del buscador de GOOGLE tras
buscar por nombre y apellidos de un autónomo. Constan resultados correspondientes
a las webs de ***URL.1, y ***URL.2 y constan datos ilegibles por estar sombreados,
supuestamente correspondientes al nombre y apellidos del autónomo buscado.
Manifiesta que al entrar en alguno de esos enlaces se muestra información relativa al
nombre y apellidos, DNI, dirección, correo electrónico, teléfono, actividad comercial e
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/108

incluso ciertos datos de información financiera o incidencias judiciales y probabilidades
de impago.

- Captura de pantalla de información de la misma persona en una página como
resultado de la búsqueda anterior donde destaca el siguiente texto:
“[…] es un autónomo cuyo negocio está censado en Marbella, Málaga la
actividad CNAE del negocio es comercio al por mayor de productos
alimenticios, bebidas y tabaco y su actividad SIC es comestibles en general.
Nuestros informes le proporcionarán la información más completa sobre la
actividad empresarial de como el NIF, teléfono, dirección en Marbella (Málaga),
scoring y calificación de crédito, probabilidad de impago y capacidad máxima
de solvencia, incidencias judiciales[…].
Por otro lado nuestros informes investigados sobre la actividad comercial de
[…] están especialmente indicados para operaciones de riesgo elevado y/o
para clientes morosos[…]
La información contenida en esta ficha es solo un extracto de toda la
información de autónomos y profesionales disponible en ***EMPRESA.1[…]
También puede acceder a los informes de los ejecutivos o administradores
cuyo nombre coincida con […] (en caso de existir según las publicaciones del
Boletín Oficial del Registro Mercantil).”

- Captura de pantalla de la web de CÁMARA donde consta un resultado de
búsqueda del Censo Público de Empresas de dicha entidad, donde consta “Si desea
obtener más información, consulte el Fichero de Empresas de Camerdata Online”.

- Capturas de gráficos correspondientes a un estudio de la publicación de datos
en relación a la actividad donde consta que se encuentran publicados más datos de
autónomos cuya actividad es comercio al por menor, que el comercio al por mayor.

SEGUNDO: Con fecha de 13/04/2023 la Directora de la Agencia Española de
Protección de Datos acuerda iniciar actuaciones previas de investigación en relación
con AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA (en lo sucesivo, AEAT),
CAMERDATA, S.A. (en lo sucesivo CAMERDATA) y CÁMARA DE COMERCIO,
INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA (en lo sucesivo CDE o
CÁMARA) por los hechos que se describen a continuación
“[…]
En concreto, se denuncia que, desde el momento en que alguien se registra
como autónomo dándose de alta en el censo de actividades económicas de la
Agencia Estatal de la Administración Tributaria, el nombre, DNI, teléfono,
correo electrónico y dirección que se notifiquen son tratados como información
de interés profesional. Como consecuencia de este tratamiento, si los datos
coinciden con los datos privados, por ejemplo, el caso de aquellos que trabajan
desde su domicilio personal, dicha información de trabajadores autoempleados
queda expuesta en Internet, fácilmente accesible desde los buscadores.
Además de lo anterior, en algunos casos, los datos que aparecen al acceder a
alguno de los enlaces, además del nombre y apellidos, DNI, dirección, correo
electrónico, teléfono y actividad comercial, se refieren a información financiera
o incidencias judiciales y probabilidades de impago, habiendo sido obtenidos
del Registro Mercantil, Boletín Oficial del Estado, cámaras de comercio,
etcétera.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/108

[…]”

TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD.

RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

Con fecha 17/10/2023 se comprueba que:
1. Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42
“Censo de Actividades económicas” consta:
“Descripción de la actividad
Control fiscal: gestión, liquidación y recaudación del impuesto sobre
actividades económicas.
Finalidad
Aplicación efectiva del sistema tributario estatal y aduanero.
Interesados
Empresarios, profesionales y artistas
Datos
NIF/DNI, Nombre y Apellidos, Dirección
Información comercial
Tratamientos
Recogida
Registro
Almacenamiento
Estructuración
Modificación
Actualización
Copia
Análisis
Consulta
Extracción
Difusión
Interconexión
Limitación
Supresión
Destrucción
Otros
Destinatarios
INE
Otros órganos de la Comunidad Autónoma
Diputaciones Provinciales
Otros órganos de la Administración Local
Cámaras de comercio, industria y navegación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/108

Diputaciones forales vascas, Comunidad foral de Navarra
[…]”
2. Dentro de la información sobre protección de datos publicada en Internet por la
AEAT apartado 3.6 “Destinatarios” consta:
“De acuerdo al artículo 95 de la Ley General Tributaria todos los datos,
informes o antecedentes obtenidos por la Administración tributaria en el
desempeño de sus funciones tienen carácter reservado y sólo podrán ser
utilizados para la efectiva aplicación de los tributos o recursos cuya gestión
tenga encomendada y para la imposición de las sanciones que procedan, sin
que puedan ser cedidos o comunicados a terceros.
Sin embargo, el artículo 95 de la Ley General Tributaria también establece una
serie de casos tasados donde sí se contempla que la Agencia Tributaria pueda
ceder o comunicar datos a terceros, que podrán ser de dos tipos:
-Cesiones o comunicaciones de datos en casos del tipo la colaboración en el
cumplimiento de obligaciones fiscales con otras administraciones públicas, la
lucha contra el delito fiscal y contra el fraude en diferentes ámbitos, la
colaboración con investigaciones de los órganos judiciales y el ministerio fiscal,
el control de la propia actividad de la Agencia Tributaria.
En estos casos, de acuerdo con el artículo 6 del Reglamento UE 2016/679 no
será necesario recabar el consentimiento expreso del ciudadano, para que se
puedan realizar estas cesiones o comunicaciones. Por otro lado, de acuerdo
con el artículo 14 del Reglamento UE 2016/670, de producirse una cesión o
comunicación no será necesario informar al ciudadano.
-Resto de cesiones y comunicaciones que no se contemplan expresamente en
el artículo 95, y que son necesarias en el ámbito de la colaboración entre
Administraciones públicas para facilitar la prestación de servicios públicos al
ciudadano.
En estos casos siempre será necesario que la Administración que solicita los
datos cuente con el consentimiento expreso del ciudadano.
[…]”
3. En la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html consta un primer apartado con el hiperenlace con
texto “Información sobre protección de datos” que reenvía a la URL del punto
siguiente. Consta más abajo en la sección de “Ayuda” otro hiperenlace con texto
“Información al interesado sobre protección de datos”.
4. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-
sede-electronica/datos-personales/informacion-sobre-proteccion-datos.html consta:
“Información sobre protección de datos
La Agencia Estatal de Administración Tributaria (en adelante “Agencia Tributaria”)
responsable de todos los tratamientos de datos de carácter personal que se realicen
en el desarrollo de su actividad, salvo que se indique lo contrario en un tratamiento
concreto.
Estos tratamientos se realizarán sobre los datos de carácter personal de las personas
que usan los servicios que ofrece en el desarrollo de su actividad que podrán ser los
sujetos obligados tributarios, sus representantes, empleados o empleadas públicos o
cualquier otra persona que utilice sus servicios. En adelante nos referiremos a ellas
como personas interesadas.
En relación con el uso de la web de la Agencia Tributaria por parte de las personas
interesadas, se informa de que sus datos de carácter personal sólo podrán obtenerse
para su tratamiento cuando sean adecuados, pertinentes y no excesivos, en relación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/108

con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se
hayan obtenido.
La Agencia Tributaria realiza estos tratamientos de acuerdo con la normativa vigente
en materia de protección de los datos personales, de seguridad de la información y la
propia normativa específica que regula su actividad y que recoge todos los aspectos
relativos a las condiciones en las que se pueden realizar tratamientos de datos de las
personas interesadas.
En este sentido, se han adoptado las medidas técnicas y organizativas necesarias
para evitar la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales. Las medidas adoptadas tienen en cuenta el estado
de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos y
se revisan periódicamente para garantizar su adaptación a nuevas situaciones o
escenarios de riesgo.
La Agencia Tributaria, como responsable de todos los tratamientos de los datos de
carácter personal de las personas interesadas y de acuerdo con los requisitos de
información al mismo recogidos en el artículo 14 del Reglamento (UE) 2016/679,
indica a continuación la información básica relativa a estos tratamientos:”.
Y asimismo consta:
a. En “Finalidad” consta exclusivamente:
“Aplicación efectiva del sistema tributario estatal y aduanero”
b. En el apartado de “Destinatarios” consta exclusivamente:
“Otras administraciones públicas del ámbito nacional e internacional”
c. En “Procedencia” consta exclusivamente:
“De la misma persona interesada, de otras Administraciones Públicas,
de otras personas físicas distintas a la interesada, de entidades
privadas, de registros públicos y de fuentes accesibles al público.”

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 02/11/2023, el Delegado de Protección de Datos de la AEAT remite a esta
agencia la siguiente información y manifestaciones:

1. Que en relación a la información sobre datos aportados al censo de
empresarios, profesionales y retenedores (modelos 036 y 037) y la cesión de estos
datos a CÁMARA, manifiesta que se proporciona:
a. A través del registro de actividades del tratamiento “tratamiento 5.1
Censo” en la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-
personales/tratamiento-datos-personales/informacioninteresado-sobre-
proteccion-datos/5-registro-actividades-tratamiento/5_1-censo.html
b. Cuando se cumplimentan los modelos 36 y 37 aparece el texto en la
pantalla de "firmar y enviar":
"De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, se informa que los datos personales que va
a facilitar serán tratados por la Agencia Estatal de Administración Tributaria con
la finalidad de la aplicación efectiva del sistema tributario estatal y aduanero.
Podrá encontrar más información sobre los posibles tratamientos, cesiones y el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/108

procedimiento para ejercer los derechos establecidos en los artículos 15 a 22
del reglamento en el siguiente enlace
(https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html)"
c. Que, además, en la sede electrónica se encuentra disponible el registro
de información suministrada, en las URL siguientes:
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA
02/drIAE_CamCom08.pdf
2. Que en relación a los datos cedidos manifiesta que se encuentran en el Anexo I
del Convenio firmado entre AEAT y CÁMARA accesible en
https://www.boe.es/buscar/doc.php?id=BOE-A-2019-18316 .Se comprueba, conforme
a dicho Convenio y la Ley 4/2014, que los datos cedidos conforme al art. 8 de la Ley
4/2014 son “Datos censales de empresas” y “Datos del Impuesto sobre Actividades
Económicas”.
3. Que la cesión de los datos censales para elaborar el censo de empresas,
según art. 8 Ley 4/2014 no requiere de consentimiento del interesado ya que se
realizan en base a la obligación legal establecida en dicho artículo.
4. Que, asimismo, en el art. 22.3 del Real Decreto 669/2015, de 17 de julio, por el
que se desarrolla la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación, en relación al censo electoral se
menciona:
“3. La Agencia Estatal de Administración Tributaria, así como las otras
administraciones territoriales competentes en materia tributaria colaborarán
con los órganos de gobierno de las Cámaras para proporcionarles la
información necesaria para la elaboración y constitución de los censos,
garantizando que solo tendrán acceso a dicha información los empleados de
cada Cámara que determine el pleno con el obligatorio deber de sigilo respecto
de dichos datos. A tal efecto, la Agencia Estatal de Administración Tributaria
suministrará la información que se desprenda del censo del Impuesto sobre
Actividades Económicas junto con los datos de las empresas que sean
necesarios y que obren en otros censos que ésta elabora y gestiona, en
particular el Censo de Empresarios, Profesionales y Retenedores.”
5. Que “Respecto a la información habilitada a ceder relativa al Impuesto sobre
Actividades Económicas (IAE) y la que tenga carácter censal, entendiendo por tal a la
contenida en el Censo de Empresarios, Profesionales y Retenedores cuyo contenido
se establece en el art. 5 del Real Decreto 1065/2007, de 27 de julio, por el que se
aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e
inspección tributaria y de desarrollo de las normas comunes de los procedimientos de
aplicación de los tributos, se realiza sólo para la elaboración del censo público de
empresas.”
6. Que en el protocolo de intercambio de información de IAE ubicado en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf se menciona que los datos transferidos solo pueden ser
utilizados para los supuestos que contempla la normativa y no para otros usos.

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente información y
manifestaciones:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/108

1. Que, en relación a los autónomos, tratan los siguientes datos, entre otros:
“NIF”:
Significado:
Número de identificación fiscal
Origen del dato:
Censo público de empresas publicado por CÁMARA conforme a los
dispuesto en la Ley 4/2014 (en adelante Censo público de empresas).
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“nombre empresa”
Significado:
Manera en la que se identifica la empresa respecto a sus obligaciones
formales, normalmente con los agentes que se relaciona, como
Seguridad Social, Hacienda, proveedores o clientes. Conocido como
Razón social.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“email genérico”
Significado:
Correo electrónico de contacto general de la empresa.
Origen del dato:
Kompass, a través del enriquecimiento de datos del censo público de
empresas.
Se cede a:
A clientes finalistas que lo solicitan para su uso exclusivo interno.
“dirección”
Significado:
Dirección de la empresa formado por nombre de vía, número de vía y
resto de dirección.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/108

“código postal”
Significado:
Código postal de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“municipio”
Significado:
Población de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“provincia”
Significado:
Provincia de la dirección de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de direcciones
cada vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“teléfono”
Significado:
Número de teléfono de contacto general de la empresa.
Origen del dato:
INFORMA y ***EMPRESA.3. Se obtiene en el proceso de
enriquecimiento de datos del censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/108

denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“Tipo empresa”
Significado:
Forma jurídica de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“Género empresa”
Significado:
Indicador del tipo de nombre de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de nombres cada
vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
Aporta un extracto de su base de datos relativo a 500 registros donde, en la columna
“Nombre empresa” constan datos de nombres y apellidos, en la columna “Tipo
empresa” consta “11 AUTONOMO”, en la columna “Dirección” constan datos relativos
a nombre de vía, número de vía en todos los registros y en parte de los registros
también piso y puerta. Consta asimismo en la columna “Género Empresa” una “V” o
“M” dependiendo de si el nombre dentro de la columna “Nombre empresa” se
considera de varón o de mujer.
2. Que tratan datos de un total de 1.665.049 autónomos, aunque no todos los
registros tienen informados todos los datos.
3. Sobre el sector de empresas infomediarias manifiesta:
a. Recopilan, analizan, transforman y tratan información del sector
público/privado para crear productos de valor añadido destinados a terceras
empresas o ciudadanía en general, sirviendo para la toma eficaz de decisiones.
b. Que las entidades que se valen de sus servicios y productos son todas
las entidades del IBEX35, todas las entidades financieras, administraciones
públicas, entre ellas las fuerzas y cuerpos de seguridad del Estado, pymes y
empresarios individuales para sus actividades comerciales y empresariales,
cualquier ente obligado a acceder a la información por cumplimiento de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/108

diferentes leyes que así se lo exigen, así como cualquier ciudadano o
entidades sin ánimo de lucro.
c. “Las empresas del sector infomediario operan en el mercado desde
hace más de dos décadas, siendo vital en su desempeño la reutilización y
distribución de la información que libremente se puede obtener de las
diferentes fuentes públicas existentes en su más amplio concepto y contexto.
En un mundo en el que tanto el acceso como la transparencia de la
información son clave para la seguridad en cualquier operación mercantil, las
empresas de este sector son el referente que dota de la necesaria seguridad al
tráfico mercantil global y actúa como una pieza imprescindible en el impulso de
la economía general mediante la aplicación de las mejores técnicas del
tratamiento de la información en aras de garantizar la calidad, seguridad,
veracidad y fiabilidad de la misma. La labor de las empresas infomediarias
debe considerarse, por tanto, como de interés público general.
Adicionalmente, es importante destacar la labor que se realiza para las Pymes,
como parte esencial del tejido empresarial español. Así, por un lado, se permite
que empresarios individuales, con reducidos recursos, puedan utilizar sistemas
de información de alto valor añadido, sin tener que asumir costes individuales
elevados por la consulta directa a la fuente de origen, respecto de sus clientes
y proveedores y por otro lado, también se facilita que su propia información
empresarial sea accesible a sus proveedores y entidades financiera en aras a
promover su actividad y operaciones mercantiles.
El sector infomediario es cada vez más indispensable a la hora de agilizar y
mejorar la gestión de los negocios, y el impacto directo de las oportunidades
generadas es mayor tanto a nivel económico como político y/o social.
Además, este sector interactúa con el resto de sectores, generando valor en
muchas de sus actividades, por lo que a la hora de valorar dicho sector hay
que tener en cuenta que crece tanto en vertical, como el resto de los sectores,
como también en horizontal, siendo esta innegable transversalidad compleja de
valorar.
La actuación del sector infomediario tiene un impacto directo no solo en la
comunidad de la información, sino también muy relevante en la actividad
empresarial y en la ocupación en la economía española. Según datos tomados
del Informe del Sector Infomediario presentado el pasado 14 de abril del 2023:
- A 31 de diciembre de 2019 existían 700 empresas Infomediarias activas
identificadas en España.
-Las ventas agregadas del ejercicio 2019 de las 591 empresas infomediarias
de las que se disponen de datos financieros ascendió a 2.543.042.052 €.
- El número agregado de empleados del ejercicio 2019 de las 588 empresas de
las que se disponen de datos de empleados ascendió a 21.998.
-El capital suscrito conjunto a 31 de diciembre de 2020 de las 700 empresas
identificadas como infomediarias ascendía a 311.911.961€.”
d. Que las principales fuentes de datos de las que se valen las empresas
del sector para la creación de los servicios y productos que prestan a la
sociedad son:
• Boletines Oficiales, del Estado, de comunidades autonómicas y
Provinciales.
• Boletín Oficial del Registro Mercantil y de la Propiedad Intelectual.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/108

• Censo público de empresas de las Cámaras de Comercio, regulado
por Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación.
• Información abierta, no protegida, del Catastro inmobiliario según
Texto Refundido de la Ley del Catastro Inmobiliario (TRLCI), aprobado
por Real Decreto Legislativo 1/2004, de 5 de marzo.
• Guías y Repertorios profesionales.
• Guías de abonados a servicios de telefonía.
• Cualquier fuente referenciada por las propias Administraciones
públicas en el catálogo opendata bajo la Iniciativa de datos abiertos del
Gobierno de España.
4. Sobre la información aportada a los interesados según art. 14 RGPD
manifiesta:
a. Se considera un esfuerzo desproporcionado según art. 14.5.b y
considerando 62 RGPD y según Informe WP260.rev01 17/ES (última revisión
de 11 de abril de 2018) el enviar una comunicación a cada interesado para
notificarle el tratamiento como autónomo o empresario individual.
i. Que hay 1.665.049 autónomos en la base de datos de
CAMERDATA que cabría notificar lo cual es un costo inasumible.
ii. Que según presupuesto de MEYDIS S.L. y Sociedad Estatal de
Correos y Comunicaciones S.A. las labores de manipulación,
distribución, materiales de las comunicaciones ascienden a 9.409.000€
y 4.266.900€ respectivamente.
Aporta copia de presupuestos de MEYDIS, S.L. de fecha 01/07/2021
donde consta la cantidad de “1.600.000”. No consta un precio total.
Aporta copia de presupuestos de CORREOS donde no consta el
presupuesto antes mencionado, sí consta el texto “PRESUPUESTO
CAMERDATA, CAMPAÑA COMUNICACIÓN 2021” y “PRESUPUESTO
TOTAL PARA 1.650.000 ENVÍOS”.
iii. Que CAMERDATA tiene unos ingresos anuales em 2019, 2020,
2021, 2022 de 941.238,83 €, 836.093,46 € , 885.999,51 € , 895.950,29
€ respectivamente.
Aporta copia de auditorías de cuentas anuales a fechas 31/12/2019,
31/12/2020, ejercicio 2021, 31/12/2022 con las mencionadas cifras en el
apartado de “1. Importe neto de la cifra de negocios”.
a. Que debido a este esfuerzo desproporcionado han iniciado un proceso
de publicación en las webs de las cámaras de comercio del texto
siguiente, que actualmente está publicado en la Cámara de Comercio
de Madrid, Valencia, Barcelona, Sabadell, Girona, Alicante, Castellón.
“Información para trabajadores autónomos relativa a la protección de
datos personales
Mediante la presente comunicación se informa, a toda persona que
tenga la condición de trabajador autónomo, del tratamiento de sus datos
personales por parte de Camerdata y de las empresas asociadas a
ASEDIE que están sujetas a su código de conducta del sector
infomediario de protección de datos que se relacionan: ***EMPRESA.1,
***EMPRESA.3, ***EMPRESA.5, Informa y también ***EMPRESA.4.
Los datos tratados por CAMERDATA y las empresas relacionadas, han
sido recabados por CAMERDATA de forma legítima y obtenidos de un
Censo oficial elaborado por organismo público, correspondiendo a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/108

persona sujeto pasivo de los datos (el trabajador autónomo) en el
ejercicio de una actividad de las recogidas en el Real Decreto de 2007
(RD 475/ 2007).
El tratamiento de estos datos tiene por finalidad el envío de
comunicaciones comerciales y de marketing, ofreciendo diferentes
bienes o servicios que pudieran ser de su interés, así como la
información comercial sobre la actividad empresarial llevada a cabo por
el Autónomo.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión,
limitación de su tratamiento u oposición al tratamiento de sus datos de
contacto, puede dirigir su solicitud a las direcciones que se indican a
continuación. Le recordamos que puede ejercer su derecho de
oposición a la recepción de comunicaciones comerciales de forma
centralizada, utilizando los servicios de la Lista Robinson en:
https://www.listarobinson.es/:
Empresas asociadas a ASEDIE que están sujetas a su Código de
conducta CAMERDATA, S.A. Avda. Diagonal, 452, 3ª planta, 08006 en
Barcelona o enviando un email a: [email protected]
Adjuntando en todo caso copia de documento que acredite su identidad
(DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de
CAMERDATA utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de CAMERDATA en el siguiente enlace:
https://www.camerdata.es/politica-privacidad
***EMPRESA.1.
***DIRECCIÓN.1, s/n, Edificio ***EMPRESA.1 - (...)
o enviando un email a: dpd@***EMPRESA.1.es Adjuntando en todo
caso copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
***EMPRESA.1 utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de ***EMPRESA.1 en el siguiente enlace:
https://www.***EMPRESA.1.es/informacion-tratamientos-rgpd
***EMPRESA.3
***DIRECCIÓN.2
o enviando un email a: dpd@***EMPRESA.3.es Adjuntando en todo
caso copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
***EMPRESA.3 utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de ***EMPRESA.3 en el siguiente enlace:
https://www.***EMPRESA.3.es/politica-de-privacidad/
***EMPRESA.5
***DIRECCIÓN.3
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/108

o enviando un email a: infogdpr@***EMPRESA.5.es Adjuntando en todo
caso copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
***EMPRESA.5 utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de ***EMPRESA.5 en el siguiente enlace:
https://www.***EMPRESA.5.es/aviso-legal#section6
INFORMA S.A.
Avenida de la Industria, 32, 28108 - Alcobendas (Madrid)
o enviando un email a: [email protected] Adjuntando en todo caso
copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
INFORMA utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de INFORMA en el siguiente enlace:
https://www.informa.es/textos-legales
Empresa No asociada a ASEDIE
***EMPRESA.4
***DIRECCIÓN.4,
o enviando un email a: sac@***EMPRESA.4.es Adjuntando en todo
caso copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
***EMPRESA.4 utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de ***EMPRESA.4 en el siguiente enlace:
https://www2.***EMPRESA.4.es/ederechos/asnef_20024.html.”
c. Incorporar dicho texto anterior a boletines y newsletters que las
Cámaras editen periódicamente consiguiendo con ellos una mayor difusión de
la información.
d. Que se tiene intención, iniciando en el año 2024 y posteriormente con
periodicidad anual, de llevar a cabo la difusión del texto informativo en varios
periódicos de mayor circulación en España.
e. Que considera que con estas medidas se cumplen los criterios para
validar la excepción de la obligación de informar individualmente.
5. Sobre el código de conducta de ASEDIE manifiesta:
“[…]
En desarrollo de sus funciones estatutarias, ASEDIE ha elaborado el Código de
Conducta del Sector Infomediario (en adelante, Código de Conducta o Código).
En la elaboración del Código ha tenido en cuenta la opinión de los principales
actores que intervienen de una forma u otra en el sector infomediario, sobre
todo de los asociados, tanto en la faceta jurídica como en la de negocio, pero
también de consultores y otras personas con conocimiento de los aspectos
relevantes del sector. La necesidad de la seguridad jurídica y el reforzamiento
del compromiso de los asociados con el cumplimiento normativo en materia de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/108

protección de datos, entendido como un requisito ineludible de negocio, han
llevado a los órganos estatutarios de ASEDIE a considerar necesario promover
el Código de Conducta. El Código establece un marco general que debe ser
cumplido necesariamente por todas las empresas asociadas a ASEDIE.
En todo caso, cualquier actuación derivada del cumplimiento del Código de
Conducta se realizará en estricto cumplimiento de la normativa vigente, en
especial, de la normativa de defensa de la competencia y de la normativa que
resulte de aplicación a la protección de datos de carácter personal.
En la elaboración y mejora del Código, ASEDIE ha contado con una importante
colaboración e implicación por parte de la AEPD, si bien han existido
discrepancias que han llevado a la Asociación a impugnar en vía contenciosa
la denegación de la aprobación del Código.
[…]”

Con fecha 22/01/2024 se obtiene de Internet el contenido en estado borrador del
código de conducta de ASEDIE el cual se incorpora al expediente mediante diligencia.
6. Que en relación al tratamiento que supone la base de datos de empresas en el
caso de autónomos, manifiesta que:
a. “La finalidad concreta del tratamiento es la elaboración de un sistema o
servicio de información de empresas con datos de calidad para la promoción,
directa o indirecta, de los bienes o servicios de una empresa, organización o
persona que realice una actividad empresarial o profesional, sea en su propio
nombre o en nombre de un tercero.”
b. Que se basan en interés legítimo, y manifiesta:
“Camerdata realiza el tratamiento de datos personales de personas físicas en
cuanto relativos a su condición de empresarios individuales o profesionales
liberales, es decir, concernientes exclusivamente a su actividad empresarial.
En tales casos, se presume amparado por el interés legítimo conforme al
artículo 6.1 f) RGPD, salvo prueba en contrario, siempre que cumplan los
siguientes requisitos:
(i) Que el tratamiento se refiera únicamente a los datos necesarios para las
finalidades indicadas en el punto b.- de esta respuesta, que permita a los
clientes de los responsables, o a ellos mismos, mantener relaciones con el
interesado en el contexto del desarrollo empresarial o profesional de la
actividad que el interesado explote o realice, respectivamente, como
empresario individual o como profesional liberal.
A estos efectos, se considerará lícito el tratamiento amparado en dicho artículo
6.1 f) del RGPD bajo la ponderación hecha más adelante.
(ii) El tratamiento se realice conforme lo establecido en el artículo 19 de la
LOPDGDD, es decir siempre que se cumplan los siguientes requisitos:
- Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
- Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el interesado preste sus
servicios, o con la actividad empresarial o profesional desempeñada por el
empresario individual o profesional liberal.
El interés legítimo previsto en los apartados anteriores se extiende, por
cumplirse dichos requisitos, al supuesto de que los datos sean tratados para
informar estrictamente sobre la actividad económica desempeñada por
empresarios individuales y profesionales liberales, y que ayuden a la toma de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/108

decisiones a terceros clientes de los responsables del tratamiento a los efectos
de contactar, iniciar y mantener relaciones empresariales o profesionales,
favoreciendo con ello la promoción y desarrollo empresarial o económico.
No quedará amparada por la presunción de interés legítimo establecido en los
casos (i) y (ii) el uso de los datos para tratamientos que tenga como finalidad
entablar una relación con los interesados en su faceta personal, no empresarial
o profesional.
Fuera de estos dos supuestos, conforme a lo establecido en el Considerando
(47) y el art. 6.1.f) del RGPD, cuando se trate estos datos fuera del alcance, los
criterios y/ o las finalidades indicadas, el responsable del tratamiento, o el
tercero por cuenta de quien actúe aquel, deberá haber llevado a cabo una
ponderación propia entre su interés legítimo y los intereses, derechos y
libertades de los interesados, que determine que el tratamiento pretendido no
vulnera esos intereses, derechos y libertades del interesado, debiendo en todo
caso aplicar las medidas de seguridad necesarias.
Interés legítimo del responsable o de los terceros.
La existencia de un interés legítimo por parte de Camerdata y de sus clientes
(a los que presta los servicios relacionados con la finalidad del tratamiento)
para el tratamiento de los datos personales indicados, tiene su fundamento en
la necesidad de conocer los datos identificativos de los empresarios
individuales y profesionales liberales, como un dato necesario dentro del
conjunto total de datos empresariales o profesionales que se ofrecen en los
diferentes productos y servicios de información que comercializa Camerdata.
Datos que son relevantes para las relaciones comerciales o profesionales de
los interesados y que solo pueden ser tratados para esos fines, de tal manera
que no pueden ser utilizados para relaciones directas con las personas físicas.

