Serbest çalışan verilerinin ticari veri tabanında kullanılması

1/98

 Expediente N.º: EXP202404646

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: INSTITUT PER A LA CULTURA DEMOCRATICA A L'ERA DIGITAL-
ASSOCIACIO CONSERVAS (en adelante, la parte denunciante) con fecha 27 de
diciembre de 2022 interpuso denuncia ante la Agencia Española de Protección de
Datos en relación a unos hechos que, a su juicio, podían ser susceptibles de infracción
en materia de protección datos.

En la mencionada denuncia se afirma que, para poder darse de alta como autónomos
en el censo de actividades económicas de la AEAT, se exige que los interesados
proporcionen el nombre, DNI, teléfono, correo electrónico y dirección, los cuales son
tratados como información de interés profesional. Asimismo, deben facilitar los datos al
Registro Mercantil.

Indica en su escrito que los citados datos, en el caso de trabajadores autónomos que
no poseen un domicilio profesional específico, pueden coincidir con datos personales
como el domicilio habitual de dichos trabajadores. Sostiene la parte reclamante que,
sin embargo, dichos datos son posteriormente tratados por AEAT, CÁMARA,
CAMERDATA así como consultoras privadas. Señala que varios datos de los
mencionados quedan expuestos libremente en Internet, permaneciendo accesibles a
un solo clic mediante buscadores pudiendo generarse, a su juicio, varios
incumplimientos de la normativa de protección de datos.

Sigue indicando en su escrito que el interés legítimo previsto en el art. 19.2 LOPDGDD
para el tratamiento de datos de autónomos únicamente sirve con el fin de mantener
relaciones de carácter profesional; sin embargo, se utilizan por CAMERDATA y
terceras empresas para publicarlos, indexarlos y realizar campañas de marketing con
ellos. De la misma forma afirma que los datos de autónomos están siendo utilizados
para finalidades para las que no se ha recibido información en el momento de
proporcionarlos a la AEAT. Que tampoco informan correctamente CÁMARA ni toda la
restante cadena de empresas que se benefician de estos datos. Indica, asimismo, que
se produce un sesgo de los datos publicados en función del poder adquisitivo, siendo
más publicados los datos de aquellos autónomos de menor poder adquisitivo.

Entre la documentación aportada por la parte reclamante se encuentra:

- Captura de pantalla de resultados de búsqueda del buscador de GOOGLE tras
buscar por nombre y apellidos de un autónomo. Constan resultados correspondientes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/98

a las web de www.expansion.com, y https://autonomos.axesor.es y constan datos
ilegibles por estar sombreados, supuestamente correspondientes al nombre y
apellidos del autónomo buscado. Manifiesta que al entrar en alguno de esos enlaces
se muestra información relativa al nombre y apellidos, DNI, dirección, correo
electrónico, teléfono, actividad comercial e incluso ciertos datos de información
financiera o incidencias judiciales y probabilidades de impago.

- Captura de pantalla de información de la misma persona en una página como
resultado de la búsqueda anterior donde destaca el siguiente texto:
“[…] es un autónomo cuyo negocio está censado en Marbella, Málaga la
actividad CNAE del negocio es comercio al por mayor de productos
alimenticios, bebidas y tabaco y su actividad SIC es comestibles en general.
Nuestros informes le proporcionarán la información más completa sobre la
actividad empresarial de como el NIF, teléfono, dirección en Marbella (Málaga),
scoring y calificación de crédito, probabilidad de impago y capacidad máxima
de solvencia, incidencias judiciales[…].
Por otro lado nuestros informes investigados sobre la actividad comercial de
[…] están especialmente indicados para operaciones de riesgo elevado y/o
para clientes morosos[…]
La información contenida en esta ficha es solo un extracto de toda la
información de autónomos y profesionales disponible en axesor[…]
También puede acceder a los informes de los ejecutivos o administradores
cuyo nombre coincida con […] (en caso de existir según las publicaciones del
Boletín Oficial del Registro Mercantil).”

- Captura de pantalla de la web de CÁMARA donde consta un resultado de
búsqueda del Censo Público de Empresas de dicha entidad, donde consta “Si desea
obtener más información, consulte el Fichero de Empresas de Camerdata Online”.

- Capturas de gráficos correspondientes a un estudio de la publicación de datos
en relación a la actividad donde consta que se encuentran publicados más datos de
autónomos cuya actividad es comercio al por menor, que el comercio al por mayor.

SEGUNDO: Con fecha de 13/04/2023 la Directora de la Agencia Española de
Protección de Datos acuerda iniciar actuaciones previas de investigación en relación
con AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA (en lo sucesivo, AEAT),
CAMERDATA, S.A. (en lo sucesivo CAMERDATA) y CÁMARA DE COMERCIO,
INDUSTRIA, SERVICIOS Y NAVEGACIÓN DE ESPAÑA (en lo sucesivo CDE o
CÁMARA) por los hechos que se describen a continuación:

“[…]
En concreto, se denuncia que, desde el momento en que alguien se registra
como autónomo dándose de alta en el censo de actividades económicas de la
Agencia Estatal de la Administración Tributaria, el nombre, DNI, teléfono,
correo electrónico y dirección que se notifiquen son tratados como información
de interés profesional. Como consecuencia de este tratamiento, si los datos
coinciden con los datos privados, por ejemplo, el caso de aquellos que trabajan
desde su domicilio personal, dicha información de trabajadores autoempleados
queda expuesta en Internet, fácilmente accesible desde los buscadores.
Además de lo anterior, en algunos casos, los datos que aparecen al acceder a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/98

alguno de los enlaces, además del nombre y apellidos, DNI, dirección, correo
electrónico, teléfono y actividad comercial, se refieren a información financiera
o incidencias judiciales y probabilidades de impago, habiendo sido obtenidos
del Registro Mercantil, Boletín Oficial del Estado, cámaras de comercio,
etcétera.
[…]”

TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD.

RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

Con fecha 17/10/2023 se comprueba que:
1. Dentro del registro de actividades del tratamiento de la AEAT apartado 5.42
“Censo de Actividades económicas” consta:
“Descripción de la actividad
Control fiscal: gestión, liquidación y recaudación del impuesto sobre
actividades económicas.
Finalidad
Aplicación efectiva del sistema tributario estatal y aduanero.
Interesados
Empresarios, profesionales y artistas
Datos
NIF/DNI, Nombre y Apellidos, Dirección
Información comercial
Tratamientos
Recogida
Registro
Almacenamiento
Estructuración
Modificación
Actualización
Copia
Análisis
Consulta
Extracción
Difusión
Interconexión
Limitación
Supresión
Destrucción
Otros
Destinatarios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/98

INE
Otros órganos de la Comunidad Autónoma
Diputaciones Provinciales
Otros órganos de la Administración Local
Cámaras de comercio, industria y navegación
Diputaciones forales vascas, Comunidad foral de Navarra
[…]”
2. Dentro de la información sobre protección de datos publicada en Internet por la
AEAT apartado 3.6 “Destinatarios” consta:
“De acuerdo al artículo 95 de la Ley General Tributaria todos los datos,
informes o antecedentes obtenidos por la Administración tributaria en el
desempeño de sus funciones tienen carácter reservado y sólo podrán ser
utilizados para la efectiva aplicación de los tributos o recursos cuya gestión
tenga encomendada y para la imposición de las sanciones que procedan, sin
que puedan ser cedidos o comunicados a terceros.
Sin embargo, el artículo 95 de la Ley General Tributaria también establece una
serie de casos tasados donde sí se contempla que la Agencia Tributaria pueda
ceder o comunicar datos a terceros, que podrán ser de dos tipos:
-Cesiones o comunicaciones de datos en casos del tipo la colaboración en el
cumplimiento de obligaciones fiscales con otras administraciones públicas, la
lucha contra el delito fiscal y contra el fraude en diferentes ámbitos, la
colaboración con investigaciones de los órganos judiciales y el ministerio fiscal,
el control de la propia actividad de la Agencia Tributaria.
En estos casos, de acuerdo con el artículo 6 del Reglamento UE 2016/679 no
será necesario recabar el consentimiento expreso del ciudadano, para que se
puedan realizar estas cesiones o comunicaciones. Por otro lado, de acuerdo
con el artículo 14 del Reglamento UE 2016/670, de producirse una cesión o
comunicación no será necesario informar al ciudadano.
-Resto de cesiones y comunicaciones que no se contemplan expresamente en
el artículo 95, y que son necesarias en el ámbito de la colaboración entre
Administraciones públicas para facilitar la prestación de servicios públicos al
ciudadano.
En estos casos siempre será necesario que la Administración que solicita los
datos cuente con el consentimiento expreso del ciudadano.
[…]”
3. En la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html consta un primer apartado con el hiperenlace con
texto “Información sobre protección de datos” que reenvía a la URL del punto
siguiente. Consta más abajo en la sección de “Ayuda” otro hiperenlace con texto
“Información al interesado sobre protección de datos”.
4. Que en la URL https://sede.agenciatributaria.gob.es/Sede/condiciones-uso-
sede-electronica/datos-personales/informacion-sobre-proteccion-datos.html consta:
“Información sobre protección de datos
La Agencia Estatal de Administración Tributaria (en adelante “Agencia Tributaria”)
responsable de todos los tratamientos de datos de carácter personal que se realicen
en el desarrollo de su actividad, salvo que se indique lo contrario en un tratamiento
concreto.
Estos tratamientos se realizarán sobre los datos de carácter personal de las personas
que usan los servicios que ofrece en el desarrollo de su actividad que podrán ser los
sujetos obligados tributarios, sus representantes, empleados o empleadas públicos o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/98

cualquier otra persona que utilice sus servicios. En adelante nos referiremos a ellas
como personas interesadas.
En relación con el uso de la web de la Agencia Tributaria por parte de las personas
interesadas, se informa de que sus datos de carácter personal sólo podrán obtenerse
para su tratamiento cuando sean adecuados, pertinentes y no excesivos, en relación
con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se
hayan obtenido.
La Agencia Tributaria realiza estos tratamientos de acuerdo con la normativa vigente
en materia de protección de los datos personales, de seguridad de la información y la
propia normativa específica que regula su actividad y que recoge todos los aspectos
relativos a las condiciones en las que se pueden realizar tratamientos de datos de las
personas interesadas.
En este sentido, se han adoptado las medidas técnicas y organizativas necesarias
para evitar la destrucción, pérdida o alteración accidental o ilícita de datos personales
transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios
físicos, materiales o inmateriales. Las medidas adoptadas tienen en cuenta el estado
de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos y
se revisan periódicamente para garantizar su adaptación a nuevas situaciones o
escenarios de riesgo.
La Agencia Tributaria, como responsable de todos los tratamientos de los datos de
carácter personal de las personas interesadas y de acuerdo con los requisitos de
información al mismo recogidos en el artículo 14 del Reglamento (UE) 2016/679,
indica a continuación la información básica relativa a estos tratamientos:”.
Y asimismo consta:
a. En “Finalidad” consta exclusivamente:
“Aplicación efectiva del sistema tributario estatal y aduanero”
b. En el apartado de “Destinatarios” consta exclusivamente:
“Otras administraciones públicas del ámbito nacional e internacional”
c. En “Procedencia” consta exclusivamente:
“De la misma persona interesada, de otras Administraciones Públicas,
de otras personas físicas distintas a la interesada, de entidades
privadas, de registros públicos y de fuentes accesibles al público.”

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 02/11/2023, el Delegado de Protección de Datos de la AEAT remite a esta
agencia la siguiente información y manifestaciones:

1. Que en relación a la información sobre datos aportados al censo de
empresarios, profesionales y retenedores (modelos 036 y 037) y la cesión de estos
datos a CÁMARA, manifiesta que se proporciona:
a. A través del registro de actividades del tratamiento “tratamiento 5.1
Censo” en la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-
personales/tratamiento-datos-personales/informacioninteresado-sobre-
proteccion-datos/5-registro-actividades-tratamiento/5_1-censo.html
b. Cuando se cumplimentan los modelos 36 y 37 aparece el texto en la
pantalla de "firmar y enviar":
"De acuerdo con el Art. 13 del Reglamento (UE) 2016/679 del Parlamento
Europeo y del Consejo de 27 de abril de 2016 y el artículo 11 de la Ley
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/98

Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales, se informa que los datos personales que va
a facilitar serán tratados por la Agencia Estatal de Administración Tributaria con
la finalidad de la aplicación efectiva del sistema tributario estatal y aduanero.
Podrá encontrar más información sobre los posibles tratamientos, cesiones y el
procedimiento para ejercer los derechos establecidos en los artículos 15 a 22
del reglamento en el siguiente enlace
(https://sede.aqenciatributaria.qob.es/Sede/condiciones-uso-sede-
electronica/datos-personales.html)"
c. Que, además, en la sede electrónica se encuentra disponible el registro
de información suministrada, en las URL siguientes:
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA
02/drIAE_CamCom08.pdf
2. Que en relación a los datos cedidos manifiesta que se encuentran en el Anexo I
del Convenio firmado entre AEAT y CÁMARA accesible en
https://www.boe.es/buscar/doc.php?id=BOE-A-2019-18316 .Se comprueba, conforme
a dicho Convenio y la Ley 4/2014, que los datos cedidos conforme al art. 8 de la Ley
4/2014 son “Datos censales de empresas” y “Datos del Impuesto sobre Actividades
Económicas”.
3. Que la cesión de los datos censales para elaborar el censo de empresas,
según art. 8 Ley 4/2014 no requiere de consentimiento del interesado ya que se
realizan en base a la obligación legal establecida en dicho artículo.
4. Que, asimismo, en el art. 22.3 del Real Decreto 669/2015, de 17 de julio, por el
que se desarrolla la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación, en relación al censo electoral se
menciona:
“3. La Agencia Estatal de Administración Tributaria, así como las otras
administraciones territoriales competentes en materia tributaria colaborarán
con los órganos de gobierno de las Cámaras para proporcionarles la
información necesaria para la elaboración y constitución de los censos,
garantizando que solo tendrán acceso a dicha información los empleados de
cada Cámara que determine el pleno con el obligatorio deber de sigilo respecto
de dichos datos. A tal efecto, la Agencia Estatal de Administración Tributaria
suministrará la información que se desprenda del censo del Impuesto sobre
Actividades Económicas junto con los datos de las empresas que sean
necesarios y que obren en otros censos que ésta elabora y gestiona, en
particular el Censo de Empresarios, Profesionales y Retenedores.”
5. Que “Respecto a la información habilitada a ceder relativa al Impuesto sobre
Actividades Económicas (IAE) y la que tenga carácter censal, entendiendo por tal a la
contenida en el Censo de Empresarios, Profesionales y Retenedores cuyo contenido
se establece en el art. 5 del Real Decreto 1065/2007, de 27 de julio, por el que se
aprueba el Reglamento General de las actuaciones y los procedimientos de gestión e
inspección tributaria y de desarrollo de las normas comunes de los procedimientos de
aplicación de los tributos, se realiza sólo para la elaboración del censo público de
empresas.”
6. Que en el protocolo de intercambio de información de IAE ubicado en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf se menciona que los datos transferidos solo pueden ser
utilizados para los supuestos que contempla la normativa y no para otros usos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/98

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente información y
manifestaciones:

1. Que, en relación a los autónomos, tratan los siguientes datos, entre otros:
“NIF”:
Significado:
Número de identificación fiscal
Origen del dato:
Censo público de empresas publicado por CÁMARA conforme a los
dispuesto en la Ley 4/2014 (en adelante Censo público de empresas).
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“nombre empresa”
Significado:
Manera en la que se identifica la empresa respecto a sus obligaciones
formales, normalmente con los agentes que se relaciona, como
Seguridad Social, Hacienda, proveedores o clientes. Conocido como
Razón social.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“email genérico”
Significado:
Correo electrónico de contacto general de la empresa.
Origen del dato:
Kompass, a través del enriquecimiento de datos del censo público de
empresas.
Se cede a:
A clientes finalistas que lo solicitan para su uso exclusivo interno.
“dirección”
Significado:
Dirección de la empresa formado por nombre de vía, número de vía y
resto de dirección.
Origen del dato:
Censo público de empresas.
Se cede a:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/98

A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“código postal”
Significado:
Código postal de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“municipio”
Significado:
Población de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“provincia”
Significado:
Provincia de la dirección de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de direcciones
cada vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“teléfono”
Significado:
Número de teléfono de contacto general de la empresa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/98