El interés legítimo de Camerdata sería doble. Por un lado, el que deriva de su
vertiente de fuente de financiación, propio de toda actividad empresarial, y, por
otro lado, contribuir al desarrollo y fomento de las relaciones empresariales o
profesionales, ofreciendo un sistema de información de calidad a los actores
del tejido empresarial y a los particulares, dando cobertura a la seguridad
jurídica demandada por las partes de cualquier relación mercantil o contractual
en su operativa en el mercado, dando, con ello, satisfacción a un interés
económico y social general.
En efecto, hay que señalar que Camerdata obtiene los datos de fuentes
públicas y el tratamiento que realiza sobre ellos obedece al objetivo de
incrementar la calidad de los datos y ofrecer así a los clientes interesados un
sistema de información de empresas que operan en todo el territorio nacional,
cumpliendo, con ello, un interés general para el sector empresarial.
En el tratamiento de datos por parte de Camerdata subyace también un interés
legítimo de sus clientes y de los propios interesados, que necesitan conocer
esta información, bien para dar a conocer sus servicios y productos, bien para
ofrecerlos a terceros o bien para realizar operaciones mercantiles o
profesionales con terceros, o incluso para poder ejercitar las oportunas
acciones legales que en su caso les correspondan. Por otro lado, cada vez
más el acceso, conocimiento y valoración de dichos datos empresariales viene
impuesto por ley, por ejemplo, por la Ley 10/2010 de prevención del blanqueo
de capitales y la financiación del terrorismo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/108

Nos encontramos, por tanto, ante un tratamiento de datos empresariales que
garantiza de forma general el interés legítimo de cualquier tercero de conocer
esta información. Cabe destacar, una vez más, que las fuentes de obtención de
la información, que se tratan para estas finalidades, tienen la consideración de
públicas en su más amplio sentido, bien porque la publicación de los datos
responde a la exigencia y aplicación de una norma legal que exige que dicha
información sea conocida y accesible para todo el mundo, o bien por haber
sido hecha manifiestamente pública por el propio interesado.
Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales
que requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento expuesto
en este documento, por cuanto:
1º. La información de los interesados objeto del tratamiento se ceñirá
únicamente a la tipología de datos empresariales o profesionales, y para las
finalidades y según el alcance expuesto en este documento.
2º. Los datos se han obtenido fuentes públicas.
3º. Se garantiza el ejercicio de los derechos de los interesados regulados en
los artículos 15 a 22 del RGPD.
Además, los propios interesados tienen interés en el tratamiento de sus datos
empresariales o profesionales, pues pueden acceder a la base de datos de
Camerdata para contactar con terceros empresarios o profesionales para el
ofrecimiento de sus servicios y productos, y tienen interés en ser localizados
por terceros que acceden a la base de datos de Camerdata para iniciar
relaciones comerciales.
A mayor abundamiento y en cumplimiento del principio de minimización de
datos (art. 5.1.c RGPD UE) los datos tratados, relacionados en el punto 1 del
presente escrito de respuesta, son pertinentes, adecuados y limitados a los
estrictamente necesarios para la finalidad para la que son tratados.
Resultado de la ponderación:
1º - El tratamiento de esta información es lícito: El tratamiento de los datos es
necesario para conseguir las finalidades empresariales y económico-sociales
que se pretenden.
2º - Las fuentes de obtención de la información tienen la consideración de
fuentes públicas en su más amplio sentido, bien porque la publicación de los
datos responde a la exigencia y aplicación de una norma legal que requiera
que dicha información sea conocida y esté accesible al público en general. En
este sentido, los datos se podrán obtener de las siguientes fuentes:
a) Fuentes públicas: Principalmente, las que se han citado anteriormente.
b) Datos que el interesado hubiese hecho manifiestamente públicos. Se
entenderá que este tipo de datos pueden ser objeto del tratamiento, sobre la
base de licitud del interés legítimo, en la medida en que el art. 9.2. apartado e)
del RGPD permite tratar datos de categorías especiales de datos por el hecho
de que el interesado los haya hecho manifiestamente públicos, por lo que con
mayor razón se podrán tratar datos que no comprendan dichas categorías,
como es el caso de los tratamientos de datos que realizarán los responsables
del tratamiento.
c) Cualesquiera otras fuentes públicas siempre que su tratamiento no esté
impedido por normativa legal o por derechos de legítimo autor o beneficiario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/108

del fichero de procedencia de los datos, y el responsable del tratamiento haya
llevado a cabo previamente a la construcción del fichero una ponderación entre
su interés legítimo o el del tercero a los que se preste el servicio y los intereses
o los derechos y libertades fundamentales del interesado que requieran la
protección de datos personales. En el tratamiento de las fuentes públicas a que
se refiere este párrafo, los responsables del tratamiento cumplirán con los
principios del tratamiento del art. 5 del RGPD.
3º - Las categorías de datos que se tratan son mínimamente invasivos en el
derecho a la intimidad del interesado, pues son datos ceñidos al desempeño
de una actividad empresarial o profesional, sin que en ningún momento existan
datos de su esfera familiar, ni mucho menos datos de categorías especiales de
datos (artículo 9 RGPD).
Por lo demás, la base de datos de empresas de Camerdata no refiere ninguna
información crediticia ni sobre solvencia patrimonial.
4º - Es parte del interés legítimo que se considera para el tratamiento de esta
información el perjuicio que supondría para el interés general del tráfico
mercantil el no tratar esta información, en los términos expuestos dada la
seguridad jurídica que aportan en cualquier transacción del mercado. La
inexistencia de referencias informativas sobre la actividad empresarial de estos
interesados en el mercado tendría como consecuencia directa repercusiones
claramente negativas en la actividad económica, con el consiguiente perjuicio a
la actividad económica general.
5º - El principio a la libre circulación de los datos, establecido y amparado por
la propia normativa europea en la materia (RGPD).
6ª - Las finalidades pretendidas para el tratamiento de estos datos por
Camerdata no difieren de las que tienen las fuentes de procedencia de los
datos, la publicidad registral de los Registro oficiales y el censo público de
empresas de las Cámaras de Comercio, (fuentes principales de obtención de
esta información), pues persiguen ofrecer a los consultantes la transparencia y
seguridad jurídica necesarias. Este hecho, junto a la amplia y reconocida
existencia en el mercado y en la sociedad en general de sistemas de
información empresarial, influyen directamente en la existencia de una
expectativa razonable, por parte de los interesados, sobre la posibilidad de que
los datos de su desempeño empresarial o profesional puedan llegar a ser
tratados. En ocasiones, son los propios interesados quienes directamente
hacen pública la información o permiten su difusión porque tienen interés en
que se conozcan sus datos de contacto y actividades empresariales o
profesionales.
7º.- En el caso de los datos que sean públicos por cualquier causa, la
Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de
2011 (asuntos acumulados C-468/10 y C-469/10) indica, en sus
Considerandos (44) y (45), que cuando los datos figuran en fuentes accesibles
al público, el responsable del tratamiento y, en su caso, el tercero o terceros a
quienes se comuniquen los datos, no acceden a datos relativos a la vida
privada del interesado, dado que la información ya es de público conocimiento.
Como consecuencia, hay un impacto menor en los derechos del interesado, lo
que debe ser apreciado en su justo valor en la ponderación con el interés
legítimo perseguido por el responsable del tratamiento o por el tercero o
terceros a los que se comuniquen los datos.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/108

7. Que en relación al tratamiento que supone la cesión de la base de datos de
empresas en el caso de autónomos a terceras entidades, manifiesta que se basan en
interés legítimo y la finalidad tal y como se indica en el punto anterior.

Aporta copia de contrato fechado a 15/02/2016 y firmado entre CAMERDATA y
CÁMARA donde consta que (se añade subrayado):
a. CÁMARA es la cedente y CAMERDATA es la cesionaria.
b. “[…]
V. Sobre la base de los indicados datos que recibe de las
Administraciones públicas colaboradores (que actualmente son la
Agencia Estatal de la Administración Tributaria, la Agencia Diputación
Foral de Navarra y las Cámaras de Comercio del País Vasco), la
Cámara de Comercio de España elabora el censo público de empresas
bajo la denominación de "Censo Básico de Empresas", garantizando la
confidencialidad en el tratamiento y el uso exclusivo de la información
recibida.
[…]”
c. “Que la información empresarial es una de las áreas tradicionales
donde las Cámaras de Comercio, con arreglo a sus funciones y finalidades,
han venido ofreciendo servicios a las empresas. Con el fin principal de
gestionar adecuada y coordinadamente dichos servicios, el ahora extinguido
Consejo Superior de Cámaras de Comercio (hoy sustituido por la Cámara de
Comercio de España) y las Cámaras de Comercio constituyeron en 1985 la
mercantil CAMERDATA, S.A., entidad instrumental cameral para el desarrollo
de dicha actividad.
Según el artículo 4 de los Estatutos sociales de CAMERDATA, S.A., el objeto
social de la misma consiste en el desarrollo y explotación de un sistema de
información empresarial y las aplicaciones derivadas del mismo.”
d. “[…]CAMERDATA, S.A. viene desarrollando y explotando
comercialmente un sistema de información empresarial denominado "Fichero
de Empresas Españolas", que es una base de datos diferente del "Censo
Básico de Empresas" elaborado por la Cámara de Comercio de España, si bien
para desarrollarlo está interesada en obtener una copia de la información
empresarial del "Censo Básico de Empresas".
e. “[…]
Primera. Objeto.
Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria
que, a su vez, recibe y adquiere para sí, una copia de la totalidad de los
datos empresariales obrantes en el Censo Básico de Empresas referido
en el anterior Expositivo V (en adelante la Base de Datos Cedida)
actualizada a fecha de enero de 2016, la cual contiene los campos de
información que se indican en el Anexo 1 de 3.160.984 Registros de
Empresas.
A estos efectos se entiende por Registro de Empresa todos los campos
de información del Anexo 1 relativos a cada una de las empresas que
consten en la Base de Datos Cedida, tomándose como identificador de
dicho registro el NIF de las mismas.
[…]
Segundo. Finalidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/108

La Cesionaria incluirá los datos empresariales de la Base de Datos
Cedida y la de sus actualizaciones periódicas en el Fichero de
Empresas Españolas de su propiedad, y los tratará, completará y
enriquecerá en los términos convenidos en el presente Contrato con la
finalidad de ofrecerlo comercialmente a las empresas y a terceros
interesados como base de datos de información de las empresas que
operan en territorio español.
[…]”
f. Consta en el Anexo 1, los campos de “NIF de la empresa”, “nombre o
denominación social de la empresa”, “domicilio principal”, “domicilio de
actividad”, “sección actividad IAE”, “actividad IAE”.
g. “Segundo.- Finalidad.
La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la
de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su
propiedad, y los tratará, completará y enriquecerá en los términos convenidos
en el presente Contrato con la finalidad de ofrecerlo comercialmente a las
empresas y a terceros interesados como base de datos de información de las
empresas que operan en territorio español.”
h. “12.2.- Asimismo manifiesta la Cedente que la Base de Datos Cedida y
sus actualizaciones contiene datos relativos a empresarios individuales y a
datos de personas físicas que prestan sus servicios a personas jurídicas,
relativos únicamente al nombre y apellidos, las funciones o puestos
desempeñados, así como la dirección postal o electrónica, teléfono y número
de fax profesionales, todo ello de conformidad con lo dispuesto en el artículo 2
del RLOPD.”
i. En el ANEXO 2 al contrato de cesión de 15/02/2016 con las
“Condiciones de la cesión de la Base de Datos Cedida” consta que:
i. “Que los datos incluidos en la Base de Datos Cedida y sus
actualizaciones se obtienen del censo público de empresas que regula
la Ley 4/2014 elaborado por la Cedente bajo la denominación de Censo
Básico de Empresas.”
ii. Obligaciones de CAMERDATA:
“B) Obligaciones de la Cesionaria
b. 1) La Cesionaria se obliga a incorporar la información de la Base de
Datos Cedida en el Fichero de Empresas Españolas y a tratarla y
comercializarla en los términos convenidos en el Contrato y sus Anexos.
b.2) La Cesionaria se compromete a tener siempre actualizados los
datos empresariales del Fichero de Empresas Españolas y a tal efecto
se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de
Datos Cedida que ésta realice periódicamente dentro de los
quince (15) días laborables siguientes a la fecha en que reciba la
comunicación escrita al efecto de la Cedente.
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus
actualizaciones, y a no realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la
información de los Registros de Empresa de la Base de Datos
Cedida actualizada dentro de los treinta (30) días laborales
siguientes a la fecha en que la reciba de la Cedente y a tratarla
en los términos que se indican en el siguiente párrafo b.4).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/108

(iv) Efectuar dicha actualización sobrescribiendo el Fichero de
Empresas Españolas con la información de la Base de Datos
Cedida actualizada por cada Código Administración remitido. En
consecuencia, la Cesionaria quedará obligada a suprimir del
Fichero de Empresas Españolas la información de la Base de
Datos Cedida entregada anteriormente relativa a dichos Códigos
Administración, la cual quedará completamente sustituida y sin
efecto, y sin que la Cesionaria pueda usar dicha información
para la finalidad del Contrato ni para ninguna otra; únicamente
podrá conservarla bloqueada a disposición de las
Administraciones públicas, Jueces y Tribunales para la atención
de las posibles responsabilidades que eventualmente se deriven
del tratamiento y comercialización de dicha información durante
el plazo de prescripción de éstas.
b.3) La Cesionaria únicamente podrá informar a los terceros
interesados de que la fuente de información del Fichero de Empresas
Españolas referente a los campos del Anexo I del Contrato se
corresponde con la del Censo Básico de Empresas cuando dicho
fichero haya incorporado la información de la última Base de Datos
Cedida actualizada de la Cedente. En caso contrario, no podrá informar
dicha fuente.
b.4) Recibida la Base de Datos Cedida o la actualización de la misma,
la Cesionaria procederá a:
(i) Homogeneizar nombres y direcciones expresados en
diferentes elementos (a modo de ejemplo: calle / rua / Kale /
carrer, homogeneizando todas ellas a calle) sin que ello suponga
modificar el contenido esencial de la información empresarial
contenida en dicha Base de Datos Cedida.
(ii) Incorporar la información de la Base de Datos Cedida o sus
actualizaciones tratada de esta forma al Fichero de Empresas
Españolas propiedad de la Cesionaria.
b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y
comercializa tendrá las siguientes características:
(i) El registro de la empresa y los campos de la misma de la
Base de Datos Cedida indicados en el Anexo 1 del Contrato. Los
restantes campos de dicho Fichero incluidos por la Cesionaria
no modificarán, alterarán ni contradecirán los campos de la Base
de Datos Cedida y sus actualizaciones.
(ii) Campos desarrollados por la Cesionaria a partir de
algoritmos creados por ella misma.
(iii) Campos aportados por la Cesionaria: como Forma jurídica,
actividad principal, sede social, sucursales, actividad negocial.
(iv) Campos aportados por otras fuentes legítimas y
actualizadas: Nombre comercial, teléfono, fax, CNAE, web,
fecha constitución, número de empleados, volumen de negocio,
importaciones/exportaciones, cargos (hasta 5 cargos con
nombre y apellidos), género de la empresa (para distinguir
cuando se trata de autónomos no sección 2 0 3), coordenadas
geodésicas (en 3 sistemas universales) u otros.
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/108

Aporta copia de contrato fechado a 29/09/2022 y firmado entre CAMERDATA e
INFORMA D&B, S.A. (en adelante INFORMA) donde consta que:
a. INFORMA facilita a CAMERDATA información de empresas que conste
en su base de datos con el fin de que CAMERDATA pueda incluirla en su base
de datos y comercializarla. Que dicha información comprende, entre otros
datos, CIF, nombre de la empresa, dirección completa, teléfono de la empresa,
ventas.
Asimismo, INFORMA facilita a CAMERDATA el fichero FIBAEMP
PRENORMALIZADO con el fin de que CAMERDATA pueda incluirlo en su base
de datos y comercializarla entre sus clientes. Consta como contenido de dicho
fichero los datos de CIF/NIF, nombre o razón social, estado de la empresa y
fecha del dato, CNAE, web y fecha del dato.
b. CAMERDATA facilita a INFORMA el fichero de empresas españolas
(FIBAEMP) con el fin de que INFORMA pueda incluir en su fichero dicha
información y comercializarla entre sus clientes. Consta que entre esos datos
se incluyen, CIF/NIF, nombre o razón social (en los empresarios individuales),
IAE, domicilio completo (calle, municipio, provincia), teléfonos.
Asimismo, CAMERDATA facilita a INFORMA el fichero FIBAEMP PRENORM
con el fin de que INFORMA pueda realizar el tratamiento para devolver a
CAMERDATA el fichero FIBAEMP PRENORMALIZADO. Consta como
contenido de dicho fichero FIBAEMP PRENORM los datos de CIF/NIF, nombre
o razón social, IAE (actividad económica).
c. CAMERDATA autoriza a INFORMA a comercializar su base de datos de
empresarios individuales a la empresa BVD.
d. Que BVD únicamente podrá utilizar la información para:
“Servicios de marketing.
Enriquecimiento de NIF (dado un documento se devolverán los campos
que se soliciten provenientes de la base de datos entregada).
Elaboración de informes comerciales y de negocio del empresario
individual en su faceta empresarial, nunca en lo relativo a su actividad
personal.
Segmentación en procesos de venta y pricing
Prestación de servicios de prevención de fraude relativos a la validación
de información e identificadores
Servicios de solvencia patrimonial y crédito (servicios de Analytics
Scores) en su faceta empresarial.”
e. “SEPTIMA. PROTECCIÓN DE DATOS

7.1 En el suministro de información entre las partes
Ambas partes se someten expresamente al Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo, de 27 de Abril de 2016 (en adelante, RGPD), a la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), a la Ley 34/2002 de 11
de julio, de servicios de la sociedad de la información y comercio electrónico (en
adelante, LSSI) y a restante normativa aplicable en esta materia.
A estos efectos CAMERDATA declara que los datos que comunica al amparo del
presente Acuerdo (fichero Camerdata) contienen datos personales de empresarios
individuales (interesados) relacionados con la actividad mercantil de los mismos, y
nunca con su ámbito privado, y, que se trata de un tratamiento lícito en los términos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/108

del Articulo 6.1.f) del RGPD y, en la medida en que CAMERDATA garantiza que los
mismos provienen de lo que se ha venido conociendo como fuentes de acceso
público, CAMERDATA garantiza que los mismos podrán ser utilizados para entablar
una relación con dichos interesados en su condición de empresarios individuales.

De igual manera, INFORMA declara que los datos que facilita al amparo del presente
Acuerdo (Fichero Informa) contienen datos personales de personas de contacto
(interesados), relacionados con su localización profesional y con la finalidad de
mantenimiento de relaciones de cualquier índole con la persona jurídica en la que el
interesado preste sus servicios, y nunca con su ámbito privado, y que se trata de un
tratamiento lícito en los términos del artículo 6.1.f) del RGPD y, en la medida en que
INFORMA garantiza que los mismo provienen de lo que se ha venido conociendo
como fuentes de acceso público y encuestas telefónicas a las propias empresas, de
forma tal que INFORMA garantiza que los mismos podrán ser utilizados para contactar
con los interesados, siempre que la finalidad sea mantener relaciones de cualquier
índole con la persona jurídica en la que el interesado presta sus servicios.
Que tanto INFORMA como CAMERDATA son responsables de sus respectivas
políticas de privacidad sobre los datos y las adaptarán, en su caso, a los
requerimientos establecidos en la normativa para garantizar el cumplimiento de la
legislación aplicable.
Asimismo, como consecuencia de la cesión por parte de CAMERDATA a INFORMA de
los datos contenidos en el Fichero Camerdata, INFORMA pasará a ser considerada
como responsable del tratamiento de los mismos, comprometiéndose a cumplir con
cuantas obligaciones legales le correspondan como tal.
Adicionalmente, como consecuencia de la cesión por parte de INFORMA a
CAMERDATA de los datos contenidos en el Fichero Informa, CAMERDATA pasará a
ser responsable del tratamiento de los mismos, comprometiéndose a cumplir con
cuantas obligaciones legales le correspondan como tal.
[…]”

Con fecha 16/11/2023 se comprueba que:
1. En la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividades-
tratamiento/5_1-censo.html no existe ningún contenido.
2. En la URL
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml y en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA
E_CamCom08.pdf consta información sobre el “Diseño de Registro del Fichero del
Impuesto sobre Actividades Económicas para las Cámaras de Comercio para la
entrega del fichero Anual del ejercicio 2008 y siguientes” donde consta una tabla
descriptiva de los datos intercambiados donde se incluyen los datos, entre otros, de
“NIF”, “Apellidos y Nombre o razón social”, “domicilio fiscal actual”, “domicilio tributario”
(dentro del cual se encuentra también el dato “teléfono”).
3. En el BOE de 20 de diciembre de 2019, al que se puede acceder a través del
enlace https://www.boe.es/boe/dias/2019/12/20/pdfs/BOE-A-2019-18316.pdf, consta
(se añade subrayado):
“CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y
LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN
DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/108

LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICO-
ADMINISTRATIVAS
[…]
Primera. Objeto del Convenio.
1. El presente Convenio tiene por objeto establecer un marco general de colaboración
sobre las condiciones y procedimientos por los que se debe regir la cesión de
información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia
Tributaria) a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en
adelante, Cámaras) y a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España (en adelante, Cámara de Comercio de España), preservando
en todo caso los derechos de las personas a que se refiera la misma.
2. El presente Convenio se entiende sin perjuicio del intercambio de información que
pueda tener lugar entre la Agencia Tributaria y las Cámaras conforme al Ordenamiento
Jurídico en supuestos distintos de los regulados por el mismo; […]
[…]
Segunda. Finalidad de la cesión de información.
La cesión de información procedente de la Agencia Tributaria tendrá como finalidad
exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras
en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el
ejercicio de las mismas, la normativa reguladora exija la aportación de una
certificación expedida por la Agencia Tributaria o la presentación, en original, copia o
certificación, de las declaraciones tributarias de los interesados o de cualquier otra
comunicación emitida por la Agencia Tributaria, en particular en el caso de no
obligados a declarar. En estos supuestos, la información que debe constar en tales
documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte
necesaria para el ejercicio de tales funciones y se refiera a un elevado número de
interesados o afectados.
En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar
por las Cámaras.
La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas tendrá como finalidad exclusiva la elaboración del censo público de
empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014
Básica de las fundamentos Oficiales de Comercio, Industria, Servicios y Navegación
atribuye a las Cámaras, así como la elaboración del censo electoral a que hace
referencia el artículo 17 de la misma Ley.
Tercera. Autorización de los interesados en la información suministrada.
La cesión de información tributaria deberá contar con la previa autorización expresa
de los interesados, según lo establecido en el artículo 95.1.k) de la LGT, en los
términos y con las garantías que se establecen en el artículo 2.4 de la Orden del
Ministerio de Economía y Hacienda de 18 de noviembre de 1999.
No obstante, la cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas impuesta por el artículo 8 de la citada Ley 4/2014 no
requerirá la previa autorización de los interesados.
Cuarta. Destinatarios de la información suministrada.
La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a
los órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión, incluidos los órganos de
fiscalización competentes en la medida en que, por aplicación de su propia normativa,
participen en los procedimientos a que se refiere la cláusula segunda del presente

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/108

Convenio. En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio.
Todo ello sin perjuicio de la estricta afectación de la información remitida por la
Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier
caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia
Tributaria.
[…]
Séptima. Cesión de información.
1. Para el cumplimiento de las finalidades descritas en la cláusula segunda se
establecen los suministros de información que se recogen en el Anexo I al presente
Convenio.
[…]
Octava. Control y seguridad de los datos suministrados.
[…]
2. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este Convenio:
a) Control interno por parte del ente cesionario de la información.
Las Cámaras realizarán controles sobre la custodia y utilización que de los datos
recibidos realicen las autoridades, funcionarios o resto de personal dependientes de
ellas, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la
cláusula decimotercera del presente Convenio de los resultados obtenidos en dicho
seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria. Impedirán el acceso
a la información suministrada por parte de personal no autorizado, estableciendo la
trazabilidad de los accesos a la información suministrada, y desarrollando auditorías
del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el
cumplimiento de las condiciones que sustentan cada una de las cesiones.
[…]
Novena. Tratamiento de datos personales.
En el caso de que la información incorpore datos personales de los interesados, tanto
el cedente, la Agencia Tributaria, como el cesionario, la Cámara de Comercio de
España y las Cámaras, tratarán los datos de acuerdo al Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 y a la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información tributaria.
En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del
Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de
la Dirección General.
En el caso de los cesionarios de los datos, la Cámara de Comercio de España y las
Cámaras, el Responsable del Tratamiento a los efectos del Reglamento General de
Protección de Datos será la persona que designe cada Cámara.
Décima. Obligación de sigilo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/108

1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los
datos o información suministrados en virtud de este Convenio estarán obligados al
más estricto y completo sigilo respecto de ellos. La violación de esta obligación
implicará incurrir en las responsabilidades penales, administrativas y civiles que
resulten procedentes, así como el sometimiento al ejercicio de las competencias que
corresponden a la Agencia de Protección de Datos.
[…]
ANEXO I AL CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER
TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS
FUNCIONES PÚBLICO-ADMINISTRATIVAS
[…]

[…]
ANEXO III
El presupuesto para la celebración y ejecución del presente Convenio es la condición
de Administración pública, tanto de la Cámara Oficial de Comercio, Industria, Servicios
y Navegación de España como de las propias Cámaras Oficiales, destinándose el
suministro de información a realizar por la Agencia Estatal de Administración
Tributaria, en todo caso, al ejercicio de funciones públicas.
Las funciones públicas a desarrollar por la Cámara Oficial de Comercio, Industria,
Servicios y Navegación se relacionan directa e indirectamente en las letras d) a i) del
artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:
Artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:
«1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
desarrollará las siguientes funciones:
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de
Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el
apartado 1 del artículo 5 de esta Ley.
e) Informar, con el carácter y el alcance previstos en la legislación vigente, los
anteproyectos de leyes o disposiciones estatales de cualquier rango que
afecten directamente al comercio, la industria, los servicios y la navegación.
f) Asesorar a la Administración General del Estado, en los términos que ésta
establezca, en temas referentes al comercio, la industria, los servicios y la
navegación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/108

g) Desempeñar las funciones público-administrativas que se le atribuyan,
cuando
afecten al conjunto del Estado.
h) Gestionar en los términos previstos en los acuerdos con el Ministerio de
Economía y Competitividad las actuaciones previstas en el Plan Cameral de
Internacionalización y en el Plan Cameral de Competitividad.
i) Desempeñar funciones de mediación y arbitraje mercantil, nacional e
internacional, de conformidad con lo establecido en la legislación vigente».
[…]
Artículo 5 de la Ley 4/2014, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación:
«1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tendrán las
siguientes funciones de carácter público-administrativo:
[…]
g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.
[…]”
4. Que en la URL
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf consta el “PROTOCOLO DE INTERCAMBIO DE
INFORMACION DEL I. A. E. ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y ENTIDADES LOCALES / CÁMARAS DE COMERCIO” donde consta:
“[…]
Por otra parte, la información del censo del Impuesto sobre Actividades Económicas,
así como las altas bajas o variaciones del mismo, es necesaria para la Cámaras de
Comercio en la gestión de las exacciones integradas en el Recurso Cameral
Permanente, motivo por el que a partir del ejercicio 2006 se utilizará el mismo
procedimiento telemático para proporcionar esta información a las Cámaras de
Comercio.
[…]
5. PETICIÓN DE FICHEROS DE I.A.E.
Aunque la Agencia Tributaria está obligada al suministro de la Información del I.A.E. a
todas las entidades locales que tengan competencias gestoras y/o recaudatorias en
dicho impuesto y a las Cámaras de Comercio para la gestión y Recaudación de las
exacciones integradas en el Recurso Cameral, este procedimiento se basa en una
solicitud previa de la información deseada, cosa que aunque pueda parecer un
obstáculo, aporta varias e importantes ventajas, como son:
• Las entidades locales y Cámaras de Comercio pueden solicitar el tipo de información
que deseen, en cualquier momento, y cuantas veces lo estimen oportuno. Las
peticiones así efectuadas quedan registradas automáticamente en el Registro de
Entrada de Datos de la AEAT, lo que permite un seguimiento posterior de la petición.
[…]
ANEXO II. Modelo de autorización para el intercambio telemático de información de
IAE.
[…]
la información solicitada será utilizada exclusivamente para los fines conferidos
por la normativa del impuesto sobre actividades económicas a este
ayuntamiento/organismo , sin que puedan utilizarse en perjuicio del interesado

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/108

o afectado, ni cedidos a terceros, salvo en los casos expresamente previstos
por la ley"
[…]“

Con fecha 21/11/2023 se comprueba que:
1. Que en el Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el
Reglamento General de las actuaciones y los procedimientos de gestión e inspección
tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación
de los tributos, en su art. 5, consta que “En el Censo de Empresarios, Profesionales y
Retenedores, además de los datos mencionados en el artículo 4 de este reglamento,
para cada persona o entidad constará la siguiente información” y en el art. 4 constan
como datos los siguientes:
“Artículo 4. Contenido del Censo de Obligados Tributarios.
1. Los datos que se incluirán en el Censo de Obligados Tributarios serán para
las personas físicas los siguientes:
a) Nombre y apellidos, sexo, fecha de nacimiento, lugar de nacimiento, estado
civil y fecha del estado civil.
b) Número de identificación fiscal español.
c) Número de identificación fiscal de otros países, en su caso, para los
residentes.
d) Código de identificación fiscal del Estado de residencia, en su caso, para no
residentes.
e) Número de pasaporte, en su caso.
f) Condición de residente o no residente en territorio español.
g) Domicilio fiscal en España y la referencia catastral del inmueble, salvo que
no esté obligado a ello de acuerdo con la normativa que le sea de aplicación.
h) En su caso, domicilio en el extranjero.
i) Nombre y apellidos o razón social o denominación completa y número de
identificación fiscal de los representantes legales para las personas que
carezcan de capacidad de obrar en el orden tributario
[…]”

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 21/11/2023, CÁMARA remite a esta agencia la siguiente información:

1. “La base de datos del censo público de empresas de la Cámara de España lo
integran, conforme al artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014),
las personas jurídicas y físicas, nacionales o extranjeras, que ejerzan actividades
comerciales, industriales, de servicios y navieras en territorio nacional.
Se incluyen únicamente aquellas actividades económicas de empresas, personas
físicas y jurídicas, cuya actividad se halle en alguno de los epígrafes de las Divisiones
números 1 a 9, ambas inclusive, de la Sección Primera del Anexo I del Real Decreto
Legislativo 1174/1990, de 28 de septiembre, por el que se aprueban las tarifas y la
instrucción del Impuesto sobre actividades Económicas, y que no hayan causado baja.
El origen de los datos que integran el censo público de empresas de la Cámara
España son los datos del Impuesto de Actividades Económicas y los censales de las
empresas que sean necesarios cedidos por la Agencia Estatal de la Administración
Tributaria, en virtud del Convenio de 25 de noviembre de 2019, suscrito entre la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/108

Administración Tributaria y la Cámara de España para la cesión de información de
carácter tributario a las Cámaras Oficiales de Comercio, industria, Servicios y
Navegación españolas para el cumplimiento de sus finalidades y el ejercicio de sus
funciones público-administrativas, que ha sido prorrogado mediante adenda de fecha
19 de diciembre de 2023. Asimismo, también tienen su origen en los datos del
Impuesto de Actividades Económicas cedidos por la Diputación Foral de Navarra y en
los cedidos por las Cámaras de Comercio del País Vasco.[…]”
2. Que el número total de autónomos o empresarios individuales o personas
físicas que constan actualmente en el censo público de empresas es de 1.459.498.
3. Que los datos que contiene el censo público de empresas de CÁMARA son:
NIF/CIF
Nombre, primer apellido, segundo apellido.
Dirección postal de la actividad económica.
Código postal de la actividad económica.
Provincia de la actividad económica.
Municipio de la actividad económica.
Descripción de la actividad económica ejercida.
Aporta extracto de la base de datos donde constan estos datos, entre otros.
4. “[…]Los campos relacionados anteriormente se proporcionan únicamente a
CAMERDATA, S.A., como entidad mercantil constituida por múltiples Cámaras de
Comercio españolas y por la Cámara de España, para su inclusión en su Fichero de
Empresas Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de
forma legítima y disponer de una base de datos de calidad de las empresas que
operan en territorio español para poder ofrecerla empresas y a terceros interesados.
[…]”
5. Que respecto a la obligación de información del art. 14 RGPD, no le resulta de
obligación, según el art. 14.5 c). Que la obtención de datos está expresamente
establecida por la Ley 4/2014 y a las funciones público-administrativas que ésta
atribuye a CÁMARA.
Manifiesta que el art. 3 Ley 4/2014 establece:
“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tienen
como finalidad la representación, promoción y defensa de los intereses
generales del comercio, la industria, los servicios y la navegación, así como la
prestación de servicios a las empresas que ejerzan las indicadas actividades.
Asimismo, ejercerán las competencias de carácter público que les atribuye esta
Ley y las que les puedan ser asignadas por las Administraciones Públicas con
arreglo a los instrumentos que establece el ordenamiento jurídico. […]"
Que el art. 5.1 Ley 4/2014 establece las funciones público-administrativas de
CÁMARA:
“g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.
j) Impulsar actuaciones dirigidas al incremento de la competitividad de las
pequeñas y medianas empresas, y fomentar la innovación y transferencia
tecnológicas a las empresas. (...) "
Y que el art. 8 Ley 4/2014 establece en relación al citado censo:
"Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional (...)."
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/108