Origen del dato:
INFORMA y DATACENTRIC. Se obtiene en el proceso de
enriquecimiento de datos del censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“Tipo empresa”
Significado:
Forma jurídica de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“Género empresa”
Significado:
Indicador del tipo de nombre de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de nombres cada
vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
Aporta un extracto de su base de datos relativo a 500 registros donde, en la columna
“Nombre empresa” constan datos de nombres y apellidos, en la columna “Tipo
empresa” consta “11 AUTONOMO”, en la columna “Dirección” constan datos relativos
a nombre de vía, número de vía en todos los registros y en parte de los registros
también piso y puerta. Consta asimismo en la columna “Género Empresa” una “V” o
“M” dependiendo de si el nombre dentro de la columna “Nombre empresa” se
considera de varón o de mujer.
2. Que tratan datos de un total de 1.665.049 autónomos, aunque no todos los
registros tienen informados todos los datos.
3. Sobre el sector de empresas infomediarias manifiesta:
a. Recopilan, analizan, transforman y tratan información del sector
público/privado para crear productos de valor añadido destinados a terceras
empresas o ciudadanía en general, sirviendo para la toma eficaz de decisiones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/98

b. Que las entidades que se valen de sus servicios y productos son todas
las entidades del IBEX35, todas las entidades financieras, administraciones
públicas, entre ellas las fuerzas y cuerpos de seguridad del Estado, pymes y
empresarios individuales para sus actividades comerciales y empresariales,
cualquier ente obligado a acceder a la información por cumplimiento de
diferentes leyes que así se lo exigen, así como cualquier ciudadano o
entidades sin ánimo de lucro.
c. “Las empresas del sector infomediario operan en el mercado desde
hace más de dos décadas, siendo vital en su desempeño la reutilización y
distribución de la información que libremente se puede obtener de las
diferentes fuentes públicas existentes en su más amplio concepto y contexto.
En un mundo en el que tanto el acceso como la transparencia de la
información son clave para la seguridad en cualquier operación mercantil, las
empresas de este sector son el referente que dota de la necesaria seguridad al
tráfico mercantil global y actúa como una pieza imprescindible en el impulso de
la economía general mediante la aplicación de las mejores técnicas del
tratamiento de la información en aras de garantizar la calidad, seguridad,
veracidad y fiabilidad de la misma. La labor de las empresas infomediarias
debe considerarse, por tanto, como de interés público general.
Adicionalmente, es importante destacar la labor que se realiza para las Pymes,
como parte esencial del tejido empresarial español. Así, por un lado, se permite
que empresarios individuales, con reducidos recursos, puedan utilizar sistemas
de información de alto valor añadido, sin tener que asumir costes individuales
elevados por la consulta directa a la fuente de origen, respecto de sus clientes
y proveedores y por otro lado, también se facilita que su propia información
empresarial sea accesible a sus proveedores y entidades financiera en aras a
promover su actividad y operaciones mercantiles.
El sector infomediario es cada vez más indispensable a la hora de agilizar y
mejorar la gestión de los negocios, y el impacto directo de las oportunidades
generadas es mayor tanto a nivel económico como político y/o social.
Además, este sector interactúa con el resto de sectores, generando valor en
muchas de sus actividades, por lo que a la hora de valorar dicho sector hay
que tener en cuenta que crece tanto en vertical, como el resto de los sectores,
como también en horizontal, siendo esta innegable transversalidad compleja de
valorar.
La actuación del sector infomediario tiene un impacto directo no solo en la
comunidad de la información, sino también muy relevante en la actividad
empresarial y en la ocupación en la economía española. Según datos tomados
del Informe del Sector Infomediario presentado el pasado 14 de abril del 2023:
- A 31 de diciembre de 2019 existían 700 empresas Infomediarias activas
identificadas en España.
-Las ventas agregadas del ejercicio 2019 de las 591 empresas infomediarias
de las que se disponen de datos financieros ascendió a 2.543.042.052 €.
- El número agregado de empleados del ejercicio 2019 de las 588 empresas de
las que se disponen de datos de empleados ascendió a 21.998.
-El capital suscrito conjunto a 31 de diciembre de 2020 de las 700 empresas
identificadas como infomediarias ascendía a 311.911.961€.”
d. Que las principales fuentes de datos de las que se valen las empresas
del sector para la creación de los servicios y productos que prestan a la
sociedad son:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/98

• Boletines Oficiales, del Estado, de comunidades autonómicas y
Provinciales.
• Boletín Oficial del Registro Mercantil y de la Propiedad Intelectual.
• Censo público de empresas de las Cámaras de Comercio, regulado
por Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación.
• Información abierta, no protegida, del Catastro inmobiliario según
Texto Refundido de la Ley del Catastro Inmobiliario (TRLCI), aprobado
por Real Decreto Legislativo 1/2004, de 5 de marzo.
• Guías y Repertorios profesionales.
• Guías de abonados a servicios de telefonía.
• Cualquier fuente referenciada por las propias Administraciones
públicas en el catálogo opendata bajo la Iniciativa de datos abiertos del
Gobierno de España.
4. Sobre la información aportada a los interesados según art. 14 RGPD
manifiesta:
a. Se considera un esfuerzo desproporcionado según art. 14.5.b y
considerando 62 RGPD y según Informe WP260.rev01 17/ES (última revisión
de 11 de abril de 2018) el enviar una comunicación a cada interesado para
notificarle el tratamiento como autónomo o empresario individual.
i. Que hay 1.665.049 autónomos en la base de datos de
CAMERDATA que cabría notificar lo cual es un costo inasumible.
ii. Que según presupuesto de MEYDIS S.L. y Sociedad Estatal de
Correos y Comunicaciones S.A. las labores de manipulación,
distribución, materiales de las comunicaciones ascienden a 9.409.000€
y 4.266.900€ respectivamente.
Aporta copia de presupuestos de MEYDIS, S.L. de fecha 01/07/2021
donde consta la cantidad de “1.600.000”. No consta un precio total.
Aporta copia de presupuestos de CORREOS donde no consta el
presupuesto antes mencionado, sí consta el texto “PRESUPUESTO
CAMERDATA, CAMPAÑA COMUNICACIÓN 2021” y “PRESUPUESTO
TOTAL PARA 1.650.000 ENVÍOS”.
iii. Que CAMERDATA tiene unos ingresos anuales em 2019, 2020,
2021, 2022 de 941.238,83 €, 836.093,46 € , 885.999,51 € , 895.950,29
€ respectivamente.
Aporta copia de auditorías de cuentas anuales a fechas 31/12/2019,
31/12/2020, ejercicio 2021, 31/12/2022 con las mencionadas cifras en el
apartado de “1. Importe neto de la cifra de negocios”.
a. Que debido a este esfuerzo desproporcionado han iniciado un proceso
de publicación en las webs de las cámaras de comercio del texto
siguiente, que actualmente está publicado en la Cámara de Comercio
de Madrid, Valencia, Barcelona, Sabadell, Girona, Alicante, Castellón.
“Información para trabajadores autónomos relativa a la protección de
datos personales
Mediante la presente comunicación se informa, a toda persona que
tenga la condición de trabajador autónomo, del tratamiento de sus datos
personales por parte de Camerdata y de las empresas asociadas a
ASEDIE que están sujetas a su código de conducta del sector
infomediario de protección de datos que se relacionan: Axesor,
Datacentric, Iberinform, Informa y también Equifax.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/98

Los datos tratados por CAMERDATA y las empresas relacionadas, han
sido recabados por CAMERDATA de forma legítima y obtenidos de un
Censo oficial elaborado por organismo público, correspondiendo a
persona sujeto pasivo de los datos (el trabajador autónomo) en el
ejercicio de una actividad de las recogidas en el Real Decreto de 2007
(RD 475/ 2007).
El tratamiento de estos datos tiene por finalidad el envío de
comunicaciones comerciales y de marketing, ofreciendo diferentes
bienes o servicios que pudieran ser de su interés, así como la
información comercial sobre la actividad empresarial llevada a cabo por
el Autónomo.
Si usted desea ejercer sus derechos de acceso, rectificación, supresión,
limitación de su tratamiento u oposición al tratamiento de sus datos de
contacto, puede dirigir su solicitud a las direcciones que se indican a
continuación. Le recordamos que puede ejercer su derecho de
oposición a la recepción de comunicaciones comerciales de forma
centralizada, utilizando los servicios de la Lista Robinson en:
https://www.listarobinson.es/:
Empresas asociadas a ASEDIE que están sujetas a su Código de
conducta CAMERDATA, S.A. Avda. Diagonal, 452, 3ª planta, 08006 en
Barcelona o enviando un email a: [email protected]
Adjuntando en todo caso copia de documento que acredite su identidad
(DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de
CAMERDATA utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de CAMERDATA en el siguiente enlace:
https://www.camerdata.es/politica-privacidad
AXESOR CONOCER PARA DECIDIR S.A.
C/ Graham Bell, s/n, Edificio Axesor - 18100 Armilla, Granada
o enviando un email a: [email protected] Adjuntando en todo caso copia
de documento que acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de
AXESOR utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de AXESOR en el siguiente enlace:
https://www.axesor.es/informacion-tratamientos-rgpd
DATACENTRIC S.A.
C/ José Echegaray 9, 28232 Las Rozas, Madrid
o enviando un email a: [email protected] Adjuntando en todo caso
copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
DATACENTRIC utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de DATACENTRIC en el siguiente enlace:
https://www.datacentric.es/politica-de-privacidad/
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/98

IBERINFORM S.A.
Calle Raimundo Fernández Villaverde, 57 Bis, Madrid 28003 (Madrid)
o enviando un email a: [email protected] Adjuntando en todo caso
copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
IBERINFORM utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de IBERINFORM en el siguiente enlace:
https://www.iberinform.es/aviso-legal#section6
INFORMA S.A.
Avenida de la Industria, 32, 28108 - Alcobendas (Madrid)
o enviando un email a: [email protected] Adjuntando en todo caso
copia de documento que acredite su identidad (DNI, pasaporte, o
similar).
Puede también contactar con el Delegado de Protección de datos de
INFORMA utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de INFORMA en el siguiente enlace:
https://www.informa.es/textos-legales
Empresa No asociada a ASEDIE
EQUIFAX S.A.
Paseo de la Castellana, 259D, 28046 Madrid,
o enviando un email a: [email protected] Adjuntando en todo caso copia
de documento que acredite su identidad (DNI, pasaporte, o similar).
Puede también contactar con el Delegado de Protección de datos de
EQUIFAX utilizando los mismos datos de contacto que los
proporcionados para ejercer sus derechos.
También puede consultar información adicional sobre el tratamiento de
sus datos por parte de EQUIFAX en el siguiente enlace:
https://www2.equifax.es/ederechos/asnef_20024.html.”
c. Incorporar dicho texto anterior a boletines y newsletters que las
Cámaras editen periódicamente consiguiendo con ellos una mayor difusión de
la información.
d. Que se tiene intención, iniciando en el año 2024 y posteriormente con
periodicidad anual, de llevar a cabo la difusión del texto informativo en varios
periódicos de mayor circulación en España.
e. Que considera que con estas medidas se cumplen los criterios para
validar la excepción de la obligación de informar individualmente.
5. Sobre el código de conducta de ASEDIE manifiesta:
“[…]
En desarrollo de sus funciones estatutarias, ASEDIE ha elaborado el Código de
Conducta del Sector Infomediario (en adelante, Código de Conducta o Código).
En la elaboración del Código ha tenido en cuenta la opinión de los principales
actores que intervienen de una forma u otra en el sector infomediario, sobre
todo de los asociados, tanto en la faceta jurídica como en la de negocio, pero
también de consultores y otras personas con conocimiento de los aspectos
relevantes del sector. La necesidad de la seguridad jurídica y el reforzamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/98

del compromiso de los asociados con el cumplimiento normativo en materia de
protección de datos, entendido como un requisito ineludible de negocio, han
llevado a los órganos estatutarios de ASEDIE a considerar necesario promover
el Código de Conducta. El Código establece un marco general que debe ser
cumplido necesariamente por todas las empresas asociadas a ASEDIE.
En todo caso, cualquier actuación derivada del cumplimiento del Código de
Conducta se realizará en estricto cumplimiento de la normativa vigente, en
especial, de la normativa de defensa de la competencia y de la normativa que
resulte de aplicación a la protección de datos de carácter personal.
En la elaboración y mejora del Código, ASEDIE ha contado con una importante
colaboración e implicación por parte de la AEPD, si bien han existido
discrepancias que han llevado a la Asociación a impugnar en vía contenciosa
la denegación de la aprobación del Código.
[…]”

Con fecha 22/01/2024 se obtiene de Internet el contenido en estado borrador del
código de conducta de ASEDIE el cual se incorpora al expediente mediante diligencia.
6. Que en relación al tratamiento que supone la base de datos de empresas en el
caso de autónomos, manifiesta que:
a. “La finalidad concreta del tratamiento es la elaboración de un sistema o
servicio de información de empresas con datos de calidad para la promoción,
directa o indirecta, de los bienes o servicios de una empresa, organización o
persona que realice una actividad empresarial o profesional, sea en su propio
nombre o en nombre de un tercero.”
b. Que se basan en interés legítimo, y manifiesta:
“Camerdata realiza el tratamiento de datos personales de personas físicas en
cuanto relativos a su condición de empresarios individuales o profesionales
liberales, es decir, concernientes exclusivamente a su actividad empresarial.
En tales casos, se presume amparado por el interés legítimo conforme al
artículo 6.1 f) RGPD, salvo prueba en contrario, siempre que cumplan los
siguientes requisitos:
(i) Que el tratamiento se refiera únicamente a los datos necesarios para las
finalidades indicadas en el punto b.- de esta respuesta, que permita a los
clientes de los responsables, o a ellos mismos, mantener relaciones con el
interesado en el contexto del desarrollo empresarial o profesional de la
actividad que el interesado explote o realice, respectivamente, como
empresario individual o como profesional liberal.
A estos efectos, se considerará lícito el tratamiento amparado en dicho artículo
6.1 f) del RGPD bajo la ponderación hecha más adelante.
(ii) El tratamiento se realice conforme lo establecido en el artículo 19 de la
LOPDGDD, es decir siempre que se cumplan los siguientes requisitos:
- Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
- Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el interesado preste sus
servicios, o con la actividad empresarial o profesional desempeñada por el
empresario individual o profesional liberal.
El interés legítimo previsto en los apartados anteriores se extiende, por
cumplirse dichos requisitos, al supuesto de que los datos sean tratados para
informar estrictamente sobre la actividad económica desempeñada por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/98

empresarios individuales y profesionales liberales, y que ayuden a la toma de
decisiones a terceros clientes de los responsables del tratamiento a los efectos
de contactar, iniciar y mantener relaciones empresariales o profesionales,
favoreciendo con ello la promoción y desarrollo empresarial o económico.
No quedará amparada por la presunción de interés legítimo establecido en los
casos (i) y (ii) el uso de los datos para tratamientos que tenga como finalidad
entablar una relación con los interesados en su faceta personal, no empresarial
o profesional.
Fuera de estos dos supuestos, conforme a lo establecido en el Considerando
(47) y el art. 6.1.f) del RGPD, cuando se trate estos datos fuera del alcance, los
criterios y/ o las finalidades indicadas, el responsable del tratamiento, o el
tercero por cuenta de quien actúe aquel, deberá haber llevado a cabo una
ponderación propia entre su interés legítimo y los intereses, derechos y
libertades de los interesados, que determine que el tratamiento pretendido no
vulnera esos intereses, derechos y libertades del interesado, debiendo en todo
caso aplicar las medidas de seguridad necesarias.
Interés legítimo del responsable o de los terceros.
La existencia de un interés legítimo por parte de Camerdata y de sus clientes
(a los que presta los servicios relacionados con la finalidad del tratamiento)
para el tratamiento de los datos personales indicados, tiene su fundamento en
la necesidad de conocer los datos identificativos de los empresarios
individuales y profesionales liberales, como un dato necesario dentro del
conjunto total de datos empresariales o profesionales que se ofrecen en los
diferentes productos y servicios de información que comercializa Camerdata.
Datos que son relevantes para las relaciones comerciales o profesionales de
los interesados y que solo pueden ser tratados para esos fines, de tal manera
que no pueden ser utilizados para relaciones directas con las personas físicas.

El interés legítimo de Camerdata sería doble. Por un lado, el que deriva de su
vertiente de fuente de financiación, propio de toda actividad empresarial, y, por
otro lado, contribuir al desarrollo y fomento de las relaciones empresariales o
profesionales, ofreciendo un sistema de información de calidad a los actores
del tejido empresarial y a los particulares, dando cobertura a la seguridad
jurídica demandada por las partes de cualquier relación mercantil o contractual
en su operativa en el mercado, dando, con ello, satisfacción a un interés
económico y social general.
En efecto, hay que señalar que Camerdata obtiene los datos de fuentes
públicas y el tratamiento que realiza sobre ellos obedece al objetivo de
incrementar la calidad de los datos y ofrecer así a los clientes interesados un
sistema de información de empresas que operan en todo el territorio nacional,
cumpliendo, con ello, un interés general para el sector empresarial.
En el tratamiento de datos por parte de Camerdata subyace también un interés
legítimo de sus clientes y de los propios interesados, que necesitan conocer
esta información, bien para dar a conocer sus servicios y productos, bien para
ofrecerlos a terceros o bien para realizar operaciones mercantiles o
profesionales con terceros, o incluso para poder ejercitar las oportunas
acciones legales que en su caso les correspondan. Por otro lado, cada vez
más el acceso, conocimiento y valoración de dichos datos empresariales viene
impuesto por ley, por ejemplo, por la Ley 10/2010 de prevención del blanqueo
de capitales y la financiación del terrorismo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/98