Que el art. 21.1 Ley 4/2014 dispone las siguientes funciones:
"[…]
a) Promover los intereses generales del comercio, la industria, los servicios y la
navegación, en el ámbito estatal.
b) Representar al conjunto de las Cámaras ante las diversas instancias
estatales e internacionales.
c) Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras
españolas.
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de
Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el
apartado 1 del artículo 5 de esta Ley. […]”
6. Que “la obtención de los datos que integran el censo público de empresas
(relacionados en el punto anterior) y su tratamiento para la elaboración de un censo
público de todas las empresas, sean personas físicas o jurídicas, constituye el
desempeño de una función público-administrativa de las Cámaras de Comercio
españolas y que la Cámara de España ejerce, en el ámbito estatal y en coordinación
con las Cámaras de Comercio, para el cumplimiento de las finalidades camerales,
promoviendo así los intereses generales del comercio, la industria, los servicios y la
navegación e impulsando, en particular, actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (en gran parte, autónomos).”
7. Que la legitimación para el tratamiento que supone el censo público de
empresas es la obligación legal, según art. 5.1.g y 8 de la Ley 4/2014, así como el
interés público.
Y manifiesta:
“[…]
Sin perjuicio del ejercicio de su función público-administrativa de elaborar un
censo público de empresas, con su gestión la Cámara de España también
cumple un objetivo o misión de interés público o general que (i), de un lado, es
inherente a sus funciones propias del artículo 21.1.d) de la Ley 4/2014, en
relación con las finalidades camerales del artículo 3 de la misma Ley, como es
la promoción de los intereses generales del comercio, la industria, los servicios
y la navegación y del desarrollo empresarial y económico, y la función principal
de prestación de servicios a todas las empresas que ejerzan dichas
actividades, entre ellos, los servicios de información empresarial, reforzando
así su papel de apoyo a las pequeñas y medianas empresas en el ámbito del
incremento de su competitividad (párrafo 12, apartado l, del Preámbulo de la
Ley 4/2014), y que (ii), de otro lado, se halla implícito en la función público-
administrativa consistente en impulsar actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (artículo 5.1.j) de la Ley
4/2014).
En este sentido, el Preámbulo de la Ley 4/2014 (párrafo 6, apartado l) destaca
el objetivo o misión de interés público de las finalidades, funciones y
actividades de las Cámaras de Comercio:
"Conscientes de su importancia y necesidad como instituciones básicas
para el desarrollo económico y empresarial de nuestro país, se
mantiene su naturaleza como corporaciones de derecho público,
garantizando el ejercicio de las funciones público-administrativas que,
en e/ actual contexto económico, tienen una especial relevancia de cara
a la regeneración del tejido económico y la creación de empleo y se
consagra su finalidad de representación, promoción y defensa de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/108

intereses generales del comercio, la industria, los servicios y la
navegación, así como la prestación de servicios a todas las empresas.”
La Ley 4/2014 atribuye a la Cámara de España el ejercicio y cumplimiento de
funciones de interés público o general -a/ tratarse de funciones de carácter
público- administrativo, entre las que se encuentra la elaboración y gestión de
un censo público de empresas, necesario para el cumplimiento de sus
finalidades y el ejercicio de las demás funciones público-administrativas
camerales.
Así, la Ley 4/2014 determina la finalidad del tratamiento y su necesidad para el
cumplimiento de una misión realizada en interés público.
De este modo, tanto la necesidad del tratamiento de datos realizado, como las
finalidades de interés público, vienen impuestas por una norma con rango de
Ley.”
8. Respecto a la finalidad del tratamiento manifiesta:
“La finalidad del tratamiento que realiza la Cámara de España reside en la
promoción de los intereses generales del comercio, la industria, los servicios y
la navegación y del desarrollo empresarial y económico y la función principal
de prestación de servicios a todas las empresas que ejerzan dichas
actividades, entre ellos, los servicios de información empresarial, reforzando
así su papel de apoyo a las pequeñas y medianas empresas, impulsando así
actuaciones dirigidas al incremento de su competitividad.
Con la gestión del censo público de empresas se ofrece al público en general y
a las empresas, en particular, un sistema o servicio de información de
empresas con el objetivo de dar mayor transparencia y seguridad al tráfico
jurídico mercantil, ayudando al desarrollo económico y empresarial y,
cumpliendo, con ello, un interés público general para el sector empresarial y
profesional y la creación de empleo.
Finalidad de la que participan los propios interesados, los autónomos o
empresarios individuales, que tienen interés en formar parte de esa base de
datos tanto para ser localizados por terceros interesados en sus productos y
servicios, como para acceder a su vez a esa base de datos para ofrecerlos a
terceros.”
9. En relación a la cesión de los datos a CAMERDATA manifiesta:
“La Cámara de España proporciona los datos del censo público de empresas a
Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima
y disponer de una base de datos de calidad de las empresas que operan en
territorio español para poder ofrecerla empresas y a terceros interesados.
La base de legitimación del tratamiento de los datos del censo público de
empresas por Camerdata se ampara en que el tratamiento es necesario para la
satisfacción de intereses legítimos perseguidos por el responsable del
tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales (artículo 6.1. f) del
RGPD).
En este sentido, se contribuye al desarrollo y fomento de las relaciones
comerciales e industriales, disponiendo así de un sistema de información
empresarial de calidad para los actores del tejido empresarial, impulsando el
desarrollo económico y empresarial y confiriendo a una mayor seguridad en el
tráfico mercantil, dando, con ello, satisfacción a un interés general.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/108

En el tratamiento de los datos del censo público de empresas por parte de
Camerdata subyace también un interés legítimo de los propios empresarios,
que necesitan disponer de esta información bien para conocer los servicios y
productos de otros empresarios o bien dar a conocer los suyos a terceros.
Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales
que requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento de los
datos del censo público de empresas, por cuanto:
1º. La categoría de datos personales tratados se limita a los del censo público
de empresas de la Cámara de España y para finalidades acordes con las
propias de su elaboración.
2º. Los datos que se tratan son los contenidos en el censo público de
empresas, base de datos de acceso público en la web de la Cámara de
España.
3º. Se garantiza en todo momento el fácil ejercicio de los derechos de los
Interesados regulados en los artículos 15 a 22 del RGPD UE.
Resultado de la ponderación:
1º - El tratamiento se considera lícito.
2º - Los datos que se tratan son datos públicos, de acceso al público en
general en la web corporativa de la Cámara de España.
3º - Las categorías de datos tratados son mínimamente invasivos del derecho a
la intimidad del interesado, pues son datos ceñidos al desempeño por el
interesado de una actividad empresarial, sin que en ningún momento existan
datos de su esfera familiar, ni mucho menos datos de categorías especiales de
datos (artículo 9 RGPD).
4º - El principio a la libre circulación de los datos, establecido y amparado por
la propia normativa europea en la materia (RGPD).
5º - Las finalidades pretendidas por el tratamiento de los datos por parte de
Camerdata son acordes y compatibles de las que tiene el censo público de
empresas de las Cámaras de Comercio, pues persiguen disponer de un
sistema de información empresarial de calidad para los actores del tejido
empresarial, impulsando el desarrollo económico y empresarial y confiriendo a
una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un
interés económico general.
[…]”

Con fecha 22/03/2024 se comprueba, respecto de un autónomo elegido al azar
extraído de los listados aportados por CAMARA y CAMERDATA, que:
1. Se realiza una búsqueda en www.google.es por el nombre y apellidos de un
autónomo, constando resultados de la web ***URL.1.
2. Que en la web ***URL.1 constan datos exclusivamente de nombre y apellidos,
código postal, provincia, municipio, año de inicio de actividad, actividad, SIC, CNAE.
Consta que los datos han sido obtenidos de fuentes públicas por ***EMPRESA.1.
Consta también que para ampliar más información sobre el autónomo se ofrece un
enlace a la web de ***URL.2. Pinchando en ese enlace se redirige a la web de
***URL.2 y se muestran exclusivamente los datos de nombre y apellidos, código
postal, municipio, provincia, CNAE, SIC e información sobre su actividad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/108

Asimismo, consta en la web de ***URL.2 el texto “Nuestros informes le proporcionarán
la información más completa sobre la actividad empresarial de […] como el NIF,
teléfono. dirección en Molledo (Cantabria), scoring calificación de crédito, probabilidad
de impago y capacidad máxima de solvencia. incidencias judiciales....”.
3. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, se
ofrecen resultados de búsqueda que pinchando en ellos redirige a la web de
einforma.com y donde constan datos de nombre, apellidos, localidad y provincia sobre
personas físicas. Que más en detalle constan datos de nombre y apellidos, código
postal, provincia, municipio, actividad, SIC, CNAE.
Además, en la web einforma.com consta, un enlace con “Acceda al informe ampliado
de esta empresa”. Asimismo, consta el texto “elnforma, marca de INFORMA D&B
S.A.U. (S.M.E.), es el líder en el mercado Español de información de empresas e
informes de empresas. Contamos con una base de datos de empresas de más de 500
millones de registros de empresas, donde podrás buscar empresas de todo el mundo,
más de 7 millones de agentes económicos nacionales y acceso a Prospecta.”
4. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio ***EMPRESA.1.es,
no se ofrecen resultados de búsqueda.
5. Que en la web de censo.camara.es realizando una búsqueda por el campo
nombre e introduciendo el nombre y apellidos del mismo autónomo anterior, se ofrecen
resultados con los datos de nombre y apellidos, dirección postal, código postal,
provincia, municipio y actividad. A su vez se ofrece un enlace al fichero de empresas
de Camerdata Online (www.camerdata.es) para obtener más información.

Con fecha 22/03/2024 se comprueba que:
1. En el apartado 5.1. “censo” del registro de actividades del tratamiento de la
AEAT ubicado en https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacion-interesado-sobre-proteccion-datos/5-registro-
actividades-tratamiento/5_1-censo.html consta:
“Descripción de la actividad
Gestión y obtención de información de contribuyentes, ya sean
personas físicas o jurídicas. Para ello, se tratan la mayoría de los datos
censales, incluyendo el histórico de los mismos.
Finalidad.
Aplicación efectiva del sistema tributario estatal y aduanero
Interesados
Contribuyentes y obligados
Cualquier español o extranjero con DNI, NIE (DGP) o NIF (AEAT)
Datos.
DNI y datos asociados al documento, Nombre y Apellidos, Dirección,
Teléfono, Correo electrónico, fax, teléfono móvil, estado civil y en su
caso cónyuge o excónyuge, país de nacimiento, provincia de
nacimiento, población de nacimiento, fecha de nacimiento,
nacionalidad, pasaporte, sexo, tipo de administración al que está
adscrito el contribuyente, número de identificación fiscal en
Administración fiscal extranjera, número de identificación del
ayuntamiento, número de identificación electoral, número de hoja
padronal, nombre del padre, nombre de la madre.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/108

Transacciones de bienes y servicios.
Obligaciones tributarias.
[…]
Destinatarios.
Organismos SS
Órganos CCAA
CCAA
Órganos Admón. Local
Diputaciones Provinciales
Diputación Foral Navarra
Agencia Tributaria
Diputaciones Forales Vascas
Cámara Comercio
[…]”

CUARTO: Con fecha 12 de abril de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD y Artículo 14
del RGPD, tipificada en el Artículo 83.5.b) del RGPD y Artículo 83.5 del RGPD.

QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, manifestaba lo siguiente:

Previa: Nulidad de pleno derecho de las actuaciones

INFORMA solicita la nulidad de pleno derecho del procedimiento sancionador,
conforme al artículo 47.1 a) de la Ley 39/2015, argumentando que el acto
administrativo incurre en un vicio invalidante que causa indefensión. Alega que el
Acuerdo de Inicio solo menciona expresamente la infracción del artículo 6.1 del RGPD,
pero en la parte resolutiva se propone la imposición de dos sanciones, una por dicho
artículo y otra por la supuesta infracción del artículo 14 del RGPD, sin que en el
acuerdo se haya incoado formalmente procedimiento sancionador por esta última
infracción.

Esta discrepancia, a juicio de INFORMA, vulnera el principio de seguridad jurídica y el
derecho a la defensa, ya que no se ha exteriorizado debidamente la fundamentación
que justifique la imputación del artículo 14 del RGPD, impidiendo así a la entidad
conocer con precisión el alcance de la acusación y articular una defensa efectiva. En
consecuencia, sostiene que el acto administrativo incurre en un defecto grave que
genera indefensión, en contravención del artículo 24 de la Constitución Española, que
consagra el derecho a la tutela judicial efectiva.

Para reforzar su argumentación, cita el Auto 6/1987, de 9 de enero, del Tribunal
Constitucional, que establece que la prohibición de indefensión del artículo 24 de la CE
no solo es aplicable a los procedimientos judiciales, sino también a determinados
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/108

procedimientos administrativos. Con base en ello, INFORMA solicita la nulidad del
procedimiento sancionador, al considerar que la falta de coherencia entre el acuerdo
de inicio y la resolución sancionadora ha vulnerado sus derechos y ha impedido su
defensa en condiciones de igualdad y seguridad jurídica.

Subsidiariamente, INFORMA argumenta que la imposición de dos sanciones
independientes por la vulneración de los artículos 6.1 y 14 del RGPD vulnera el
principio de tipicidad, al considerar que ambas infracciones se derivan de una única
conducta sancionable. Sostiene que la AEPD ha utilizado el presunto incumplimiento
del deber de información como fundamento para desestimar el interés legítimo como
base de legitimación, por lo que, a su juicio, no sería posible sancionar
simultáneamente la falta de base legal y la falta de información, dado que la segunda
infracción estaría ya subsumida en la primera.

Primera alegación: Base legal para el tratamiento de datos (Artículo 6.1 del
RGPD)

INFORMA afirma que ha participado activamente en la elaboración del Código de
Conducta del Sector Infomediario (CCSI), que ha sido objeto de negociación con la
AEPD desde 2016. Resalta que, a pesar de los esfuerzos del sector por establecer un
marco de autorregulación, el presente procedimiento sancionador fue iniciado sin
previo aviso ni requerimiento por parte de la Agencia, lo que considera contradictorio
con el proceso de diálogo que había mantenido durante años con la autoridad de
control.

Indica que el procedimiento sancionador tiene su origen en una denuncia presentada
por Institut per a la cultura democràtica a l’era digital – Associació Conservas, en la
que se cuestiona el tratamiento de los datos de empresarios individuales obtenidos del
censo de actividades económicas de la AEAT y cedidos a la Cámara de Comercio,
Camerdata y otras empresas. Según la denuncia, estos datos estarían siendo
utilizados para fines distintos a los previstos en el artículo 19.2 de la LOPDGDD, como
su publicación en Internet o el envío de campañas de marketing. La denunciante
también sugiere que, si los datos declarados por los autónomos en la AEAT coinciden
con su domicilio personal, su difusión podría suponer una vulneración de su
privacidad.

INFORMA rechaza estas acusaciones, destacando que la propia AEPD, en sus
conclusiones de investigación, no ha podido constatar la publicación indiscriminada de
información de autónomos ni la existencia de un sesgo en los datos tratados. Además,
subraya que su plataforma no muestra públicamente el domicilio social de los
autónomos, incluso en búsquedas explícitas, lo que desmontaría la principal
preocupación planteada en la denuncia. A su vez, critica que no se le haya dado
acceso al contenido íntegro de la denuncia, lo que, a su entender, genera una
situación de indefensión, en contra de lo establecido en el artículo 53 de la Ley
39/2015 sobre los derechos de los interesados en los procedimientos administrativos.

En cuanto a la admisión a trámite de la denuncia y las actuaciones previas de
investigación, INFORMA cuestiona que la AEPD haya optado por abrir un
procedimiento sancionador en lugar de aplicar el artículo 65.3 de la LOPDGDD, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/108

permite inadmitir la reclamación o advertir previamente al responsable del tratamiento
para que adopte medidas correctivas. Asimismo, considera que la AEPD podría haber
recurrido al artículo 65.4 de la LOPDGDD, que prevé que, antes de iniciar un
procedimiento formal, se consulte al organismo supervisor de códigos de conducta o al
delegado de protección de datos para buscar soluciones más proporcionadas.

INFORMA también critica que la investigación de la AEPD se haya limitado al flujo de
datos desde la AEAT hasta Camerdata, excluyendo expresamente el tratamiento
realizado por terceros como INFORMA, lo que considera contradictorio con la posterior
incoación del procedimiento sancionador contra su empresa. Denuncia que no se ha
practicado prueba alguna sobre su tratamiento de datos y que el procedimiento se ha
basado únicamente en meras suposiciones. Además, señala que las actuaciones
previas de investigación superaron el plazo máximo de 12 meses previsto en el
artículo 67.2 de la LOPDGDD, lo que refuerza su argumento de que la apertura del
procedimiento sancionador se ha producido sin un análisis probatorio suficiente.

Sobre la naturaleza del censo público de empresas, INFORMA sostiene que su
finalidad es claramente pública y que su acceso está reconocido por la Ley 4/2014,
que encomienda a las Cámaras de Comercio su elaboración. Afirma que la
información en bruto obtenida de la AEAT está sujeta a un deber de confidencialidad,
pero que una vez procesada para la creación del censo, su acceso es público.
Rechaza la interpretación de la AEPD de que el censo ha de permanecer restringido,
argumentando que la propia normativa anterior reconocía su naturaleza de fuente de
acceso público y que la AEPD ha sostenido esta misma postura en resoluciones
previas.

INFORMA también defiende que su acuerdo de colaboración con Camerdata está
basado en un tratamiento lícito de datos personales, amparado en el interés legítimo
conforme al artículo 6.1.f) del RGPD y el artículo 19.2 de la LOPDGDD. Argumenta
que Camerdata no solo suministra datos a INFORMA, sino que también recibe
información de esta, lo que desmentiría la idea de una simple cesión unidireccional.
Además, insiste en que su ejercicio de ponderación del interés legítimo ha sido
riguroso y concluyente en cuanto a la prevalencia de su interés sobre los derechos de
los interesados.

En cuanto a la posición de la AEPD, INFORMA critica que la Agencia haya cambiado
su criterio sin justificación, ya que en resoluciones previas ha considerado lícito el
tratamiento de información obtenida de fuentes de acceso público, incluyendo el censo
de empresas. Cita como ejemplos resoluciones previas en las que la AEPD ha
archivado reclamaciones contra su empresa, validando su base de legitimación y
ponderación del interés legítimo. También destaca que el Gabinete Jurídico de la
AEPD, en 2021, reconoció la validez del tratamiento en el marco del procedimiento de
aprobación del Código de Conducta del Sector Infomediario.

Finalmente, INFORMA señala que la AEPD ha contratado servicios de empresas
infomediarias para acceder a información económica y financiera, lo que considera
una contradicción flagrante, ya que demuestra la necesidad y utilidad de este tipo de
información en el mercado. Muestra como evidencia una licitación de 2024 en la que la
AEPD adjudicó a ***EMPRESA.1 un contrato para la obtención de datos mercantiles,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/108

incluyendo información de autónomos, lo que refuerza la legitimidad del sector
infomediario.

En conclusión, INFORMA argumenta que el procedimiento sancionador se ha abierto
de forma precipitada y sin pruebas suficientes, cuestiona la interpretación restrictiva de
la AEPD sobre el censo público de empresas, defiende la legitimidad de su tratamiento
basado en el interés legítimo, y denuncia la contradicción en el criterio de la AEPD
respecto a este tipo de información. Como resultado, solicita el archivo del
procedimiento o, subsidiariamente, una reducción de la sanción en función de los
atenuantes concurrentes.

SEGUNDA. Obligación del artículo 14 del RGPD

INFORMA argumenta que el procedimiento sancionador presenta una incongruencia
formal, ya que en la parte resolutiva del Acuerdo de Inicio no se menciona
expresamente la incoación del procedimiento sancionador por la presunta infracción
del artículo 14 del RGPD, tipificada en el artículo 83.5.b) del mismo reglamento.
Sostiene que esta omisión causa indefensión, ya que la empresa no habría tenido una
oportunidad adecuada de defenderse de esta imputación. A pesar de ello, y con el fin
de salvaguardar sus intereses, formula alegaciones sobre el supuesto incumplimiento
del artículo 14 del RGPD.

INFORMA rechaza la acusación de la AEPD sobre el incumplimiento del deber de
información a los interesados, afirmando que la Agencia basa su imputación en
**meros indicios**, sin contar con pruebas que demuestren que la información no se
ha facilitado. En este sentido, cita la **Sentencia 45/1997 del Tribunal Constitucional**,
que establece que las pruebas indiciarias deben partir de hechos plenamente
probados y no de simples suposiciones. Considera que el procedimiento sancionador
se ha basado en presunciones, sin que se haya probado que INFORMA incumplió con
la obligación de informar a los interesados en las distintas modalidades que permite el
artículo 14 del RGPD.

Sostiene que el artículo 14 del RGPD no impone un único modo de proporcionar
información, sino que contempla excepciones que permiten a los responsables cumplir
con esta obligación de manera proporcional a la realidad del tratamiento. En este
sentido, argumenta que su base de datos se nutre principalmente de fuentes de
acceso público, como el **censo público de empresas elaborado por las Cámaras de
Comercio**, lo que justificaría el uso de la excepción prevista en el artículo 14.5.b) del
RGPD, relativa a los casos en los que la obligación de informar **suponga un esfuerzo
desproporcionado**.

En su defensa, INFORMA expone que **ha evaluado la viabilidad de distintas formas
de comunicación individual a los interesados**, incluyendo correo electrónico,
llamadas telefónicas y correo postal, pero que, debido al elevado número de registros
(aproximadamente 1,5 millones de empresarios individuales), el coste y la operatividad
de estas medidas resultaban desproporcionados. Como alternativa, decidió cumplir
con el artículo 14 del RGPD mediante **la publicación de la información en su política
de privacidad en su sitio web, en las páginas de ASEDIE y CAMERDATA y en varias
Cámaras de Comercio territoriales**, en línea con las **Directrices del Grupo de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/108

Trabajo del Artículo 29 sobre transparencia**, que consideran válida esta práctica en
casos de esfuerzo desproporcionado.

Asimismo, refuerza su argumentación indicando que el sector infomediario ha
mantenido desde 2016 una interlocución con la AEPD para la elaboración del **Código
de Conducta del Sector Infomediario (CCSI)**, y que en el proceso de negociación
nunca se cuestionó la validez del modelo de información empleado por INFORMA.
Además, recalca que **la Agencia ha admitido en resoluciones previas la licitud del
interés legítimo de INFORMA como base de tratamiento**, archivando reclamaciones
en las que los interesados ejercían sus derechos de oposición o supresión.

Por último, INFORMA subraya que **ha implementado medidas adicionales para
garantizar los derechos de los interesados**, como la depuración de su base de datos
contra la **Lista Robinson** para excluir a los empresarios individuales que no deseen
recibir comunicaciones comerciales, así como la inclusión de cláusulas en los
contratos con sus clientes que les obligan a informar a los interesados sobre la fuente
de los datos en la primera comunicación comercial que realicen. Considera que, en
vista de estas garantías, la AEPD no ha acreditado que los interesados hayan sido
privados de su derecho a la información ni que la supuesta omisión haya generado un
perjuicio real.

En conclusión, INFORMA sostiene que **cumple con el artículo 14 del RGPD mediante
un mecanismo alternativo válido, basado en la publicación de la información, y que el
esfuerzo desproporcionado justifica la aplicación de la excepción del artículo 14.5.b)**.
También alega que la AEPD **no ha aportado pruebas suficientes** para justificar la
imputación, y que su actuación proactiva en la elaboración del CCSI y en la adopción
de medidas adicionales demuestra su diligencia en el cumplimiento de la normativa.

Tercera alegación: Sobre el error de prohibición invencible

INFORMA sostiene que, en el hipotético caso de que se le considerase autora de las
infracciones imputadas en este procedimiento, concurriría un error de prohibición
invencible que eximiría completamente su responsabilidad. La empresa argumenta
que actuó en la creencia firme y fundada de que su actividad era conforme a la
normativa vigente, basándose en su interpretación del artículo 6.1.f) del RGPD y en
garantías proporcionadas por CAMERDATA respecto a la licitud del tratamiento de los
datos personales de empresarios individuales.

Para justificar la concurrencia del error de prohibición invencible, considera que el
tratamiento de los datos de empresarios individuales se realizaba conforme al artículo
6.1.f) del RGPD, al haber recibido garantías del cedente, CAMERDATA, de que los
datos personales se obtenían de fuentes de acceso público y podían tratarse para
relaciones comerciales con empresarios individuales. En este sentido, destaca que el
contrato firmado con CAMERDATA recoge expresamente esta garantía, lo que
refuerza su percepción de actuar de manera legítima.
Aparente respaldo previo de la AEPD

INFORMA afirma que la propia AEPD ha validado históricamente estos tratamientos a
través de diversas resoluciones e informes. Cita pronunciamientos previos de la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/108

Agencia en los que se ha reconocido la licitud del uso de los datos del censo cameral y
el tratamiento basado en el interés legítimo.

Entre los documentos en los que fundamenta su confianza en la legalidad de su
actuación, menciona las resoluciones y criterios analizados en su alegación sobre la
creación y naturaleza del censo público de empresas, así como el Informe del
Gabinete Jurídico de la AEPD que otorgaba carácter de fuente de acceso público a
este censo.
Falta de advertencia previa por parte de la AEPD

Sostiene que en ningún momento se le advirtió que el tratamiento pudiera
considerarse ilícito.

Explica que si la AEPD hubiese manifestado cualquier objeción al tratamiento durante
la negociación del Código de Conducta del Sector Infomediario (CCSI) o en su labor
habitual de supervisión, INFORMA habría cesado inmediatamente la actividad o habría
adoptado medidas correctivas.

Argumenta que su conducta no puede considerarse dolosa ni negligente, ya que
siempre ha actuado con la diligencia debida y ha mantenido una relación de
transparencia con la AEPD, colaborando activamente en la elaboración del CCSI.

Considera que si hubiese existido una interpretación ambigua de la normativa, ello no
justificaría la imposición de una sanción, ya que la incertidumbre normativa genera
error de prohibición invencible.

En relación con la imputación de la infracción del artículo 14 del RGPD, INFORMA
sostiene que, de haberse producido un incumplimiento en la obligación de informar a
los interesados, ello se debería a un error de prohibición invencible en la aplicación de
la excepción del artículo 14.5.b) del RGPD.

Explica que no existen directrices claras de la AEPD sobre cuándo un esfuerzo puede
considerarse desproporcionado, y que, en ausencia de este criterio, INFORMA aplicó
las Directrices WP260 del Comité Europeo de Protección de Datos, optando por la
publicación de la información en su sitio web y en otras páginas como las de ASEDIE,
Camerdata y diversas Cámaras de Comercio territoriales. Defiende que actuó
conforme a la normativa y a la interpretación razonable de las excepciones, sin
intención de vulnerar el RGPD.

INFORMA concluye que, si se llegara a considerar que ha incurrido en alguna
infracción, esta no puede ser sancionada debido a la concurrencia de un error de
prohibición invencible. En virtud del principio de culpabilidad, establecido en los
artículos 24.1 y 25 de la Constitución Española, argumenta que no puede imponerse
sanción alguna cuando el presunto infractor ha actuado con la convicción de que su
conducta era lícita, y esa creencia se basa en interpretaciones previas de la propia
AEPD y en la ausencia de advertencias previas sobre su supuesta ilicitud.

En consecuencia, solicita la exención completa de responsabilidad y el archivo del
procedimiento sancionador.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/108

Cuarta alegación.- De la omisión de los principios de buena fe y confianza
legítima. De la infracción del artículo 3 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público. Y de la aplicación de la doctrina de los
actos propios.

INFORMA sostiene que la AEPD ha vulnerado los principios de buena fe, confianza
legítima y la doctrina de los actos propios, regulados en el artículo 3.1 de la Ley
40/2015 y desarrollados por la jurisprudencia del Tribunal Supremo. Argumenta que la
AEPD ha mantenido durante años una postura coherente respecto a la licitud del
tratamiento de datos de empresarios individuales obtenidos del censo público de
empresas elaborado por la Cámara de Comercio. En este sentido, considera que el
cambio repentino de criterio en el Acuerdo de inicio, sin advertencias previas ni
actuaciones de requerimiento, supone una lesión de las expectativas legítimas de las
empresas del sector infomediario, que han confiado en la doctrina previa de la AEPD
para estructurar su actividad económica.

Asimismo, INFORMA subraya que la AEPD ha hecho uso de bases de datos similares
a las que ahora cuestiona e, incluso, ha contratado servicios que incluyen información
mercantil sobre autónomos, lo que refuerza la idea de que consideraba lícito este
tratamiento hasta la apertura del procedimiento sancionador. Además, destaca que la
AEPD ha participado activamente en la negociación del Código de Conducta del sector
infomediario sin haber manifestado objeciones a la licitud del tratamiento de estos
datos, lo que demuestra que la compañía ha actuado con plena diligencia y
transparencia.

Por otro lado, se argumenta que la actuación de la AEPD incumple el principio de
proporcionalidad al no haber optado por medidas menos gravosas antes de incoar el
procedimiento sancionador. En este sentido, se invoca la jurisprudencia del Tribunal
Supremo, que establece que las administraciones públicas deben aplicar el principio
de proporcionalidad en sus intervenciones y elegir la medida menos restrictiva para
garantizar los fines perseguidos. Según INFORMA, la AEPD podría haber adoptado
otras vías menos perjudiciales, como la formulación de advertencias o requerimientos
previos, en lugar de proceder directamente a la incoación del expediente sancionador.

En conclusión, INFORMA sostiene que el cambio de criterio de la AEPD resulta
arbitrario y supone una vulneración del principio de seguridad jurídica. Argumenta que,
de haber sido advertida con antelación sobre la nueva interpretación administrativa,
habría adaptado su actividad a los requisitos exigidos, evitando así el procedimiento
sancionador.

QUINTO: Con fecha 3/10/2024, el instructor del procedimiento acordó abrir un período
de practica de pruebas por un plazo quince días, acordando practicar las siguientes
pruebas:

Se dan por reproducidas a efectos probatorios la reclamación interpuesta por
***ENTIDAD.1 y su documentación, así como las alegaciones al acuerdo de inicio del
procedimiento sancionador, presentadas por INFORMA y la documentación que a
ellas
acompaña.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/108

Se incorporan al expediente, mediante Diligencia, el informe del Gabinete Jurídico
firmado con fecha 16 de marzo de 2021 por la que se informa desfavorablemente la
aprobación, por esta Agencia, del Código de conducta del sector infomediario de
protección de datos de carácter personal presentado por la Asociación Multisectorial
de
la Información (ASEDIE), y la resolución en materia de Códigos de Conducta de fecha
24 de marzo de 2021 a través de la cual se deniega la aprobación del “CÓDIGO DE
CONDUCTA DEL SECTOR INFOMEDIARIO DE PROTECCIÓN DE DATOS DE
CARÁCTER PERSONAL”, cuyo promotor es ASEDIE.

Se requiere a INFORMA para que remita a esta Agencia la siguiente información y
documentación:
1. Confirmación de si el contrato de colaboración unificado entre CAMERDATA, S.A. e
INFORMA de 29 de septiembre de 2022 que forma parte del expediente administrativo
sigue vigente, así como la remisión de cualquier otro contrato y/o acuerdo posterior
entre ambas entidades.

2. En relación con el contrato mencionado de fecha 29 de septiembre de 2022 se
solicita que aporte el Anexo I al que hace mención la cláusula sexta,
“Confidencialidad”, Anexo del que la citada cláusula dice que “forma parte integrante
del presente
Acuerdo”.

3. Confirmación de si se ha producido cualquier tipo de distribución y comercialización
de la base de datos de empresarios individuales a la empresa infomediaria BUREAU
VAN DIJK EDITIONS ELECTRONIQUES SRL. (BVD) a la que hace referencia de
forma expresa el apartado 1. e) de la cláusula primera del contrato de colaboración de
29 de septiembre de 2022. En caso afirmativo, debe aportarse el contrato y/o acuerdo
que se haya perfeccionado entre ambas entidades.

4. Indicación de si se ha producido comercialización de datos de empresarios
individuales facilitados por CAMERDATA con cualquier otra empresa o entidad, tal y
como permite la cláusula tercera del acuerdo de 29 de septiembre de 2022
anteriormente mencionado. En caso afirmativo debe especificarse el número de
contratos y/o acuerdos que se hayan suscrito con esas terceras empresas, con detalle
de los correspondientes a cada ejercicio de vigencia del contrato formalizado con
CAMERDATA y cuántos de ellos siguen vigentes en la actualidad. Asimismo, se
requiere la aportación de una muestra de los contratos de comercialización de esa
base de datos suscritos con los clientes de INFORMA, integrada por un contrato
formalizado en cada uno de esos ejercicios y sus correspondientes adendas o anexos,
incluido el
ejercicio actual.

5. Las facturas abonadas por parte de INFORMA por el suministro de información
facilitada por CAMERDATA, así como por la autorización para la comercialización a
BVD a través de MOODYS ANALYTICS desde la firma del acuerdo de colaboración de
29 de
septiembre de 2022 a la que hacen referencia los apartados 4.1.b)
y 4.1. c). de dicho acuerdo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/108

6. Información de los distintos productos a la venta a través de los cuales se
comercialicen datos de empresarios individuales existente en la Base de Datos de
INFORMA con origen en CAMERDATA.

7. Número de solicitudes de supresión y/o rectificación de datos personales
registrados en la base de datos procedente de CAMERDATA recibidas durante el
último año por parte de empresarios individuales, así como el porcentaje de dichas
solicitudes que fueron debidamente atendidas. Asimismo, que se exponga en su caso
las razones que determinaron la no atención del resto de ejercicios de derechos.

8. La documentación en la que conste la evaluación de los riesgos, de diversa
probabilidad y gravedad, que puede entrañar, para los derechos y libertades de las
personas físicas, el incumplimiento de los principios de licitud y transparencia en las
operaciones de tratamiento que INFORMA lleva a cabo de los datos personales de los
empresarios individuales por CAMERDATA, así como las medidas técnicas y
organizativas adecuadas que se hayan implementado para aplicar de forma efectiva
dichos principio de licitud y transparencia en las aludidas operaciones de tratamiento
de datos que se realiza.

SEXTO: En fecha 23/10/2024 se recibe en el registro de la presente autoridad
contestación al requerimiento de documentación e información acordado en el período
de práctica de prueba del cual destaca lo siguiente:

“PRIMERO.- Vigencia del contrato de colaboración con CAMERDATA

Confirmamos que el contrato de colaboración unificado entre CAMERDATA S.A. e
INFORMA D&B S.A.U. (S.M.E.) de fecha 29 de septiembre de 2022 sigue vigente, así
como que no se han celebrado otros contratos ni acuerdos adicionales entre ambas
entidades con posterioridad a dicha fecha.

SEGUNDO.- Anexo I del contrato de colaboración con CAMERDATA

El Anexo I del contrato suscrito el 29 de septiembre de 2022, al que se refiere la
cláusula sexta del mencionado contrato, ya se encuentra debidamente incorporado en
el presente expediente, específicamente en los folios 587 a 594. No obstante, con el
propósito de facilitar su identificación, se adjunta como DOCUMENTO 1 el referido
Anexo I.

TERCERO.- Distribución y comercialización de la base de datos de empresarios
individuales a BUREAU VAN DIJK EDITIONS ELECTRONIQUES SRL (BVD)

Se confirma que se ha producido la distribución y comercialización de la base de datos
de empresarios individuales a la empresa infomediaria BUREAU VAN DIJK EDITIONS
ELECTRONIQUES SRL (BVD).

Se acompaña como DOCUMENTO 2 el contrato firmado con Bureau Van Dijk
denominado Data License and Product Service Agreement (DLPSA). Es pertinente
destacar que, en lo concerniente a los datos personales de los empresarios
individuales (autónomos), tal como se ha reiterado en las alegaciones al acuerdo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/108

inicio del procedimiento sancionador presentado por mi mandante, el "Schedule 3 to
Exhibit A – Dataset: Spanish Sole Traders" (páginas 32 y 33 del DLPSA aportado
como DOCUMENTO 2) determina que el objeto de comercialización comprende
exclusivamente datos que pertenecen a la esfera empresarial y profesional de los
interesados (dataset), los cuales son utilizados de manera habitual en el ejercicio de
su actividad profesional.

Asimismo, se deja constancia expresa de que no se incluirán los datos personales de
aquellos individuos que se encuentren inscritos en la lista de exclusión publicitaria,
conocida como Lista Robinson.

De conformidad con el DLPSA, mi mandante comercializa suscripciones de la
herramienta SABI INFORMA, cuyo contrato se acompaña como DOCUMENTO 3, que
proporciona acceso estructurado a la información suministrada por mi mandante sobre
empresas españolas, incluyendo todos sus módulos, a través de la pertinente licencia.
Específicamente, uno de estos módulos puesto a disposición de los clientes es un
módulo de información relativo a autónomos españoles (el "Módulo Autónomos"), el
cual incluye el dataset anteriormente mencionado.

A su vez, como DOCUMENTO 4 se acompaña el Anexo I del mencionado contrato
SABI INFORMA, que es el que formaliza con los clientes que desean adquirir
específicamente el módulo de Autónomos y acceder a la información contenida en el
dataset. En todo momento, mi mandante limita el uso de la información a la que
acceden los clientes, con el fin de que esta se utilice exclusivamente para garantizar el
desarrollo, cumplimiento y control de una relación jurídica libremente aceptada
(cláusula séptima del contrato SABI INFORMA – DOCUMENTO 3 -).

Cabe agregar, que el cliente se compromete a no utilizar la información contenida en
el Módulo de Autónomos fuera del ámbito profesional del empresario individual
(cláusula séptima del Anexo I Módulo de Autónomos – DOCUMENTO 3 -).

CUARTO.- Comercialización de datos de empresarios individuales con otras
empresas

Confirmamos que se ha producido la comercialización de datos de empresarios
individuales facilitados por CAMERDATA con otras empresas o entidades, tal y como
permite la cláusula tercera del acuerdo de 29 de septiembre de 2022 suscrito entre
CAMERDATA y mi mandante.

Se relaciona en la siguiente tabla el número de contratos suscritos con clientes, en los
que específicamente, se comercializan datos de empresarios individuales, detallando
los correspondientes a cada ejercicio de vigencia del contrato formalizado con
CAMERDATA, así como indicando cuántos de ellos siguen vigentes actualmente.

EJERCICIO NÚMERO DE CONTRATOS
2022 12
2023 12
2024 12

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/108

Como DOCUMENTOS 5 a, b y c, se acompaña muestra de los contratos de
comercialización de la base de datos de mi mandante, formalizados en cada uno de
los ejercicios, incluyendo el ejercicio actual.

Complementariamente, resulta de interés señalar que mi mandante lleva tres décadas
desarrollando su actividad en el mercado español. El tratamiento de la información de
empresarios individuales no es nuevo, sino que, además, durante esas décadas, en
distintos pronunciamientos y resoluciones, esta misma Agencia ha validado estos
tratamientos y ha otorgado naturaleza de fuente de acceso público al censo cameral,
confirmando la licitud del tratamiento basado en el interés legítimo del responsable y
de terceros.

QUINTO.- Facturas abonadas

Se acompaña como DOCUMENTO 6, las facturas abonadas durante el periodo
comprendido entre octubre de 2022 y octubre de 2024 por parte de INFORMA por el
suministro de información facilitada por CAMERDATA, así como por la autorización
para INFORMA para la comercialización a BVD de conformidad con el acuerdo de
colaboración de 29 de septiembre de 2022 a la que hacen referencia los apartados
4.1.b) y 4.1. c). de dicho acuerdo.

SEXTO.- Información sobre los productos a la venta que comercialicen datos de
empresarios individuales

Se acompaña como DOCUMENTO 7, el listado de los productos disponibles en
INFORMA, que comprendan la comercialización de empresarios individuales, con la
correspondiente descripción de cada uno de ellos.

SÉPTIMO.- Solicitudes de supresión y/o rectificación de datos personales
recibidas

A continuación, se detalla en una tabla el número de solicitudes de supresión y/o
rectificación de datos personales en relación con la base de datos procedente de
CAMERDATA, ejercidas por parte de empresarios individuales, durante el periodo
comprendido entre el 1 de octubre de 2023 y el 18 de octubre de 2024. Etiquetas de
fila Total general GDPR: DERECHO DE RECTIFICACIÓN 32 GDPR: DERECHO
SUPRESIÓN OLVIDO 109 Total general 141 En virtud de lo expuesto en las
alegaciones al acuerdo de inicio del procedimiento sancionador referenciado,
presentadas por mi mandante, se desprende de manera clara e inequívoca de que los
interesados han sido debidamente informados.

Esta conclusión se fundamenta en el hecho de que, de no haber sido así, los
interesados no tendrían conocimiento de la existencia de sus derechos y no los
hubieren podido ejercer. Igualmente, resulta de interés para mi mandante, dejar
constancia de que todas las solicitudes recibidas durante los periodos anteriores han
sido debidamente atendidas, sin que se haya omitido la atención de ningún ejercicio
de derechos, dado que es política de INFORMA dar cumplimiento a todos los
derechos conforme a lo establecido en la normativa de protección de datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/108

OCTAVO.- Evaluación de riesgos

Se acompaña como DOCUMENTO 8 el análisis o evaluación pertinente de los riesgos
que puede entrañar la actividad de tratamiento de los datos personales de los
empresarios individuales llevada a cabo por mi mandante.”

SÉPTIMO: Con fecha 3 de marzo de 2025, se formuló propuesta de resolución en el
sentido de que por la Presidencia de la AEPD se sancione a INFORMA:

Por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de
dicha norma, multa administrativa de cuantía 1.500.000 euros.

Por la presunta infracción del artículo 14 del RGPD, tipificada en el artículo 83.5 de
dicha norma, multa administrativa de cuantía 1.000.000 euros.

OCTAVO: Notificada la citada propuesta de resolución conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP) se procedió a la
presentación de escrito de alegaciones por parte de INFORMA a través del cual se
manifestaba, en síntesis, lo siguiente:

PREVIA. - RATIFICACIÓN Y REITERACIÓN DEL CONTENIDO DEL ESCRITO DE
ALEGACIONES AL ACUERDO DE INICIO

La entidad compareciente comienza reiterando íntegramente el contenido de su escrito
de alegaciones presentado el 3 de junio de 2024 frente al Acuerdo de Inicio, afirmando
que la propuesta de resolución no ha desvirtuado los argumentos allí expuestos.
Anuncia que, por razones de orden, abordará en primer lugar las supuestas
vulneraciones formales del procedimiento, para después centrarse en las cuestiones
de fondo. Además, adelanta que realizará un resumen de los hechos y tratará un
aspecto que considera especialmente relevante: la posible existencia de un concurso
medial entre las infracciones imputadas.

PRIMERA. - RESUMEN DE LOS HECHOS

INFORMA resume los hechos clave del expediente destacando que el censo público
de empresas, regulado por la Ley 4/2014, es elaborado por las Cámaras con datos
facilitados por la administración tributaria y otras fuentes públicas, debiendo respetarse
la confidencialidad en el uso de los datos en bruto. Sin embargo, sostiene que el
resultado final —el censo público— es accesible al público en general. Explica que la
Cámara de Comercio cedió a CAMERDATA el Censo Básico de Empresas para su
explotación comercial, y que INFORMA mantiene un acuerdo con CAMERDATA desde
2004 para intercambiar información empresarial procedente de fuentes accesibles al
público.

Defiende que los datos tratados son identificativos y de contacto de autónomos en su
ámbito profesional, y que su tratamiento se legitima conforme al artículo 6.1.f) del
RGPD y el artículo 19 de la LOPDGDD, incluyendo el uso del NIF como identificador
profesional necesario. Argumenta que la finalidad del tratamiento es compatible con la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/108

original, y que se ha cumplido el deber de información del artículo 14 del RGPD al
amparo de la excepción del 14.5.b).

Además, señala que la AEPD ha tenido conocimiento de este tipo de tratamiento en
múltiples ocasiones sin cuestionar su licitud, y que incluso utiliza estas bases de datos
en sus procedimientos administrativos. Finalmente, subraya que la denuncia que dio
lugar al expediente fue presentada por una asociación cultural sin legitimación
acreditada, sin prueba de perjuicio alguno y sin constancia de una publicación
indiscriminada de los datos en Internet.

SEGUNDA. - DE LA EXISTENCIA DE CONCURSO MEDIAL ENTRE LA TOTALIDAD
DE LAS INFRACCIONES A LAS QUE SE REFIERE LA PROPUESTA DE
RESOLUCIÓN QUE IMPIDE ACUMULAR LAS POTENCIALES SANCIONES

INFORMA sostiene que las dos infracciones que la AEPD pretende sancionar —la
vulneración del artículo 6.1 f) RGPD (licitud del tratamiento) y del artículo 14 RGPD
(deber de información)— no pueden sancionarse de forma independiente, ya que
existe entre ellas un concurso medial en los términos del artículo 29.5 de la Ley
40/2015. Este precepto establece que, cuando la comisión de una infracción derive
necesariamente de otra, solo puede sancionarse la más grave.

A juicio de INFORMA, la supuesta infracción del artículo 14 RGPD (falta de
información a los interesados) es la que habría determinado, según la AEPD, la
invalidez de la base jurídica del interés legítimo, y por tanto, también la infracción del
artículo 6.1 f) RGPD. Es decir, la falta de información es el motivo por el que no
prospera la base de licitud, por lo que ambas infracciones son inseparables y forman
parte de una misma conducta.

La empresa destaca que el propio razonamiento de la AEPD en la propuesta de
resolución vincula directamente ambas infracciones. Por ello, considera incoherente
que se sancionen por separado. Además, recuerda que incluso el Acuerdo de Inicio ya
mezclaba los artículos 6 y 14 RGPD en la fundamentación de la infracción.

Apoyándose en jurisprudencia del Tribunal Supremo y de la Audiencia Nacional, así
como en las Directrices 04/2022 del Comité Europeo de Protección de Datos,
INFORMA subraya que una misma conducta infractora puede abarcar el
incumplimiento de varias obligaciones, pero que la sanción debe imponerse solo una
vez, con base en la infracción más grave.

En consecuencia, y aunque rechaza haber cometido infracción alguna, argumenta que
en caso de que se mantenga una propuesta sancionadora, la AEPD solo podría
imponer una única sanción, ya sea por el artículo 6 o por el 14 del RGPD, pero no por
ambos, por concurrencia de infracciones derivadas de una única conducta.

TERCERA. – DE LA OMISIÓN DE LOS PRINCIPIOS DE BUENA FE Y CONFIANZA
LEGÍTIMA. DE LA INFRACCIÓN DEL ARTÍCULO 3 DE LA LEY 40/2015, DE 1 DE
OCTUBRE, DE RÉGIMEN JURÍDICO DEL SECTOR PÚBLICO

INFORMA alega que la actuación de la AEPD vulnera los principios de buena fe,
confianza legítima y lealtad institucional, consagrados en el artículo 3.1.e) de la Ley
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/108

40/2015, así como el deber de objetividad de la Administración pública previsto en el
artículo 103.1 de la Constitución Española. Señala que la Agencia ha cambiado
sorpresivamente su criterio respecto a la licitud del tratamiento de datos de
empresarios individuales provenientes del censo público de empresas, que antes
consideraba ajustado a Derecho.

Sostiene que, durante años, la AEPD conocía el origen, la finalidad y la base de
legitimación del tratamiento efectuado por INFORMA, e incluso había resuelto
procedimientos anteriores sin cuestionar su licitud. Cita varias resoluciones pasadas
donde se reconocía que los datos procedían del censo cameral y se trataban con
diligencia, sin sanciones. Añade que la Agencia llegó a utilizar estas bases de datos
tras contrataciones públicas, lo que generó en el sector la confianza legítima en la
legalidad del tratamiento.

INFORMA considera que el argumento de la AEPD —según el cual hasta ahora no se
había investigado a fondo el flujo de los datos— no es sostenible, pues se ha
demostrado que dicho flujo era conocido y valorado por la propia Agencia, incluyendo
en el contexto del procedimiento del Código de Conducta Sectorial.

Finalmente, alega que no puede sancionarse una conducta con base en un cambio de
criterio sin advertencia previa, citando la Sentencia del Tribunal Supremo en el caso de
la App de La Liga como apoyo. Concluye que la actuación de la AEPD vulnera el
principio de proporcionalidad, resulta arbitraria y lesiona las expectativas legítimas del
sector, que había actuado conforme a los criterios previamente establecidos por la
propia Agencia.

CUARTA. COMPATIBILIDAD DE LOS FINES

INFORMA rebate la afirmación de la AEPD según la cual la finalidad del tratamiento
que realiza no es compatible con la finalidad primigenia del censo público de empresas
elaborado por las Cámaras de Comercio. La Propuesta de Resolución considera que
los datos cedidos por la AEAT a las Cámaras solo pueden utilizarse para fines
estrictamente públicos y administrativos (como la elaboración del censo o el censo
electoral), y bajo un deber de confidencialidad. Por tanto, concluye que su posterior
cesión a terceros como CAMERDATA o INFORMA, para fines distintos como la
explotación comercial, no es lícita.

INFORMA, por el contrario, afirma que esa interpretación es incorrecta y no se
corresponde con el marco normativo ni con la realidad práctica y jurídica del censo
público. Señala que:

- El censo público de empresas es, por definición, público, y está destinado a ser
consultado y reutilizado por terceros. Alega que extender el deber de sigilo al
resultado final del censo (y no solo a los datos brutos iniciales proporcionados
por la AEAT) sería contradictorio con el propio mandato legal de publicación y
con su carácter de fuente de acceso público.

- No se ha investigado el tratamiento realmente realizado por INFORMA, ni se
han practicado pruebas suficientes que demuestren incompatibilidad de fines.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/108

La AEPD se limita a inferir que el tratamiento es distinto por la inclusión del NIF,
sin valorar adecuadamente su contexto, propósito ni garantías.

- El NIF actúa como dato de identificación profesional, no como un dato íntimo ni
excesivamente sensible, al ser frecuentemente publicado por los propios
autónomos en facturas, páginas web, folletos, etc. Además, es necesario para
evitar duplicidades y asegurar una correcta identificación, dada la ausencia en
España de un identificador fiscal diferenciado del DNI.

- INFORMA desarrolla un tratamiento posterior con fines legítimos y
complementarios, como facilitar información económica-financiera del tejido
empresarial, promover la transparencia del tráfico mercantil y reducir riesgos
comerciales. Según afirma, esto no constituye un fin incompatible con el fin
inicial del censo, sino una evolución coherente con la finalidad de interés
público que persigue el propio censo.

- Aplica el artículo 6.4 del RGPD para justificar la compatibilidad, alegando que
su tratamiento cumple los factores establecidos por dicho artículo:

o Existe una relación entre los fines iniciales y los fines ulteriores.
o Los datos tratados son de naturaleza profesional, no sensible ni penal.
o Las consecuencias para los interesados son mínimas y no les
perjudican.
o Existen garantías adecuadas, como actualización frecuente, supresión
en caso de baja, o exclusión de correos electrónicos.
o Y si bien no existe una relación directa entre el interesado y el
responsable (INFORMA), las expectativas razonables sí permitirían
prever este tipo de tratamientos, especialmente en un contexto
profesional y digitalizado.

- El marco normativo sobre reutilización de información pública (Directiva
2019/1024 y Ley 27/2007) respalda que la información generada por
organismos públicos puede y debe reutilizarse, incluso para fines comerciales,
siempre que se respeten los principios de proporcionalidad y no discriminación.

- La AEPD reconoce que los datos tratados son públicos, pero cuestiona su uso
por la inclusión del NIF. INFORMA argumenta que esto no desvirtúa la
compatibilidad del tratamiento, ya que el NIF es esencial para singularizar
correctamente al autónomo, evitar errores y mantener la integridad de la
información.

- Alega que la inclusión de estos datos no produce consecuencias negativas
relevantes para los interesados, ni decisiones automatizadas, y solo sirve para
dotar de mayor exactitud a las bases de datos de información empresarial.

- Las expectativas razonables de los autónomos sí permitirían este tratamiento,
ya que ellos mismos utilizan estas herramientas, desean ser visibles, y forman
parte de una red mercantil donde el intercambio de información es habitual y
deseable. Cita incluso textos de la propia Cámara de Comercio que avalan esta
visión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/108

Para ello aporta ejemplos doctrinales y jurídicos, como las Directrices del Comité
Europeo de Protección de Datos (WP203 y 1/2024), la Opinión 28/2024 sobre IA o
jurisprudencia del TJUE y el ordenamiento español, para apoyar la tesis de que la
reutilización de información con interés público y bajo garantías no puede considerarse
automáticamente incompatible.

En conclusión, INFORMA sostiene que la finalidad de su tratamiento no solo es
legítima, sino compatible o, como mínimo, no incompatible con la finalidad inicial del
censo, conforme a la literalidad del RGPD y a su espíritu de equilibrio entre protección
de datos y libre circulación de la información. Pide, por tanto, que se reconozca esta
compatibilidad y no se considere ilícito el tratamiento por ese motivo.

QUINTA. – OBLIGACIÓN INCUMPLIDA DEL ARTÍCULO 6.1. LICITUD DEL
TRATAMIENTO.

La parte reclamada sostiene que el tratamiento de datos llevado a cabo se ampara en
el interés legítimo contemplado en el artículo 6.1 f) del RGPD, reforzado por la
presunción establecida en el artículo 19.2 de la LOPDGDD para datos de contacto y
relativos a la actividad profesional de empresarios individuales. Alega que dicho
tratamiento responde a finalidades profesionales legítimas y que se ajusta a las
expectativas razonables de los interesados, además de encontrarse alineado con
resoluciones anteriores de la AEPD que habrían reconocido esa base legitimadora e
incluso con prácticas de la propia Agencia.

Como refuerzo, se invoca el precedente del procedimiento PS/00204/2020, que afectó
a Emerita Legal, donde la AEPD admitió la prevalencia del interés legítimo en un
supuesto similar, concluyendo con archivo respecto de los artículos 6.1 y 5.1 d) del
RGPD y limitándose a un apercibimiento por incumplimiento del deber de información
del artículo 14, al considerar que la entidad había desplegado medidas proactivas y el
riesgo era limitado.

Asimismo, se cita el expediente PS/00062/2022, en el que la AEPD reconoció la
importancia de las plataformas de información mercantil como instrumentos para la
transparencia del tráfico jurídico, y se invoca la Sentencia del Tribunal Supremo
1263/2024 (caso App de La Liga), que recuerda la necesidad de advertencias previas
antes de sancionar por cambios interpretativos no previsibles.

La parte reclamada indica que ha realizado un ejercicio completo de ponderación,
atendiendo al origen de los datos, la tipología tratada, los riesgos para los interesados,
la visibilidad del tratamiento y las medidas adoptadas para garantizar los derechos de
los afectados, y considera que la eliminación del tratamiento afectaría negativamente
al comercio por su valor informativo para la seguridad jurídica. Por todo ello, defiende
la licitud del tratamiento bajo el interés legítimo y solicita que, en su caso, se opte por
medidas correctivas no sancionadoras.

SEXTA.– ARTÍCULO 14 DEL RGPD (DEBER DE INFORMACIÓN):

INFORMA sostiene que ha cumplido con el deber de información del artículo 14 del
RGPD a través de la publicación de su política de privacidad en su página web, así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/108

como en otros sitios vinculados (ASEDIE, Camerdata y Cámaras de Comercio).
Argumenta que el tratamiento se refiere a datos de índole exclusivamente profesional,
obtenidos de fuentes accesibles al público, y que informar individualmente a los más
de 1,5 millones de empresarios individuales supondría un esfuerzo desproporcionado,
lo que justificaría aplicar la excepción del artículo 14.5.b) del RGPD.

Defiende que realizó una ponderación siguiendo las directrices del antiguo Grupo de
Trabajo del artículo 29 (hoy Comité Europeo de Protección de Datos), valorando la
dificultad de identificar a los interesados, el coste económico y logístico de una
notificación individual, así como el limitado impacto para los derechos de los
afectados.

Adicionalmente, destaca que muchos interesados conocen que sus datos son
tratados, tal como se demuestra por el volumen de solicitudes de ejercicio de derechos
(acceso, oposición, supresión...) que INFORMA gestiona. Aporta además ejemplos de
otras resoluciones archivadas por la AEPD donde se aceptaron estas medidas, como
en el procedimiento contra Emerita Legal.

Por todo ello, considera que la AEPD ha ignorado sus argumentos y ha reproducido
sin valoración crítica lo dicho en el Acuerdo de Inicio, sin tener en cuenta las
Directrices WP260 ni las circunstancias concretas del tratamiento. En última instancia,
solicita que, si se considera que ha existido un incumplimiento, este se limite al
tratamiento del NIF, y que la eventual sanción sea revisada por falta de
proporcionalidad.

NOVENO: De acuerdo con el informe recogido de la herramienta ***EMPRESA.1, la
entidad INFORMA D&B, S.A. es una empresa con un volumen de negocios de 65,1
millones de euros en el año 2023.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: Consta acreditado que, en fecha 29 de septiembre de 2022 se formalizó y
firmó un acuerdo de colaboración entre CAMERDATA e INFORMA que tenía el
siguiente objeto según su cláusula primera:

“Constituye el objeto del presente Acuerdo los términos en los que INFORMA y
CAMERDATA se intercambian cierta información empresarial de sus respectivas
bases de datos, con el objeto de mejorar la calidad de las mismas”

SEGUNDO: Ha quedado acreditado que, en virtud mencionado acuerdo de
colaboración de 29 de septiembre de 2022, CAMERDATA facilita periódicamente el
Fichero de Empresas Españolas (FIBAEMP) con fines de comercialización y entre
cuya información figuran datos personales de empresarios individuales. Ello consta en
el apartado c) de la cláusula primera según la cual:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/108

“CAMERDATA facilita a INFORMA el Fichero de empresas (FIBAEMP) con la misma
periodicidad en que CAMERDATA lo recibe, con el fin de que INFORMA pueda incluir
en su fichero dicha información y comercializar entre sus clientes.

CAMERDATA facilita la siguiente información de empresas y empresarios individuales
del citado fichero:

- CIF/NIF (CAMERDATA facilita el NIF de empresarios siempre que disponga del
mismo)
- Nombre o razón social (en los empresarios individuales)
- IAE (actividad económica)
- Domicilio completo (calle, municipio, provincia)
- Teléfonos
- Web (url)
- Se incluyen registros de control en número nunca superior a 1/1000 de los
datos.

TERCERO: Consta que CAMERDATA a requerimiento de la inspección ha
manifestado que la Cámara de Comercio de España elabora el censo público de
empresas bajo la denominación de "Censo Básico de Empresas" y que CAMERDATA
viene desarrollando y explotando comercialmente un sistema de información
empresarial denominado "Fichero de Empresas Españolas", que es una base de datos
diferente del "Censo Básico de Empresas" elaborado por la Cámara de Comercio de
España.

En este sentido, en el contrato fechado a 15/02/2016 y firmado entre CAMERDATA y
CDE consta que

“[…] V. Sobre la base de los indicados datos que recibe de las Administraciones
públicas colaboradores (que actualmente son la Agencia Estatal de la Administración
Tributaria, la Agencia Diputación Foral de Navarra y las Cámaras de Comercio del País
Vasco), la Cámara de Comercio de España elabora el censo público de empresas bajo
la denominación de "Censo Básico de Empresas", garantizando la confidencialidad en
el tratamiento y el uso exclusivo de la información recibida.”

“[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un sistema
de información empresarial denominado "Fichero de Empresas Españolas", que es
una base de datos diferente del "Censo Básico de Empresas" elaborado por la
Cámara de Comercio de España, si bien para desarrollarlo está interesada en obtener
una copia de la información empresarial del "Censo Básico de Empresas".

“[…]

Primera. Objeto.

Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez,
recibe y adquiere para sí, una copia de la totalidad de los datos empresariales
obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/108

adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual
contiene los campos de información que se indican en el Anexo 1 de 3.160.984
Registros de Empresas.

A estos efectos se entiende por Registro de Empresa todos los campos de información
del Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos
Cedida, tomándose como identificador de dicho registro el NIF de las mismas.

[…]

Segundo. Finalidad.

La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus
actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y
los tratará, completará y enriquecerá en los términos convenidos en el presente
Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros
interesados como base de datos de información de las empresas que operan en
territorio español.

[…]”

Consta en el ANEXO 1, los campos de “NIF de la empresa”, “nombre o denominación
social de la empresa”, “domicilio principal”, “domicilio de actividad”, “sección actividad
IAE”, “actividad IAE”.

En el ANEXO 2 al contrato de cesión de 15/02/2016 en las “Condiciones de la cesión
de la Base de Datos Cedida” consta que:

“los datos incluidos en la Base de Datos Cedida y sus actualizaciones se obtienen del
censo público de empresas que regula la Ley 4/2014 elaborado por la Cedente bajo la
denominación de Censo Básico de Empresas.”

CUARTO: Como consecuencia del requerimiento de información efectuado por la
inspección, con fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente
información y manifestaciones (REGAGE23e00077082890):

1. Que, en relación con los autónomos, tratan los siguientes datos, entre otros:
“NIF”:
Significado:
Número de identificación fiscal
Origen del dato:
Censo público de empresas publicado por CÁMARA conforme a los
dispuesto en la Ley 4/2014 (en adelante Censo público de empresas).
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/108

***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“nombre empresa”
Significado:
Manera en la que se identifica la empresa respecto a sus obligaciones
formales, normalmente con los agentes que se relaciona, como
Seguridad Social, Hacienda, proveedores o clientes. Conocido como
Razón social.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“email genérico”
Significado:
Correo electrónico de contacto general de la empresa.
Origen del dato:
Kompass, a través del enriquecimiento de datos del censo público de
empresas.
Se cede a:
A clientes finalistas que lo solicitan para su uso exclusivo interno.
“dirección”
Significado:
Dirección de la empresa formado por nombre de vía, número de vía y
resto de dirección.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“código postal”
Significado:
Código postal de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/108

A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“municipio”
Significado:
Población de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“provincia”
Significado:
Provincia de la dirección de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de direcciones
cada vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“teléfono”
Significado:
Número de teléfono de contacto general de la empresa.
Origen del dato:
INFORMA y ***EMPRESA.3. Se obtiene en el proceso de
enriquecimiento de datos del censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“Tipo empresa”
Significado:
Forma jurídica de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/108

denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
“Género empresa”
Significado:
Indicador del tipo de nombre de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de nombres cada
vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(***EMPRESA.1, ***EMPRESA.2, ***EMPRESA.3, ***EMPRESA.4,
***EMPRESA.5, ***EMPRESA.6) y por otro lado clientes finalistas que lo
solicitan para su uso exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.

Así las cosas, en relación con los autónomos, el "Fichero de Empresas Españolas"
según la declaración de CAMERDATA contiene, entre otros, los siguientes datos:
“NIF”: “nombre empresa” “email genérico” “dirección” “código postal” “municipio”
“provincia” “teléfono” “Tipo empresa” y “Género empresa”.

QUINTO: Consta que, a requerimiento de la inspección, CAMERDATA lista y detalla
todos los datos que contiene la base de datos de empresas de CAMERDATA con
relación a autónomos:

NIF, Nombre empresa, Nombre comercial, Email genérico, Dirección, Código Postal,
Municipio, Provincia, Comarca, Sección censal, Teléfono, Teléfono2, Tipo empresa,
Actividad Principal IAE, Todas las actividades IAE, Tipo dirección, Número sucursales,
Web, Año constitución, Empleados, Importa/exporta, Género Empresa, Actividad
CNAE, Latitud wgs84, Longitud wgs84, Tipo coor wgs84, ID Camerdata (folio 551 del
expediente).

Asimismo, detalla que el número total de autónomos que consta actualmente en la
base de datos es de 1.665.049.

SEXTO: Consta que se publica en abierto y de forma gratuita a través de la página
web de CDE, www.camara.es, en concreto en la dirección
https://www.camara.es/funcion-consultiva/consulta-del-censo-publico-de-empresas, el
censo público de empresas bajo la denominación “Censo Nacional de Empresas”
donde se ofrece información respecto de los empresarios personas físicas relativa al
nombre, apellidos, dirección, código postal, municipio y actividad.

En el apartado “Descripción”, se ofrece la siguiente información relativa al “Censo
Público de Empresas”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/108

“Te facilitamos los datos incluidos en el Censo Público que contiene todas las
entidades jurídicas y físicas de las Cámaras Oficiales de Comercio, Industria,
Servicios y, en su caso, de Navegación de España.”

Que el fichero “recoge un registro por actividad (no acumula varias actividades
en una misma dirección) y recopila los siguientes datos por registro: Nombre,
Dirección, Código Postal, Municipio, Actividad.”

Por tanto, consta acreditado que el censo público de empresas que publica CDE, a
través de la página web www.camara.es, no contiene el dato del NIF de los
empresarios.

SEPTIMO: El Convenio celebrado entre la AEAT y CDE “para la cesión de información
de carácter tributario a las Cámaras Oficiales para el ejercicio de sus funciones
público-administrativas”, suscrito el 25/11/2019 (BOE 20/12/2019), prorrogado por
cuatros años y modificado en virtud de una “Adenda” suscrita el 19/12/2023 (BOE
16/02/2024), en sus cláusulas estipula:

-Sobre la finalidad de la cesión (cláusula segunda): La “finalidad exclusiva” de la
comunicación de los datos a la CDE y a las Cámaras es “colaborar en el desarrollo de
las funciones públicas que tienen atribuidas”, las cuales se especifican mediante una
remisión expresa al Anexo III del Convenio que, a su vez, reproduce los artículos 5.1,
5.2 y 21.1, letras d) a i) de la Ley 4/2014.

Añade que “La cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas tendrá como finalidad exclusiva la elaboración del censo
público de empresas, el cumplimiento de las funciones público-administrativas que la
Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que
hace referencia el artículo 17 de la misma Ley.”

- Sobre los destinatarios (cláusula cuarta): La información que cede la AEAT solo
puede tener como destinatarios “a los órganos de la Cámara de Comercio de España
y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión
(…). En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio”.