Nos encontramos, por tanto, ante un tratamiento de datos empresariales que
garantiza de forma general el interés legítimo de cualquier tercero de conocer
esta información. Cabe destacar, una vez más, que las fuentes de obtención de
la información, que se tratan para estas finalidades, tienen la consideración de
públicas en su más amplio sentido, bien porque la publicación de los datos
responde a la exigencia y aplicación de una norma legal que exige que dicha
información sea conocida y accesible para todo el mundo, o bien por haber
sido hecha manifiestamente pública por el propio interesado.
Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales
que requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento expuesto
en este documento, por cuanto:
1º. La información de los interesados objeto del tratamiento se ceñirá
únicamente a la tipología de datos empresariales o profesionales, y para las
finalidades y según el alcance expuesto en este documento.
2º. Los datos se han obtenido fuentes públicas.
3º. Se garantiza el ejercicio de los derechos de los interesados regulados en
los artículos 15 a 22 del RGPD.
Además, los propios interesados tienen interés en el tratamiento de sus datos
empresariales o profesionales, pues pueden acceder a la base de datos de
Camerdata para contactar con terceros empresarios o profesionales para el
ofrecimiento de sus servicios y productos, y tienen interés en ser localizados
por terceros que acceden a la base de datos de Camerdata para iniciar
relaciones comerciales.
A mayor abundamiento y en cumplimiento del principio de minimización de
datos (art. 5.1.c RGPD UE) los datos tratados, relacionados en el punto 1 del
presente escrito de respuesta, son pertinentes, adecuados y limitados a los
estrictamente necesarios para la finalidad para la que son tratados.
Resultado de la ponderación:
1º - El tratamiento de esta información es lícito: El tratamiento de los datos es
necesario para conseguir las finalidades empresariales y económico-sociales
que se pretenden.
2º - Las fuentes de obtención de la información tienen la consideración de
fuentes públicas en su más amplio sentido, bien porque la publicación de los
datos responde a la exigencia y aplicación de una norma legal que requiera
que dicha información sea conocida y esté accesible al público en general. En
este sentido, los datos se podrán obtener de las siguientes fuentes:
a) Fuentes públicas: Principalmente, las que se han citado anteriormente.
b) Datos que el interesado hubiese hecho manifiestamente públicos. Se
entenderá que este tipo de datos pueden ser objeto del tratamiento, sobre la
base de licitud del interés legítimo, en la medida en que el art. 9.2. apartado e)
del RGPD permite tratar datos de categorías especiales de datos por el hecho
de que el interesado los haya hecho manifiestamente públicos, por lo que con
mayor razón se podrán tratar datos que no comprendan dichas categorías,
como es el caso de los tratamientos de datos que realizarán los responsables
del tratamiento.
c) Cualesquiera otras fuentes públicas siempre que su tratamiento no esté
impedido por normativa legal o por derechos de legítimo autor o beneficiario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/98

del fichero de procedencia de los datos, y el responsable del tratamiento haya
llevado a cabo previamente a la construcción del fichero una ponderación entre
su interés legítimo o el del tercero a los que se preste el servicio y los intereses
o los derechos y libertades fundamentales del interesado que requieran la
protección de datos personales. En el tratamiento de las fuentes públicas a que
se refiere este párrafo, los responsables del tratamiento cumplirán con los
principios del tratamiento del art. 5 del RGPD.
3º - Las categorías de datos que se tratan son mínimamente invasivos en el
derecho a la intimidad del interesado, pues son datos ceñidos al desempeño
de una actividad empresarial o profesional, sin que en ningún momento existan
datos de su esfera familiar, ni mucho menos datos de categorías especiales de
datos (artículo 9 RGPD).
Por lo demás, la base de datos de empresas de Camerdata no refiere ninguna
información crediticia ni sobre solvencia patrimonial.
4º - Es parte del interés legítimo que se considera para el tratamiento de esta
información el perjuicio que supondría para el interés general del tráfico
mercantil el no tratar esta información, en los términos expuestos dada la
seguridad jurídica que aportan en cualquier transacción del mercado. La
inexistencia de referencias informativas sobre la actividad empresarial de estos
interesados en el mercado tendría como consecuencia directa repercusiones
claramente negativas en la actividad económica, con el consiguiente perjuicio a
la actividad económica general.
5º - El principio a la libre circulación de los datos, establecido y amparado por
la propia normativa europea en la materia (RGPD).
6ª - Las finalidades pretendidas para el tratamiento de estos datos por
Camerdata no difieren de las que tienen las fuentes de procedencia de los
datos, la publicidad registral de los Registro oficiales y el censo público de
empresas de las Cámaras de Comercio, (fuentes principales de obtención de
esta información), pues persiguen ofrecer a los consultantes la transparencia y
seguridad jurídica necesarias. Este hecho, junto a la amplia y reconocida
existencia en el mercado y en la sociedad en general de sistemas de
información empresarial, influyen directamente en la existencia de una
expectativa razonable, por parte de los interesados, sobre la posibilidad de que
los datos de su desempeño empresarial o profesional puedan llegar a ser
tratados. En ocasiones, son los propios interesados quienes directamente
hacen pública la información o permiten su difusión porque tienen interés en
que se conozcan sus datos de contacto y actividades empresariales o
profesionales.
7º.- En el caso de los datos que sean públicos por cualquier causa, la
Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de
2011 (asuntos acumulados C-468/10 y C-469/10) indica, en sus
Considerandos (44) y (45), que cuando los datos figuran en fuentes accesibles
al público, el responsable del tratamiento y, en su caso, el tercero o terceros a
quienes se comuniquen los datos, no acceden a datos relativos a la vida
privada del interesado, dado que la información ya es de público conocimiento.
Como consecuencia, hay un impacto menor en los derechos del interesado, lo
que debe ser apreciado en su justo valor en la ponderación con el interés
legítimo perseguido por el responsable del tratamiento o por el tercero o
terceros a los que se comuniquen los datos.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/98

7. Que en relación al tratamiento que supone la cesión de la base de datos de
empresas en el caso de autónomos a terceras entidades, manifiesta que se basan en
interés legítimo y la finalidad tal y como se indica en el punto anterior.

Aporta copia de contrato fechado a 15/02/2016 y firmado entre CAMERDATA y
CÁMARA donde consta que (se añade subrayado):
a. CÁMARA es la cedente y CAMERDATA es la cesionaria.
b. “[…]
V. Sobre la base de los indicados datos que recibe de las
Administraciones públicas colaboradores (que actualmente son la
Agencia Estatal de la Administración Tributaria, la Agencia Diputación
Foral de Navarra y las Cámaras de Comercio del País Vasco), la
Cámara de Comercio de España elabora el censo público de empresas
bajo la denominación de "Censo Básico de Empresas", garantizando la
confidencialidad en el tratamiento y el uso exclusivo de la información
recibida.
[…]”
c. “Que la información empresarial es una de las áreas tradicionales
donde las Cámaras de Comercio, con arreglo a sus funciones y finalidades,
han venido ofreciendo servicios a las empresas. Con el fin principal de
gestionar adecuada y coordinadamente dichos servicios, el ahora extinguido
Consejo Superior de Cámaras de Comercio (hoy sustituido por la Cámara de
Comercio de España) y las Cámaras de Comercio constituyeron en 1985 la
mercantil CAMERDATA, S.A., entidad instrumental cameral para el desarrollo
de dicha actividad.
Según el artículo 4 de los Estatutos sociales de CAMERDATA, S.A., el objeto
social de la misma consiste en el desarrollo y explotación de un sistema de
información empresarial y las aplicaciones derivadas del mismo.”
d. “[…]CAMERDATA, S.A. viene desarrollando y explotando
comercialmente un sistema de información empresarial denominado "Fichero
de Empresas Españolas", que es una base de datos diferente del "Censo
Básico de Empresas" elaborado por la Cámara de Comercio de España, si bien
para desarrollarlo está interesada en obtener una copia de la información
empresarial del "Censo Básico de Empresas".
e. “[…]
Primera. Objeto.
Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria
que, a su vez, recibe y adquiere para sí, una copia de la totalidad de los
datos empresariales obrantes en el Censo Básico de Empresas referido
en el anterior Expositivo V (en adelante la Base de Datos Cedida)
actualizada a fecha de enero de 2016, la cual contiene los campos de
información que se indican en el Anexo 1 de 3.160.984 Registros de
Empresas.
A estos efectos se entiende por Registro de Empresa todos los campos
de información del Anexo 1 relativos a cada una de las empresas que
consten en la Base de Datos Cedida, tomándose como identificador de
dicho registro el NIF de las mismas.
[…]
Segundo. Finalidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/98

La Cesionaria incluirá los datos empresariales de la Base de Datos
Cedida y la de sus actualizaciones periódicas en el Fichero de
Empresas Españolas de su propiedad, y los tratará, completará y
enriquecerá en los términos convenidos en el presente Contrato con la
finalidad de ofrecerlo comercialmente a las empresas y a terceros
interesados como base de datos de información de las empresas que
operan en territorio español.
[…]”
f. Consta en el Anexo 1, los campos de “NIF de la empresa”, “nombre o
denominación social de la empresa”, “domicilio principal”, “domicilio de
actividad”, “sección actividad IAE”, “actividad IAE”.
g. “Segundo.- Finalidad.
La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la
de sus actualizaciones periódicas en el Fichero de Empresas Españolas de su
propiedad, y los tratará, completará y enriquecerá en los términos convenidos
en el presente Contrato con la finalidad de ofrecerlo comercialmente a las
empresas y a terceros interesados como base de datos de información de las
empresas que operan en territorio español.”
h. “12.2.- Asimismo manifiesta la Cedente que la Base de Datos Cedida y
sus actualizaciones contiene datos relativos a empresarios individuales y a
datos de personas físicas que prestan sus servicios a personas jurídicas,
relativos únicamente al nombre y apellidos, las funciones o puestos
desempeñados, así como la dirección postal o electrónica, teléfono y número
de fax profesionales, todo ello de conformidad con lo dispuesto en el artículo 2
del RLOPD.”
i. En el ANEXO 2 al contrato de cesión de 15/02/2016 con las
“Condiciones de la cesión de la Base de Datos Cedida” consta que:
i. “Que los datos incluidos en la Base de Datos Cedida y sus
actualizaciones se obtienen del censo público de empresas que regula
la Ley 4/2014 elaborado por la Cedente bajo la denominación de Censo
Básico de Empresas.”
ii. Obligaciones de CAMERDATA:
“B) Obligaciones de la Cesionaria
b. 1) La Cesionaria se obliga a incorporar la información de la Base de
Datos Cedida en el Fichero de Empresas Españolas y a tratarla y
comercializarla en los términos convenidos en el Contrato y sus Anexos.
b.2) La Cesionaria se compromete a tener siempre actualizados los
datos empresariales del Fichero de Empresas Españolas y a tal efecto
se obliga a:
(i) Adquirir de la Cedente todas las actualizaciones de la Base de
Datos Cedida que ésta realice periódicamente dentro de los
quince (15) días laborables siguientes a la fecha en que reciba la
comunicación escrita al efecto de la Cedente.
(ii) A no ceder ni comercializar la Base de Datos Cedida ni sus
actualizaciones, y a no realizar más copias que las de seguridad.
(iii) Incorporar en el Fichero de Empresas Españolas la
información de los Registros de Empresa de la Base de Datos
Cedida actualizada dentro de los treinta (30) días laborales
siguientes a la fecha en que la reciba de la Cedente y a tratarla
en los términos que se indican en el siguiente párrafo b.4).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/98

(iv) Efectuar dicha actualización sobrescribiendo el Fichero de
Empresas Españolas con la información de la Base de Datos
Cedida actualizada por cada Código Administración remitido. En
consecuencia, la Cesionaria quedará obligada a suprimir del
Fichero de Empresas Españolas la información de la Base de
Datos Cedida entregada anteriormente relativa a dichos Códigos
Administración, la cual quedará completamente sustituida y sin
efecto, y sin que la Cesionaria pueda usar dicha información
para la finalidad del Contrato ni para ninguna otra; únicamente
podrá conservarla bloqueada a disposición de las
Administraciones públicas, Jueces y Tribunales para la atención
de las posibles responsabilidades que eventualmente se deriven
del tratamiento y comercialización de dicha información durante
el plazo de prescripción de éstas.
b.3) La Cesionaria únicamente podrá informar a los terceros
interesados de que la fuente de información del Fichero de Empresas
Españolas referente a los campos del Anexo I del Contrato se
corresponde con la del Censo Básico de Empresas cuando dicho
fichero haya incorporado la información de la última Base de Datos
Cedida actualizada de la Cedente. En caso contrario, no podrá informar
dicha fuente.
b.4) Recibida la Base de Datos Cedida o la actualización de la misma,
la Cesionaria procederá a:
(i) Homogeneizar nombres y direcciones expresados en
diferentes elementos (a modo de ejemplo: calle / rua / Kale /
carrer, homogeneizando todas ellas a calle) sin que ello suponga
modificar el contenido esencial de la información empresarial
contenida en dicha Base de Datos Cedida.
(ii) Incorporar la información de la Base de Datos Cedida o sus
actualizaciones tratada de esta forma al Fichero de Empresas
Españolas propiedad de la Cesionaria.
b.5) El Fichero de Empresas Españolas que la Cesionaria desarrolla y
comercializa tendrá las siguientes características:
(i) El registro de la empresa y los campos de la misma de la
Base de Datos Cedida indicados en el Anexo 1 del Contrato. Los
restantes campos de dicho Fichero incluidos por la Cesionaria
no modificarán, alterarán ni contradecirán los campos de la Base
de Datos Cedida y sus actualizaciones.
(ii) Campos desarrollados por la Cesionaria a partir de
algoritmos creados por ella misma.
(iii) Campos aportados por la Cesionaria: como Forma jurídica,
actividad principal, sede social, sucursales, actividad negocial.
(iv) Campos aportados por otras fuentes legítimas y
actualizadas: Nombre comercial, teléfono, fax, CNAE, web,
fecha constitución, número de empleados, volumen de negocio,
importaciones/exportaciones, cargos (hasta 5 cargos con
nombre y apellidos), género de la empresa (para distinguir
cuando se trata de autónomos no sección 2 0 3), coordenadas
geodésicas (en 3 sistemas universales) u otros.
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/98

Aporta copia de contrato fechado a 25/04/2017, 24/05/2018 (ADDENDA AL
CONTRATO DE INTERMEDIACIÓN SUSCRITO EL 25 DE ABRIL DE 2017 ENTRE
CAMERDATA S.A. Y DATACENTRIC, PDM, S.A.), 19/07/2019 y firmados entre
CAMERDATA y DATACENTRIC PDM S.A. (en adelante DATACENTRIC) donde consta
que:
a. En el contrato de 25/04/2017 consta:
i. “PRIMERA. OBJETO
El objeto del presente contrato es regular las condiciones de colaboración entre
CAMERDATA y DATACENTRIC relativas a la prestación de los siguientes servicios:
- La cesión del fichero de Autónomos, por parte de CAMERDATA a favor de
DATACENTRIC con la finalidad de que DATACENTRIC pueda hacer uso de la misma
en su actividad empresarial.
- La cesión de datos o campos de información por parte de DATACENTRIC a
CAMERDATA, para su tratamiento informatizado.
El contenido de los servicios y productos objeto de cesión se regula en la siguiente
Estipulación.
SEGUNDA.CONDICIONES DE SUMINISTRO DE LOS DATOS
CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos (empresarios
individuales) en la modalidad Premium. Esta modalidad incluye el derecho: de uso
interno por parte de DATACENTRIC de distribución y comercialización de los datos a
terceras empresas (a excepción de las empresas infomediarias, a modo de ejemplo se
citan; Informa, Experian, Arvato, Equifax, Iberinform, Axesor, Ardan, etc...), con la
finalidad de que sea utilizado por los destinatarios para uso exclusivo interno, nunca
para su posterior distribución o venta.”
ii. La información contendrá, entre otros datos, nombre o razón social, NIF,
dirección completa, teléfono.
iii. Que los registros que componen los ficheros entregados a DATACENTRIC son
de empresarios individuales y se encuentran excluidos del régimen de aplicación de la
normativa de protección de datos de acuerdo con el art. 2 Real Decreto 1720/2007.
b. En el contrato de 24/05/2018 consta:
i. La finalidad es adaptar el contrato referenciado al RGPD. El contrato
referenciado continúa en vigor en lo no modificado.
ii. “A estos efectos, CAMERDATA declara que los datos que facilita al amparo del
citado Contrato (en adelante el FICHERO) contienen datos de carácter personal de
personas (en adelante, los INTERESADOS o DESTINATARIOS), considerando que se
trata de datos personales relacionados con la actividad mercantil del usuario, no con
su ámbito privado, y que se trata de un tratamiento lícito en los términos del art. 6.1 .f)
del RGPD, de forma tal que permite enviarles publicidad de los sectores incluidos en
la política de privacidad de DATACENTRIC[…]”
iii. DATACENTRIC es responsable y encargado del tratamiento y CAMERDATA es
responsable del tratamiento.
iv. “[…]CAMERDATA como titular del FICHERO y responsable del tratamiento de
los datos autoriza a DATACENTRIC a comercializar el fichero a CLIENTES que
contraten la realización de las campañas reguladas en el correspondiente contrato con
encargados de tratamiento que no estuvieran alojados en territorio del EEE, siempre
que los clientes en su condición de EXPORTADOR DE DATOS cuenten con la debida
autorización del Director de la Agencia Española de Protección de datos para llevar a
cabo la citada transferencia internacional[…]”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/98

Y anexo al contrato consta un “CONTRATO DE PRESTACIÓN DE SERVICIOS DE
TRATAMIENTO DE DATOS” donde consta que:
i. CAMERDATA es responsable del tratamiento y DATACENTRIC es encargado
del tratamiento.
ii. DATACENTRIC prestará los servicios de tratamiento necesarios para la
realización de campañas publicitarias.
c. En el contrato de 19/07/2019 consta que en relación al contrato de 25/04/2017,
CAMERDATA autoriza a DATACENTRIC a distribuir y comercializar la base de datos
de autónomos titularidad de la primera, a la empresa infomediaria EQUIFAX IBÉRICA,
S.L. y a las empresas pertenecientes a su grupo. Y que la distribución del fichero se
realizará con finalidad de “servicios de marketing” limitados al ámbito empresarial y
nunca privado, enriquecimiento de NIF, identificación de si la persona en autónomo
con la finalidad de su localización.