Concluye la citada clausula cuarta que “Todo ello sin perjuicio de la estricta afectación
de la información remitida por la Agencia Tributaria a los fines que la justifican y para
los que se solicita.

En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por
la Agencia Tributaria.”

OCTAVO: CAMERDATA ha manifestado que la base de datos de empresas en el caso
de autónomos tiene la siguiente finalidad:

“La finalidad concreta del tratamiento es la elaboración de un sistema o servicio de
información de empresas con datos de calidad para la promoción, directa o indirecta,
de los bienes o servicios de una empresa, organización o persona que realice una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/108

actividad empresarial o profesional, sea en su propio nombre o en nombre de un
tercero.”

NOVENO: Consta acreditado que a través del contrato de colaboración de 29 de
septiembre de 2022 entre CAMERDATA e INFORMA se autorizaba a INFORMA a
distribuir y comercializar información de la base de datos de empresarios individuales
propiedad de CAMERDATA a la empresa infomediaria BUREAU VAN DIJK EDITIONS
ELECTRONIQUES SRL con CIF B0440734148 y esta, a su vez, puede distribuirla a
terceros clientes.

Así consta en el apartado e) de la cláusula primera del citado acuerdo de colaboración,
según la cual:

“CAMERDATA autoriza a INFORMA a distribuir y comercializar información de su
base de datos de empresarios individuales propiedad de CAMERDATA a la empresa
infomediaria BUREAU VAN DIJK EDITIONS ELECTRONIQUES SRL con CIF
B0440734148, en adelante BVD, en los términos y condiciones que se establecen a
continuación.

Dicha autorización se especificará como excepción parcial a las obligaciones de
exclusividad que se indicarán más adelante.

CAMERDATA autoriza a INFORMA para que esta última pueda entregar los registros
de camerdata relativos a empresarios individuales a BVD, para que BVD los distribuya
a su vez a terceros clientes, excepto a empresas infomediarias, tales como
***EMPRESA.4, ***EMPRESA.3, PDM, Arvato Services, ***EMPRESA.1,
***EMPRESA.5 o cualquier otra empresa informediaria o similar que pueda utilizar la
información para revenderla.”

Ha quedado acreditado que dicha autorización a INFORMA para comercializar con la
empresa BVD se materializó. Así lo afirmó expresamente INFORMA en su
contestación al requerimiento de la presente autoridad:

“Se confirma que se ha producido la distribución y comercialización de la base de
datos de empresarios individuales a la empresa infomediaria BUREAU VAN DIJK
EDITIONS ELECTRONIQUES SRL (BVD).

Se acompaña como DOCUMENTO 2 el contrato firmado con Bureau Van Dijk
denominado Data License and Product Service Agreement (DLPSA). Es pertinente
destacar que, en lo concerniente a los datos personales de los empresarios
individuales (autónomos), tal como se ha reiterado en las alegaciones al acuerdo de
inicio del procedimiento sancionador presentado por mi mandante, el "Schedule 3 to
Exhibit A – Dataset: Spanish Sole Traders" (páginas 32 y 33 del DLPSA aportado
como DOCUMENTO 2) determina que el objeto de comercialización comprende
exclusivamente datos que pertenecen a la esfera empresarial y profesional de los
interesados (dataset), los cuales son utilizados de manera habitual en el ejercicio de
su actividad profesional.”

DÉCIMO: Queda acreditado que el contrato de colaboración entre CAMERDATA e
INFORMA de 29 de septiembre de 2022 permitía a ambas entidades comercializar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/108

libremente con terceros la información suministrada. Así consta en la cláusula tercera
del citado contrato de colaboración, según el cual:

“El intercambio de información entre INFORMA y CAMERDATA se hacen en régimen
de no exclusividad, pudiendo ambas partes comercializar libremente con terceros la
información suministrada a tal efecto. No obstante lo anterior, ni CAMERDATA ni
INFORMA podrán ceder la información que recíprocamente se hayan facilitado a
ninguna empresa relacionada con el sector de la información empresarial o empresas
informediarias, tales como ***EMPRESA.4, ***EMPRESA.3, PDM, Arvato Services,
***EMPRESA.1, ***EMPRESA.5 o cualquier otra empresa informediaria o similar que
pueda utilizar la información para revenderla.”

Queda igualmente acreditada que INFORMA hizo uso de dicha cláusula formalizando
más de 30 contratos con terceros durante los años 2022, 2023 y 2024 y a través de los
cuales se suministraba la información suministrada por CAMERDATA.

Dicho hecho queda plasmado a través de la propia declaración de INFORMA al
requerimiento de esta entidad:

“CUARTO.- Comercialización de datos de empresarios individuales con otras
empresas

Confirmamos que se ha producido la comercialización de datos de empresarios
individuales facilitados por CAMERDATA con otras empresas o entidades, tal y como
permite la cláusula tercera del acuerdo de 29 de septiembre de 2022 suscrito entre
CAMERDATA y mi mandante.

Se relaciona en la siguiente tabla el número de contratos suscritos con clientes, en los
que específicamente, se comercializan datos de empresarios individuales, detallando
los correspondientes a cada ejercicio de vigencia del contrato formalizado con
CAMERDATA, así como indicando cuántos de ellos siguen vigentes actualmente.

EJERCICIO NÚMERO DE CONTRATOS
2022 12
2023 12
2024 12

Como DOCUMENTOS 5 a, b y c, se acompaña muestra de los contratos de
comercialización de la base de datos de mi mandante, formalizados en cada uno de
los ejercicios, incluyendo el ejercicio actual. “

UNDÉCIMO: Queda acreditado que INFORMA abonó cantidades a CAMERDATA por
el suministro de información que ésta le otorgaba. Dicho hecho consta de la propia
manifestación de INFORMA a la contestación al requerimiento realizado por la
presente autoridad:

“QUINTO.- Facturas abonadas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/108

Se acompaña como DOCUMENTO 6, las facturas abonadas durante el periodo
comprendido entre octubre de 2022 y octubre de 2024 por parte de INFORMA por el
suministro de información facilitada por CAMERDATA, así como por la autorización
para INFORMA para la comercialización a BVD de conformidad con el acuerdo de
colaboración de 29 de septiembre de 2022 a la que hacen referencia los apartados
4.1.b) y 4.1. c). de dicho acuerdo.”

DUODÉCIMO: Queda acreditado que INFORMA posee los siguientes productos
disponibles y que comprenden la comercialización de empresarios individuales, tal y
como dicha entidad confirma en la contestación al requerimiento realizado por la
presente Agencia:

Informe Online Autónomos: Información comercial sobre autónomos

Informe Investigado Autónomos: Informe realizado a petición del cliente que contiene
el informe comercial más algún tipo de información adicional sobre algún aspecto
relacionado con el ámbito profesional del autónomo, obtenida en muchas ocasiones a
través de conversación con el propio autónomo.

Informe Patrimonial: Informe que evalúa todo el patrimonio de una empresa o
autónomo con toda la información comercial, financiera y registral disponible.

Informes Internacionales: Integrados en D&B Finance Analytics.

API Informa: API que permite integrar bien a medida o de forma paquetizada
información comercial de la base de datos de INFORMA en los sistemas del cliente.

D&B Finance Analytics: Herramienta para la gestión del riesgo de crédito a nivel global
y la consulta y visualización de informes.

D&B Risk Analytics: Herramienta para la gestión del riesgo asociado al onboarding de
clientes en sus diferentes dimensiones, gestión de la cadena de proveedores y
desempeño

ESG.

D&B Hoovers: Herramienta que permite prospectar e identificar oportunidades de
negocio a nivel global.

D&B Onboard: Software que permite cumplir con los requisitos legales en cuanto a lo
relacionado con la legislación de Compliance en los procesos de admiisión y control
de clientes.

GRS: Software para la obtención de listados de marketing a nivel global APIs

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/108

Internacionales (DITK, Data Blocks…): API que permite integrar bien de forma
paquetizada información de la base de datos mundial de D&B en los sistemas del
cliente.

Informanager: Solución para la gestión del riesgo de cartera de clientes a nivel
nacional.

Fichero de Reclasificación de Crédito: Fichero con información destinada útil para
evaluar el riesgo de crédito de la cartera de clientes.

Sabi INFORMA: Software de análisis financiero y marketing a nivel ibérico.

OneRate: Software especializado en la gestión avanzada del riesgo de crédito,
cuentas a cobrar y seguros de crédito.

Bases de Datos de Marketing: Listados con diferentes informaciones útiles para la
realización de acciones de Marketing.

GeoMarketing: Herramienta de geolocalización que permite analizar carteras de
clientes, proveedores y competidores.

GeoPublic: Herramienta para AA.PP. que monitoriza la situación de las empresas, sus
altas y bajas, distribución por zonas de sectores de actividad, facturación, generación
de empleo y áreas de especialización”

DÉCIMOTERCERO: Consta acreditado que durante el período comprendido entre el 1
de octubre de 2023 y el 18 de octubre de 2024, se recibió un total de 141 solicitudes
de supresión y/o rectificación. Ello se acredita a través de la propia manifestación de
INFORMA que realizó en su contestación al requerimiento de la presente autoridad:

“A continuación, se detalla en una tabla el número de solicitudes de supresión y/o
rectificación de datos personales en relación con la base de datos procedente de
CAMERDATA, ejercidas por parte de empresarios individuales, durante el periodo
comprendido entre el 1 de octubre de 2023 y el 18 de octubre de 2024.

GDPR: DERECHO DE RECTIFICACIÓN 32 GDPR:

DERECHO SUPRESIÓN OLVIDO 109

Total general 141”

DÉCIMOCUARTO: Consta que INFORMA realizó un análisis de riesgo cuyo resultado
de valoración de riesgo intrínseco era calificado como MUY ALTO y el riesgo residual
como ALTO. Ello se acredita a través del documento que INFORMA aporta tras el
requerimiento de la documentación que realizó la presente autoridad:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/108

“Se acompaña como DOCUMENTO 8 el análisis o evaluación pertinente de los
riesgos que puede entrañar la actividad de tratamiento de los datos personales de los
empresarios individuales llevada a cabo por mi mandante.”

DÉCIMOQUINTO: INFORMA no ha aportado documentación que justifique que ha
realizado la ponderación del interés legítimo como causa para legitimar el tratamiento
de los datos de los empresarios individuales con fines de comercialización, a través de
los distintos productos y servicios que ofrece a sus clientes.

DÉCIMOSEXTO: El anuncio que CAMERDATA manifiesta haber publicado en las
webs de siete Cámaras de Comercio con la finalidad de informar a los interesados del
tratamiento de sus datos, toda vez que estima que es aplicable la excepción del
artículo 14.5.b) del RGPD, tiene el siguiente texto:

“Información para trabajadores autónomos relativa a la protección de datos personales

Mediante la presente comunicación se informa, a toda persona que tenga la condición
de trabajador autónomo, del tratamiento de sus datos personales por parte de
Camerdata y de las empresas asociadas a ASEDIE que están sujetas a su código de
conducta del sector infomediario de protección de datos que se relacionan:
***EMPRESA.1, ***EMPRESA.3, ***EMPRESA.5, Informa y también ***EMPRESA.4.

Los datos tratados por CAMERDATA y las empresas relacionadas, han sido recabados
por CAMERDATA de forma legítima y obtenidos de un Censo oficial elaborado por
organismo público, correspondiendo a persona sujeto pasivo de los datos (el
trabajador autónomo) en el ejercicio de una actividad de las recogidas en el Real
Decreto de 2007 (RD 475/ 2007).

El tratamiento de estos datos tiene por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser
de su interés, así como la información comercial sobre la actividad empresarial llevada
a cabo por el Autónomo.

Si usted desea ejercer sus derechos de acceso […]”

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/108

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

El artículo 4.1. del RGPD define los datos personales como “toda información sobre
una persona física identificada o identificable («el interesado»); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.”

Por su parte, el artículo 4.2 del Reglamento define el “tratamiento” de datos personales
como “cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados
o no, como la recogida, registro, organización, estructuración, conservación,
adaptación o modificación, extracción, consulta, utilización, comunicación por
transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o
interconexión, limitación, supresión o destrucción”.

En el presente caso, de acuerdo con lo establecido en el citado artículo 4.1 del RGPD,
consta la realización de un tratamiento de datos personales de empresarios
individuales, entre ellos los datos que se encuentran en el fichero cedido por
CAMERDATA, en virtud del contrato de colaboración existente entre CAMERDATA e
INFORMA, de 29 de septiembre de 2022, que contiene datos personales de
empresarios individuales, como NIF, datos identificativos, dirección completa, IAE, tipo
de dirección, teléfono y FAX. Estos datos, aun siendo necesarios para ejercer la
actividad profesional o empresarial, no dejan de tener la consideración de datos de
carácter personal y, por tanto, quedan sujetos a las disposiciones del RGPD, así como
a la normativa nacional en materia de protección de datos personales.

Sobre los datos de los empresarios personas físicas cabe recordar que el artículo 1 del
RGPD, “Objeto”, dispone:

“1. El presente Reglamento establece las normas relativas a la protección de las
personas físicas en lo que respecta al tratamiento de los datos personales y las
normas relativas a la libre circulación de tales datos.

2.El presente Reglamento protege los derechos y libertades fundamentales de las
personas físicas y, en particular, su derecho a la protección de los datos personales.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/108

El artículo 2 del RGPD, “Ámbito de aplicación material”, dedica el punto 2 a los
tratamientos de datos que están excluidos de su aplicación sin que ninguno de los
cuatro supuestos que detalla se refiera expresamente a los empresarios personas
físicas.

A su vez el Considerando 14 del RGPD señala que “La protección otorgada por el
presente Reglamento debe aplicarse a las personas físicas, independientemente de su
nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos
personales. El presente Reglamento no regula el tratamiento de datos personales
relativos a personas jurídicas y en particular a empresas constituidas como personas
jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto.”

De lo expuesto resulta, por tanto, que la protección que el RGPD dispensa se extiende
al tratamiento de los datos de las personas físicas, entre las que se incluyen los
empresarios individuales.

INFORMA realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD: «Responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento.

En este sentido, la condición de responsable del tratamiento de INFORMA se
desprende del propio contrato que éste formalizó con CAMERDATA, según el cual
“tanto INFORMA como CAMERDATA son responsables de sus respectivas políticas de
privacidad sobre los datos y las adaptarán, en su caso, a los requerimientos
establecidos en la normativa para garantizar el cumplimiento de la legislación
aplicable.
Asimismo, como consecuencia de la cesión por parte de CAMERDATA a INFORMA de
los datos contenidos en el Fichero Camerdata, INFORMA pasará a ser considerada
como responsable del tratamiento de los mismos, comprometiéndose a cumplir con
cuantas obligaciones legales le correspondan como tal.”

III
Sobre el Censo Público de Empresas

La Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación (en adelante, Ley 4/2014 o Ley Básica de Cámaras) dispone
en su artículo 8 en relación con el “Censo público” lo siguiente:
“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional, para cuya
elaboración contarán con la colaboración de la administración tributaria
competente así como de otras administraciones que aporten la información
necesaria, garantizando, en todo caso, la confidencialidad en el tratamiento y el
uso exclusivo de dicha información.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/108

Para la elaboración del censo público de empresas las administraciones
tributarias facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España y a las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación los datos del Impuesto sobre Actividades Económicas y
los censales de las empresas que sean necesarios. Únicamente tendrán acceso
a la información facilitada por la administración tributaria los empleados de cada
Cámara que determine el pleno.

Esta información se empleará para la elaboración del censo público de
empresas, para el cumplimiento de las funciones público-administrativas que la
presente Ley atribuye a las Cámaras, así como para la elaboración del censo
electoral a que se hace referencia en el artículo 17 de la misma.

Dicho personal tendrá, con referencia a los indicados datos, el mismo deber de
sigilo que los funcionarios de la administración tributaria. El incumplimiento de
este deber constituirá, en todo caso, infracción muy grave de conformidad con
su régimen disciplinario.” (El subrayado es nuestro)

La norma transcrita impone a la CDE y a las Cámaras la obligación de elaborar
(“elaborarán) un censo público de empresas y para el cumplimiento de esta obligación
prevé que cuenten con la colaboración de las Administraciones tributarias.

El precepto obliga a las Administraciones tributarias a comunicar - “facilitarán”, dice la
norma- tanto a la CDE como a las Cámaras “los datos” del impuesto sobre actividades
económicas (en lo sucesivo, IAE) y los censales de las empresas que resulten
“necesarios” para el cumplimiento de las finalidades que determina.

Además, se habilita a la CDE y a las Cámaras a tratar la información así obtenida no
sólo con la finalidad de elaborar un censo público de empresas, sino también para: i)
cumplir “las funciones público-administrativas que la presente Ley atribuye a las
Cámaras” y ii) la elaboración del censo electoral al que hace referencia el artículo 17
de la Ley 4/2014.

La habilitación que la Ley otorga a las Administraciones tributarias para que cedan o
comuniquen a la CDE y al resto de Cámaras los datos del IAE y los censales de las
empresas necesarios para los fines que determina en su artículo 8 va acompañada del
establecimiento de salvaguardas que pretenden garantizar la protección del derecho
de las personas físicas a la protección de sus datos.

En este sentido, la Ley 4/2014 no solo determina cuáles son las finalidades específicas
para las que la CDE y las Cámaras podrán tratar los datos que les proporcionen las
Administraciones tributarias. Determina también qué datos pueden ser cedidos -“los
necesarios” para atender a dichas finalidades- e impone a los cesionarios de los datos
(la CDE y las Cámaras) la obligación de garantizar su “confidencialidad” durante el
tratamiento que efectúen y “el uso exclusivo” de la información así obtenida
Es más, en aras a lograr el cumplimiento efectivo de la obligación de confidencialidad
de los datos, restringe las personas que dentro de la organización podrán acceder a la
información proporcionada por las Administraciones tributarias a aquella/s que el pleno
de la respectiva Cámara hubiera designado. Y añade que esa persona o personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/108

estará sometida al “deber de sigilo” exigido a los funcionarios de la Administración
tributaria.
Para hacer efectivo el suministro de información CDE y la AEAT suscribieron en fecha
25/11/2019 un Convenio “para la cesión de información de carácter tributario a las
Cámaras Oficiales para el ejercicio de sus funciones público-administrativas”,
publicado en el BOE de 20/12/2019.

Ese Convenio, de cuatro años de duración, fue prorrogado en 2023. El 19/12/2023 la
AEAT y la CDE suscribieron una “Adenda de modificación y prórroga del convenio
entre la Agencia Estatal de Administración Tributaria y la Cámara Oficial de Comercio,
Industria, Servicios y Navegación de España para la cesión de información de carácter
tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-
administrativas”, publicada en el BOE el 16/02/2024, en la que acuerdan prorrogar por
cuatro años tal convenio, que tendrá eficacia a partir del 20/12/2023, con las
modificaciones introducidas que afectan a las cláusulas octava (“Control y seguridad
de los datos suministrados”) y novena (“Protección de datos”).

El Convenio vigente en la actualidad incluye por tanto las modificaciones incorporadas
por la Adenda precitada. Su Exposición de Motivos, más breve que la del Convenio de
2019, reproduce el siguiente párrafo que figuraba en la del Convenio original:

“La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
es una Corporación de Derecho Público, con personalidad jurídica propia y plena
capacidad de obrar para el cumplimiento de sus fines que le encomienda la Ley
4/2014, de 1 de abril, […]. Además, desarrolla funciones públicas, en especial
las que se relacionan directa e indirectamente en las letras d) a i) del artículo
21.1 de la Ley 4/2014.
Las Cámaras Oficiales de Comercio, […], cuando actúan en el ejercicio de las
funciones administrativas o de carácter público-administrativo encomendadas
por las leyes, tienen la consideración de Administraciones públicas.”
(El subrayado es nuestro)

La Exposición de Motivos del convenio destaca la naturaleza jurídico-pública de los
entes que intervienen -la AEAT y la CDE- así como de las Cámaras de Comercio y la
vinculación entre la finalidad del tratamiento y las funciones públicas que realizan:

“El fin del suministro de información a realizar por la Agencia Estatal de
Administración Tributaria será, en todo caso, el ejercicio de funciones públicas,
tanto por parte de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación, como por parte de la Cámara Oficial de Comercio, Industria,
Servicios y Navegación de España, en su vertiente de Administración pública.”
(El subrayado es nuestro)

El Convenio, con las modificaciones incorporadas a raíz de la Adenda suscrita en
diciembre de 2023, fija las condiciones y el procedimiento que rige la cesión de
información de la AEAT a las Cámaras y a la CDE “preservando en todo caso los
derechos de las personas a las que se refiere la misma” y recoge lo siguiente

-Sobre la finalidad de la cesión (cláusula segunda): La “finalidad exclusiva” de la
comunicación de los datos a la CDE y a las Cámaras es “colaborar en el desarrollo de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/108

las funciones públicas que tienen atribuidas”, las cuales se especifican mediante una
remisión expresa al Anexo III del Convenio que, a su vez, reproduce los artículos 5.1,
5.2 y 21.1, letras d) a i) de la Ley 4/2014.

Añade que “La cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas tendrá como finalidad exclusiva la elaboración del censo
público de empresas, el cumplimiento de las funciones público-administrativas que la
Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que
hace referencia el artículo 17 de la misma Ley.”

- Sobre los destinatarios (cláusula cuarta): La información que cede la AEAT solo
puede tener como destinatarios “a los órganos de la Cámara de Comercio de España
y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión
(…). En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio”.

Concluye la citada clausula cuarta que “Todo ello sin perjuicio de la estricta afectación
de la información remitida por la Agencia Tributaria a los fines que la justifican y para
los que se solicita.

En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por
la Agencia Tributaria.”

- Sobre la obligación de sigilo (clausula décima): “Cuantas autoridades, funcionarios y
resto de personal tengan conocimiento de los datos o información suministrados en
virtud de este Convenio estarán obligados al más estricto y completo sigilo respecto
de ellos. La violación de esta obligación implicará incurrir en las responsabilidades
penales, administrativas y civiles que resulten procedentes, así como el sometimiento
al ejercicio de las competencias que corresponden a la Agencia de Protección de
Datos.”

Así pues, la CDE elabora un censo público de empresas en cumplimiento de una
función pública de carácter administrativo que le atribuye expresamente el artículo
21.1, en conexión con el artículo 5.1.g), de la Ley 4/2014.

El censo público de empresas, en virtud del principio de adscripción universal a las
Cámaras del artículo 7 de la Ley 4/2014, incluye a todos los empresarios, sean
personas jurídicas o físicas. En la medida en que el censo público trata datos de los
empresarios personas físicas, datos de carácter personal, está sometido a las
disposiciones del RGPD.

El censo público de empresas de la CDE, al que se puede acceder desde su página
web, ofrece, respecto a los empresarios individuales, información del nombre y
apellidos, la dirección (calle, número y en ocasiones el piso) la localidad, la provincia y
el código postal. También, el número del epígrafe del IAE y una descripción de la
actividad. Sin embargo, no consta el dato del NIF.

Así las cosas, del artículo 8 de la Ley 4/2014 y de las cláusulas del Convenio suscrito
entre la AEAT y la CDE se evidencia que la información que las Administraciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/108

tributarias facilitan a la CDE no se agota o se limita a la que la CDE incorpora al censo
público de empresas. Por tanto, la información que CDE recibe de las
Administraciones tributarias, es, respecto a los empresarios individuales, más rica en
datos que la que se incluye en el censo público de empresas.

Así pues, el contenido del censo público de empresas que elabora la CDE, y al que
alude el artículo 8 de la Ley 4/2014 es, como su nombre indica, aquél que es accesible
públicamente, en la actualidad a través de la página web de la CDE para cuya
elaboración CDE no utiliza todos los datos cedidos por las Administraciones tributarias,
sino sólo aquellos que sean “necesarios”. Sin embargo, el denominado "Censo Básico
de Empresas" que es el censo objeto de cesión por parte de CDE a CAMERDATA
contiene más datos personales que los contenidos en el censo público de empresas.
Por tanto, el "Censo Básico de Empresas” no es el Censo Público de empresas a que
se refiere el artículo 8 de la Ley 4/2014 y contiene otros datos adicionales sujetos al
deber de confidencialidad y sigilo.

IV

Sobre el artículo 19 de la LOPDGDD.

La LOPDGDD establece una presunción iuris tantum de licitud del tratamiento que
atañe, entre otros sujetos, a los empresarios personas físicas. El artículo 19 de la
LOPDGDD, “Tratamiento de datos de contacto, de empresarios individuales y de
profesionales liberales”, dice:

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el
artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de
contacto y en su caso los relativos a la función o puesto desempeñado de las
personas físicas que presten servicios en una persona jurídica siempre que se
cumplan los siguientes requisitos:

a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.

b) Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el afectado preste sus
servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a
ellos únicamente en dicha condición y no se traten para entablar una relación
con los mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el
artículo 77.1 de esta ley orgánica podrán también tratar los datos mencionados
en los dos apartados anteriores cuando ello se derive de una obligación legal o
sea necesario para el ejercicio de sus competencias.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/108

Es indiscutible para esta Agencia, por las razones que se expondrán a continuación,
que el artículo 19.2. del RGPD no tiene otro alcance que el de establecer una
presunción de licitud que recae, exclusivamente, sobre los datos de contacto de los
empresarios individuales.

De acuerdo con su tenor literal el artículo 19.1 de la LOPDGDD articula una
presunción iuris tantum de licitud que se define a través de dos elementos: su
fundamento y su objeto. Se funda en el artículo 6.1.f) y tiene por objeto los datos de
contacto o eventualmente la función o puesto desempeñado. La presunción así
definida en el artículo 19.1 atañe a las personas físicas que prestan sus servicios en
una persona jurídica. Cuando el artículo 19.2. de la LOPDGDD se refiere a la
aplicación de “la misma presunción”, ésta hay que tomarla tal y como aparece definida
en el apartado 1: por los elementos mencionados de su fundamento y de su objeto. De
manera que el artículo 19.2. no dice, sino que la presunción iuris tantum, fundada en el
artículo 6.1.f), cuyo objeto son los datos de contacto se aplicará al tratamiento de los
datos de los empresarios autónomos.

Abona, además, tal interpretación del texto de la norma el dictamen 757/2017, de 26
de octubre, del Consejo de Estado sobre el anteproyecto de Ley Orgánica de
Protección de datos (actual LOPDGDD) que al comentar el que era en el anteproyecto
de Ley Orgánica el artículo 20 (actual artículo 19) dice:

“El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las
personas físicas que presten servicios en una persona jurídica (apartado 1) y de
empresarios individuales (apartado 2), en ambos casos invocando como amparo
normativo lo dispuesto en el artículo 6.1.f) del Reglamento. En el primer caso, para
entender que existe licitud al amparo de ese artículo, el precepto exige que el
tratamiento se refiera únicamente a los datos necesarios para la localización
profesional del interesado y que la finalidad del tratamiento sea únicamente mantener
relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus
servicios; en el segundo, que el tratamiento se refiera únicamente a los datos de los
empresarios en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas”.

El comentario que incluye el dictamen 757/2017 del Consejo de Estado sobre el
artículo 20 del Anteproyecto de Ley Orgánica (en la actualidad, artículo 19 de la
LOPDGDD) confirma que la presunción que en él se establece opera, exclusivamente,
sobre los datos de contacto de los empresarios autónomos. Esto, porque indica que el
artículo 20 del Anteproyecto “regula el tratamiento de los datos de contacto” y a
renglón seguido precisa de quiénes; quiénes son las personas a las que conciernen
tales datos: las personas físicas que prestan servicios en una persona jurídica
(apartado 1) “y” los empresarios individuales (apartado 2). Si lo que el dictamen
hubiera querido decir es que el artículo 20 del Anteproyecto regula el tratamiento de
los datos de contacto sólo respecto a las personas físicas que prestan sus servicios en
una persona jurídica y respecto a los empresarios individuales todos sus datos, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/108

conjunción copulativa “y” no existiría. A mayores, el comentario añade que “en ambos
casos”, es decir, en los tratamientos de datos de contacto del apartado 1 y del 2 del
artículo 20 del Anteproyecto, la base de licitud se encuentra en el artículo 6.1.f) del
Reglamento. Y, a partir de ahí, el comentario reseñado examina cuáles son los
requisitos, respectivamente, del apartado 1 y 2, sobre la base del artículo 6.1.f) RGPD,
para que el tratamiento – claramente, de los datos de contacto- sea lícito.

Es más, El TJUE en su sentencia de 4 de octubre de 2024, asunto C 200/23,
considera que el artículo 6 del RGPD establece una lista exhaustiva de las causas que
pueden legitimar el tratamiento de datos personales debiendo ser objeto de una
interpretación restrictiva las que no se basan en el consentimiento del interesado.

“94 A este respecto, cabe recordar que el artículo 6, apartado 1, párrafo
primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los
que un tratamiento de datos personales puede considerarse lícito. Así pues,
para poder ser considerado legítimo, un tratamiento de datos personales debe
estar comprendido en uno de casos contemplados en dicha disposición [véase,
en ese sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas
Saeima (Puntos por infracciones de tráfico), C 439/19, EU:C:2021:504,
apartados 99 y jurisprudencia citada].

95 A falta de consentimiento del interesado para el tratamiento de sus datos
personales en virtud de dicho artículo 6, apartado 1, párrafo primero, letra a), o
cuando este no se haya prestado de forma libre, específica, informada e
inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento
puede, no obstante, estar justificado cuando cumple alguno de los requisitos de
necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b)
a f), del mencionado dicho Reglamento [véase, en este sentido, la sentencia de
4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio
de una red social), C 252/21, EU:C:2023:537, apartado 92].

96 En este contexto, las justificaciones previstas en esta última disposición,
en la medida en que permiten que un tratamiento de datos personales
realizado sin el consentimiento del interesado sea lícito, deben ser objeto de
una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y
otros (Condiciones generales del servicio de una red social), C 252/21,
EU:C:2023:537, apartado 93 y jurisprudencia citada].”

Siguiendo esta línea argumental ha de considerarse que la presunción de interés
legítimo contenida en el art. 19.2 de la LOPDGDD ha de interpretarse en sentido
estricto, por cuanto se trata de una disposición que no sólo permite el tratamiento de
datos personales sin consentimiento de los interesados, sino que legitima el
tratamiento de los datos personales de los empresarios individuales, sobre la base de
licitud del art. 6.1.f) del RGPD, sin requerir que el responsable del tratamiento realice
la obligatoria ponderación entre los intereses en conflicto.

Las normas han de ser interpretadas teniendo en cuenta no sólo el sentido propio de
las palabras, sino también su contexto, la realidad social del tiempo en que han de ser
aplicadas y el espíritu y los fines perseguidos por la normativa de la que forma parte
(art. 3.1 CC), y en el caso que se examina no puede decirse que la ley ha autorizado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/108

el tratamiento de cualesquiera datos de los empresarios, para realizar cualesquiera
operaciones de tratamiento con cualquier finalidad sea lícita o no y con independencia
del origen lícito de los datos- personales, pues no cabría decir, por ejemplo, que la
norma está habilitando una contratación con un empresario individual al margen de su
voluntad.
El artículo 19 de la LOPD no puede desvincularse del RGPD. No es admisible
interpretarlo al margen o prescindiendo del RGPD sino sólo y exclusivamente en el
contexto del Reglamento del que trae causa. Y en tal sentido, se subraya que el
objetivo que guía la elaboración del RGPD de garantizar una protección eficaz y
uniforme del derecho a la protección de datos personales en los Estados miembro de
la Unión.

Sobre este aspecto del RGPD dice la STJUE de 27/02/2025, asunto C-203/22:

"51 Por último, por lo que respecta a las finalidades del RGPD, es necesario
recordar que el objetivo de este Reglamento consiste, en particular, en
garantizar un nivel elevado de protección de los derechos y libertades
fundamentales de las personas físicas, sobre todo de su derecho a la
protección de los datos personales, consagrado en el artículo 16 TFUE y
garantizado como derecho fundamental en el artículo 8 de la Carta, que
completa el derecho a la vida privada garantizado en el artículo 7 de esta
[véase, en este sentido, la sentencia de 4 de octubre de 2024, Schrems
(Comunicación de datos al público en general), C 446/21, EU:C:2024:834,
apartado 45 y jurisprudencia citada].