Con fecha 16/11/2023 se comprueba que:
1. En la URL https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-notributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacioninteresado-sobre-proteccion-datos/5-registro-actividades-
tratamiento/5_1-censo.html no existe ningún contenido.
2. En la URL
https://sede.agenciatributaria.gob.es/Sede/procedimientoini/ZA02.shtml y en
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/drIA
E_CamCom08.pdf consta información sobre el “Diseño de Registro del Fichero del
Impuesto sobre Actividades Económicas para las Cámaras de Comercio para la
entrega del fichero Anual del ejercicio 2008 y siguientes” donde consta una tabla
descriptiva de los datos intercambiados donde se incluyen los datos, entre otros, de
“NIF”, “Apellidos y Nombre o razón social”, “domicilio fiscal actual”, “domicilio tributario”
(dentro del cual se encuentra también el dato “teléfono”).
3. En el BOE de 20 de diciembre de 2019, al que se puede acceder a través del
enlace https://www.boe.es/boe/dias/2019/12/20/pdfs/BOE-A-2019-18316.pdf, consta
(se añade subrayado):
“CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA Y
LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y NAVEGACIÓN
DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER TRIBUTARIO A
LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS FUNCIONES PÚBLICO-
ADMINISTRATIVAS
[…]
Primera. Objeto del Convenio.
1. El presente Convenio tiene por objeto establecer un marco general de colaboración
sobre las condiciones y procedimientos por los que se debe regir la cesión de
información de la Agencia Estatal de Administración Tributaria (en adelante, Agencia
Tributaria) a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación (en
adelante, Cámaras) y a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España (en adelante, Cámara de Comercio de España), preservando
en todo caso los derechos de las personas a que se refiera la misma.
2. El presente Convenio se entiende sin perjuicio del intercambio de información que
pueda tener lugar entre la Agencia Tributaria y las Cámaras conforme al Ordenamiento
Jurídico en supuestos distintos de los regulados por el mismo; […]
[…]
Segunda. Finalidad de la cesión de información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/98

La cesión de información procedente de la Agencia Tributaria tendrá como finalidad
exclusiva la colaboración con la Cámara de Comercio de España y con las Cámaras
en el desarrollo de las funciones públicas que éstas tenga atribuidas cuando, para el
ejercicio de las mismas, la normativa reguladora exija la aportación de una
certificación expedida por la Agencia Tributaria o la presentación, en original, copia o
certificación, de las declaraciones tributarias de los interesados o de cualquier otra
comunicación emitida por la Agencia Tributaria, en particular en el caso de no
obligados a declarar. En estos supuestos, la información que debe constar en tales
documentos se solicitará directamente de la Agencia Tributaria, siempre que resulte
necesaria para el ejercicio de tales funciones y se refiera a un elevado número de
interesados o afectados.
En el Anexo III del presente Convenio se recogen las funciones públicas a desarrollar
por las Cámaras.
La cesión de los datos del Impuesto sobre Actividades Económicas y los censales de
las empresas tendrá como finalidad exclusiva la elaboración del censo público de
empresas, el cumplimiento de las funciones público-administrativas que la Ley 4/2014
Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
atribuye a las Cámaras, así como la elaboración del censo electoral a que hace
referencia el artículo 17 de la misma Ley.
Tercera. Autorización de los interesados en la información suministrada.
La cesión de información tributaria deberá contar con la previa autorización expresa
de los interesados, según lo establecido en el artículo 95.1.k) de la LGT, en los
términos y con las garantías que se establecen en el artículo 2.4 de la Orden del
Ministerio de Economía y Hacienda de 18 de noviembre de 1999.
No obstante, la cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas impuesta por el artículo 8 de la citada Ley 4/2014 no
requerirá la previa autorización de los interesados.
Cuarta. Destinatarios de la información suministrada.
La información cedida por la Agencia Tributaria sólo podrá tener como destinatarios a
los órganos de la Cámara de Comercio de España y de las Cámaras que tengan
atribuidas las funciones públicas que justifican la cesión, incluidos los órganos de
fiscalización competentes en la medida en que, por aplicación de su propia normativa,
participen en los procedimientos a que se refiere la cláusula segunda del presente
Convenio. En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio.
Todo ello sin perjuicio de la estricta afectación de la información remitida por la
Agencia Tributaria a los fines que la justifican y para los que se solicita. En cualquier
caso, el destinatario no podrá ceder a terceros la información remitida por la Agencia
Tributaria.
[…]
Séptima. Cesión de información.
1. Para el cumplimiento de las finalidades descritas en la cláusula segunda se
establecen los suministros de información que se recogen en el Anexo I al presente
Convenio.
[…]
Octava. Control y seguridad de los datos suministrados.
[…]
2. Se establecen los siguientes controles sobre la custodia y la utilización de la
información suministrada al amparo de este Convenio:
a) Control interno por parte del ente cesionario de la información.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/98

Las Cámaras realizarán controles sobre la custodia y utilización que de los datos
recibidos realicen las autoridades, funcionarios o resto de personal dependientes de
ellas, informando a la Comisión Mixta de Coordinación y Seguimiento prevista en la
cláusula decimotercera del presente Convenio de los resultados obtenidos en dicho
seguimiento.
Contarán con una política de seguridad de la información, un análisis y gestión de
riesgos y una asignación explícita de responsabilidades en materia de seguridad
adecuadas para su misión, objetivos y tamaño y deberá aplicar dichos mecanismos de
seguridad a la información suministrada por la Agencia Tributaria. Impedirán el acceso
a la información suministrada por parte de personal no autorizado, estableciendo la
trazabilidad de los accesos a la información suministrada, y desarrollando auditorías
del acceso a los datos con criterios aleatorios y de riesgo.
Adoptarán medidas específicas que eviten el riesgo de que la información pueda ser
utilizada, incluso inadvertidamente, para otros propósitos, o por personal en el que
concurra algún conflicto de intereses. Así como medidas que aseguren el
cumplimiento de las condiciones que sustentan cada una de las cesiones.
[…]
Novena. Tratamiento de datos personales.
En el caso de que la información incorpore datos personales de los interesados, tanto
el cedente, la Agencia Tributaria, como el cesionario, la Cámara de Comercio de
España y las Cámaras, tratarán los datos de acuerdo al Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 y a la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales.
Los datos tratados en este Convenio tienen la categorización de información tributaria.
En el caso del cedente de los datos, la Agencia Tributaria, el Responsable del
Tratamiento a efectos del Reglamento General de Protección de Datos es el titular de
la Dirección General.
En el caso de los cesionarios de los datos, la Cámara de Comercio de España y las
Cámaras, el Responsable del Tratamiento a los efectos del Reglamento General de
Protección de Datos será la persona que designe cada Cámara.
Décima. Obligación de sigilo.
1. Cuantas autoridades, funcionarios y resto de personal tengan conocimiento de los
datos o información suministrados en virtud de este Convenio estarán obligados al
más estricto y completo sigilo respecto de ellos. La violación de esta obligación
implicará incurrir en las responsabilidades penales, administrativas y civiles que
resulten procedentes, así como el sometimiento al ejercicio de las competencias que
corresponden a la Agencia de Protección de Datos.
[…]
ANEXO I AL CONVENIO ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y LA CÁMARA OFICIAL DE COMERCIO, INDUSTRIA, SERVICIOS Y
NAVEGACIÓN DE ESPAÑA PARA LA CESIÓN DE INFORMACIÓN DE CARÁCTER
TRIBUTARIO A LAS CÁMARAS OFICIALES PARA EL EJERCICIO DE SUS
FUNCIONES PÚBLICO-ADMINISTRATIVAS
[…]

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/98

[…]
ANEXO III
El presupuesto para la celebración y ejecución del presente Convenio es la condición
de Administración pública, tanto de la Cámara Oficial de Comercio, Industria, Servicios
y Navegación de España como de las propias Cámaras Oficiales, destinándose el
suministro de información a realizar por la Agencia Estatal de Administración
Tributaria, en todo caso, al ejercicio de funciones públicas.
Las funciones públicas a desarrollar por la Cámara Oficial de Comercio, Industria,
Servicios y Navegación se relacionan directa e indirectamente en las letras d) a i) del
artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:
Artículo 21.1 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de
Comercio, Industria, Servicios y Navegación:
«1. La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
desarrollará las siguientes funciones:
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de
Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el
apartado 1 del artículo 5 de esta Ley.
e) Informar, con el carácter y el alcance previstos en la legislación vigente, los
anteproyectos de leyes o disposiciones estatales de cualquier rango que
afecten directamente al comercio, la industria, los servicios y la navegación.
f) Asesorar a la Administración General del Estado, en los términos que ésta
establezca, en temas referentes al comercio, la industria, los servicios y la
navegación.
g) Desempeñar las funciones público-administrativas que se le atribuyan,
cuando
afecten al conjunto del Estado.
h) Gestionar en los términos previstos en los acuerdos con el Ministerio de
Economía y Competitividad las actuaciones previstas en el Plan Cameral de
Internacionalización y en el Plan Cameral de Competitividad.
i) Desempeñar funciones de mediación y arbitraje mercantil, nacional e
internacional, de conformidad con lo establecido en la legislación vigente».
[…]
Artículo 5 de la Ley 4/2014, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/98

«1. Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tendrán las
siguientes funciones de carácter público-administrativo:
[…]
g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.
[…]”
4. Que en la URL
https://sede.agenciatributaria.gob.es/static_files/Sede/Procedimiento_ayuda/ZA02/pInt
ercambioIAE2006.pdf consta el “PROTOCOLO DE INTERCAMBIO DE
INFORMACION DEL I. A. E. ENTRE LA AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA Y ENTIDADES LOCALES / CÁMARAS DE COMERCIO” donde consta:
“[…]
Por otra parte, la información del censo del Impuesto sobre Actividades Económicas,
así como las altas bajas o variaciones del mismo, es necesaria para la Cámaras de
Comercio en la gestión de las exacciones integradas en el Recurso Cameral
Permanente, motivo por el que a partir del ejercicio 2006 se utilizará el mismo
procedimiento telemático para proporcionar esta información a las Cámaras de
Comercio.
[…]
5. PETICIÓN DE FICHEROS DE I.A.E.
Aunque la Agencia Tributaria está obligada al suministro de la Información del I.A.E. a
todas las entidades locales que tengan competencias gestoras y/o recaudatorias en
dicho impuesto y a las Cámaras de Comercio para la gestión y Recaudación de las
exacciones integradas en el Recurso Cameral, este procedimiento se basa en una
solicitud previa de la información deseada, cosa que aunque pueda parecer un
obstáculo, aporta varias e importantes ventajas, como son:
• Las entidades locales y Cámaras de Comercio pueden solicitar el tipo de información
que deseen, en cualquier momento, y cuantas veces lo estimen oportuno. Las
peticiones así efectuadas quedan registradas automáticamente en el Registro de
Entrada de Datos de la AEAT, lo que permite un seguimiento posterior de la petición.
[…]
ANEXO II. Modelo de autorización para el intercambio telemático de información de
IAE.
[…]
la información solicitada será utilizada exclusivamente para los fines conferidos
por la normativa del impuesto sobre actividades económicas a este
ayuntamiento/organismo , sin que puedan utilizarse en perjuicio del interesado
o afectado, ni cedidos a terceros, salvo en los casos expresamente previstos
por la ley"
[…]“

Con fecha 21/11/2023 se comprueba que:
1. Que en el Real Decreto 1065/2007, de 27 de julio, por el que se aprueba el
Reglamento General de las actuaciones y los procedimientos de gestión e inspección
tributaria y de desarrollo de las normas comunes de los procedimientos de aplicación
de los tributos, en su art. 5, consta que “En el Censo de Empresarios, Profesionales y
Retenedores, además de los datos mencionados en el artículo 4 de este reglamento,
para cada persona o entidad constará la siguiente información” y en el art. 4 constan
como datos los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/98

“Artículo 4. Contenido del Censo de Obligados Tributarios.
1. Los datos que se incluirán en el Censo de Obligados Tributarios serán para
las personas físicas los siguientes:
a) Nombre y apellidos, sexo, fecha de nacimiento, lugar de nacimiento, estado
civil y fecha del estado civil.
b) Número de identificación fiscal español.
c) Número de identificación fiscal de otros países, en su caso, para los
residentes.
d) Código de identificación fiscal del Estado de residencia, en su caso, para no
residentes.
e) Número de pasaporte, en su caso.
f) Condición de residente o no residente en territorio español.
g) Domicilio fiscal en España y la referencia catastral del inmueble, salvo que
no esté obligado a ello de acuerdo con la normativa que le sea de aplicación.
h) En su caso, domicilio en el extranjero.
i) Nombre y apellidos o razón social o denominación completa y número de
identificación fiscal de los representantes legales para las personas que
carezcan de capacidad de obrar en el orden tributario
[…]”

Como consecuencia del requerimiento de información efectuado por la inspección, con
fecha 21/11/2023, CÁMARA remite a esta agencia la siguiente información:

1. “La base de datos del censo público de empresas de la Cámara de España lo
integran, conforme al artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras
Oficiales de Comercio, Industria, Servicios y Navegación (en adelante, Ley 4/2014),
las personas jurídicas y físicas, nacionales o extranjeras, que ejerzan actividades
comerciales, industriales, de servicios y navieras en territorio nacional.
Se incluyen únicamente aquellas actividades económicas de empresas, personas
físicas y jurídicas, cuya actividad se halle en alguno de los epígrafes de las Divisiones
números 1 a 9, ambas inclusive, de la Sección Primera del Anexo I del Real Decreto
Legislativo 1174/1990, de 28 de septiembre, por el que se aprueban las tarifas y la
instrucción del Impuesto sobre actividades Económicas, y que no hayan causado baja.
El origen de los datos que integran el censo público de empresas de la Cámara
España son los datos del Impuesto de Actividades Económicas y los censales de las
empresas que sean necesarios cedidos por la Agencia Estatal de la Administración
Tributaria, en virtud del Convenio de 25 de noviembre de 2019, suscrito entre la
Administración Tributaria y la Cámara de España para la cesión de información de
carácter tributario a las Cámaras Oficiales de Comercio, industria, Servicios y
Navegación españolas para el cumplimiento de sus finalidades y el ejercicio de sus
funciones público-administrativas, que ha sido prorrogado mediante adenda de fecha
19 de diciembre de 2023. Asimismo, también tienen su origen en los datos del
Impuesto de Actividades Económicas cedidos por la Diputación Foral de Navarra y en
los cedidos por las Cámaras de Comercio del País Vasco.[…]”
2. Que el número total de autónomos o empresarios individuales o personas
físicas que constan actualmente en el censo público de empresas es de 1.459.498.
3. Que los datos que contiene el censo público de empresas de CÁMARA son:
NIF/CIF
Nombre, primer apellido, segundo apellido.
Dirección postal de la actividad económica.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/98

Código postal de la actividad económica.
Provincia de la actividad económica.
Municipio de la actividad económica.
Descripción de la actividad económica ejercida.
Aporta extracto de la base de datos donde constan estos datos, entre otros.
4. “[…]Los campos relacionados anteriormente se proporcionan únicamente a
CAMERDATA, S.A., como entidad mercantil constituida por múltiples Cámaras de
Comercio españolas y por la Cámara de España, para su inclusión en su Fichero de
Empresas Españolas, con la finalidad de tratarlos, completarlos y enriquecerlos de
forma legítima y disponer de una base de datos de calidad de las empresas que
operan en territorio español para poder ofrecerla empresas y a terceros interesados.
[…]”
5. Que respecto a la obligación de información del art. 14 RGPD, no le resulta de
obligación, según el art. 14.5 c). Que la obtención de datos está expresamente
establecida por la Ley 4/2014 y a las funciones público-administrativas que ésta
atribuye a CÁMARA.
Manifiesta que el art. 3 Ley 4/2014 establece:
“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación tienen
como finalidad la representación, promoción y defensa de los intereses
generales del comercio, la industria, los servicios y la navegación, así como la
prestación de servicios a las empresas que ejerzan las indicadas actividades.
Asimismo, ejercerán las competencias de carácter público que les atribuye esta
Ley y las que les puedan ser asignadas por las Administraciones Públicas con
arreglo a los instrumentos que establece el ordenamiento jurídico. […]"
Que el art. 5.1 Ley 4/2014 establece las funciones público-administrativas de
CÁMARA:
“g) Gestionar, en los términos del artículo 8 de esta Ley, un censo público de
todas las empresas, así como de sus establecimientos, delegaciones y
agencias radicados en su demarcación.
j) Impulsar actuaciones dirigidas al incremento de la competitividad de las
pequeñas y medianas empresas, y fomentar la innovación y transferencia
tecnológicas a las empresas. (...) "
Y que el art. 8 Ley 4/2014 establece en relación al citado censo:
"Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional (...)."
Que el art. 21.1 Ley 4/2014 dispone las siguientes funciones:
"[…]
a) Promover los intereses generales del comercio, la industria, los servicios y la
navegación, en el ámbito estatal.
b) Representar al conjunto de las Cámaras ante las diversas instancias
estatales e internacionales.
c) Coordinar e impulsar las acciones que afecten al conjunto de las Cámaras
españolas.
d) Ejercer en el ámbito estatal y, en coordinación con las Cámaras de
Comercio, Industria, Servicios y Navegación, las funciones a que se refiere el
apartado 1 del artículo 5 de esta Ley. […]”
6. Que “la obtención de los datos que integran el censo público de empresas
(relacionados en el punto anterior) y su tratamiento para la elaboración de un censo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/98

público de todas las empresas, sean personas físicas o jurídicas, constituye el
desempeño de una función público-administrativa de las Cámaras de Comercio
españolas y que la Cámara de España ejerce, en el ámbito estatal y en coordinación
con las Cámaras de Comercio, para el cumplimiento de las finalidades camerales,
promoviendo así los intereses generales del comercio, la industria, los servicios y la
navegación e impulsando, en particular, actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (en gran parte, autónomos).”
7. Que la legitimación para el tratamiento que supone el censo público de
empresas es la obligación legal, según art. 5.1.g y 8 de la Ley 4/2014, así como el
interés público.
Y manifiesta:
“[…]
Sin perjuicio del ejercicio de su función público-administrativa de elaborar un
censo público de empresas, con su gestión la Cámara de España también
cumple un objetivo o misión de interés público o general que (i), de un lado, es
inherente a sus funciones propias del artículo 21.1.d) de la Ley 4/2014, en
relación con las finalidades camerales del artículo 3 de la misma Ley, como es
la promoción de los intereses generales del comercio, la industria, los servicios
y la navegación y del desarrollo empresarial y económico, y la función principal
de prestación de servicios a todas las empresas que ejerzan dichas
actividades, entre ellos, los servicios de información empresarial, reforzando
así su papel de apoyo a las pequeñas y medianas empresas en el ámbito del
incremento de su competitividad (párrafo 12, apartado l, del Preámbulo de la
Ley 4/2014), y que (ii), de otro lado, se halla implícito en la función público-
administrativa consistente en impulsar actuaciones dirigidas al incremento de la
competitividad de las pequeñas y medianas empresas (artículo 5.1.j) de la Ley
4/2014).
En este sentido, el Preámbulo de la Ley 4/2014 (párrafo 6, apartado l) destaca
el objetivo o misión de interés público de las finalidades, funciones y
actividades de las Cámaras de Comercio:
"Conscientes de su importancia y necesidad como instituciones básicas
para el desarrollo económico y empresarial de nuestro país, se
mantiene su naturaleza como corporaciones de derecho público,
garantizando el ejercicio de las funciones público-administrativas que,
en e/ actual contexto económico, tienen una especial relevancia de cara
a la regeneración del tejido económico y la creación de empleo y se
consagra su finalidad de representación, promoción y defensa de los
intereses generales del comercio, la industria, los servicios y la
navegación, así como la prestación de servicios a todas las empresas.”
La Ley 4/2014 atribuye a la Cámara de España el ejercicio y cumplimiento de
funciones de interés público o general -a/ tratarse de funciones de carácter
público- administrativo, entre las que se encuentra la elaboración y gestión de
un censo público de empresas, necesario para el cumplimiento de sus
finalidades y el ejercicio de las demás funciones público-administrativas
camerales.
Así, la Ley 4/2014 determina la finalidad del tratamiento y su necesidad para el
cumplimiento de una misión realizada en interés público.
De este modo, tanto la necesidad del tratamiento de datos realizado, como las
finalidades de interés público, vienen impuestas por una norma con rango de
Ley.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/98

8. Respecto a la finalidad del tratamiento manifiesta:
“La finalidad del tratamiento que realiza la Cámara de España reside en la
promoción de los intereses generales del comercio, la industria, los servicios y
la navegación y del desarrollo empresarial y económico y la función principal
de prestación de servicios a todas las empresas que ejerzan dichas
actividades, entre ellos, los servicios de información empresarial, reforzando
así su papel de apoyo a las pequeñas y medianas empresas, impulsando así
actuaciones dirigidas al incremento de su competitividad.
Con la gestión del censo público de empresas se ofrece al público en general y
a las empresas, en particular, un sistema o servicio de información de
empresas con el objetivo de dar mayor transparencia y seguridad al tráfico
jurídico mercantil, ayudando al desarrollo económico y empresarial y,
cumpliendo, con ello, un interés público general para el sector empresarial y
profesional y la creación de empleo.
Finalidad de la que participan los propios interesados, los autónomos o
empresarios individuales, que tienen interés en formar parte de esa base de
datos tanto para ser localizados por terceros interesados en sus productos y
servicios, como para acceder a su vez a esa base de datos para ofrecerlos a
terceros.”
9. En relación a la cesión de los datos a CAMERDATA manifiesta:
“La Cámara de España proporciona los datos del censo público de empresas a
Camerdata, S.A. para tratarlos, completarlos y enriquecerlos de forma legítima
y disponer de una base de datos de calidad de las empresas que operan en
territorio español para poder ofrecerla empresas y a terceros interesados.
La base de legitimación del tratamiento de los datos del censo público de
empresas por Camerdata se ampara en que el tratamiento es necesario para la
satisfacción de intereses legítimos perseguidos por el responsable del
tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales (artículo 6.1. f) del
RGPD).
En este sentido, se contribuye al desarrollo y fomento de las relaciones
comerciales e industriales, disponiendo así de un sistema de información
empresarial de calidad para los actores del tejido empresarial, impulsando el
desarrollo económico y empresarial y confiriendo a una mayor seguridad en el
tráfico mercantil, dando, con ello, satisfacción a un interés general.
En el tratamiento de los datos del censo público de empresas por parte de
Camerdata subyace también un interés legítimo de los propios empresarios,
que necesitan disponer de esta información bien para conocer los servicios y
productos de otros empresarios o bien dar a conocer los suyos a terceros.
Derechos y libertades fundamentales de los interesados:
Los derechos y libertades fundamentales de los interesados son los generales
que requieren la protección de datos personales, sin que haya ninguno que
específicamente destaque en esta situación particular.
En todo caso, los mismos no se verán vulnerados por el tratamiento de los
datos del censo público de empresas, por cuanto:
1º. La categoría de datos personales tratados se limita a los del censo público
de empresas de la Cámara de España y para finalidades acordes con las
propias de su elaboración.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/98

2º. Los datos que se tratan son los contenidos en el censo público de
empresas, base de datos de acceso público en la web de la Cámara de
España.
3º. Se garantiza en todo momento el fácil ejercicio de los derechos de los
Interesados regulados en los artículos 15 a 22 del RGPD UE.
Resultado de la ponderación:
1º - El tratamiento se considera lícito.
2º - Los datos que se tratan son datos públicos, de acceso al público en
general en la web corporativa de la Cámara de España.
3º - Las categorías de datos tratados son mínimamente invasivos del derecho a
la intimidad del interesado, pues son datos ceñidos al desempeño por el
interesado de una actividad empresarial, sin que en ningún momento existan
datos de su esfera familiar, ni mucho menos datos de categorías especiales de
datos (artículo 9 RGPD).
4º - El principio a la libre circulación de los datos, establecido y amparado por
la propia normativa europea en la materia (RGPD).
5º - Las finalidades pretendidas por el tratamiento de los datos por parte de
Camerdata son acordes y compatibles de las que tiene el censo público de
empresas de las Cámaras de Comercio, pues persiguen disponer de un
sistema de información empresarial de calidad para los actores del tejido
empresarial, impulsando el desarrollo económico y empresarial y confiriendo a
una mayor seguridad en el tráfico mercantil, dando, con ello, satisfacción a un
interés económico general.
[…]”

Con fecha 22/03/2024 se comprueba, respecto de un autónomo elegido al azar
extraído de los listados aportados por CAMARA y CAMERDATA, que:
1. Se realiza una búsqueda en www.google.es por el nombre y apellidos de un
autónomo, constando resultados de la web www.expansion.com.
2. Que en la web www.expansion.com constan datos exclusivamente de nombre y
apellidos, código postal, provincia, municipio, año de inicio de actividad, actividad, SIC,
CNAE. Consta que los datos han sido obtenidos de fuentes públicas por AXESOR
CONOCER PARA DECIDIR S.A. Consta también que para ampliar más información
sobre el autónomo se ofrece un enlace a la web de autonomos.axesor.es. Pinchando
en ese enlace se redirige a la web de autonomos.axesor.es y se muestran
exclusivamente los datos de nombre y apellidos, código postal, municipio, provincia,
CNAE, SIC e información sobre su actividad.
Asimismo, consta en la web de autonomos.axesor.es el texto “Nuestros informes le
proporcionarán la información más completa sobre la actividad empresarial de […]
como el NIF, teléfono. dirección en Molledo (Cantabria), scoring calificación de crédito,
probabilidad de impago y capacidad máxima de solvencia. incidencias judiciales....”.
3. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio einforma.es, se
ofrecen resultados de búsqueda que pinchando en ellos redirige a la web de
einforma.com y donde constan datos de nombre, apellidos, localidad y provincia sobre
personas físicas. Que más en detalle constan datos de nombre y apellidos, código
postal, provincia, municipio, actividad, SIC, CNAE.
Además, en la web einforma.com consta, un enlace con “Acceda al informe ampliado
de esta empresa”. Asimismo, consta el texto “elnforma, marca de INFORMA D&B
S.A.U. (S.M.E.), es el líder en el mercado Español de información de empresas e
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/98

informes de empresas. Contamos con una base de datos de empresas de más de 500
millones de registros de empresas, donde podrás buscar empresas de todo el mundo,
más de 7 millones de agentes económicos nacionales y acceso a Prospecta.”
4. Buscando con el buscador www.google.com por el nombre y apellidos de ese
autónomo y restringiendo los resultados de búsqueda al dominio axesor.es, no se
ofrecen resultados de búsqueda.
5. Que en la web de censo.camara.es realizando una búsqueda por el campo
nombre e introduciendo el nombre y apellidos del mismo autónomo anterior, se ofrecen
resultados con los datos de nombre y apellidos, dirección postal, código postal,
provincia, municipio y actividad. A su vez se ofrece un enlace al fichero de empresas
de Camerdata Online (www.camerdata.es) para obtener más información.

Con fecha 22/03/2024 se comprueba que:
1. En el apartado 5.1. “censo” del registro de actividades del tratamiento de la
AEAT ubicado en https://sede.agenciatributaria.gob.es/Sede/todas-
gestiones/procedimientos-no-tributarios/tratamiento-datos-personales/tratamiento-
datos-personales/informacion-interesado-sobre-proteccion-datos/5-registro-
actividades-tratamiento/5_1-censo.html consta:
“Descripción de la actividad
Gestión y obtención de información de contribuyentes, ya sean
personas físicas o jurídicas. Para ello, se tratan la mayoría de los datos
censales, incluyendo el histórico de los mismos.
Finalidad.
Aplicación efectiva del sistema tributario estatal y aduanero
Interesados
Contribuyentes y obligados
Cualquier español o extranjero con DNI, NIE (DGP) o NIF (AEAT)
Datos.
DNI y datos asociados al documento, Nombre y Apellidos, Dirección,
Teléfono, Correo electrónico, fax, teléfono móvil, estado civil y en su
caso cónyuge o excónyuge, país de nacimiento, provincia de
nacimiento, población de nacimiento, fecha de nacimiento,
nacionalidad, pasaporte, sexo, tipo de administración al que está
adscrito el contribuyente, número de identificación fiscal en
Administración fiscal extranjera, número de identificación del
ayuntamiento, número de identificación electoral, número de hoja
padronal, nombre del padre, nombre de la madre.
Transacciones de bienes y servicios.
Obligaciones tributarias.
[…]
Destinatarios.
Organismos SS
Órganos CCAA
CCAA
Órganos Admón. Local
Diputaciones Provinciales
Diputación Foral Navarra
Agencia Tributaria
Diputaciones Forales Vascas
Cámara Comercio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/98

[…]”

CUARTO: Con fecha 12 de abril de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a DATACENTRIC en la
actualidad DEYDE DATACENTRIC, S.L.U (en adelante, DATACENTRIC)con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6.1 del RGPD y Artículo 14 del RGPD,
tipificada en el Artículo 83.5.a) del RGPD y Artículo 83.5.b) del RGPD.

QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), DATACENTRIC presentó escrito de
alegaciones en el que, en síntesis, manifestaba lo siguiente:

PRIMERA ALEGACIÓN: SOBRE EL CÓDIGO DE CONDUCTA DEL SECTOR
INFOMEDIARIO (CCSI): DATACENTRIC expone su participación activa y prolongada
en la elaboración del CCSI, promovido por la asociación ASEDIE, de conformidad con
lo dispuesto en los artículos 40.2 y 40.5 del RGPD. Afirma que dicho Código fue
concebido como un marco regulador destinado a garantizar el cumplimiento normativo
en el tratamiento de datos personales dentro del sector, integrando las aportaciones de
distintos actores, como asociados, consultores y expertos en privacidad.

La entidad sostiene que este esfuerzo demuestra su compromiso con las mejores
prácticas en materia de protección de datos, destacando además que, desde 2017, ha
colaborado de manera transparente con la Agencia Española de Protección de Datos
(AEPD) durante las diferentes fases de desarrollo del CCSI. Detalla las fechas de
presentación formal del Código y sus actualizaciones, entre las que resalta la remisión
de versiones en 2018, 2020, 2022 y 2024. Asimismo, recalca que las reuniones
mantenidas entre ASEDIE y la AEPD, realizadas hasta marzo de 2024, reflejan un
intercambio constante de información y propuestas de mejora, lo que acreditaría un
diálogo abierto entre las partes.

La entidad enfatiza que este esfuerzo fue reconocido en 2018, cuando la AEPD otorgó
a ASEDIE el premio por "Buenas prácticas en privacidad y protección de datos
personales". Este reconocimiento, afirma, avala las acciones emprendidas por las
empresas asociadas, incluida DATACENTRIC, lo cual, a su juicio, demuestra su
alineación con los preceptos del RGPD.

En relación con la legitimidad del tratamiento de los datos, DATACENTRIC argumenta
que siempre ha actuado conforme al interés legítimo reconocido por la normativa
vigente. Apoya esta postura señalando que la propia AEPD, en informes previos como
el emitido por su Gabinete Jurídico (Informe 0089/2020) y en la resolución del
expediente CC/0003/2018, nunca cuestionó la licitud del tratamiento de datos de
carácter profesional realizado por las empresas del sector. Afirma, además, que el
Anexo I del CCSI, que regula específicamente el tratamiento de información de
autónomos, no fue objeto de objeciones por parte de la Agencia, lo que refuerza la
legalidad de su actuación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/98

Sostiene que la apertura del procedimiento sancionador constituye un cambio
repentino e injustificado de criterio por parte de la AEPD, lo que vulnera el principio de
confianza legítima. Argumenta que desde 2017 la Agencia tuvo conocimiento detallado
de las actividades de tratamiento realizadas y nunca planteó reservas al respecto.
Subraya que esta actuación contraria a la previsibilidad administrativa es incoherente y
genera inseguridad jurídica, citando la doctrina del Tribunal Supremo, que reconoce la
obligación de la Administración de actuar de manera previsible y consistente con sus
decisiones anteriores.

Finalmente, concluye afirmando que su actuación en el desarrollo y promoción del
Código de Conducta, sumada a su historial de colaboración con la AEPD, manifiesta
su diligencia y buena fe, aspectos que deben ser considerados en la resolución del
procedimiento.

SEGUNDA ALEGACIÓN: SOBRE LA PRESUNTA VULNERACIÓN DEL ARTÍCULO
6.1 DEL RGPD: DATACENTRIC sostiene que el tratamiento de datos personales
realizado por la entidad se encuentra plenamente legitimado bajo el artículo 6.1.f) del
RGPD, que permite el tratamiento cuando sea necesario para la satisfacción de
intereses legítimos del responsable del tratamiento o de un tercero, siempre que
dichos intereses no prevalezcan sobre los derechos y libertades fundamentales de los
interesados. En su alegación, afirma que ha realizado un análisis de ponderación
exhaustivo y que sus conclusiones confirman que los intereses del responsable
prevalecen sobre cualquier posible impacto en los derechos de los afectados. Insiste
en que los datos tratados son estrictamente profesionales e identificativos, excluyendo
cualquier información de carácter personal o sensible, lo que, según ellos, minimiza el
riesgo de afectación a los derechos fundamentales de los interesados.

Asimismo, cita el artículo 19 de la LOPDGDD, que permite el tratamiento de datos de
contacto y datos relacionados con la localización profesional en el contexto de
relaciones empresariales, para justificar la licitud de su actividad. Argumenta que los
datos han sido obtenidos legítimamente de registros públicos y otras fuentes legítimas,
como el censo público empresarial cedido por las Cámaras de Comercio. Según la
entidad, esta información se utiliza únicamente para crear productos y servicios
informativos dirigidos a fines de interés profesional, asegurando que los tratamientos
respetan tanto el principio de finalidad como el principio de proporcionalidad
establecidos en el RGPD.

Asimismo, defiende que, en cumplimiento del principio de minimización, el tratamiento
está limitado únicamente a aquellos datos estrictamente necesarios para alcanzar los
fines propuestos. La entidad recalca que no se utilizan datos que puedan considerarse
excesivos o irrelevantes y que, en todo momento, los datos se mantienen en un
entorno seguro mediante medidas técnicas y organizativas adecuadas, de acuerdo
con el principio de responsabilidad proactiva del RGPD. Además, asegura que los
clientes que adquieren sus productos y servicios están debidamente informados de
sus obligaciones como responsables de tratamiento y actúan en conformidad con la
normativa de protección de datos.

Por último, manifiesta que el tratamiento que realiza contribuye al interés general, al
permitir que se ofrezca información relevante para el desarrollo del tejido empresarial y
profesional en España. Subraya que este objetivo tiene un impacto positivo en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/98

sociedad al facilitar el acceso a productos informativos necesarios para la actividad
económica y empresarial, lo que refuerza la legitimidad de sus operaciones. Sobre
esta base, solicita que se archive cualquier imputación de vulneración del artículo 6.1
del RGPD, argumentando que su actuación cumple de forma plena con los requisitos
legales y que no existe afectación significativa a los derechos de los interesados.

TERCERA. – SOBRE LA PRESUNTA VULNERACIÓN DEL ARTÍCULO 14 DEL
RGPD.
DATACENTRIC argumenta que no se ha producido una vulneración del artículo 14 del
RGPD, el cual regula la obligación de informar a los interesados cuando los datos
personales no se obtienen directamente de ellos. La entidad reconoce que no ha
informado directamente a los titulares de los datos personales objeto de tratamiento,
pero alega que dicha omisión se encuentra amparada en las excepciones previstas en
el artículo 14.5 del RGPD, particularmente en su apartado b), que exime de la
obligación de informar cuando esta suponga un esfuerzo desproporcionado.

En su alegación justifica la imposibilidad de informar directamente a los interesados
alegando que los datos tratados provienen de fuentes legítimas, como el censo público
de empresas elaborado por las Cámaras de Comercio. Sostiene que el volumen de
datos tratados, aproximadamente 1.500.000 registros, y los costes asociados a la
notificación individualizada (estimados en 4 millones de euros) hacen inviable el
cumplimiento de esta obligación sin generar un impacto económico desproporcionado
para la entidad. Además, asegura que ha implementado medidas alternativas para
garantizar la transparencia del tratamiento, como la publicación de su política de
privacidad en su sitio web.

Asimismo, afirma que los datos tratados no incluyen información de carácter sensible y
se limitan a datos identificativos y profesionales, lo que, según la empresa, reduce
significativamente el riesgo de impacto en los derechos de los interesados. Señala que
esta naturaleza limitada de los datos tratados justifica una menor carga informativa, al
tratarse de información vinculada al ámbito profesional y no personal.