52 Así, como precisa asimismo su considerando 11, el RGPD tiene como
finalidad reforzar y especificar los derechos de los interesados (sentencia de 4
de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C 487/21,
EU:C:2023:369, apartado 33 y jurisprudencia citada)"

El Considerando (11) indica que “La protección efectiva de los datos personales en la
Unión exige que se refuercen y especifiquen los derechos de los interesados y las
obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter
personal, y que en los Estados miembros se reconozcan poderes equivalentes para
supervisar y garantizar el cumplimiento de las normas relativas a la protección de los
datos de carácter personal y las infracciones se castiguen con sanciones
equivalentes.”

Con el propósito indicado el RGPD ha articulado mecanismos que la Directiva no
preveía con los que refuerza la eficacia del derecho fundamental y que no pueden
obviarse cuando se pretende interpretar una norma a la luz del RGPD. Cabe
mencionar, entre otros, el principio de responsabilidad proactiva (artículo 5.2), que se
proyecta sobre la totalidad de los principios del artículo 5.1. del RGPD y que traslada
la carga de la prueba de su cumplimiento al responsable del tratamiento. El enfoque
del riesgo que para los derechos y libertades fundamentales de las personas físicas
puede derivarse del tratamiento de los datos de carácter personal que les conciernen,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/108

de manera que la repercusión que puede llegar a tener en los derechos y libertades
fundamentales la vulneración del derecho a la protección de datos dota a este derecho
fundamental de un carácter instrumental en la protección del conjunto de derechos y
libertades fundamentales del individuo. O la protección desde el diseño, que obliga al
responsable a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar
y poder demostrar que el tratamiento es conforme con el presente Reglamento.

El nombre, apellidos, el NIF e incluso la dirección del establecimiento mercantil en los
casos que es también el domicilio particular del empresario autónomo, son datos
personales del individuo y no pierden su naturaleza por la circunstancia de que
desarrolle una actividad empresarial. Una interpretación extensiva del artículo 19.2 de
la LOPDGDD que propugnara que todos los datos de carácter personal de un
empresario autónomo, cuando el tratamiento guarde alguna relación con la actividad
empresarial, están excluidos de la protección que el RGDP garantiza a “todas las
personas físicas” sería radicalmente contraria al espíritu del RGPD y no tendría
soporte en uno solo de sus preceptos.

La interpretación del artículo 19.2 de la LOPDGDD que defendiera que el tratamiento
de todo dato de un empresario autónomo cuando “se refieran a ellos únicamente en
dicha condición” goza, de una presunción de licitud, anula de facto para este colectivo
de individuos el principio de responsabilidad proactiva (artículo 5.2) en lo que
concierne a la licitud del tratamiento de sus datos personales y con ello las garantías
que el RGPD establece para la protección de los derechos de las personas físicas.
Esto, insistimos, cuando los datos personales tratados nunca han perdido ese carácter
por el hecho de que su tratamiento se refiera a la persona física empresaria en tal
condición, expresión muy difícil de concretar en la práctica y que conduce
inexorablemente a una permanente situación de incertidumbre jurídica en lo que se
refiere a la protección de los datos personales de más de un millón y medio de
individuos.

La tesis favorable a entender comprendido en el artículo 19.2 de la LOPDGDD todos
los datos de las personas físicas que son empresarios autónomos no solo es contrario
al espíritu del RGPD y de sus disposiciones, además supondría una restricción de un
derecho fundamental desproporcionada en relación con los fines que persigue por
cuanto limitaría para un determinado colectivo el nivel de protección de los derechos y
libertades fundamentales de las personas físicas que persigue.

En consecuencia, esta Agencia entiende por ello que el tratamiento de datos
personales de un empresario persona física que no sean datos de contacto no goza de
la presunción de licitud basada en el artículo 6.1.f) del RGPD. Y esto, aunque el
tratamiento se refiera a datos de la persona física en su condición de empresario y
aunque el tratamiento no tenga por finalidad entablar una relación personal. La
consecuencia es, de conformidad con el principio de responsabilidad proactiva
(artículo 5.2 RGPD), que el responsable del tratamiento de datos personales de
empresarios individuales distintos de los datos de contacto no goza de la presunción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/108

prevista en el artículo 19 de la LOPDGDD y tiene la carga de acreditar que el
tratamiento efectuado está amparado en un fundamento de licitud conforme al art. 6
del RGPD.

El sentido que a juicio de esta Agencia tiene el artículo 19.2 de la LOPDGDD
únicamente excluiría de la presunción de licitud los datos de contacto, por lo que el
responsable estará obligado a demostrar que el tratamiento de otros datos de los
empresarios individuales fue lícito por concurrir una base jurídica conforme al RGPD

V

Contestación a las alegaciones al acuerdo de inicio

En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:

Alegación previa: Nulidad de pleno derecho de las actuaciones

INFORMA argumenta que el procedimiento sancionador adolece de un vicio de nulidad
por no haber incluido expresamente la infracción del artículo 14 del RGPD en la parte
resolutiva del Acuerdo de Inicio, lo que, a su juicio, le habría generado una situación de
indefensión. Sin embargo, esta alegación no puede prosperar, ya que la omisión
señalada constituye un mero error material, sin relevancia suficiente para invalidar el
procedimiento, ya que no ha causado indefensión real ni ha afectado a su capacidad
de defensa.

Sin embargo, se ha de señalar, en primer lugar, conforme a la jurisprudencia
administrativa y constitucional, que un error formal en la redacción de un acto
administrativo no conlleva su nulidad automática, salvo que cause una indefensión
material y efectiva, lo que en este caso no se ha producido. El principio de seguridad
jurídica y el derecho a la defensa deben garantizar que el sujeto sancionado tenga
conocimiento suficiente de los hechos imputados y de su fundamentación jurídica, algo
que, en este caso, ha quedado plenamente acreditado a lo largo del expediente.

En segundo lugar, aunque en la parte dispositiva del acuerdo de inicio faltara una
referencia expresa al artículo 14 del RGPD, la imputación de esta infracción sí está
recogida en el cuerpo del acuerdo y se desarrolla jurídicamente a lo largo de toda la
fundamentación del procedimiento sancionador. En el expediente consta que, desde el
inicio, se ha argumentado la posible vulneración del artículo 14 del RGPD, detallando
su fundamentación jurídica, los hechos imputados y la sanción propuesta por este
presunto incumplimiento del art. 14. Por tanto, INFORMA ha tenido acceso a toda la
información necesaria para conocer la infracción y ejercer su derecho de defensa de
manera efectiva.

En tercer lugar, prueba irrefutable de que no ha existido indefensión es que la propia
INFORMA ha podido presentar alegaciones en las que ha rebatido ampliamente la
imputación de ambas infracciones. En sus escritos de defensa, ha desarrollado
argumentaciones detalladas sobre la base legal del tratamiento y sobre el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/108

cumplimiento del deber de información, respondiendo específicamente a las
imputaciones del artículo 14 del RGPD. Si realmente hubiera existido una indefensión
real, la entidad no habría podido articular su defensa con el nivel de detalle y
profundidad que ha demostrado a lo largo del procedimiento.

En conclusión, la alegación de INFORMA sobre la supuesta nulidad del procedimiento
no es procedente, ya que el error señalado no ha generado indefensión efectiva, la
infracción del artículo 14 ha sido debidamente fundamentada en el expediente, y la
entidad ha ejercido su derecho de defensa sin limitaciones, presentando alegaciones
detalladas respecto de todas las imputaciones. Por tanto, no concurre causa alguna
que justifique la nulidad del procedimiento.

De forma subsidiaria, INFORMA argumenta que la imposición de dos sanciones
independientes por la vulneración de los artículos 6.1 y 14 del RGPD vulnera el
principio de tipicidad, al considerar que ambas infracciones se derivan de una única
conducta sancionable. Sostiene que la AEPD ha utilizado el presunto incumplimiento
del deber de información como fundamento para desestimar el interés legítimo como
base de legitimación, por lo que, a su juicio, no sería posible sancionar
simultáneamente la falta de base legal y la falta de información, dado que la segunda
infracción estaría ya subsumida en la primera.

Sin embargo, esta argumentación no puede prosperar, ya que ambas infracciones
tienen naturaleza diferenciada, generan consecuencias jurídicas distintas y afectan a
derechos fundamentales específicos de los interesados. El artículo 6.1 del RGPD
regula la licitud del tratamiento de datos personales, estableciendo las bases legales
que permiten un tratamiento conforme a derecho. Por otro lado, el artículo 14 del
RGPD impone una obligación de transparencia e información cuando los datos no se
obtienen directamente del interesado, garantizando que este tenga conocimiento de
quién trata sus datos, con qué finalidad y qué derechos puede ejercer.

El hecho de que la falta de expectativas del interesado pueda influir en la ponderación
del interés legítimo no significa que la información que prevé el artículo 14 y la
información previa con la que cuenta el interesado en relación con el posible
tratamiento de sus datos se encuentren relacionadas y deban considerarse una
sola.Las expectativas del interesado pueden evaluarse teniendo en cuenta la
información previa de la que dispone el interesado, sin embargo el deber de
información recogido en el artículo 14 del RGPD es posterior al establecimiento de la
base de legitimación, es decir sin base de legitimación no resulta lícito recoger los
datos y someterlos a tratamiento, esta información que debe facilitarse a los
interesados con posterioridad a la obtención de sus datos no es un requisito para la
licitud del tratamiento, sino un derecho autónomo del interesado.

El tratamiento puede ser lícito o ilícito, pero el deber de información seguirá siendo
obligatorio en ambos casos, y su incumplimiento constituirá una infracción diferenciada
del principio de licitud.

Es más, la jurisprudencia del Tribunal Supremo ha señalado que la existencia de un
"concurso de normas" solo se produce cuando una norma absorbe completamente la
ilicitud de otra, lo que no sucede en este caso, ya que la licitud del tratamiento y la
obligación de información protegen bienes jurídicos distintos y se refieren a momentos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/108

distintos. Así la base de legitimación debe haber sido establecida al inicio del
tratamiento y sólo en este caso podrá ser informado el interesado, en cumplimiento de
los artículos 13 y 14 del RGPD, sobre la base jurídica que justifica el tratamiento de
sus datos personales. El supuesto que cita INFORMA sobre las emisiones
radioeléctricas no es aplicable, ya que en ese caso las normas concurrentes
sancionaban un mismo comportamiento desde perspectivas idénticas, mientras que
aquí se sancionan obligaciones distintas que afectan a derechos diferenciados y que
deben ser cumplidas en momentos diferentes.

Prueba de que la imputación de ambas infracciones ha sido clara y diferenciada desde
el inicio del procedimiento es que INFORMA ha presentado alegaciones específicas
sobre ambas, defendiendo por separado la licitud del tratamiento y el cumplimiento del
deber de información. Si realmente hubiera existido una confusión entre ambas
imputaciones, INFORMA no habría podido ejercer su derecho de defensa de manera
efectiva respecto a cada una de ellas.

En conclusión, no existe vulneración del principio de tipicidad, ya que la falta de base
legal y el incumplimiento del deber de información son infracciones autónomas y
diferenciadas, amparadas en disposiciones normativas distintas y sancionables de
manera independiente. La propuesta de sanción se ajusta a la legalidad y a los
criterios del RGPD y del CEPD, por lo que esta alegación debe ser desestimada.

Primera alegación: Base legal para el tratamiento de datos (Artículo 6.1 del
RGPD)

INFORMA sostiene que el procedimiento sancionador en su contra ha sido incoado de
manera precipitada y sin pruebas suficientes, que la interpretación de la AEPD sobre el
censo público de empresas es restrictiva y errónea, que su tratamiento de datos se
ampara en el interés legítimo conforme al artículo 6.1.f) del RGPD y el artículo 19.2 de
la LOPDGDD, y que la AEPD ha cambiado su criterio sin justificación, generando una
situación de inseguridad jurídica. Asimismo, alega que la Agencia ha hecho uso de
bases de datos del sector infomediario, lo que considera una contradicción con la
postura sancionadora adoptada en este procedimiento. Sin embargo, estas
alegaciones no pueden prosperar, ya que el procedimiento sancionador se ajusta
plenamente a derecho, las imputaciones se basan en fundamentos jurídicos sólidos y
la licitud del tratamiento de datos personales por parte de INFORMA no ha quedado
acreditada.

En primer lugar, INFORMA cuestiona la admisión a trámite de la denuncia y las
actuaciones previas de investigación, argumentando que la AEPD debería haber
optado por la aplicación del artículo 65.3 de la LOPDGDD, que permite inadmitir
reclamaciones cuando no se acredite la existencia de un perjuicio o advertir
previamente al responsable del tratamiento para que adopte medidas correctoras.
También sostiene que, de haberse aplicado el artículo 65.4 de la LOPDGDD, se habría
podido consultar al organismo supervisor de códigos de conducta para resolver la
cuestión sin necesidad de incoar un procedimiento sancionador.

Sin embargo, la apertura de una investigación preliminar responde a una potestad
discrecional de la AEPD, basada en la existencia de indicios suficientes de infracción.
En este caso, la denuncia fue presentada por Institut per a la cultura democràtica a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/108

l’era digital – Associació Conservas y no por un reclamante afectado por el tratamiento,
por lo que las previsiones recogidas en el artículo 65. 3 y 4 no resultan de aplicación.

En este sentido el artículo 64 de la LOPDGG dispone en su punto 2 lo siguiente:

“2. Cuando el procedimiento tenga por objeto la determinación de la posible
existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente
ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia
iniciativa o como consecuencia de reclamación, que le será notificado al
interesado.

Si el procedimiento se fundase en una reclamación formulada ante la Agencia
Española de Protección de Datos, con carácter previo, esta decidirá sobre su
admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley
orgánica.

Admitida a trámite la reclamación, así como en los supuestos en que la
Agencia Española de Protección de Datos actúe por propia iniciativa, con
carácter previo al acuerdo de inicio podrá existir una fase de actuaciones
previas de investigación, que se regirá por lo previsto en el artículo 67 de esta
ley orgánica.

El procedimiento tendrá una duración máxima de doce meses a contar desde
la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su
caducidad y, en consecuencia, el archivo de actuaciones.”

Igualmente, el artículo 67.2 recoge esta diferenciación:

“2. Las actuaciones previas de investigación se someterán a lo dispuesto en la
sección 2.ª del capítulo I del título VII de esta ley orgánica y no podrán tener
una duración superior a dieciocho meses a contar desde la fecha del acuerdo
de admisión a trámite o de la fecha del acuerdo por el que se decida su
iniciación cuando la Agencia Española de Protección de Datos actúe por propia
iniciativa.”

La denuncia reunía elementos objetivos que justificaban la investigación, dado que
apuntaba a un tratamiento masivo de datos de empresarios individuales sin una base
legal válida y sin haber cumplido con el deber de información, lo que podría vulnerar
los artículos 6.1 y 14 del RGPD y por tal motivo la directora de la Agencia acordó el
inicio de las actuaciones de investigación al actuar por propia iniciativa, todo ello a
tenor de lo dispuesto en el artículo 67.1 de la LOPDGG ”1. Antes de la adopción del
acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la
hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones
previas de investigación a fin de lograr una mejor determinación de los hechos y las
circunstancias que justifican la tramitación del procedimiento.

La Agencia Española de Protección de Datos actuará en todo caso cuando sea
precisa la investigación de tratamientos que implique un tráfico masivo de datos
personales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/108

Es importante recalcar que la AEPD no está obligada a advertir previamente al
responsable del tratamiento antes de iniciar un procedimiento sancionador. De
acuerdo con la LOPDGDD y la Ley 39/2015, la AEPD puede optar por diferentes vías
en función de la gravedad y naturaleza de la posible infracción. En este caso, dado
que la denuncia presentaba indicios de incumplimientos graves y masivos, resultaba
plenamente justificado abrir una investigación formal.

En segundo lugar, INFORMA argumenta que el procedimiento sancionador se basa en
meros indicios y que la investigación se limitó al flujo de datos desde la AEAT hasta
Camerdata, excluyendo expresamente el tratamiento realizado por terceros como
INFORMA. Sin embargo, la apertura del procedimiento sancionador no requiere que
las actuaciones previas se hayan dirigido contra el presunto infractor, basta con
obtener indicios suficientes de infracción, lo que efectivamente se constató en este
caso. La AEPD ha valorado los contratos suscritos entre las partes, los flujos de datos
y el uso posterior de la información por parte de INFORMA, concluyendo que el
tratamiento realizado excede de las finalidades permitidas por la normativa aplicable y
se efectúa sin base de legitimación.

INFORMA también alega que no ha tenido acceso a la denuncia en su integridad, lo
que, a su juicio, le genera indefensión. No obstante, la AEPD ha garantizado el acceso
a toda la documentación relevante para el procedimiento, incluyendo los fundamentos
jurídicos y las pruebas en que se basan las imputaciones. La propia INFORMA ha
podido presentar alegaciones detalladas sobre los hechos imputados, lo que
demuestra que ha contado con plena capacidad de defensa.

En tercer lugar, INFORMA sostiene que el censo público de empresas elaborado por
las Cámaras de Comercio es accesible y reutilizable por terceros, y que la
interpretación de la AEPD de que dicho censo está sujeto a limitaciones es errónea.
Sin embargo, esta argumentación no es correcta. Consta en el Hecho probado sexto
que la CDE publica en abierto y de forma gratuita a través de su página web,
www.camara.es, el censo público de empresas bajo la denominación “Censo Nacional
de Empresas” donde se ofrece información respecto de los empresarios personas
físicas relativa al nombre, apellidos, dirección, código postal, municipio y actividad. Por
tanto, los datos que INFORMA somete a tratamiento difieren de los datos que se
publican y como resulta obvio en el censo público de empresas sólo está constituido
por los datos públicos y no por todos los datos que ceden las Administraciones
tributarias a la CDE

La Ley 4/2014, de 1 de abril, que regula el censo público de empresas, establece que
las administraciones tributarias deberán facilitar a CDE y a las Cámaras determinados
datos, pero la finalidad de esta comunicación no se limita a la elaboración del censo
público de empresas pues también se realiza con la finalidad de que se elabore el
censo electoral y se destinen los datos al cumplimiento de las funciones público-
administrativas que las Cámaras tienen atribuidas. La Ley, por tanto, establece las
finalidades específicas para las que la CDE y las Cámaras podrán tratar los datos que
les proporcionen las Administraciones tributarias, sin que contemple la posibilidad de
que se realice un tratamiento ulterior con los datos cedidos con fines comerciales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/108

El artículo 6.1 del RGPD exige que todo tratamiento de datos personales se base en
una de las condiciones de licitud establecidas de modo exhaustivo en la norma, y en
este caso, INFORMA no ha acreditado la existencia de una base legal válida. Alega
que su tratamiento se ampara en el interés legítimo, pero este debe cumplir con tres
requisitos acumulativos: existencia de un interés legítimo real y lícito, necesidad del
tratamiento y prevalencia del interés del responsable sobre los derechos de los
interesados. En este caso, la AEPD ha concluido que el tratamiento realizado no
cumple con estos requisitos, ya que existe una norma de rango legal que limita la
finalidad de los datos comunicados, lo que invalida cualquier intento de invocar el
interés legítimo como base legal.

INFORMA también argumenta que la AEPD ha validado su tratamiento en
resoluciones anteriores y que este procedimiento sancionador supone un cambio de
criterio injustificado. Cita distintas resoluciones, tras cuyo análisis se desprende que
aunque no se detalle en las resoluciones, resulta obvio que éstas se están refiriendo a
los datos que integran el censo público de empresas y no a otros datos, es decir a los
datos que publica CDE.

Las resoluciones que cita INFORMA, en las que se archivaron procedimientos o se
reconoció la licitud de determinados tratamientos, no incluían un análisis exhaustivo
del flujo de datos desde su origen ni la existencia de una norma que limitara su uso.
En consecuencia, no puede sostenerse que la AEPD hubiera convalidado el
tratamiento de datos personales realizado por INFORMA con pleno conocimiento del
recorrido de la información y sus restricciones legales.

El procedimiento sancionador actual ha permitido determinar con precisión el origen de
los datos tratados por INFORMA y su relación con el censo público de empresas
elaborado por CDE, lo que ha revelado que el uso de dicha información no se ajusta a
la legalidad, ya que la Ley 4/2014 limita expresamente la finalidad de los datos, sin
permitir un uso ulterior comercial.

El hecho de que en el pasado no se hayan impuesto sanciones no significa que el
tratamiento fuera conforme a derecho, sino que hasta la fecha no se había investigado
en profundidad el origen de los datos y su flujo hasta INFORMA. Este procedimiento
ha puesto de manifiesto que los datos personales de empresarios individuales tratados
por INFORMA tienen un origen con restricciones legales de uso, lo que invalida el
interés legítimo alegado como base de licitud.

Por tanto, no existe un cambio de criterio arbitrario por parte de la AEPD, sino un
análisis más detallado que ha permitido concluir que el tratamiento realizado por
INFORMA excede los límites legales y no se limita a los datos públicos del censo de
empresarios, y por tanto no se ajusta a las bases de legitimación del artículo 6.1 del
RGPD. En consecuencia, el argumento de INFORMA sobre una supuesta validación
previa de su actividad debe ser desestimado.

Por otro lado, INFORMA sostiene que la AEPD ha hecho uso de bases de datos del
sector infomediario, lo que considera contradictorio con la postura sancionadora
adoptada en este procedimiento. Sin embargo, el hecho de que una entidad pública
consulte bases de datos comerciales no implica que el tratamiento realizado por
dichas bases sea lícito. La AEPD no está validando el tratamiento de datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/108

al acceder a determinada información, sino utilizando fuentes disponibles para llevar a
cabo sus funciones. El uso de información por parte de terceros no convierte
automáticamente en legítima la base legal de su tratamiento por el proveedor de la
información, sobre todo cuando la AEPD desconocía el origen de los datos y su uso
posterior.

Finalmente, INFORMA cuestiona la proporcionalidad de la sanción, alegando que no
se ha acreditado un perjuicio real para los interesados y que se han aplicado de forma
incorrecta los agravantes y atenuantes. Sin embargo, la sanción impuesta se ha
calculado conforme al artículo 83 del RGPD, teniendo en cuenta la duración de la
infracción, el volumen de datos afectados y la falta de medidas correctoras. La
imposición de una sanción responde al principio de efectividad y disuasión,
garantizando que los responsables del tratamiento adopten medidas adecuadas para
cumplir con la normativa.

En conclusión, las alegaciones de INFORMA no desvirtúan las infracciones
constatadas, ya que el procedimiento sancionador se ha desarrollado con todas las
garantías, la interpretación de la AEPD sobre el censo público de empresas se ajusta a
la normativa vigente, el tratamiento realizado por INFORMA no cuenta con una base
legal válida, y la sanción impuesta es proporcionada y acorde con la gravedad de los
hechos. Por tanto, la resolución sancionadora debe mantenerse en todos sus
términos.

SEGUNDA. Obligación del artículo 14 del RGPD

En primer lugar, la compañía sostiene que la imputación del artículo 14 no se
menciona expresamente en la parte resolutiva del Acuerdo de Inicio, lo que, según su
alegación, le habría generado indefensión. Sin embargo, este argumento carece de
fundamento, ya que el contenido del Acuerdo de Inicio expone de forma detallada la
presunta infracción del artículo 14 del RGPD, justificando su aplicación y su impacto
en los derechos de los interesados. El hecho de que en la parte resolutiva no se haya
hecho una referencia expresa no implica que la empresa no haya tenido conocimiento
de la imputación ni que no haya podido ejercer su defensa, como lo demuestra el
propio escrito de alegaciones presentado por INFORMA, en el que se rebaten los
fundamentos de la presunta infracción. Por tanto, no puede hablarse de indefensión,
ya que la empresa ha tenido acceso al contenido del expediente y ha formulado
alegaciones sobre la cuestión de fondo.

Es más, la propuesta de resolución es el acto de imputación formal de la infracción,
como ha afirmado la Audiencia Nacional en la SAN de 29 de octubre de 2024, rec.
1824/2021, que determina la posibilidad cierta de que en la propuesta de resolución se
realice una imputación formal de una infracción, incluso si no se hubiera imputado
expresamente en el acuerdo de inicio: “…el artículo 64.2.b) de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Publicas,
que regula el acuerdo de inicio, contempla dicha posibilidad al indicar de forma
expresa “… sin perjuicio de lo que resulte de la instrucción”. Precepto que se
complementa con lo dispuesto en el artículo 89.3 de dicha norma cuando señala que
“En la propuesta de resolución se fijarán de forma motivada los hechos que se
consideren probados y su exacta calificación jurídica, se determinará la infracción que,
en su caso, aquéllos constituyan, la persona o personas responsables y la sanción que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/108

se proponga, la valoración de las pruebas practicadas, en especial aquellas que
constituyan los fundamentos básicos de la decisión, así como las medidas
provisionales que, en su caso, se hubieran adoptado…”.

Téngase en cuenta que sobre la propuesta de resolución, la Sala 3ª del Tribunal
Supremo (véase STS de 16 de noviembre de 2021), ha ido construyendo una
jurisprudencia consolidada, en la que tras analizar la STC 29/1989, se dice que “"el
derecho a ser informado de la acusación, que con la categoría de fundamental se
garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el
procedimiento administrativo sancionador a través de la notificación de la propuesta de
resolución, pues es en ésta donde se contiene un pronunciamiento preciso acerca de
la responsabilidad que se imputa, integrado, cuando menos, por la definición de la
conducta infractora que se aprecia, y su subsunción en un concreto tipo infractor, y por
la consecuencia punitiva que a aquélla se liga en el caso de que se trata."

En consecuencia, esta alegación debe ser desestimada.

En segundo lugar, INFORMA afirma que la AEPD fundamenta la infracción en meros
indicios y que no se han aportado pruebas suficientes que demuestren el
incumplimiento del artículo 14 del RGPD. Esta afirmación es errónea, ya que la
presunta infracción no se basa en conjeturas, sino en hechos acreditados a lo largo del
procedimiento. En el expediente consta que los datos personales de empresarios
individuales han sido tratados por INFORMA sin que los interesados hayan sido
debidamente informados sobre dicho tratamiento, vulnerando con ello la obligación
impuesta por el RGPD. La falta de información a los interesados no es una hipótesis,
sino una omisión real, constatada en la instrucción. Además, INFORMA no ha
aportado prueba alguna que demuestre que se ha notificado a los interesados de
manera efectiva, lo que refuerza la presunción de incumplimiento.

En tercer lugar, INFORMA alega que el deber de información del artículo 14 puede
cumplirse a través de la publicación de la información en su sitio web, invocando para
ello la excepción del artículo 14.5.b) del RGPD, que permite eximir esta obligación en
los casos en los que su cumplimiento suponga un esfuerzo desproporcionado. Sin
embargo, esta justificación es inaceptable en este caso, por varios motivos:

La excepción del esfuerzo desproporcionado no puede interpretarse de manera amplia
ni aplicarse de forma automática. Según las Directrices del Grupo de Trabajo del
Artículo 29 sobre transparencia, la aplicación de esta excepción requiere un análisis
caso por caso, en el que se deben ponderar el número de interesados afectados, la
antigüedad de los datos y las garantías implementadas. INFORMA no ha demostrado
que haya realizado esta evaluación de manera efectiva, limitándose a alegar el
elevado número de registros tratados como único criterio para aplicar la excepción.

La publicación en la página web no es un mecanismo suficiente para garantizar la
información a los interesados. Según la propia normativa y la doctrina del Comité
Europeo de Protección de Datos, la simple publicación de la información no es una
medida adecuada para cumplir con el principio de transparencia, salvo que se combine
con otras acciones activas dirigidas a los interesados. El hecho de que la información
esté disponible en el sitio web no implica que los afectados hayan sido efectivamente
informados ni que tengan conocimiento de su tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/108

INFORMA no ha acreditado haber tomado medidas adicionales para garantizar que los
interesados puedan acceder a la información sobre el tratamiento de sus datos. No
consta en el expediente que haya enviado comunicaciones individuales, intentado
notificaciones por otros medios o implementado mecanismos para facilitar la consulta
de la información por parte de los afectados. Se limita a argumentar la imposibilidad de
cumplir con esta obligación, sin aportar evidencia de que haya realizado intentos
razonables para informar a los interesados.

En cuarto lugar, INFORMA argumenta que la AEPD no ha cuestionado previamente su
modelo de tratamiento de datos ni ha puesto objeciones en la elaboración del Código
de Conducta del Sector Infomediario (CCSI). No obstante, este argumento es
irrelevante para el caso en cuestión. La falta de un pronunciamiento previo sobre un
aspecto concreto no implica su validación automática ni exime a la empresa de sus
obligaciones legales. Cada procedimiento sancionador se basa en hechos específicos
y en las pruebas aportadas en el curso de la instrucción, por lo que la referencia a
conversaciones previas con la AEPD o a resoluciones anteriores no desvirtúa la
existencia de la infracción actual.

En quinto lugar, INFORMA defiende que los empresarios individuales no han sufrido
perjuicio alguno por la falta de información y que, en la práctica, han podido ejercer
sus derechos de oposición y supresión. Este argumento tampoco es válido, ya que el
derecho a la información es un requisito fundamental del RGPD y no está
condicionado a la existencia de un perjuicio concreto. El incumplimiento del artículo 14
es una infracción por sí misma, independientemente de que los interesados hayan
ejercido o no sus derechos. Además, el hecho de que algunos interesados hayan
podido solicitar la supresión de sus datos no significa que todos los afectados hayan
tenido conocimiento del tratamiento ni que se haya garantizado el derecho de
información de forma efectiva.

Finalmente, INFORMA sostiene que ha actuado con diligencia y proactividad en el
cumplimiento de la normativa, citando medidas como la consulta a la AEPD sobre la
Lista Robinson o la implementación de mecanismos de exclusión publicitaria. Sin
embargo, estas acciones no son suficientes para subsanar la omisión de la
información requerida por el artículo 14 del RGPD. El cumplimiento parcial de algunas
disposiciones del RGPD no exime a la empresa de sus obligaciones esenciales,
especialmente en lo que respecta al deber de información. El hecho de que INFORMA
haya implementado algunas medidas no elimina la infracción ni justifica la falta de
notificación a los interesados.

INFORMA no ha demostrado que haya cumplido con el deber de información del
artículo 14 del RGPD ni ha acreditado que la publicación de la información en su sitio
web sea una medida suficiente para garantizar la transparencia del tratamiento. La
AEPD ha identificado pruebas suficientes de que los interesados no han recibido la
información exigida, lo que constituye una infracción clara del RGPD. Además, la
excepción del esfuerzo desproporcionado no puede invocarse de manera generalizada
sin una justificación sólida, y en este caso no se ha demostrado que existan razones
suficientes para aplicarla. En consecuencia, la infracción del artículo 14 del RGPD
resulta plenamente acreditada, lo que justifica la imputación y la correspondiente
sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/108

Tercera alegación: sobre el error invencible.

INFORMA sostiene que, en el supuesto hipotético de que se le considerase
responsable de las infracciones imputadas, concurriría un error de prohibición
invencible que excluiría su culpabilidad y, por tanto, su responsabilidad sancionadora.
Sin embargo, este argumento no resulta admisible, ya que el desconocimiento de la
ilicitud del tratamiento de datos personales no puede considerarse invencible en el
caso de una empresa cuya actividad principal es precisamente el tratamiento de
información comercial. La normativa de protección de datos establece con claridad que
cada responsable del tratamiento debe verificar por sí mismo la licitud de los datos que
maneja, sin que pueda ampararse en la confianza depositada en terceros ni en la
interpretación errónea de la normativa vigente.

INFORMA argumenta que confiaba en la garantía proporcionada por Camerdata
respecto a la licitud del tratamiento, al entender que los datos personales de
empresarios individuales procedían de una fuente de acceso público y que su uso
estaba legítimamente amparado. Sin embargo, el Reglamento General de Protección
de Datos establece que el tratamiento de datos personales requiere una base de
legitimación válida y que la responsabilidad de garantizar la licitud del tratamiento
recae en quien determina los fines y medios del mismo. En este caso, INFORMA no
actuaba como un mero intermediario o encargado, sino como responsable del
tratamiento, determinando de forma autónoma la finalidad comercial de los datos
obtenidos. No puede, por tanto, eludir su responsabilidad alegando desconocimiento,
especialmente cuando la Ley 4/2014 establece de manera expresa limitaciones en
cuanto al acceso a dichos datos cedidos a las Cámaras de Comercio.

Además, INFORMA fundamenta su alegación en la existencia de resoluciones previas
de la AEPD en las que supuestamente se validaba su tratamiento de datos personales.
Sin embargo, en ninguna de esas resoluciones la Agencia analizó con la profundidad
requerida el origen de los datos ni la forma en que se obtenían, por lo que no puede
invocarse un precedente que exonere a INFORMA de su responsabilidad. La ausencia
de sanciones previas o de actuaciones expresas de la AEPD sobre este tratamiento no
constituye un reconocimiento implícito de su licitud, ya que el cumplimiento de la
normativa en materia de protección de datos es un deber constante del responsable
del tratamiento, independientemente de la existencia de controles o sanciones previas.

En cuanto al deber de información del artículo 14 del RGPD, INFORMA alega que
interpretó de manera razonable que la publicación de su política de privacidad en su
página web y en otras plataformas era suficiente para cumplir con su obligación, al
considerar que la comunicación individual a los interesados suponía un esfuerzo
desproporcionado. Sin embargo, el RGPD establece que la excepción del artículo
14.5.b) solo es aplicable cuando la comunicación a los interesados resulte inviable o
requiera un esfuerzo desproporcionado, lo que debe justificarse caso por caso. En
este procedimiento no se ha acreditado que INFORMA careciera de medios
razonables para informar directamente a los interesados, especialmente teniendo en
cuenta que su actividad principal consiste en el tratamiento y comercialización de
información empresarial. No se trata de un caso en el que la identificación o
localización de los interesados sea inviable, sino de una estrategia empresarial
adoptada deliberadamente para evitar una comunicación individualizada.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/108

El error de prohibición invencible solo puede admitirse en aquellos casos en los que el
sujeto actúe bajo la creencia legítima e ineludible de que su conducta es conforme a
derecho, siempre que esta creencia esté basada en una interpretación razonada de la
normativa aplicable y en la falta de información clara sobre la ilicitud de su actuación.
Sin embargo, en este caso, INFORMA no puede alegar desconocimiento invencible, ya
que la normativa de protección de datos y los principios del RGPD son claros respecto
a la necesidad de una base legal válida y al deber de transparencia con los
interesados. Además, la empresa ha tenido múltiples oportunidades de revisar y
adaptar su tratamiento de datos a la normativa, especialmente en el contexto de la
elaboración del Código de Conducta del Sector Infomediario, sin que en ningún
momento la AEPD haya validado expresamente la licitud de su actividad.

Por todo lo expuesto, no cabe admitir la alegación de error de prohibición invencible.
INFORMA, como entidad que opera en el ámbito del tratamiento de datos personales,
tenía la obligación de conocer la normativa aplicable y de asegurar el cumplimiento del
RGPD en todos sus tratamientos. La responsabilidad en la verificación de la licitud del
tratamiento no puede ser desplazada a terceros ni ampararse en interpretaciones
erróneas de la normativa, máxime cuando existían indicios suficientes para que la
empresa cuestionara la validez de su base legal y tomara medidas adecuadas para
garantizar el cumplimiento normativo. En consecuencia, la sanción impuesta es
plenamente ajustada a derecho y no puede considerarse que INFORMA actuara sin
dolo, culpa o negligencia en la comisión de las infracciones imputadas.

Cuarta alegación: Sobre la omisión de los principios de buena fe y confianza
legítima, la infracción del artículo 3 de la Ley 40/2015 y la aplicación de la
doctrina de los actos propios.

El argumento de INFORMA sobre una presunta vulneración de los principios de buena
fe y confianza legítima no resulta aplicable en este caso. La confianza legítima solo
puede generarse cuando la administración mantiene una postura estable y explícita en
el tiempo que induzca razonablemente a un operador económico a confiar en la
legalidad de su actuación. Sin embargo, la AEPD nunca ha emitido un
pronunciamiento formal y vinculante que reconociera expresamente la licitud del
tratamiento llevado a cabo por INFORMA en relación con los datos de autónomos
obtenidos del censo público de empresas. La ausencia de procedimientos
sancionadores previos no implica una validación implícita de la legalidad del
tratamiento, ya que la legalidad de un tratamiento de datos no se presume por
inactividad administrativa, sino por su conformidad con la normativa aplicable.

Además, la referencia al uso de bases de datos por parte de la AEPD no puede ser
utilizada como argumento para sostener la licitud del tratamiento realizado por
INFORMA. La utilización de información mercantil en determinados procedimientos no
implica un reconocimiento general de la licitud del tratamiento de datos personales en
todas sus variantes, especialmente cuando dicho tratamiento excede las finalidades
legítimas previstas en la normativa. La existencia de un contrato entre INFORMA y
CAMERDATA no convierte automáticamente en lícita la cesión y reutilización de datos
personales sin el cumplimiento de las garantías exigidas por el RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/108

Por otro lado, el argumento basado en la participación de la AEPD en el desarrollo del
Código de Conducta del sector infomediario no es relevante en este procedimiento. La
existencia de un código de conducta en negociación no exime a las empresas de
cumplir con la normativa vigente, ni supone un reconocimiento implícito de que las
prácticas en debate sean conformes a derecho. La denegación del código de conducta
y la posterior apertura de un procedimiento sancionador responden a un análisis
detallado de la falta de adecuación del tratamiento a las exigencias del RGPD,
especialmente en lo relativo a la base legal del tratamiento y la obligación de
información a los interesados.

Asimismo, la alegación de que la AEPD debió haber formulado advertencias o
requerimientos antes de iniciar el procedimiento sancionador no se sostiene. El
artículo 58 del RGPD otorga a la autoridad de control la facultad de iniciar
procedimientos sancionadores cuando se detectan infracciones sin que exista una
obligación previa de advertir a las entidades investigadas. La imposición de sanciones
responde a la detección de una infracción clara de la normativa y no a un mero cambio
de criterio arbitrario.

Por último, la referencia al principio de proporcionalidad no es aplicable en este caso,
ya que la incoación del procedimiento sancionador se basa en una infracción grave del
RGPD que afecta a los derechos fundamentales de los interesados. No existe una
medida menos lesiva cuando el tratamiento de datos se lleva a cabo sin una base
legal válida y sin cumplir con el deber de información, lo que implica una vulneración
directa del principio de licitud y transparencia recogido en los artículos 6 y 14 del
RGPD.

En conclusión, la AEPD no ha incurrido en un cambio arbitrario de criterio ni ha
generado una expectativa legítima que justifique la exención de responsabilidad de
INFORMA. La actuación administrativa responde a la necesidad de garantizar el
cumplimiento efectivo del RGPD, corrigiendo una práctica de tratamiento de datos que
no se ajusta a la normativa vigente.

Quinta Alegación: Sobre la falta de proporcionalidad de la sanción impuesta

INFORMA sostiene que la sanción impuesta es desproporcionada porque ha actuado
con diligencia, porque se han aplicado de manera incorrecta los criterios de
graduación de la sanción y porque la AEPD no ha valorado adecuadamente las
circunstancias atenuantes que concurren en este caso. Sin embargo, estas
afirmaciones carecen de fundamento y no pueden desvirtuar la correcta aplicación de
la normativa sancionadora en materia de protección de datos.

En primer lugar, la sanción impuesta no responde a una valoración arbitraria ni
desproporcionada de los hechos, sino que se ajusta a los criterios establecidos en el
artículo 83 del RGPD, que fija los parámetros para determinar la cuantía de las
sanciones en función de la gravedad de la infracción. La AEPD ha fundamentado su
decisión en la comisión de dos infracciones graves: la falta de una base legal válida
para el tratamiento de datos personales y el incumplimiento del deber de información a
los interesados. Estas infracciones afectan pilares fundamentales del RGPD, como
son la licitud del tratamiento (art. 6.1) y la transparencia en la información a los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/108

afectados (art. 14), comprometiendo los derechos de los interesados y generando un
impacto significativo en su capacidad para ejercer control sobre sus datos personales.

El principio de proporcionalidad invocado por INFORMA no puede interpretarse como
un criterio subjetivo para reducir la sanción en función del impacto económico que esta
pueda tener en la empresa, sino que debe analizarse en relación con la gravedad de
los hechos constatados y la necesidad de garantizar el cumplimiento efectivo del
RGPD. La imposición de una sanción administrativa no solo busca corregir la conducta
infractora, sino también garantizar la protección de los derechos de los interesados y
prevenir futuras infracciones. En este sentido, la sanción impuesta es idónea,
necesaria y proporcionada a la gravedad de los hechos, ya que permite cumplir con
los objetivos de disuasión y cumplimiento que persigue el RGPD.

En cuanto al cálculo de la sanción, INFORMA argumenta que la AEPD ha tomado
como referencia el volumen de negocio anual de la compañía y ha aplicado el
porcentaje máximo permitido del 4%, lo que considera desproporcionado. No obstante,
este argumento parte de una interpretación errónea del artículo 83.5 del RGPD. Dicho
precepto establece que las infracciones graves pueden sancionarse con hasta 20
millones de euros o, en el caso de empresas, con una cuantía equivalente al 4% del
volumen de negocio total anual del ejercicio financiero anterior, optándose por la
mayor de estas cuantías. Este límite no se aplica al conjunto de las infracciones de
manera global, sino que es un umbral individual para cada infracción. En este caso, la
AEPD ha actuado dentro del margen de discrecionalidad que le otorga la norma,
determinando una sanción que se encuentra plenamente justificada en función de la
gravedad de la conducta y del impacto que esta ha tenido en los derechos de los
interesados.

Por otro lado, INFORMA alega que la AEPD no ha valorado adecuadamente ciertas
circunstancias atenuantes, como la ausencia de infracciones previas, el hecho de que
los datos tratados no sean especialmente sensibles y la colaboración con la autoridad
de control. Si bien es cierto que estas circunstancias pueden ser tenidas en cuenta
para la graduación de la sanción, ello no significa que puedan ser consideradas como
atenuantes. En este caso, la existencia de atenuantes no puede desvirtuar el hecho de
que las infracciones cometidas afectan a principios esenciales del RGPD y tienen un
impacto directo en los derechos de los interesados.

En particular, el argumento de que el tratamiento de los datos no sensibles debería
servir para reducir la sanción no es sostenible. La protección de los datos personales
no se limita a categorías especiales de datos del artículo 9 del RGPD, sino que abarca
toda la información personal que pueda identificar a los interesados. Además, en este
caso se tratan datos como el NIF, que es un dato de especial sensibilidad debido a su
carácter identificativo y su posible uso en contextos de fraude o suplantación de
identidad. El hecho de que no se traten datos especialmente protegidos no excluye la
obligación de garantizar la licitud del tratamiento y de informar a los interesados sobre
el uso de su información personal.

Asimismo, la colaboración con la AEPD, aunque valorable, no exonera a INFORMA de
su responsabilidad ni justifica una reducción automática de la sanción. La diligencia en
la cooperación con la autoridad de control es una obligación inherente a cualquier

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/108

responsable del tratamiento y no puede considerarse como una circunstancia
excepcional que justifique una reducción sustancial de la sanción impuesta.

En cuanto a la ausencia de infracciones previas, el art. 83.2 e) del RGPD se refiere a
“toda infracción anterior cometida por el responsable o el encargado del tratamiento”,
por tanto, esta circunstancia está haciendo referencia a las infracciones anteriormente
cometidas por el responsable y no a la ausencia de ellas.

Por último, el argumento de que la participación de INFORMA en iniciativas como la
elaboración de un Código de Conducta debería ser considerada un atenuante tampoco
es válido. Si bien la adhesión a códigos de conducta es una circunstancia que puede
ser valorada, en este caso no resulta de aplicación esta circunstancia por cuanto el
código no ha sido aprobado, La participación en la elaboración de un Código de
Conducta no puede ser utilizada como justificación para no cumplir con las
obligaciones del RGPD ni para solicitar una reducción de la sanción cuando se han
vulnerado principios esenciales de la normativa de protección de datos.

En definitiva, la sanción impuesta a INFORMA no es desproporcionada, sino que
responde a la gravedad de los hechos constatados y a la necesidad de garantizar el
cumplimiento efectivo del RGPD. La interpretación que INFORMA pretende hacer del
principio de proporcionalidad no puede servir para cuestionar la legitimidad de la
sanción cuando esta se ha determinado conforme a los criterios legales establecidos y
en función del impacto de las infracciones en los derechos de los interesados.

VI
Contestación a las alegaciones formuladas frente a la propuesta de resolución

PRIMERA. - RESUMEN DE LOS HECHOS

INFORMA sostiene que el tratamiento de datos personales de empresarios
individuales que realiza se encuentra amparado en el artículo 6.1.f) del RGPD y en el
artículo 19 de la LOPDGDD, al tratarse —según afirma— de datos necesarios para la
localización profesional y obtenidos de fuentes accesibles al público. Sin embargo,
esta interpretación obvia que la información utilizada no fue recabada de forma directa
de fuentes abiertas, sino cedida por CAMERDATA en virtud de un contrato en el que
se hace constar que los datos proceden del censo público de empresas elaborado por
la Cámara de Comercio de España conforme al artículo 8 de la Ley 4/2014.

Dicho artículo establece expresamente que los datos suministrados por las
Administraciones públicas para la elaboración del censo deben usarse únicamente
para los fines previstos en la norma: la elaboración del censo público y del censo
electoral, así como para el cumplimiento de las funciones público-administrativas
asignadas a las Cámaras. Por tanto, la reutilización de estos datos con una finalidad
distinta, como su explotación comercial por parte de terceros, requiere una base
jurídica autónoma que no puede descansar en una presunción general de interés
legítimo, pues existe una norma que restringe de forma clara y específica el uso
permitido de los datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/108

Además, no cabe invocar el artículo 19 de la LOPDGDD cuando el tratamiento no se
limita a datos y a fines de contacto profesional individualizados, sino que los datos son
objeto de cesión sistemática a múltiples terceros para fines comerciales amplios y no
determinados. Esta presunción tampoco puede operar cuando existe una norma con
rango de ley, como es el caso de la Ley 4/2014, de 1 de abril, Básica de las Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación, que establece expresamente
las finalidades específicas para las que puede utilizarse la información del censo
público de empresas. En particular, el artículo 8 de dicha Ley limita el uso de la
información obtenida por las Cámaras a la elaboración del censo público y del censo
electoral, así como al cumplimiento de las funciones público-administrativas
legalmente atribuidas. Esta delimitación legal excluye otros usos ajenos a esos fines,
como la comercialización sistemática de los datos o su cesión para fines de marketing
por parte de entidades privadas.

Respecto a la alegada aplicación del artículo 14.5.b) del RGPD, tampoco resulta válida
en este caso. El esfuerzo desproporcionado debe justificarse de forma específica y
con pruebas suficientes, no basarse únicamente en el número de afectados. El RGPD
exige que, en tales casos, se adopten medidas efectivas para garantizar que los
interesados conozcan el tratamiento, lo cual no se satisface simplemente con una
mera publicación genérica de la política de privacidad en la web. No consta que
INFORMA haya habilitado mecanismos accesibles y efectivos para que los
empresarios individuales puedan conocer que se está realizando un tratamiento con
sus datos, sus finalidades y la posibilidad de ejercer sus derechos. INFORMA no ha
informado proactivamente a los empresarios sobre la procedencia de sus datos, las
categorías de datos utilizadas y las finalidades del tratamiento, como exige el art. 14
del RGPD.

En consecuencia, el tratamiento descrito no puede considerarse amparado por una
base jurídica válida, y no concurren las condiciones exigidas para invocar ni el artículo
19 de la LOPDGDD ni la excepción del artículo 14.5.b) del RGPD, sin que la
naturaleza pública del censo pueda justificar su explotación indiscriminada para fines
distintos de los previstos legalmente. Sin olvidar que el fichero de Camerdata contiene
más datos de los que integran el censo que hace público CDE en su página web,
como el NIF de los empresarios individuales que no es público.

SEGUNDA. – DE LA EXISTENCIA DE CONCURSO MEDIAL ENTRE LA
TOTALIDAD DE LAS INFRACCIONES A LAS QUE SE REFIERE LA PROPUESTA
DE RESOLUCIÓN

INFORMA sostiene que la AEPD no debería imponer dos sanciones independientes
por la presunta infracción del artículo 6.1 y del artículo 14 del RGPD, al considerar que
existe entre ambas un concurso medial. Sin embargo, esta alegación no puede
prosperar, ni jurídica ni fácticamente, por las siguientes razones:

En primer lugar, el artículo 6.1 del RGPD establece las bases jurídicas del tratamiento.
Si un tratamiento de datos personales se realiza sin base legítima, el tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/108

completo resulta ilícito. Por su parte, el artículo 14 RGPD recoge una obligación
independiente del responsable: la de proporcionar al interesado, cuando los datos no
han sido obtenidos directamente de él, una información detallada sobre el tratamiento.
Por tanto, se trata de obligaciones autónomas, con presupuestos distintos, y su
infracción no es consecuencia automática ni necesaria de la otra.

Por otro lado, el argumento de INFORMA se basa en una interpretación errónea del
principio de concurso medial. Para que este concurra debe existir una relación de
necesidad entre las infracciones: que una no pueda cometerse sin cometer la otra. No
es este el caso. Es perfectamente posible infringir el deber de información del artículo
14 aun existiendo una base de legitimación válida (por ejemplo, el interés legítimo). Y
también es posible infringir el artículo 6.1 aun habiendo informado al interesado, si el
tratamiento carece de una base jurídica adecuada.

De igual forma, la propuesta de sanción individualizada por parte de la AEPD responde
al hecho de que cada infracción tiene un impacto y un reproche jurídico distintos: la
infracción del artículo 6.1 afecta a la licitud del tratamiento en sí, y la del artículo 14, a
la transparencia y los derechos de los interesados. Pretender que la falta de
legitimación invalida toda obligación adicional como el deber de informar supone un
vaciamiento del principio de transparencia, que no puede aceptarse, ya que este deber
tiene valor autónomo y su incumplimiento genera un perjuicio independiente.

Por último, la jurisprudencia citada por INFORMA exige una conexión de necesidad
entre los hechos sancionables, no una simple vinculación fáctica. En este caso, la
omisión de información no es condición necesaria para la ilicitud del tratamiento, ni
viceversa. De hecho, la AEPD podría haber detectado una infracción del artículo 14
incluso si hubiera estimado que el interés legítimo estaba suficientemente ponderado.

Por tanto, no concurre concurso medial entre las infracciones imputadas. Se trata de
dos vulneraciones distintas y autónomas, que afectan a principios diferentes del RGPD
—la licitud y la transparencia—, y cuya concurrencia justifica la imposición de
sanciones separadas conforme al artículo 83 del RGPD.

TERCERA. –SOBRE LA SUPUESTA OMISIÓN DE LOS PRINCIPIOS DE BUENA FE
Y CONFIANZA LEGÍTIMA

No puede prosperar la alegación relativa a la vulneración de los principios de buena fe
y confianza legítima por parte de la AEPD, en tanto que el principio de confianza
legítima no ampara prácticas que resulten contrarias al ordenamiento jurídico, ni puede
esgrimirse para perpetuar una interpretación inadecuada o incompleta de la normativa
de protección de datos.

En este sentido, la reiteración de un tratamiento de datos durante años no convierte
automáticamente dicho tratamiento en lícito si, tras un análisis más profundo y
actualizado del marco normativo —particularmente tras la plena aplicación del RGPD
— se constata que dicho tratamiento no se ajusta a los principios de licitud,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/108

transparencia y minimización exigidos. La propia jurisprudencia del Tribunal Supremo
(STS 1263/2024) citada por la parte reclamante admite que la AEPD puede precisar el
alcance de sus exigencias en función de las circunstancias y evolución normativa, sin
que ello implique la creación de una situación jurídica consolidada ni genere un
derecho adquirido a favor del responsable.

Asimismo, resulta desacertado invocar resoluciones anteriores donde la Agencia no
cuestionó el tratamiento de datos por parte de INFORMA, ya que estas se referían a
supuestos concretos con un marco fáctico distinto, y en ningún caso implicaban un
pronunciamiento general y vinculante sobre la licitud de los tratamientos actuales. La
existencia de procedimientos previos donde no se apreciaron infracciones no
constituye una convalidación automática de carácter general de los tratamientos
realizados por INFORMA, ni impide que la Agencia revise con mayor profundidad, y
con base en nueva información o contexto, el cumplimiento del RGPD. Como así lo ha
reconocido la Audiencia Nacional, al declarar en su sentencia, de 25 de febrero de
2025, Rec. 1771/2022 en un supuesto de disparidad que “los hechos son posteriores
por lo que la valoración realizada por la Agencia a la vista de la reclamación y de la
documentación aportada a ese expediente por la demandante pudo ser distinta, pues
no ha acreditado que esa documentación sea la misma en ambos casos, contradicción
que sí podría ser relevante”.

Por otro lado, el hecho de que la AEPD haya contratado productos del sector
infomediario no exonera a dichos proveedores del cumplimiento íntegro de la
normativa. La licitación de servicios no supone un aval legal ni una validación de todas
las actividades de tratamiento asociadas, máxime cuando la Agencia ha manifestado
no haber conocido en detalle el flujo completo de los datos ni la naturaleza del
consentimiento o base legitimadora utilizada. La contratación administrativa no puede
convertirse en garantía de licitud para fines distintos de los previstos.

En consecuencia, la actuación de la AEPD no resulta incoherente, arbitraria ni
contraria a Derecho, sino fruto del ejercicio legítimo de sus competencias de
supervisión, especialmente cuando se pone de manifiesto que el tratamiento de datos
personales realizado por INFORMA puede vulnerar los principios fundamentales del
RGPD. La actuación de la AEPD no constituye un acto ilegítimo, sino una valoración
fundada en la normativa vigente, que responde a la obligación de velar por los
derechos de los interesados y garantizar que los tratamientos se ajusten a los
principios de licitud, información adecuada, y minimización.

Por tanto, no concurren los requisitos jurisprudenciales para aplicar la doctrina de los
actos propios ni del principio de confianza legítima en el presente caso.

CUARTA.- COMPATIBILIDAD DE LOS FINES

La alegación cuarta parte de una premisa incorrecta y que conduce a un desenfoque
del objeto real del procedimiento sancionador. No se está cuestionando ni
sancionando el mero acceso al Censo Público de Empresas, como pretende hacer ver
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/108

la parte reclamada, ni el tratamiento de la información contenida en dicho censo por
terceros. Lo que se imputa es la incorporación y tratamiento de datos procedentes de
una cesión autorizada y expresamente limitada por norma legal, en este caso, la Ley
4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación para fines no previstos ni autorizados en la ley.

Cuando una norma con rango legal establece límites concretos al uso de determinada
información, dichos límites excluyen cualquier intento de justificar un tratamiento
incompatible sobre la base de un interés legítimo. En este caso, el mandato legal
prohíbe el uso de los datos para fines incompatibles de los legalmente previstos y
exige un deber de sigilo estricto, lo que excluye por completo la posibilidad de que
puedan ser tratados posteriormente por entidades privadas con fines comerciales y de
marketing. Este marco jurídico no puede ser desplazado por una ponderación de
intereses ni por la invocación de expectativas razonables, pues lo contrario supondría
vaciar de contenido la eficacia de la norma restrictiva.

Además, no cabe alegar que la finalidad del tratamiento es compatible con la finalidad
inicial por el mero hecho de que ambas estén orientadas al tráfico mercantil. La
finalidad originaria es pública, limitada y regida por la ley; la finalidad ulterior es
privada, generalizada y lucrativa. Entre ambas no solo no hay continuidad funcional,
sino una ruptura evidente, acentuada por el hecho de que el tratamiento se materializa
en cesiones múltiples a terceros con fines económicos. Esta circunstancia, unida a la
inclusión sistemática del NIF como dato clave de identificación, agrava los riesgos para
los derechos de los interesados, haciendo imposible aceptar que el tratamiento sea
legítimo por razón de compatibilidad de fines.

En este sentido, la jurisprudencia del Tribunal de Justicia de la Unión Europea, y en
particular su sentencia de 24 de febrero de 2022 en el asunto C-175/20, avala que el
RGPD no impide que el legislador nacional establezca límites a determinados
tratamientos de datos, siempre que tales límites sean claros, previsibles y orientados a
una finalidad legítima. Esta doctrina resulta plenamente aplicable al presente caso, en
el que la ley española establece un marco claro y preciso que excluye la posibilidad de
tratamiento ulterior por parte de entidades privadas con fines ajenos a los
expresamente habilitados.

Por tanto, no resulta procedente evaluar la compatibilidad de finalidades desde la
lógica del artículo 6.4 del RGPD, ni siquiera valorar el interés legítimo de la parte
reclamada, puesto que el tratamiento se encuentra en origen viciado por contravenir
una norma legal que prohíbe su cesión o uso para finalidades distintas

En definitiva, la sanción no se impone por acceder al censo público, sino por haber
tratado datos cuya circulación ulterior estaba expresamente prohibida por la ley. Este
incumplimiento no puede ser subsanado ni justificado mediante una reinterpretación
de la compatibilidad de fines ni por la invocación del interés legítimo, que cede ante
una norma legal clara, precisa y restrictiva. La norma no deja lugar a dudas: los datos
cedidos por la AEAT tienen una finalidad cerrada y un destino legalmente acotado, y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/108

cualquier desviación respecto a ello, como la aquí examinada, constituye una
infracción del principio de licitud.

QUINTA. – OBLIGACIÓN INCUMPLIDA DEL ARTÍCULO 6.1. LICITUD DEL
TRATAMIENTO.

La argumentación de la parte reclamada parte de nuevo de una premisa errónea al
pretender que el tratamiento llevado a cabo se encuentra amparado por el interés
legítimo del artículo 6.1 f) del RGPD, reforzado por la presunción prevista en el artículo
19.2 de la LOPDGDD. Sin embargo, este enfoque ignora por completo que dicha
presunción opera exclusivamente en contextos en los que el tratamiento es lícito en su
origen, lo que no ocurre en este caso, ya que los datos que dan lugar al tratamiento no
provienen de una fuente pública abierta, sino de una cesión legalmente limitada por
una norma con rango de ley.

La licitud del tratamiento no puede construirse sobre una base viciada de origen.
Como se ha indicado anteriormente, el interés legítimo no puede prevalecer cuando
una norma sectorial impone límites o prohíbe directamente el tratamiento de ciertos
datos personales. En este caso, la Ley 4/2014 establece expresamente que los datos
tributarios facilitados por la AEAT a las Cámaras solo pueden ser utilizados en el
marco de sus funciones públicas, excluyendo cualquier cesión posterior a terceros
para fines comerciales. Por tanto, la invocación del interés legítimo resulta
improcedente desde el momento en que se parte de una cesión prohibida por una
norma legal clara.

La referencia al procedimiento sancionador contra Emerita Legal no es extrapolable.
En aquel supuesto, los datos tratados eran públicamente accesibles (sentencias
judiciales), y no había una norma que limitara expresamente su tratamiento posterior.
En el presente procedimiento nos encontramos ante una reutilización masiva de datos
personales procedentes de una cesión restringida, con fines exclusivamente
mercantiles y lucrativos.

Tampoco resultan comparables los tratamientos que se realizan sobre plataformas de
información mercantil, ya que estas operan con datos provenientes de registros
públicos accesibles, como el Registro Mercantil o el Registro de Titularidades Reales
que tienen su propia normativa. En el caso que nos ocupa, la conducta infringida
deriva del tratamiento de datos en bruto que estaban sujetos a deberes de
confidencialidad. La comparación es, por tanto, artificiosa y no puede servir de base
para justificar el tratamiento que efectúa INFORMA.

Por otro lado, la alegación de confianza legítima no puede operar como eximente
cuando existe una norma legal clara que limita el uso de determinados datos. Ni la
eventual pasividad administrativa anterior ni la participación en procedimientos de
licitación pueden generar un derecho a persistir en un tratamiento contrario al marco
legal. El principio de seguridad jurídica protege expectativas razonables fundadas en la
legalidad, no en la alegada tolerancia de una práctica que vulnera una prohibición
expresa.

Finalmente, el argumento según el cual se ha realizado una ponderación adecuada
por parte de la entidad reclamada carece de eficacia jurídica cuando los datos objeto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/108

del tratamiento no debieron haber sido obtenidos en primer lugar. El análisis del triple
juicio de proporcionalidad solo puede desplegarse válidamente cuando el tratamiento
parte de una base legítima, lo que no ocurre aquí. La incorporación sistemática del
NIF, identificador fiscal que además coincide con el DNI de las personas físicas,
introduce un riesgo significativo para los derechos de los interesados, más aún cuando
se utiliza como clave de consulta en bases de datos de uso comercial sin el
conocimiento ni el consentimiento de los afectados.

En consecuencia, la licitud del tratamiento no puede sustentarse en el interés legítimo
en este caso, dado que este no puede prevalecer sobre una limitación legal expresa.
La norma nacional no permite justificar el tratamiento que se está efectuando, y ningún
ejercicio de ponderación posterior puede legitimar una actuación que ya es contraria al
marco normativo desde su origen.

SEXTA.– ARTÍCULO 14 DEL RGPD (DEBER DE INFORMACIÓN):

La alegación formulada por la parte reclamada sobre el cumplimiento del artículo 14
del RGPD invocando la excepción del artículo 14.5.b) por esfuerzo desproporcionado,
no resulta aceptable.
En primer lugar, porque para poder acogerse a esta excepción el responsable debe
sopesar el esfuerzo que implica para él facilitar la información al interesado y los
efectos y la repercusión de que supone para el interesado no recibir esta información.
Además, no consta que en este caso se haya realizado tal evaluación el responsable
deberá documentar esta evaluación. Sin embargo, tal evaluación no se ha realizado en
este caso.

Y en segundo lugar, porque el responsable puede sustituir la comunicación directa por
la publicación de la información en una web, pero además de hacer pública la
información deberá adoptar las medidas adecuadas que se deriven de las concretas
circunstancias del tratamiento. Sin embargo, la medida adoptada en este caso ha
consistido exclusivamente en publicar una política de privacidad en una página web
que no contiene la información que exige el art. 14 del RGPD, por lo que no puede
considerarse una medida adecuada para dar cumplimiento a lo dispuesto en el art. 14.

En este sentido, indican las Directrices sobre transparencia en virtud del Reglamento
2016/679 (wp260rev.01) del antiguo GT29, adoptadas por el CEPD, lo siguiente:

“64. Cuando un responsable del tratamiento pretenda acogerse a la excepción
contemplada en el artículo 14, apartado 5, letra b), aduciendo que facilitar la
información supondría un esfuerzo desproporcionado, este debe sopesar el
esfuerzo que implica para él facilitar la información al interesado y los efectos y
la repercusión de no recibir la información para el interesado. El responsable
del tratamiento debe documentar esta evaluación de conformidad con sus
obligaciones de responsabilidad proactiva. En tal caso, el artículo 14, apartado
5, letra b), especifica que el responsable del tratamiento debe adoptar medidas
adecuadas para proteger los derechos, libertades e intereses legítimos del
interesado. Esto se aplica igualmente cuando un responsable determina que
resulta imposible facilitar la información o que hacerlo podría imposibilitar u
obstaculizar gravemente el logro de los objetivos del tratamiento. Una medida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/108

adecuada, tal como se especifica en el artículo 14, apartado 5, letra b), que los
responsables siempre deben adoptar es hacer pública la información. Los
responsables pueden hacerlo de varias formas, por ejemplo publicando la
información en su sitio web, o anunciando proactivamente la información en un
periódico o en carteles en sus instalaciones. Además de hacer pública la
información, el resto de medidas adecuadas dependerá de las circunstancias
del tratamiento, pero estas pueden ser: llevar a cabo una evaluación de
impacto relativa a la protección de datos; aplicar técnicas de seudonimización a
los datos; minimizar los datos recogidos y el periodo de almacenamiento; y
aplicar medidas técnicas y organizativas para garantizar un nivel elevado de
seguridad. Por otro lado, pueden darse situaciones en las que el responsable
esté tratando datos personales sin que sea necesario identificar a los
interesados (por ejemplo, con datos seudonimizados). En tales cases, el
artículo 11, apartado 1, también puede ser pertinente, ya que dispone que un
responsable de datos no estará obligado a mantener, obtener o tratar
información adicional con vistas a identificar al interesado con la única finalidad
de cumplir el RGPD.”