Finalmente, sostiene que los clientes a los que se distribuyen los productos y servicios
que contienen dichos datos son plenamente conscientes de las obligaciones que
deben cumplir como responsables de tratamiento y que son ellos, en última instancia,
quienes deben garantizar el cumplimiento del RGPD en lo relativo al deber de
información hacia los interesados.

En consecuencia, solicita que no se considere vulnerado el artículo 14 del RGPD, ya
que alega haber actuado en conformidad con las excepciones previstas en el
reglamento y haber adoptado medidas razonables para garantizar la transparencia del
tratamiento.

CUARTA ALEGACIÓN: SOBRE LA FALTA DE PROPORCIONALIDAD DE LA
SANCIÓN PROPUESTA. DATACENTRIC alega que la sanción propuesta por la
Agencia Española de Protección de Datos que asciende a un total acumulado de
60.000 euros por las presuntas infracciones de los artículos 6.1 y 14 del RGPD, resulta
desproporcionada y contraria al principio de proporcionalidad consagrado en el artículo
29 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP). La entidad
argumenta que ha actuado con la diligencia debida en todo momento, demostrando
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/98

haber realizado un análisis ponderado del interés legítimo, adoptando medidas para
garantizar la transparencia, y colaborando de forma activa con la AEPD durante el
procedimiento.

Asimismo, señala que la sanción calculada en base al volumen de negocio de 1,6
millones de euros para el año 2023 se aproxima al límite máximo del 4% previsto en el
artículo 83.5 del RGPD, lo que considera injustificado, dado que no concurre ninguna
circunstancia agravante significativa que pueda justificar esta decisión. La entidad
rebate la consideración de factores agravantes por parte de la AEPD, como la
supuesta duración prolongada de la infracción, la negligencia en el cumplimiento
normativo, y la vinculación de la actividad empresarial con el tratamiento de datos,
argumentando que estos elementos no han sido fundamentados de manera adecuada
en el acuerdo de inicio.

Por otro lado, alega la concurrencia de múltiples circunstancias atenuantes que no han
sido debidamente valoradas por la AEPD, como la ausencia de infracciones previas, el
tratamiento de datos no sensibles ni especialmente invasivos, la existencia de un
delegado de protección de datos, la participación activa en el desarrollo de códigos de
conducta y la colaboración constante con la Agencia. Además, menciona que los datos
tratados son de carácter profesional y provienen de fuentes legítimas, lo que minimiza
el impacto sobre los derechos de los interesados.

Por último, la entidad considera que, incluso si se determinase la existencia de alguna
infracción, la sanción debería ajustarse a la escala inferior en gravedad y aplicarse en
su grado mínimo, en atención al principio de proporcionalidad y al carácter diligente de
su actuación. Concluye solicitando la aplicación de medidas menos gravosas,
argumentando que una sanción elevada, como la propuesta, resulta desproporcionada
y contraria a los principios del derecho sancionador.

SEXTO: Con fecha 3/10/2024, el instructor del procedimiento acordó abrir un período
de practica de pruebas por un plazo quince días, acordando practicar las siguientes
pruebas:

1. Dar por reproducidos a efectos probatorios la reclamación interpuesta por
INSTITUT PER A LA CULTURA DEMOCRATICA A L'ERA DIGITAL-ASSOCIACIO
CONSERVAS y su documentación, los documentos obtenidos y generados durante la
fase de admisión a trámite de la reclamación y las actuaciones previas de
investigación AI/00037/2023.

2. Dar reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del
procedimiento sancionador referenciado, presentadas por DATACENTRIC PDM S.A.,
y la documentación que a ellas acompaña.

3. Incorporar al expediente mediante Diligencia:

- El informe del Gabinete Jurídico firmado con fecha de 16 de marzo de 2021 por la
que se informa desfavorablemente la aprobación, por la Agencia Española de
Protección de Datos, del Código de conducta del sector infomediario de protección

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/98

de datos de carácter personal presentado por la Asociación Multisectorial de la
Información (ASEDIE).
- La resolución en materia de Códigos de Conducta de fecha 24 de marzo de 2021
a través de la cual se deniega la aprobación del “CÓDIGO DE CONDUCTA DEL
SECTOR INFOMEDIARIO DE PROTECCIÓN DE DATOS DE CARÁCTER
PERSONAL”, cuyo promotor es la ASOCIACIÓN MULTISECTORIAL DE LA
INFORMACIÓN (ASEDIE).

4. Requerir a DATACENTRIC PDM S.A para que remitiese a esta Agencia en el plazo
de 10 días la siguiente información y documentación:

-Confirmación de si el contrato de colaboración unificado entre CAMERDATA S.A.
DATACENTRIC PDM S.A de 25 de abril de 2017, que forma parte del presente
expediente administrativo EXP202404646 sigue vigente, así como la remisión de
cualquier otro contrato y/o acuerdo posterior entre ambas entidades, relacionado con
el tratamiento de los datos personales de los empresarios individuales.

- Confirmación de si se ha producido cualquier tipo de distribución o comercialización
de la información de su base de datos de empresarios individuales a terceras
entidades, tal y como permite la estipulación segunda del citado contrato de
colaboración de 25 de septiembre de 2017:

“CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos (empresarios
individuales) en la modalidad Premium. Esta modalidad incluye el derecho:

[…]

- de distribución y comercialización de los datos a terceras empresas (a excepción de
las empresas infomediarias, a modo de ejemplo se citan; Informa, Experian, Arvato,
Equifax, Iberinform, Axesor, Ardan, etc…), con la finalidad de que sea utilizado por los
destinatarios para uso exclusivo interno, nunca para su posterior distribución o venta.”

En caso afirmativo, especifique el número de contratos y/o acuerdos que se hayan
suscrito con esas terceras empresas, con detalle de los correspondientes a cada
ejercicio de vigencia del contrato formalizado con CAMERDATA y cuántos de ellos
siguen vigentes en la actualidad. Asimismo, se requiere la aportación de una muestra
de los contratos de comercialización de los datos esa base de datos suscritos con los
clientes de DATACENTRIC PDM SA, integrada por al menos un contrato formalizado
en cada uno de esos ejercicios y sus correspondientes adendas o anexos, incluido el
ejercicio actual.

- Cualquier documento que acredite la recepción de las bases de datos de autónomos,
así como de las actualizaciones trimestrales a las que hace referencia la estipulación
quinta del contrato de fecha 25 de septiembre de 2017:

“Las bases de datos se cederán de forma anual, actualizándose trimestralmente.
Siendo el coste anual y por entrega el mostrado en los siguientes cuadros.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/98

Las partes han acordado 4 entregas trimestrales por cada año de duración del
contrato. por primera entrega nos referimos a la base de datos propiamente dicha y
las otras tres entregas, son las actualizaciones de la misma.

El período mínimo a transcurrir entre las entregas, durante toda la vigencia del
contrato, será de 3 meses.”

- Presente las facturas abonadas por parte de DATACENTRIC por el suministro de
fichero CAMERDATA (autónomos) al que hace referencia la estipulación quinta del
contrato de 25 de septiembre de 2017 desde la firma de dicho contrato hasta la fecha:

“Fichero CAMERDATA (Autónomos)

- Respecto a las cuatro (4) primeras entregas, cada una de ellas será por una cuantía
de 23.750 €.

- Respecto a las restantes y sucesivas entregas pactadas, cada una de ellas será por
una cuantía de 22.500 €.”

- Información de los distintos productos a la venta que figuran en la página web
https://www.datacentric.es/ donde se comercialicen los datos de empresarios
individuales existentes en la Base de Datos de DATACENTRIC con origen en
CAMERDATA.

- Número de solicitudes de supresión y/o rectificación de datos personales registrados
en la base de datos procedente de CAMERDATA recibidas durante el último año por
parte de empresarios individuales, así como el porcentaje de dichas solicitudes que
fueron debidamente atendidas. Asimismo, se expongan en su caso las razones que
determinaron la denegación del resto de las solicitudes de ejercicios de derechos.

- Se solicita que remita la documentación en la que conste la evaluación de los
riesgos, de diversa probabilidad y gravedad, que puede entrañar, para los derechos y
libertades de las personas físicas, el incumplimiento de los principios de licitud y
transparencia en las operaciones de tratamiento que DATACENTRIC lleva a cabo de
los datos personales de los empresarios individuales por CAMERDATA, así como las
medidas técnicas y organizativas adecuadas que se hayan implementado para aplicar
de forma efectiva dichos principio de licitud y transparencia en las aludidas
operaciones de tratamiento de datos que realiza.

OCTAVO: En fecha 25/10/2024 se recibe en el registro de la presente autoridad
contestación al requerimiento de documentación e información acordado en el período
de práctica de prueba del cual destaca lo siguiente:

- El Contrato fechado el 25 de abril de 2017 suscrito entre CAMERDATA y
DATACENTRIC y las sucesivas Adendas suscritas, respectivamente, el 24 de
mayo de 2018 y el 19 de julio de 2019, se mantienen vigentes.
- En relación con el número de contratos y/o acuerdos suscritos en el período
comprendido entre 2017 a 2024 con fines de marketing detalla el número de
contratos en los que se puso a disposición el fichero facilitado por

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/98

CAMERDATA correspondiente a cada ejercicio, facilitando una muestra de los
contratos suscritos para cada uno de los ejercicios:

AÑO Nº CONTRATOS Nº CONTRATOS
ACTIVOS
2024 12 12
2023 13 0
2022 20 0
2021 19 0
2020 18 0
2019 25 0
2018 17 0

- Se adjunta registro que acredita la recepción de la base de datos de
CAMERDATA por parte de DATACENTRIC, así como las actualizaciones
trimestrales. Adicionalmente, se informa que la puesta a disposición de la
información por parte de CAMERDATA se realiza a través de FTP mediante
transferencia segura de datos. Se aporta una muestra de comunicación
informando de la puesta a disposición de la base de datos actualizada, así
como, del fichero descargado por medio del sistema FTP.
- Se adjuntan las facturas abonadas por el suministro del fichero a CAMERDATA
desde 25 de abril de 2017 hasta la fecha.
- En relación con los productos de la página web de DATACENTRIC, debemos
referenciar que de las distintas soluciones ofertadas única y exclusivamente
existe una solución para la que se encuentra disponible el fichero
“DATACENTRIC” que contiene información sobre empresas y autónomos cuyo
origen es CAMERDATA. La citada solución se localiza en el “Área de Marketing
y Audience” “Bases de datos para Telemarketing B2B”. Adicionalmente, dentro
de la sección de empresas existía la posibilidad de elegir entre empresas o
autónomos que conforman el fichero “DATACENTRIC”. Actualmente, esta
segunda posibilidad no puede ser contratada.
- En cuanto al número total de solicitudes de ejercicios de derechos registrados
en la base de datos procedentes de CAMERDATA y recibidas por parte de
DATACENTRIC durante año 2024 por parte de empresarios individuales, se
corresponde únicamente con seis solicitudes de derecho de supresión.
- En cuanto a la evaluación, afirma que DATACENTRIC ha elaborado un Análisis
de Riesgos con fecha 20/09/2023 y una Evaluación de Impacto de Protección
de Datos (PIA) a través de la herramienta SaaS de Global Suite en el que se
analizan los distintos riesgos que pueden entrañar para los derechos y
libertades de los interesados, entre otros, el incumplimiento de los principios de
licitud y transparencia, así como, los controles que han sido debidamente
implantados. Tras aplicar los controles implantados, se corresponden con un
riesgo residual bajo o muy bajo

Dentro del citado Análisis de riesgos que se acompaña al escrito, figura el siguiente
resultado de la evaluación:

EQUILIBRIO PROVISIONAL

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/98

Una vez analizadas las respuestas a cada una de las cuestiones planteadas para
evaluar la posible preponderancia del interés legítimo de Deyde DataCentric sobre
los intereses o los derechos y libertades de los interesados para llevar a cabo el
tratamiento de datos personales objeto de evaluación en este Informe, el resultado
de cada uno de los apartados objeto de examen, y la volaración inicial del
equilibrio entre ambos factores para considerar factible el tratamiento de datos
personales para la prestación de servicios infomediarios, serían los siguientes:

TEST DE FINALIDAD: SI
TEST DE NECESIDAD: SI
TEST DE PONDERACIÓN: DUDOSO
EQUILIBRIO PROVISIONAL: DUDOSO

GARANTÍAS ADICIONALES

Teniendo en cuenta el resultado del equilibrio provisional entre e interés legítimo
de Deyde DataCentric y los intereses o los derechos y libertades de los
interesados, se considera necesario implementar medidas adicionales de refuerzo
de las garantías en torno al tratamiento de datos pretendido, proponiéndose las
siguientes:

• Se adoptarán medidas para permitir a los interesados conocer el tratamiento de
sus datos personales por parte de Deyde DataCentric, tanto a través de su página
web, como las de otras empresas infomediarias pertenecientes a la asociación
ASEDIE. • Los contratos con los clientes en los que se licencia el uso de la base
de datos incluirán la obligación de informar a los interesados, en el momento de
comunicarse con ellos, del origen de los datos, con referencia expresa a la
posibilidad de ejercitar sus derechos y el modo en cómo obtener información
adicional al respecto.

SÉPTIMO: En fecha 15/10/2024 se recibió escrito por DATACENTRIC comunicando la
absorción, con fecha 26 de junio de 2023, por la que DEYDE CALIDAD DE DATOS,
S.L.U. (sociedad absorbente) absorbió a DATACENTRIC SOLUCIONES, S.A.U.
(sociedad absorbida), con la consiguiente disolución sin liquidación de esta última y la
atribución a la sociedad absorbente de su patrimonio íntegro a título universal.
Asimismo, comunica que la sociedad absorbente modificó su denominación social,
pasando a denominarse DEYDE DATACENTRIC, S.L.U. (en lo sucesivo
DATACENTRIC) con NIF B-83086926 y con domicilio en Calle José Echegaray, 9, de
las Rozas de Madrid (Madrid).

OCTAVO: Con fecha 3 de marzo de 2025 se formuló propuesta de resolución,
proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se
sancionase a DATACENTRIC, con NIF B83086926, por la comisión de las siguientes
infracciones:

- Por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo
83.5 de dicha norma, multa administrativa de 40.000,00 euros.
- Por la presunta infracción del artículo 14 del RGPD, tipificada en el artículo
83.5 de dicha norma, multa administrativa de cuantía 20.000,00 euros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/98

NOVENO: En fecha 26/03/2025 tuvo entrada en el registro de la presente autoridad,
escrito de alegaciones presentado por DATACENTRIC frente a la propuesta de
resolución y del cual destacaba lo siguiente:

Primera alegación: Sobre el Censo Público de Empresas.

DATACENTRIC sostiene que los datos tratados provienen del Censo Público de
Empresas regulado en la Ley 4/2014, de 1 de abril, y que este censo tiene carácter
público y finalidad claramente definida: el cumplimiento de funciones público-
administrativas atribuidas a las Cámaras de Comercio, incluida la elaboración del
censo electoral.

Afirman que el término “público” implica, según su interpretación literal, que el censo
es accesible y utilizable por terceros, sin que ello entre en contradicción con el deber
de sigilo previsto en la norma, el cual entienden aplicable únicamente a la elaboración
del censo electoral. Apoyan esta tesis en definiciones del término “público” y en el
hecho de que la propia AEPD reconoce que parte del censo se publica de forma
abierta y gratuita en la web oficial de las Cámaras.

Argumentan además que el uso del censo cumple finalidades legítimas como el apoyo
al comercio, la innovación, y el asesoramiento empresarial, alineadas con los fines que
la Ley atribuye a las Cámaras. Sostienen que este tratamiento no ha sido cuestionado
hasta ahora por la AEPD, y que los datos tratados se circunscriben al ámbito
profesional o empresarial.

Rechazan la diferenciación que hace la AEPD entre el "Censo Público de Empresas" y
el "Censo Básico de Empresas", defendiendo que se trata del mismo conjunto de
datos, denominados de forma diferente. Alegan que los contratos de cesión como el
firmado entre CAMERDATA y DATACENTRIC se refieren expresamente a datos del
censo público, por lo que su tratamiento cumple con lo previsto legalmente.
Por todo ello, consideran que la información tratada es lícita, está recogida en un
censo público y ha sido utilizada conforme a las finalidades establecidas por ley y
conocidas por la AEPD.

Segunda. Sobre el Código de Conducta del Sector Infomediario

La entidad alega que desde 2017 ha trabajado junto con ASEDIE y la AEPD en la
elaboración del Código de Conducta del Sector Infomediario (CCSI), promovido
conforme al artículo 40 del RGPD. Sostiene que durante todo ese tiempo la AEPD
conocía el tratamiento de datos personales de empresarios individuales y nunca
mostró oposición a su licitud, ni cuestionó la base del interés legítimo que sustentaba
dicho tratamiento.

Afirma que la denegación del CCSI en 2021 no se basó en que los tratamientos fueran
ilícitos, sino en deficiencias en el cumplimiento de los requisitos del RGPD y la
LOPDGDD. Además, considera que la Agencia ha ignorado documentos como el
Informe 0089/2020 de su Gabinete Jurídico y la resolución del expediente
CC/0003/2018, que contenían valoraciones positivas sobre parte del contenido del
código, sin oponerse al tratamiento de datos de autónomos en particular.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/98

La entidad sostiene que ha cumplido con la responsabilidad proactiva exigida por el
artículo 5.2 del RGPD y que presentó una ponderación del interés legítimo en el
entorno del procedimiento, la cual no ha sido valorada de forma individualizada por la
AEPD. También alega la vulneración del principio de confianza legítima, dado que
existieron signos externos claros de conocimiento y aprobación tácita por parte de la
Agencia respecto a los tratamientos ahora cuestionados.

Finalmente, manifiesta su voluntad de seguir colaborando con la AEPD para adaptar el
CCSI y consolidar la licitud de los tratamientos en el sector, remitiendo incluso nueva
documentación en mayo de 2024 con propuestas de mejora y argumentos sobre la
necesidad de mantener fuentes de información empresarial basadas en datos de
autónomos.

Tercera alegación – Sobre la presunta vulneración del artículo 6.1 del RGPD

DATACENTRIC impugna la imputación de una infracción del artículo 6.1 del RGPD
(principio de licitud del tratamiento), alegando que el tratamiento de datos de
empresarios individuales tiene respaldo en el interés legítimo, conforme al artículo
6.1.f) del RGPD y al artículo 19 de la LOPDGDD, que establece una presunción iuris
tantum de licitud cuando se tratan datos de contacto con fines exclusivamente
profesionales.

La entidad insiste en que su tratamiento se limita a datos identificativos y de contacto
con fines profesionales, excluyendo toda finalidad personal, y recuerda que ha
realizado un análisis de ponderación conforme al principio de responsabilidad
proactiva. Considera erróneo que la AEPD se refiera a IBERINFORM en sus
argumentos, pues se trataría de otra entidad con actuaciones distintas.

DATACENTRIC rechaza que la Ley 4/2014 de Cámaras limite expresamente el uso de
los datos y defiende que el carácter “público” del censo es incompatible con una
interpretación que impida su utilización para finalidades empresariales legítimas.
Asimismo, afirma que el uso del NIF no incrementa los riesgos si se adopta una base
jurídica válida y medidas adecuadas.

En relación con los tres requisitos acumulativos fijados por el TJUE para invocar el
interés legítimo (caso C-621/22), sostiene que:

- El interés es lícito, ya que contribuye a la seguridad jurídica y al tráfico
mercantil.

- El tratamiento es necesario, porque no existen medios alternativos
equivalentes para lograr la finalidad.

- No prevalecen los derechos de los interesados, ya que hay una expectativa
razonable de tratamiento profesional de sus datos, reforzada por medidas
informativas indirectas y el respaldo de asociaciones de autónomos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/98

Por último, rechaza que el derecho de oposición sea la única garantía ofrecida,
alegando que se han implementado medidas proactivas para permitir el acceso a la
información y el ejercicio de derechos.

DATACENTRIC alega que no ha vulnerado el artículo 14 del RGPD porque, al no
haber obtenido los datos directamente de los interesados, se aplica la excepción del
artículo 14.5.b), que exime de la obligación de informar cuando hacerlo implique un
esfuerzo desproporcionado. Afirma que el número de interesados supera 1.500.000 y
que enviar una comunicación individualizada supondría un coste inasumible (unos 4
millones de euros). En su lugar, DATACENTRIC señala haber adoptado garantías
adecuadas como la publicación de una política privacidad en su web, donde se
informa de la finalidad del tratamiento, la categoría de datos tratados, y se detallan los
derechos de los interesados y los canales para ejercerlos. Además, alega que exige
contractualmente a sus clientes que informen a los interesados sobre el origen de los
datos. Por todo ello, considera que no ha habido incumplimiento del artículo 14 del
RGPD, y que ha actuado conforme a la normativa aplicable.

Cuarta: Sobre la presunta vulneración del artículo 14 del RGPD

DATACENTRIC alega que no ha vulnerado el artículo 14 del RGPD porque, al no
haber obtenido los datos directamente de los interesados, se aplica la excepción del
artículo 14.5.b), que exime de la obligación de informar cuando hacerlo implique un
esfuerzo desproporcionado. Afirma que el número de interesados supera 1.500.000 y
que enviar una comunicación individualizada supondría un coste inasumible (unos 4
millones de euros).

En su lugar, señala haber adoptado garantías adecuadas como la publicación de una
política de protección de datos en su web, donde se informa de la finalidad del
tratamiento, la categoría de datos tratados, y se detallan los derechos de los
interesados y los canales para ejercerlos. Además, alega que exige contractualmente
a sus clientes que informen a los interesados sobre el origen de los datos. Por todo
ello, considera que no ha habido incumplimiento del artículo 14 del RGPD, y que ha
actuado conforme a la normativa aplicable.

Quinta alegación: sobre la propuesta de sanción, fundamentación jurídica y
proporcionalidad de esta

DATACENTRIC alega que, en caso de que se apreciase algún incumplimiento, la
sanción propuesta por la AEPD no sería proporcional, ya que su actuación ha sido
diligente, tanto en la ponderación del interés legítimo como en las medidas adoptadas
para garantizar la transparencia. Invocan el principio de proporcionalidad del artículo
29 de la LRJSP y consideran que no concurren los agravantes invocados por la AEPD,
como la duración del tratamiento, la negligencia o la vinculación de su actividad con el
tratamiento de datos.

Afirman que la Agencia conocía desde 2017 la actividad y el modelo de negocio de las
entidades infomediarias en el marco del CCSI y que nunca objetó sus prácticas.
Argumentan también que no ha existido intencionalidad ni negligencia, ya que han
implantado medidas adecuadas y mantenido una actitud proactiva y cooperativa
durante el procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/98

Además, enumeran diversas circunstancias atenuantes que consideran no han sido
debidamente valoradas, como la inexistencia de antecedentes sancionadores, la no
utilización de datos especialmente sensibles, la actuación sin ánimo de infringir la
normativa, la existencia de un delegado de protección de datos y su participación
activa en la elaboración del CCSI. Finalmente, insisten en su voluntad de mejorar,
cooperar con la AEPD y adaptar sus actuaciones a cualquier recomendación de la
Agencia.

DÉCIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
absorbente DEYDE DATACENTRIC, S.L.U es una empresa con un volumen de
negocios de 2,8 millones de euros en el año 2023.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO: Consta acreditado que, en fecha 25/04/2017, se formalizó y firmó un
contrato de colaboración entre CAMERDATA y DATACENTRIC cuya estipulación
primera tenía por objeto “regular las condiciones de colaboración entre CAMERDATA y
DATACENTRIC relativas a la prestación de los siguientes servicios:

- La cesión del fichero de Autónomos, por parte de CAMERDATA a favor de
DATACENTRIC con la finalidad de que DATACENTRIC pueda hacer uso de la
misma en su actividad empresarial.
- La cesión de datos o campos de información por parte de DATACENTRIC a
CAMERDATA, para su tratamiento informatizado.”

La base de datos de autónomos cedida a DATACENTRIC contiene la siguiente
información

Código interno CAMERDATA
Nombre o razón social
NIF
Dirección completa
Tipo de Dirección
Código de actividad principal (basado en la codificación IAE)
Actividades secundarias (IAE)
CNAE
Número de teléfono
Actividad negocial (primer dígito del código IAE)

En fechas posteriores, entre ambas partes se suscribieron Adendas a dicho contrato
suscritas, respectivamente, el 24 de mayo de 2018 y el 19 de julio de 2019.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/98

Tanto el citado contrato de colaboración como las mencionadas Adendas se mantienen
vigentes, tal y como afirmó DATACENTRIC en su escrito de contestación al
requerimiento de la presente autoridad recibido en fecha 25/10/2024:

“El Contrato fechado el 25 de abril de 2017 suscrito entre CAMERDATA y Deyde
DataCentric y las sucesivas Adendas suscritas, respectivamente, el 24 de mayo de
2018 y el 19 de julio de 2019, se mantienen vigentes”.

SEGUNDO: Consta acreditado que el “Fichero de Autonomos” objeto del citado
contrato de 25 de abril de 2017 y adendas forma parte del “Fichero de empresas
españolas” es un fichero cuya titularidad corresponde a CAMERDATA con información
de las empresas y empresarios individuales de España y que integra el censo de todas
las Cámaras de Comercio Españolas.

Dicho hecho queda plasmado en los puntos II y III del citado contrato de colaboración
de 25 de abril de 2017, según los cuales:

II. Que CAMERDATA “es titular del fichero “Fichero de Empresas Españolas” que es
un fichero con información de las empresas y empresarios individuales de España,
que integra el censo de todas las Cámaras de Comercios Españolas.”

III. Que DATACENTRIC está interesada en alguno de los registros del “Fichero de
empresas” de CAMERDATA, en particular en los registros de empresarios
individuales, tal y como se establece en la estipulación Segunda del presente contrato
(de ahora en adelante “Fichero de Autónomos”)

TERCERO: Queda acreditado que la finalidad de la cesión del Fichero de Autónomos
por DATACENTRIC a terceros estaba limitada a ser utilizada por los destinatarios para
uso exclusivo interno, no pudiéndose proceder a su posterior distribución o venta.

Dicha finalidad queda plasmada en la Estipulación Segunda del citado contrato de 25
de abril de 2017, según el cual la cesión de la base de datos de Autónomos
(empresarios individuales) en la modalidad premium incluía el derecho:

“- de distribución y comercialización de los datos a terceras empresas (a excepción de
las empresas infomediarias, a modo de ejemplo se citan; Informa, Experian, Arvato,
Equifax, Iberinform, Axesor, Ardan, etc…), con la finalidad de que sea utilizado por los
destinatarios para uso exclusivo interno, nunca para su posterior distribución o venta.”

CUARTO: Queda igualmente acreditado que, en la cláusula primera de la Adenda de
19 de julio de 2019 que consta en el presente expediente, se establece la autorización
por parte de CAMERDATA a DATACENTRIC “a distribuir y comercializar la base de
datos Autónomos (empresarios individuales) titularidad de CAMERDATA a la empresa
infomediaria EQUINAX IBÉRICA S.L. y las empresas pertenecientes a su grupo
(ASNEF-EQUIFAX SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y FRAUDE,
EQUIFAX PLUS, S.L. EQUIFAX FRAUDE, S.L. y TDX INDIGO IBERIA, S.L.)…”

Según la citada cláusula, en cuanto a las condiciones relativas a la distribución del
fichero se realizará en las condiciones siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/98

“Datacentric podrá hacer entrega de los registros relativos a empresarios individuales
del fichero de Camerdata con la finalidad de que Equifax la distribuya a sus clientes
salvo a empresas infomediarias, […] o cualquier empresa que vaya a utilizar la
información para revenderla. El suso que podrán hacer del fichero Equifax y las
terceras empresas se sujeta a las finalidades y condiciones siguientes.

Finalidades de uso:

Servicios de marketing
1. limitados al ámbito empresarial. Los registros se podrán utilizar para ofrecer
productos o servicios dentro del ámbito empresarial y nunca del privado, es decir, las
campañas publicitarias se dirigirán a la persona jurídica en la que los datos de
contrato prestan sus servicios, o al empresario individual de su ámbito negocial.
2. Enriquecimiento de NIF (dado un documento se devolverán los campos que se
soliciten provenientes de la base de datos entregada).
3. Identificación de si al persona es autónomo con la finalidad de su localización.”

QUINTO: Consta que CAMERDATA a requerimiento de la inspección ha manifestado
que la CDE elabora el censo público de empresas bajo la denominación de "Censo
Básico de Empresas" y que CAMERDATA viene desarrollando y explotando
comercialmente un sistema de información empresarial denominado "Fichero de
Empresas Españolas", que es una base de datos diferente del "Censo Básico de
Empresas" elaborado por la Cámara de Comercio de España

En este sentido, en el contrato fechado a 15/02/2016 y firmado entre CAMERDATA y
CDE consta que

“[…] V. Sobre la base de los indicados datos que recibe de las Administraciones
públicas colaboradores (que actualmente son la Agencia Estatal de la Administración
Tributaria, la Agencia Diputación Foral de Navarra y las Cámaras de Comercio del
País Vasco), la Cámara de Comercio de España elabora el censo público de
empresas bajo la denominación de "Censo Básico de Empresas", garantizando la
confidencialidad en el tratamiento y el uso exclusivo de la información recibida.”

“[…]CAMERDATA, S.A. viene desarrollando y explotando comercialmente un sistema
de información empresarial denominado "Fichero de Empresas Españolas", que es
una base de datos diferente del "Censo Básico de Empresas" elaborado por la
Cámara de Comercio de España, si bien para desarrollarlo está interesada en obtener
una copia de la información empresarial del "Censo Básico de Empresas".

“[…]

Primera. Objeto.

Por el presente Contrato, la Cedente cede y transfiere a la Cesionaria que, a su vez,
recibe y adquiere para sí, una copia de la totalidad de los datos empresariales
obrantes en el Censo Básico de Empresas referido en el anterior Expositivo V (en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/98

adelante la Base de Datos Cedida) actualizada a fecha de enero de 2016, la cual
contiene los campos de información que se indican en el Anexo 1 de 3.160.984
Registros de Empresas.

A estos efectos se entiende por Registro de Empresa todos los campos de información
del Anexo 1 relativos a cada una de las empresas que consten en la Base de Datos
Cedida, tomándose como identificador de dicho registro el NIF de las mismas.

[…]

Segundo. Finalidad.

La Cesionaria incluirá los datos empresariales de la Base de Datos Cedida y la de sus
actualizaciones periódicas en el Fichero de Empresas Españolas de su propiedad, y
los tratará, completará y enriquecerá en los términos convenidos en el presente
Contrato con la finalidad de ofrecerlo comercialmente a las empresas y a terceros
interesados como base de datos de información de las empresas que operan en
territorio español.

[…]”

Consta en el ANEXO 1, los campos de “NIF de la empresa”, “nombre o denominación
social de la empresa”, “domicilio principal”, “domicilio de actividad”, “sección actividad
IAE”, “actividad IAE”.

En el ANEXO 2 al contrato de cesión de 15/02/2016 en las “Condiciones de la cesión
de la Base de Datos Cedida” consta que:

“los datos incluidos en la Base de Datos Cedida y sus actualizaciones se obtienen del
censo público de empresas que regula la Ley 4/2014 elaborado por la Cedente bajo la
denominación de Censo Básico de Empresas.”

SEXTO: El Convenio celebrado entre la AEAT y CDE “para la cesión de información de
carácter tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-
administrativas”, suscrito el 25/11/2019 (BOE 20/12/2019), prorrogado por cuatros
años y modificado en virtud de una “Adenda” suscrita el 19/12/2023 (BOE 16/02/2024),
en sus cláusulas estipula:

-Sobre la finalidad de la cesión (cláusula segunda): La “finalidad exclusiva” de la
comunicación de los datos a la CDE y a las Cámaras es “colaborar en el desarrollo de
las funciones públicas que tienen atribuidas”, las cuales se especifican mediante una
remisión expresa al Anexo III del Convenio que, a su vez, reproduce los artículos 5.1,
5.2 y 21.1, letras d) a i) de la Ley 4/2014.

Añade que “La cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas tendrá como finalidad exclusiva la elaboración del censo
público de empresas, el cumplimiento de las funciones público-administrativas que la
Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/98

Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que
hace referencia el artículo 17 de la misma Ley.”

- Sobre los destinatarios (cláusula cuarta): La información que cede la AEAT solo
puede tener como destinatarios “a los órganos de la Cámara de Comercio de España
y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión
(…). En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio”.

Concluye la citada clausula cuarta que “Todo ello sin perjuicio de la estricta afectación
de la información remitida por la Agencia Tributaria a los fines que la justifican y para
los que se solicita.

En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por
la Agencia Tributaria.”

SÉPTIMO: Como consecuencia del requerimiento de información efectuado por la
inspección, con fecha 14/11/2023, CAMERDATA remite a esta agencia la siguiente
información y manifestaciones:

1. Que, en relación con los autónomos, tratan los siguientes datos, entre otros:
“NIF”:
Significado:
Número de identificación fiscal
Origen del dato:
Censo público de empresas publicado por CÁMARA conforme a los
dispuesto en la Ley 4/2014 (en adelante Censo público de empresas).
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“nombre empresa”
Significado:
Manera en la que se identifica la empresa respecto a sus obligaciones
formales, normalmente con los agentes que se relaciona, como
Seguridad Social, Hacienda, proveedores o clientes. Conocido como
Razón social.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“email genérico”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/98

Significado:
Correo electrónico de contacto general de la empresa.
Origen del dato:
Kompass, a través del enriquecimiento de datos del censo público de
empresas.
Se cede a:
A clientes finalistas que lo solicitan para su uso exclusivo interno.
“dirección”
Significado:
Dirección de la empresa formado por nombre de vía, número de vía y
resto de dirección.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“código postal”
Significado:
Código postal de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“municipio”
Significado:
Población de la dirección de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
A la empresa DMOVO para que realice el proceso de normalización de
direcciones.
“provincia”
Significado:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/98

Provincia de la dirección de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de direcciones
cada vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“teléfono”
Significado:
Número de teléfono de contacto general de la empresa.
Origen del dato:
INFORMA y DATACENTRIC. Se obtiene en el proceso de
enriquecimiento de datos del censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“Tipo empresa”
Significado:
Forma jurídica de la empresa.
Origen del dato:
Censo público de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.
“Género empresa”
Significado:
Indicador del tipo de nombre de la empresa.
Origen del dato:
DMOVO. Se obtiene en el proceso de normalización de nombres cada
vez que se carga un nuevo censo de empresas.
Se cede a:
A los clientes que solicitan los servicios de información de empresas
que ofrece CAMERDATA, entre ellos, por un lado, entidades del sector
denominado de empresas infomediarias o reutilizadoras de información
(AXESOR, CERVED, DATACENTRIC, EQUIFAX, IBERINFORM,
MOODY’S) y por otro lado clientes finalistas que lo solicitan para su uso
exclusivo interno.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/98

A la empresa DMOVO para que realice el proceso de normalización de
direcciones.

Así las cosas, en relación con los autónomos, el "Fichero de Empresas Españolas"
según la declaración de CAMERDATA contiene, entre otros, los siguientes datos:
“NIF”: “nombre empresa” “email genérico” “dirección” “código postal” “municipio”
“provincia” “teléfono” “Tipo empresa” y “Género empresa”.