En definitiva, la alegación presentada no acredita con el debido rigor que concurran los
requisitos legales para aplicar la excepción del artículo 14.5.b) del RGPD, ni que las
medidas adoptadas sean adecuadas para cumplir con el deber de información. La
actuación de la infomediaria, por tanto, supone una vulneración clara del artículo 14, al
haberse tratado datos personales de miles de personas sin que estas hayan sido
informadas de manera efectiva y completa del tratamiento de sus datos personales, ni
de su procedencia, ni de sus derecho.

VII
Obligación incumplida del artículo 6.1 del RGPD

El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/108

e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

El principio de licitud representa uno de los pilares fundamentales sobre los que se
asienta el Reglamento General de Protección de Datos (RGPD). La relevancia de este
principio radica, entre otros aspectos, en el papel esencial en la construcción de una
relación de confianza entre las distintas personas y entidades que tratan datos
personales y los individuos titulares de dichos datos.

La licitud en el tratamiento de los datos personales garantiza que toda actividad de
tratamiento se realice dentro del marco legal establecido, respetando los derechos de
los titulares de los datos y cumpliendo con las obligaciones legales. Este principio
actúa, por tanto, como un escudo protector de los derechos fundamentales de las
personas, garantizando que sus datos personales no sean utilizados de manera
indebida.

En la práctica, el principio de licitud obliga a los responsables y encargados del
tratamiento de datos a identificar una base legal válida antes de proceder con
cualquier actividad de tratamiento. Esta base legal se determina por el citado artículo
6.1 que establece de forma concreta y exhaustiva las condiciones para considerar un
determinado tratamiento lícito. Estas condiciones incluyen el consentimiento del
interesado, la necesidad del tratamiento para la ejecución de un contrato en el que el
interesado es parte, el cumplimiento de una obligación legal, la protección de intereses
vitales, la ejecución de una misión realizada en interés público o el ejercicio de
poderes públicos, y la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre estos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado
que requieran la protección de datos personales.

En el caso que nos ocupa, no se desprende la concurrencia de ninguna de las
condiciones enumeradas por el citado artículo 6.1 RGPD en el tratamiento realizado
por INFORMA respecto a los datos personales obtenidos a través del contrato de
cesión formalizado con CAMERDATA. Como se indica en el citado documento
contractual, la finalidad de dicho tratamiento por INFORMA consiste en enriquecer su
fichero para acciones de marketing promocional y proveer información empresarial y
comercial a sus clientes a través de su sitio web.

Así, en primer lugar, no existe un consentimiento de los titulares de los datos
(empresarios individuales cuyos datos fueron cedidos por CAMERDATA) para el
tratamiento de sus datos personales con fines de marketing promocional o cualquier
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/108

otro propósito no directamente relacionado con la finalidad para la cual se recopilaron
los datos, por lo que no puede considerarse el consentimiento de los titulares como
base legal para realizar el citado tratamiento.

De la misma forma, el uso de los datos personales para enriquecer ficheros de
marketing y para fines promocionales por parte de INFORMA no se encuadra den
ninguna d las obligaciones contractuales que hayan asumido los titulares de los datos
ni responde a una obligación legal específica que justifique dicho tratamiento. Tal
consideración se deduce claramente al no existir relación contractual alguna entre
INFORMA y los titulares de los datos personales afectados, puesto que dichos datos
fueron cedidos por CAMERDATA, en los términos anteriormente expuestos.

Finalmente por lo que se refiere a un presunto interés legítimo, debemos de señalar
que lo intereses legítimos que concurren en el tratamiento de datos de empresarios
individuales por entidades infomediarias son múltiples y convergentes. Por un lado,
destaca el interés económico propio de estas entidades, cuya actividad empresarial se
basa en generar y comercializar información estructurada sobre actividades
económicas desarrolladas por personas físicas, en respuesta a una demanda
constante del mercado. A ello se suma un interés instrumental general: facilitar el
acceso a información verificable permite a múltiples actores —empresas,
administraciones o profesionales— valorar la existencia y fiabilidad de una actividad
antes de contratar, mitigando riesgos y garantizando la seguridad en el tráfico
mercantil.
Asimismo, existe un interés legítimo en quienes necesitan confirmar que una persona
actúa como profesional o empresario, en el marco de exigencias propias de la
contratación pública, el cumplimiento normativo o la financiación. No puede
descartarse, además, el interés del propio empresario que, al figurar en bases de
datos de actividad profesional, puede aumentar su visibilidad y facilitar su
posicionamiento económico. Finalmente, el ordenamiento jurídico reconoce
expresamente, en el artículo 19 de la LOPDGDD, el interés legítimo en tratar datos de
localización profesional de empresarios individuales, cuando ello se limite a su
condición profesional y permita asegurar relaciones económicas y jurídicas con
terceros.
Ahora bien, y en cualquier caso, no puede pasarse por alto una cuestión esencial de
contexto normativo: el legislador español, a diferencia de otros ordenamientos jurídicos
europeos, no ha optado por establecer un marco legal específico que regule
expresamente la publicidad o el acceso generalizado a las bases de datos que
contienen información sobre empresarios individuales.

Pese a la relevancia funcional, económica y social de este ecosistema de información
empresarial, y a la constatación de que existe una demanda sostenida de este tipo de
servicios (tanto por parte de actores privados como de organismos públicos que
requieren verificar la existencia y la solvencia de actividades económicas), la
normativa española no ha articulado un régimen jurídico que, con carácter general,
permita la recogida, tratamiento, cesión y reutilización de estos datos con finalidades
amplias o comerciales, ni siquiera cuando tales finalidades puedan estar inspiradas en
intereses legítimos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/108

El legislador habría podido, legítimamente, establecer un sistema legal que
reconociera un acceso público estructurado a esta información, acompañado de
garantías adecuadas en materia de transparencia, seguridad, supervisión, trazabilidad
y control. Un modelo así podría haber delimitado claramente qué datos pueden
tratarse, en qué condiciones, con qué límites y con qué derechos de oposición o
exclusión para los interesados. No obstante, no se ha hecho. La ausencia de este
marco normativo impide presumir la licitud de tratamientos generalizados de esta
naturaleza, por muy extendidos que estén en la práctica empresarial.

En consecuencia, y ante la falta de una previsión legal que habilite expresamente
estos usos, sólo cabe acudir, caso por caso,a las posibilidades que ofrece el
ordenamiento jurídico vigente, principalmente el RGPD y la LOPDGDD. Esto significa
que cualquier tratamiento que pretenda apoyarse en el interés legítimo deberá
someterse a una evaluación individualizada y restrictiva, documentando
adecuadamente la necesidad, idoneidad y proporcionalidad del tratamiento, y
ponderando con rigor los intereses del responsable frente a los derechos y libertades
del interesado.
En el caso que nos ocupa, tal y como resulta de las actuaciones de investigación, los
datos personales que fueron cedidos por CAMERDATA se obtuvieron a través de las
Cámaras que a su vez obtuvieron de la AEAT. La finalidad de dicha información está
expresamente recogida por el artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las
Cámaras Oficiales de Comercio, Industria, Servicios y Navegación, la cual se limita a
la elaboración del censo público. el cumplimiento de las funciones público-
administrativas y la elaboración del censo electoral:

Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación elaborarán un
censo público de empresas del que formarán parte las personas físicas o jurídicas,
nacionales o extranjeras, que ejerzan las actividades comerciales, industriales, de
servicios y navieras en territorio nacional, para cuya elaboración contarán con la
colaboración de la administración tributaria competente así como de otras
administraciones que aporten la información necesaria, garantizando, en todo caso, la
confidencialidad en el tratamiento y el uso exclusivo de dicha información.

Para la elaboración del censo público de empresas las administraciones tributarias
facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y Navegación de
España y a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación los
datos del Impuesto sobre Actividades Económicas y los censales de las empresas que
sean necesarios. Únicamente tendrán acceso a la información facilitada por la
administración tributaria los empleados de cada Cámara que determine el pleno.

Esta información se empleará para la elaboración del censo público de empresas,
para el cumplimiento de las funciones público-administrativas que la presente Ley
atribuye a las Cámaras así como para la elaboración del censo electoral a que se
hace referencia en el artículo 17 de la misma.

Dicho personal tendrá, con referencia a los indicados datos, el mismo deber de sigilo
que los funcionarios de la administración tributaria. El incumplimiento de este deber
constituirá, en todo caso, infracción muy grave de conformidad con su régimen
disciplinario.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/108

El mencionado artículo especifica que la información recopilada tiene un propósito
claramente definido, que es facilitar la elaboración de un censo público de empresas,
cumplir con funciones públicas administrativas y la elaboración del censo electoral.
Este enfoque limitado tiene precisamente como objetivo proteger la información
personal y empresarial de usos no autorizados, asegurando que no se utilice de forma
indiscriminada en otros fines de los específicos para los que fueron recogidos.

Conviene recordar que el interés legítimo, previsto en el artículo 6.1.f) del RGPD,
constituye una base legal autónoma para el tratamiento de datos personales, que no
requiere, para su aplicación, la existencia de una “presunción normativa” por parte del
Derecho nacional. Así lo ha afirmado expresamente CEPD y ha sido igualmente
reconocido por la Agencia Española de Protección de Datos en múltiples
pronunciamientos. En este sentido, la ausencia de una norma que reconozca o
presuma ex lege el interés legítimo no excluye, por sí misma, la posibilidad de que
dicho interés pueda operar válidamente como base de legitimación. El RGPD no
condiciona su aplicación a una habilitación nacional previa, a diferencia de otras bases
jurídicas. Ahora bien, la falta de una presunción normativa impone al responsable del
tratamiento una carga argumental más intensa y una mayor diligencia en la aplicación
del principio de responsabilidad proactiva. Esto implica que el responsable debe llevar
a cabo un análisis detallado que justifique no solo la legitimidad del interés perseguido,
sino también la necesidad del tratamiento para alcanzar ese fin, y, especialmente, la
prevalencia efectiva de dicho interés frente a los derechos y libertades fundamentales
del interesado. Este análisis debe estar debidamente documentado y actualizado,
debiendo contemplar el tipo de datos tratados, el contexto del tratamiento, las
expectativas razonables de los interesados y la existencia de medidas atenuantes que
reduzcan el posible impacto.

La exigencia de esta evaluación se ve reforzada en aquellos casos en los que existe
una normativa sectorial que establece finalidades específicas y limitadas para los
datos tratados, como sucede en el presente caso con el artículo 8 de la Ley 4/2014.
Cuando una norma delimita con claridad las finalidades del tratamiento y restringe su
uso a determinados sujetos o funciones (como ocurre con los datos facilitados por la
AEAT a las Cámaras para la elaboración del censo público), no basta con que el
interés del responsable sea funcional o razonable; se requiere además una regulación
específica o, en su defecto, un conjunto de garantías reforzadas que legitimen y
encaucen dicho tratamiento.

Existen, además, situaciones híbridas, en las que se aprecia cierta afinidad normativa
con la base de interés legítimo, como puede suceder con preceptos de la LOPDGDD o
de leyes sectoriales (por ejemplo, la actividad de las Cámaras de Comercio), pero no
se cumplen todos los requisitos legales exigidos para presumir su licitud. En estos
casos, no procede rechazar de forma automática la existencia de interés legítimo, pero
sí resulta necesario tener en cuenta estas referencias legales como elementos
orientadores de la ponderación. Así, si bien no constituyen por sí solas una habilitación
suficiente, sí aportan criterios relevantes para evaluar el alcance del tratamiento, la
expectativa del interesado y la necesidad de reforzar las garantías.

Es importante, en todo caso, diferenciar claramente entre situaciones en las que no
existe una regulación específica y aquellas en las que existe una prohibición expresa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/108

del tratamiento. La falta de previsión normativa no equivale a una prohibición, pero la
existencia de una norma que limita el uso de los datos a fines concretos e impone un
deber de sigilo sí puede implicar una restricción incompatible con el interés legítimo.
Este matiz debe valorarse con especial atención en resoluciones administrativas y
judiciales, ya que no es lo mismo tratar datos en un vacío normativo que hacerlo en
contra de un marco legal que impone finalidades exclusivas y requisitos restrictivos.

Por último, cuanto más invasivo o intensivo sea el tratamiento de datos personales (ya
sea por la naturaleza de los datos, su volumen, la finalidad comercial, la elaboración
de perfiles o su comunicación a terceros), mayor será la exigencia de contar con una
base normativa complementaria o, al menos, con garantías reforzadas que refuercen
su licitud y legitimidad. En estos casos, no solo es recomendable, sino que puede
resultar necesario disponer de mecanismos normativos o contractuales que aporten
transparencia, trazabilidad y control sobre el uso de la información, minimizando así el
riesgo de vulneración de los derechos del interesado y asegurando el cumplimiento
efectivo de los principios del RGPD.

En el caso que nos ocupa, aunque el artículo 8 de la Ley 4/2014 no contiene una
prohibición expresa de usos ulteriores, sí delimita con claridad las finalidades
concretas para las cuales pueden emplearse los datos obtenidos por las Cámaras de
Comercio a través de las administraciones tributarias, restringiéndolos a la elaboración
del censo público de empresas, al cumplimiento de funciones público-administrativas
atribuidas por ley y a la elaboración del censo electoral. Esta finalidad tasada impone
un marco jurídico finalista que, aunque no excluye toda reutilización, sí condiciona su
licitud a que sea compatible con dichos fines. En el presente caso, los datos obtenidos
por las Cámaras se comunican a las infomediarias, a través de Camerdata para un
uso comercial se revela objetivamente incompatible con el espíritu, la letra y los
objetivos de la norma sectorial que ampara la recogida inicial de los datos.

Por último, el carácter intensivo e invasivo del tratamiento efectuado que incluye la
cesión y uso masivo de identificadores personales como el NIF, sin consentimiento,
con fines de explotación económica y sin conocimiento previo por parte de los
afectadosexige un umbral de legitimación particularmente elevado. En ausencia de
una base normativa que refuerce su licitud, y teniendo en cuenta que la finalidad del
tratamiento se aleja sustancialmente de la finalidad para la que los datos fueron
recabados en origen, el tratamiento no puede superar la prueba de ponderación
exigida por el artículo 6.1.f) del RGPD. La falta de compatibilidad entre la finalidad
legal prevista y la finalidad real del tratamiento, unida a la ausencia de garantías
adecuadas, impide considerar el tratamiento como lícito, incluso si formalmente no se
vulnera una prohibición expresa. La colisión con el marco legal finalista supone, en
términos materiales, una infracción del principio de licitud del tratamiento.

VIII
Tipificación y calificación de la infracción a efectos de prescripción

De conformidad con las evidencias de las que se dispone en el presente momento de
propuesta del procedimiento sancionador, deducidas de las actuaciones , se considera
que la parte reclamada ha incumplido el principio de licitud previsto en el artículo 6.1
del RGPD, en los términos anteriormente desarrollados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/108

En este sentido, los hechos conocidos podrían ser constitutivos de una infracción
tipificada en el artículo 83.5 a) del RGPD, que califica como tal la infracción de “los
principios básicos para el tratamiento, incluidas las condiciones para el consentimiento
a tenor de los artículos 5, 6, 7 y 9”.

De la misma forma, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

Esta infracción es sancionable, de acuerdo con el apartado 5 del mencionado artículo
83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.

Por lo que se refiere al plazo de prescripción de la mencionada infracción, viene
determinada por la ya mencionada LOPDGDD, cuyo artículo 72.1 establece de forma
expresa que “En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”

IX
Sanción

A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/108

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

De la misma forma el artículo 76 de la LOPDGDD establece que de acuerdo a lo
“previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse
en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En relación con los hechos expuestos, se tienen en cuenta los siguientes factores que
reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de la entidad
infractora:

- Artículo 83. 2 a) del RGPD “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de
tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido;”

En este caso, existe un elevado número de interesados que no pueden esperar que
sus datos personales serán objeto de tratamiento para satisfacer los intereses
comerciales de terceros. Además, el tratamiento de los datos ha tenido una duración
prolongada sin que exista una base legal adecuada. El elevado número de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/108

tratamientos y el factor de duración, por un lado, amplifica el alcance del posible
impacto sobre los derechos y libertades de los titulares de los datos y, por otro lado,
refleja una falta de medidas correctivas o de supervisión por parte de INFORMA a lo
largo del tiempo, lo cual hace especialmente grave esta infracción.

- Artículo 83. 2 del RGPD “b) la intencionalidad o negligencia en la infracción;”

En el caso presente, no concurre una conducta dolosa ni puede apreciarse una
intencionalidad directa en la infracción cometida, ya que el tratamiento de datos
llevado a cabo por INFORMA se apoya en una interpretación, aunque errónea, de la
licitud del tratamiento basada en la cesión formalizada por CAMERDATA y en el interés
legítimo como posible base de legitimación. Tampoco se advierte una negligencia
grave en su conducta, en tanto que no se trata de una actuación manifiestamente
temeraria ni al margen de toda consideración jurídica.

No obstante, sí puede apreciarse la existencia de cierto grado de negligencia por parte
de INFORMA, al no haber realizado una ponderación suficiente ni haber acreditado el
cumplimiento de los requisitos exigidos para que el interés legítimo pudiera operar
válidamente como base de tratamiento, conforme al artículo 6.1.f) del RGPD, en
consonancia con el principio de responsabilidad proactiva.

Esta omisión, aunque reprochable, no alcanza un nivel de gravedad que justifique la
imposición de la sanción elevada, y por ello la existencia de una negligencia no grave
debió ser valorada como elemento atenuante en la propuesta de resolución. Es por
ello que en la presente resolución ha sido tenida en cuenta en el análisis de la
graduación de la sanción de conformidad al principio de proporcionalidad que debe
regir cualquier resolución sancionadora.

Se tiene también en cuenta la siguiente circunstancia como agravante

- Artículo 76.2 b) de la LOPDGDD “La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales.

La vinculación de la actividad de INFORMA con la realización de tratamientos de datos
personales actúa como una agravante en la infracción debido a la naturaleza principal
de la gestión de datos dentro de sus operaciones. Dado que el tratamiento de datos
personales no es una actividad accesoria, sino un elemento fundamental de su modelo
de negocio resulta exigible un mayor nivel de cumplimiento con el RGPD y, del mismo
modo, su incumplimiento agrava la conducta del tipo infractor.

De acuerdo con los preceptos transcritos, o, a efectos de fijar el importe de la sanción
de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a)
y artículo 6.1 del RGPD de la que se responsabiliza a INFORMA, l, se considera
adecuado imponer una sanción de 900.000,00 € (NOVECIENTOS MIL EUROS)

X
Obligación incumplida del artículo 14 del RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/108

El artículo 14 del RGPD establece la información que deberá facilitarse cuando los
datos personales no se hayan obtenido del interesado:

1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable
del tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales, así como la
base jurídica del tratamiento;

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;

f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o
ausencia de una decisión de adecuación de la Comisión, o, en el caso de las
transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1,
párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los
medios para obtener una copia de estas o al lugar en que se hayan puesto a
disposición.

2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no
sea posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a
los datos personales relativos al interesado, y su rectificación o supresión, o la
limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la
portabilidad de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento
en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/108

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
3. El responsable del tratamiento facilitará la información indicada en los apartados
1 y 2:

a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las
que se traten dichos datos;

b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.

La obligación prevista en el mencionado artículo 14 del RGPD desempeña un papel
fundamental en el marco de la protección de datos personales en aquellos contextos
donde los datos personales no se obtienen directamente de los interesados. Esta
disposición garantiza la transparencia y el respeto por los derechos en dicho ámbito,
dos pilares esenciales sobre los que se construye la confianza entre los titulares de los
datos y las entidades que los tratan.

El mandato previsto en el artículo implica que el responsable del tratamiento debe
proporcionar a los interesados una serie de información relacionada con el tratamiento
de sus datos personales La importancia de cumplir con la obligación prevista en dicho
artículo radica en varios aspectos:

- Proporciona a los interesados una comprensión clara y completa de cómo se
están utilizando sus datos personales, lo cual resulta esencial para la
construcción de una relación basada en la confianza con las entidades que
manejan sus datos.
- Facilita y garantiza a sus titulares el ejercicio de sus derechos de protección de
datos, incluido el derecho de oposición al tratamiento, acceso, rectificación, y
supresión de sus datos personales, entre otros.
- Refuerza la legitimidad del tratamiento de datos personales al asegurar que se
realice dentro del marco legal establecido y de acuerdo con los principios del
RGPD.
- Ayuda a proteger a los individuos contra el uso indebido de sus datos
personales, asegurando que solo se utilicen para fines específicos, legítimos y
explícitamente informados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/108

- Ayuda a los responsables del tratamiento con el cumplimiento de la normativa
de protección de datos, evitando sanciones, así como daños a su reputación
que podrían derivarse del incumplimiento.

En el presente caso, tal y como resulta de los hechos probados INFORMA no ha
obtenido los datos personales directamente de los interesados, sino que dicha
información se adquirió través de un contrato de cesión formalizado con CAMERDATA.
Dicha circunstancia implica que el mencionado artículo 14 resulte plenamente
aplicable en este caso y, por tanto, sea exigible a INFORMA el cumplimiento de
facilitar la información prevista en dicho precepto a los interesados titulares de dichos
datos.

Tal y como alegaba INFORMA el mencionado artículo 14 del RGPD contempla una
seríe de excepciones a dicho deber de información entre los cuales se encuentra la
prevista en el apartado b) aplicable cuando “la comunicación de dicha información
resulte imposible o suponga un esfuerzo desproporcionado”, especialmente en
tratamientos con fines de archivo en interés público, fines científicos o históricos, o
fines estadísticos. siempre que se respeten las condiciones y garantías del artículo
89.1 del RGPD. Ahora bien, la mera concurrencia de un presunto esfuerzo
desproporcionado no exonera automáticamente del cumplimiento de la obligación de
información.

El propio artículo 14.5.b) del RGPD impone, en estos casos, que el responsable del
tratamiento adopte medidas adecuadas para proteger los derechos, libertades e
intereses legítimos de los interesados. Estas medidas sustitutorias no son opcionales,
sino obligatorias cuando no se realiza la comunicación individual, con el objetivo de
preservar el principio de transparencia y garantizar que los interesados tengan acceso
a la información esencial sobre el tratamiento de sus datos.

Sin embargo, INFORMA no ha acreditado haber adoptado medida alternativa alguna
que supla su falta de comunicación directa. En particular, la política de privacidad que
mantiene publicada en su sitio web se limita a reproducir los elementos exigidos por el
artículo 13 del RGPD, es decir, los previstos para los supuestos en que los datos se
recogen directamente del interesado, sin contemplar ni diferenciar la información
adicional que exige el artículo 14 para los casos de obtención indirecta.

Tampoco consta que haya realizado publicaciones específicas, campañas informativas
o cualquier otro mecanismo dirigido a informar a los afectados. Por tanto, en este caso
no puede considerarse cumplido el deber de información del artículo 14 del RGPD, ni
cabe entender justificada la excepción prevista en su apartado 5.b), lo que constituye
una vulneración del principio de transparencia y de la obligación de informar a los
interesados.

Esta carencia de información adecuada a los interesados pone de manifiesto una
notable omisión en tal obligación que el RGPD impone a los responsables del
tratamiento de datos personales.

El incumplimiento del deber de información implica que los interesados no hayan sido
informados sobre aspectos fundamentales del tratamiento de sus datos, tales como la
identidad y los datos de contacto de INFORMA como responsable del tratamiento, los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/108

fines específicos del tratamiento de sus datos personales, la base jurídica que legitima
dicho tratamiento, las categorías de datos personales implicadas, los posibles
destinatarios de sus datos, y, de ser aplicable, la intención de realizar transferencias
internacionales de datos.

De la misma forma, la falta de información a los interesados tiene como consecuencia
directa la imposibilidad de que estos puedan ejercer sus derechos respecto a dichos
datos. Debe de tenerse en cuenta que dicha información resulta esencial para que los
individuos puedan tomar decisiones informadas sobre sus datos personales y ejercer
sus derechos de manera efectiva.

Los derechos establecidos en el RGPD, entre los cuales se encuentra al derecho de
acceso, el derecho de rectificación, el derecho a la supresión, el derecho a la limitación
del tratamiento, el derecho de oposición, y el derecho a la portabilidad de los datos,
dependen en gran medida del conocimiento por parte de los interesados de que sus
datos están siendo tratados, quién los está tratando, y para qué fines. Así, de forma
concreta, en el caso que nos ocupa, los titulares de dichos datos personales:

- Se ven privados de la posibilidad de solicitar y recibir una confirmación de si
sus datos personales están siendo tratados o no, y de acceder a dichos datos.
- No pueden identificar ni corregir datos personales inexactos o incompletos que
les conciernan.
- No están en posición de solicitar la supresión de sus datos personales cuando
el tratamiento ya no es necesario, es ilegal, o han retirado su consentimiento.
- Les es imposible solicitar la limitación del tratamiento de sus datos en ciertas
circunstancias, como cuando la exactitud de los datos es impugnada.
- Se encuentran incapacitados para oponerse al tratamiento de sus datos
personales en situaciones específicas, incluyendo el procesamiento para fines
de marketing directo.
- No pueden solicitar la transferencia de sus datos personales a otro responsable
del tratamiento sin impedimentos.

Por lo expuesto, la falta de información a los titulares de los datos sobre el tratamiento
de sus datos personales constituye por parte de INFORMA la infracción de las
obligaciones estipuladas en el artículo 14 del RGPD. Conviene indicar que esta
infracción es significativa por sí misma, con independencia de que el tratamiento de los
datos por parte de INFORMA haya sido declarado como ilícito por la presente
autoridad. Incluso en situaciones donde el tratamiento de datos personales pueda
considerarse ilícito debido a la falta de una base legal adecuada al no ajustarse a las
bases legales requeridas por el artículo 6.1 del RGPD, el responsable del tratamiento
sigue estando obligado a cumplir con el principio de transparencia y, por ende, debe
informar a los interesados acerca del tratamiento de sus datos, incluida la información
del artículo 14 si dichos datos no fueron obtenidos directamente por los interesados,
como ocurre en el presente supuesto.

XI
Tipificación y calificación de la infracción a efectos de prescripción

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/108

De conformidad con las evidencias de las que se dispone en el presente momento de
propuesta de resolución del procedimiento sancionador, deducidas de las actuaciones
practicadas, se considera que la parte reclamada ha incumplido la obligación prevista
en el artículo 14 del RGPD, en los términos anteriormente desarrollados.

En este sentido, los hechos conocidos podrían ser constitutivos de una infracción
tipificada en el artículo 83.5 b) del RGPD, que califica como tal la infracción de “b) los
derechos de los interesados a tenor de los artículos 12 a 22:”

Esta infracción es sancionable, de acuerdo con el apartado 5 del mencionado artículo
83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.

Por lo que se refiere al plazo de prescripción de la mencionada infracción, viene
determinada por la ya mencionada LOPDGDD, cuyo artículo 72.1 establece de forma
expresa que “En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos
personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)
2016/679 y 12 de esta ley orgánica.”

XII
Sanción

De la misma forma que se indicó anteriormente, a fin de establecer la multa
administrativa que procede imponer han de observarse las previsiones contenidas en
los artículos 83.1 y 83.2 del RGPD. Así, en el presente caso, se tienen en cuenta las
siguientes circunstancias:

- Artículo 83. 2 a) del RGPD “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de
tratamiento de que se trate así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido;”

En el caso que nos ocupa, debe tenerse en cuenta que, aunque la alegación de
esfuerzo desproporcionado por parte de INFORMA no puede eximirle del cumplimiento
del deber de información previsto en el artículo 14 del RGPD (al no haberse acreditado
la adopción de medidas alternativas como exige el apartado 5.b)), dicha circunstancia
sí resulta relevante a efectos de graduación de la sanción conforme al artículo 83.2.a)
del RGPD. Dicho precepto establece que deben considerarse elementos como la
naturaleza, gravedad y duración de la infracción, así como el número de interesados
afectados y el alcance del tratamiento. En este sentido, la existencia de una carga
operativa elevada, derivada del volumen de datos tratados y de la dificultad de realizar
comunicaciones individualizadas, podría atenuar la valoración subjetiva de la
infracción, sin eliminarla, pero sí modulando su intensidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/108

Sin embargo, en la propuesta de resolución no se aprecia que dicha circunstancia
haya sido tomada en consideración en el análisis de los criterios de graduación, lo que
ha podido conducir a una valoración incompleta de la conducta del responsable. La
alegación de un esfuerzo desproporcionado, aunque insuficiente para justificar la
exención prevista en el artículo 14.5.b), debe valorarse como un factor a ponderar en
la determinación de la sanción, conforme al principio de proporcionalidad que rige el
régimen sancionador del RGPD. En consecuencia, resulta procedente tener en cuenta
esta circunstancia especialmente en lo relativo al alcance y a la ejecución material del
deber incumplido.

- Artículo 83. 2 b) del RGPD la intencionalidad o negligencia en la infracción;

La negligencia grave se manifiesta en la omisión total de informar a los interesados
acerca del tratamiento de sus datos personales cuando estos no se han obtenido
directamente de ellos. Dicha negligencia se considera, en primer lugar, porque
evidencia una falta de medidas internas y de conocimiento sobre los requisitos básicos
del RGPD, lo cual es esencial para cualquier entidad que trate datos personales, más
aún cuando dicha entidad se dedica intensivamente al tratamiento de estos. En
segundo lugar, esta omisión priva a los interesados de ejercer sus derechos
fundamentales bajo el RGPD, como el derecho a la información, el acceso, la
rectificación y la supresión de datos, así como el derecho a oponerse al tratamiento de
sus datos personales.

- Artículo 76.2 b) de la LOPDGDD La vinculación de la actividad del infractor con
la realización de tratamientos de datos personales.

Dado que el núcleo de las operaciones de INFORMA se basa en el tratamiento,
análisis y comercialización de datos personales, implica que a diferencia de otras
entidades que pueden tratar datos personales de manera ocasional o secundaria,
posee una mayor responsabilidad de asegurar la protección de los derechos de los
titulares de los datos. El hecho de no informar a los interesados sobre el tratamiento
de sus datos en este contexto pone en riesgo la confianza y la seguridad de las
personas cuyos datos personales son el eje central de su modelo de negocio.

De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a
imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) y artículo
14 del RGPD de la que se responsabiliza a INFORMA, se considera adecuado
imponer una sanción de 900.000,00 € (NOVECIENTOS MIL EUROS).

XIII
Adopción de medidas

Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar
su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido
en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá
“ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado…”. La imposición de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/108

esta medida es compatible con la sanción consistente en multa administrativa, según
lo dispuesto en el art. 83.2 del RGPD.

De forma concreta, se ordena como medidas a adoptar, en el plazo de tres meses las
siguientes:

- El cese en el tratamiento de los datos personales obtenidos en virtud del
contrato de cesión con CAMERDATA hasta que cuente con una base de
legitimación de las contempladas en el art. 6.1 del RGPD, así como a la
supresión de dichos datos personales que han sido objeto de tratamiento sin
base de legitimación, conforme al RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia
de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a INFORMA D&B, S.A., con NIF A80192727:

- Por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de
dicha norma, multa administrativa de cuantía 900.000 euros

- Por la infracción del artículo 14 del RGPD, tipificada en el artículo 83.5 de dicha
norma, multa administrativa de cuantía 900.000 euros

SEGUNDO: ORDENAR a INFORMA D&B, S.A., con NIF A80192727, que en virtud
del artículo 58.2.d) del RGPD, en el plazo de tres meses desde que la presente
resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las
siguientes medidas:

- El cese en el tratamiento de los datos personales obtenidos en virtud del
contrato de cesión con CAMERDATA hasta que cuente con una base de
legitimación de las contempladas en el art. 6.1 del RGPD, así como a la
supresión de dichos datos personales que han sido objeto de tratamiento sin
base de legitimación, conforme al RGPD.

TERCERO: NOTIFICAR la presente resolución a INFORMA D&B, S.A..

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/108

de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES93-2100-8981-6302-0001-1719 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 76.4 de la LOPDGDD y dado que el
importe de la sanción impuesta es superior a un millón de euros, será objeto de
publicación en el Boletín Oficial del Estado la información que identifique al infractor, la
infracción cometida y el importe de la sanción.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/108

938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es