OCTAVO: Consta que, a requerimiento de la inspección, CAMERDATA lista y detalla
todos los datos que contiene la base de datos de empresas de CAMERDATA con
relación a autónomos:

NIF, Nombre empresa, Nombre comercial, Email genérico, Dirección, Código Postal,
Municipio, Provincia, Comarca, Sección censal, Teléfono, Teléfono2, Tipo empresa,
Actividad Principal IAE, Todas las actividades IAE, Tipo dirección, Número sucursales,
Web, Año constitución, Empleados, Importa/exporta, Género Empresa, Actividad
CNAE, Latitud wgs84, Longitud wgs84, Tipo coor wgs84, ID Camerdata (folio 551 del
expediente).

Asimismo, detalla que el número total de autónomos que consta actualmente en la
base de datos es de 1.665.049.

NOVENO: Consta que se publica en abierto y de forma gratuita a través de la página
web de la CDE, www.camara.es, en concreto en la dirección
https://www.camara.es/funcion-consultiva/consulta-del-censo-publico-de-empresas, el
censo público de empresas bajo la denominación “Censo Nacional de Empresas”
donde se ofrece información respecto de los empresarios personas físicas relativa al
nombre, apellidos, dirección, código postal, municipio y código de actividad.

En el apartado “Descripción”, se ofrece la siguiente información relativa al “Censo
Público de Empresas”:

“Te facilitamos los datos incluidos en el Censo Público que contiene todas las
entidades jurídicas y físicas de las Cámaras Oficiales de Comercio, Industria,
Servicios y, en su caso, de Navegación de España.”

Que el fichero “recoge un registro por actividad (no acumula varias actividades
en una misma dirección) y recopila los siguientes datos por registro: Nombre,
Dirección, Código Postal, Municipio, Actividad.”

Por tanto, consta acreditado que el censo público de empresas que publica CÁMARA
DE ESPAÑA, a través de la página web www.camara.es, no contiene el dato del NIF
de los empresarios.

DÉCIMO: Consta acreditado que dentro del citado “Fichero de Autónomos” objeto del
contrato y adendas mencionados figuran datos de carácter personal como NIF, nombre
y apellidos, dirección completa, código de actividad principal (basado en la codificación
IAE), actividades secundarias (IAE) y número de teléfono, entre otros.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/98

Ello se desprende de la estipulación SEGUNDA del contrato de colaboración de 25 de
abril de 2017, según la cual:

“CAMERDATA cederá a DATACENTRIC la base de datos de Autónomos (empresarios
individuales) en la modalidad Premium. […]

Y contendrá la siguiente información:

Código interno CAMERDATA
Nombre o razón social
NIF
Dirección completa
Tipo de Dirección
Código de actividad principal (basado en la codificación IAE)
Actividades secundarias (IAE)
CNAE
Número de teléfono
Actividad negocial (primer dígito del Código IAE)”

UNDÉCIMO: Ha quedado acreditado que DATACENTRIC, desde el año 2017 hasta la
fecha, suscribió con terceras empresas un total de 124 contratos, 12 de ellos vigentes,
a través de los cuales se ponía a disposición de dichas entidades del fichero facilitado
por CAMERDATA para la realización de campañas de marketing por aquellas.

Dicho hecho se desprende de la propia contestación de DATACENTRIC al
requerimiento de la presente autoridad respecto a la existencia y número de dichos
contratos y según la cual:

En relación con el número de contratos y/o acuerdos suscritos en el período
comprendido entre 2017 a 2024, a continuación, se detalla el número de contratos en
los que se puso a disposición el fichero facilitado por CAMERDATA correspondiente a
cada ejercicio:

AÑO Nº CONTRATOS Nº CONTRATOS
ACTIVOS
2024 12 12
2023 13 0
2022 20 0
2021 19 0
2020 18 0
2019 25 0
2018 17 0

A fecha de elaboración del presente escrito, únicamente se mantienen vigentes doce
del total de contratos y/o acuerdos suscritos en el citado período.”

De igual forma, la finalidad del uso de dicho fichero, consistente en la actividad de
marketing por parte de las entidades contratantes se desprende de los contratos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/98

aportados junto a la anteriormente citada contestación al requerimiento, de fecha 11 de
mayo de 2018, 30 de enero de 2019 y 27 de noviembre de 2020 y en los cuales figura
como objeto: “el uso del fichero mencionado para la realización de las campañas de
marketing directo por EL CLIENTE. Queda prohibida su utilización para un uso distinto
del aquí establecido.”

Queda acreditado asimismo que las citadas empresas firmantes quedaban obligadas a
incluir en cada una de las comunicaciones publicitarias que realizase, de forma legible
e identificada, la siguiente leyenda informativa:

“Sus datos proceden de un fichero de titularidad de DataCentric PDM S.A […] El
tratamiento de dichos datos se realiza con fines de mercadotecnia y de análisis y
estudios estadísticos y se encuentra amparao en el interés legítimo de DataCentric.
Dichos datos no se consideran de categorías especiales y proceden de fuentes de
información públicamente accesibles. Usted podrá ejercer sus derechos de acceso,
rectificación, oposición, supresión, portabilidad y limitación del tratamiento dirigiéndose
a [email protected] o C/Nuria 57, 2ª planta, 28034, Madrid. Puede acceder a
información sobre los destinatarios y otra información adicional en el enlace
hhtp://www.datacentric.es/protección-de-datos”

DUODÉCIMO: Queda acreditado que en la página web de DATACENTRIC, dentro del
apartado “Area de Marketing y Audience” “Bases de datos para Telemarketing B2B”
existía una solución para la que se encontraba disponible el fichero DATACENTRIC el
cual contenía información sobre autónomos y cuyo origen es CAMERDATA.

Dicho hecho ha sido confirmado por DATACENTRIC en la contestación al
requerimiento realizado por la presente autoridad:

“En relación con los productos de la página web de DATACENTRIC, debemos
referenciar que de las distintas soluciones ofertadas única y exclusivamente existe una
solución para la que se encuentra disponible el fichero “DATACENTRIC” que contiene
información sobre empresas y autónomos cuyo origen es CAMERDATA. La citada
solución se localiza en el “Área de Marketing y Audience” “Bases de datos para
Telemarketing B2B”. Adicionalmente, dentro de la sección de empresas existía la
posibilidad de elegir entre empresas o autónomos que conforman el fichero
“DATACENTRIC”. Actualmente, esta segunda posibilidad no puede ser contratada.”

DÉCIMOTERCERO: Ha quedado acreditado que, con fecha con fecha 20/09/2023
DATACENTRIC elaboró un Análisis de Riesgos a través de la herramienta SaaS de
Global Suite en el que se analizan los distintos riesgos que pueden entrañar para los
derechos y libertades de los interesados, entre otros, el incumplimiento de los
principios de licitud y transparencia, así como, los controles que han sido debidamente
implantados.

Consta que dentro del citado Análisis de riesgos figura el siguiente resultado de la
evaluación:

EQUILIBRIO PROVISIONAL

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/98

Una vez analizadas las respuestas a cada una de las cuestiones planteadas para
evaluar la posible preponderancia del interés legítimo de Deyde DataCentric sobre
los intereses o los derechos y libertades de los interesados para llevar a cabo el
tratamiento de datos personales objeto de evaluación en este Informe, el resultado
de cada uno de los apartados objeto de examen, y la valoración inicial del
equilibrio entre ambos factores para considerar factible el tratamiento de datos
personales para la prestación de servicios infomediarios, serían los siguientes:

TEST DE FINALIDAD: SI
TEST DE NECESIDAD: SI
TEST DE PONDERACIÓN: DUDOSO
EQUILIBRIO PROVISIONAL: DUDOSO

GARANTÍAS ADICIONALES

Teniendo en cuenta el resultado del equilibrio provisional entre e interés legítimo
de Deyde DataCentric y los intereses o los derechos y libertades de los
interesados, se considera necesario implementar medidas adicionales de refuerzo
de las garantías en torno al tratamiento de datos pretendido, proponiéndose las
siguientes:

• Se adoptarán medidas para permitir a los interesados conocer el tratamiento de
sus datos personales por parte de Deyde DataCentric, tanto a través de su página
web, como las de otras empresas infomediarias pertenecientes a la asociación
ASEDIE. • Los contratos con los clientes en los que se licencia el uso de la base
de datos incluirán la obligación de informar a los interesados, en el momento de
comunciarse con ellos, del origen de los datos, con referencia expresa a la
posibilidad de ejercitar sus derechos y el modo en cómo obtener información
adicional al respecto.

DÉCIMOCUARTO: Queda acreditado que DATACENTRIC desde la formalización del
contrato de 25 de abril de 2017 hasta la fecha ha abonado a CAMERDATA una
cantidad no inferior a 700.000 euros por suministro del fichero.

DÉCIMOQUINTO: El anuncio que CAMERDATA manifiesta haber publicado en las
webs de siete Cámaras de Comercio con la finalidad de informar a los interesados del
tratamiento de sus datos, toda vez que estima que es aplicable la excepción del
artículo 14.5.b) del RGPD, tiene el siguiente texto:

“Información para trabajadores autónomos relativa a la protección de datos personales

Mediante la presente comunicación se informa, a toda persona que tenga la condición
de trabajador autónomo, del tratamiento de sus datos personales por parte de
Camerdata y de las empresas asociadas a ASEDIE que están sujetas a su código de
conducta del sector infomediario de protección de datos que se relacionan: Axesor,
Datacentric, Iberinform, Informa y también Equifax.

Los datos tratados por CAMERDATA y las empresas relacionadas, han sido recabados
por CAMERDATA de forma legítima y obtenidos de un Censo oficial elaborado por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/98

organismo público, correspondiendo a persona sujeto pasivo de los datos (el
trabajador autónomo) en el ejercicio de una actividad de las recogidas en el Real
Decreto de 2007 (RD 475/ 2007).

El tratamiento de estos datos tiene por finalidad el envío de comunicaciones
comerciales y de marketing, ofreciendo diferentes bienes o servicios que pudieran ser
de su interés, así como la información comercial sobre la actividad empresarial llevada
a cabo por el Autónomo.

Si usted desea ejercer sus derechos de acceso […]”

Este hecho se desprende de las facturas aportadas por CAMERDATA que se
adjuntaban al escrito de contestación al requerimiento de la presente autoridad.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento el Presidente de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

El artículo 4.1. del RGPD define los datos personales como “toda información sobre
una persona física identificada o identificable («el interesado»); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.”

Por su parte, el artículo 4.2 del Reglamento define el “tratamiento” de datos personales
como “cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados
o no, como la recogida, registro, organización, estructuración, conservación,
adaptación o modificación, extracción, consulta, utilización, comunicación por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/98

transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o
interconexión, limitación, supresión o destrucción”.

En el presente caso, de acuerdo con lo establecido en el citado artículo 4.1 del RGPD,
consta la realización de un tratamiento de datos personales de empresarios
individuales, como se desprende claramente del contrato entre CAMERDATA y
DATACENTRIC firmado en fecha 25/04/2017. Tal y como consta en los hechos
probados, a través del citado contrato se procede a la cesión por parte de
CAMERDATA a DATACENTRIC de la información contenida en el Fichero de
Autónomos de CAMERDATA, entre la cual se encuentran diversos datos personales
de empresarios individuales. Según dicho contrato el objeto incluye el derecho de uso
interno por parte de DATACENTRIC, así como la distribución y comercialización de los
datos a terceras empresas (a excepción de las empresas infomediarias) con la
finalidad de que sea utilizado por los destinatarios para uso exclusivo interno, nunca
para su posterior distribución o venta. Incluso se permite comercializar los datos
personales para la realización de las campañas cuyos encargados no estén alojados
en territorio del EEE, siempre que “cuenten con la debida autorización del director de
la Agencia Española de Protección de datos para llevar a cabo la citada transferencia
internacional”.

Entre los datos del fichero cedido por CAMERDATA a DATACENTRIC se encuentran
datos de empresarios individuales como NIF, nombre y apellidos, dirección completa,
código de actividad principal (basado en la codificación IAE), actividades secundarias
(IAE) y número de teléfono, entre otros.

Consta, asimismo, que DATACENTRIC comunicó los datos de los empresarios
individuales a terceras entidades, en el marco de 124 contratos suscritos con aquellas,
entre los años 2018 y 2024, con la finalidad de marketing, tal y como se desprende de
los contratos aportados por DATACENTRIC.

Los datos de los empresarios individuales no dejan de tener la consideración de datos
de carácter personal y, por tanto, quedan sujetos a las disposiciones del RGPD, así
como a la normativa nacional en materia de protección de datos personales.

Sobre los datos de los empresarios personas físicas cabe recordar que el artículo 1 del
RGPD, “Objeto”, dispone:

“1. El presente Reglamento establece las normas relativas a la protección de las
personas físicas en lo que respecta al tratamiento de los datos personales y las
normas relativas a la libre circulación de tales datos.

2.El presente Reglamento protege los derechos y libertades fundamentales de las
personas físicas y, en particular, su derecho a la protección de los datos personales.”

El artículo 2 del RGPD, “Ámbito de aplicación material”, dedica el punto 2 a los
tratamientos de datos que están excluidos de su aplicación sin que ninguno de los
cuatro supuestos que detalla se refiera expresamente a los empresarios personas
físicas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/98

A su vez el Considerando 14 del RGPD señala que “La protección otorgada por el
presente Reglamento debe aplicarse a las personas físicas, independientemente de su
nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos
personales. El presente Reglamento no regula el tratamiento de datos personales
relativos a personas jurídicas y en particular a empresas constituidas como personas
jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto.”

De lo expuesto resulta, por tanto, que la protección que el RGPD dispensa se extiende
al tratamiento de los datos de las personas físicas, entre las que se incluyen los
empresarios individuales.

DATACENTRIC realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.

El RGPD define en su artículo 4 los conceptos de responsable del tratamiento y
encargado del tratamiento de la siguiente manera:

Responsable del tratamiento:

"Persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto
con otros, determine los fines y medios del tratamiento de datos personales."

Encargado del tratamiento:

"Persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento."

A la luz de estas definiciones, DATACENTRIC debe ser considerado responsable del
tratamiento y no encargado, a pesar de que el contrato formalizado con CAMERDATA
pueda referirse a él como tal. Conviene recordar que la calificación de una entidad
como responsable o encargado del tratamiento no depende únicamente de la
denominación utilizada en los contratos, sino de la realidad material del tratamiento, es
decir, de quién determina efectivamente los fines y medios del tratamiento.

DATACENTRIC actúa como responsable del tratamiento porque decide de manera
autónoma los fines y medios del tratamiento, ya que recibe los datos a cambio de una
contraprestación económica. los incorpora a su propia base de datos y los comunica a
terceras entidades, en virtud de los contratos que en su propio nombre suscribe con
ellas, para que sean utilizados con fines de marketing. Además, CAMERDATA expide
facturas a DATACENTRIC por la entrega de los datos, lo que pone de manifiesto una
transacción comercial cuya consecuencia es que los datos dejan de estar bajo el
control de CAMERDATA. Asimismo, DATACENTRIC actúa en su propio nombre con
sus clientes asumiendo los riesgos y beneficios del tratamiento derivado de dichas
operaciones.

En base a tales elementos podemos afirmar que DATACENTRIC tiene la
consideración de responsable del tratamiento, ya que actúa con autonomía en la
gestión y explotación de los datos personales, incluidos los relativos al fichero de
autónomos que fueron cedidos por CAMERDATA.

III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/98

Sobre el Censo Público de Empresas

La Ley 4/2014, de 1 de abril, Básica de las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación (en adelante, Ley 4/2014 o Ley Básica de Cámaras) dispone
en su artículo 8 en relación con el “Censo público” lo siguiente:
“Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación
elaborarán un censo público de empresas del que formarán parte las personas
físicas o jurídicas, nacionales o extranjeras, que ejerzan las actividades
comerciales, industriales, de servicios y navieras en territorio nacional, para cuya
elaboración contarán con la colaboración de la administración tributaria
competente así como de otras administraciones que aporten la información
necesaria, garantizando, en todo caso, la confidencialidad en el tratamiento y el
uso exclusivo de dicha información.

Para la elaboración del censo público de empresas las administraciones
tributarias facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y
Navegación de España y a las Cámaras Oficiales de Comercio, Industria,
Servicios y Navegación los datos del Impuesto sobre Actividades Económicas y
los censales de las empresas que sean necesarios. Únicamente tendrán acceso
a la información facilitada por la administración tributaria los empleados de cada
Cámara que determine el pleno.

Esta información se empleará para la elaboración del censo público de
empresas, para el cumplimiento de las funciones público-administrativas que la
presente Ley atribuye a las Cámaras, así como para la elaboración del censo
electoral a que se hace referencia en el artículo 17 de la misma.

Dicho personal tendrá, con referencia a los indicados datos, el mismo deber de
sigilo que los funcionarios de la administración tributaria. El incumplimiento de
este deber constituirá, en todo caso, infracción muy grave de conformidad con
su régimen disciplinario.” (El subrayado es nuestro)

La norma transcrita impone a la CDE y a las Cámaras la obligación de elaborar
(“elaborarán) un censo público de empresas y para el cumplimiento de esta obligación
prevé que cuenten con la colaboración de las Administraciones tributarias.

El precepto obliga a las Administraciones tributarias a comunicar - “facilitarán”, dice la
norma- tanto a la CDE como a las Cámaras “los datos” del impuesto sobre actividades
económicas (en lo sucesivo, IAE) y los censales de las empresas que resulten
“necesarios” para el cumplimiento de las finalidades que determina.

Además, se habilita a la CDE y a las Cámaras a tratar la información así obtenida no
sólo con la finalidad de elaborar un censo público de empresas, sino también para: i)
cumplir “las funciones público-administrativas que la presente Ley atribuye a las
Cámaras” y ii) la elaboración del censo electoral al que hace referencia el artículo 17
de la Ley 4/2014.

La habilitación que la Ley otorga a las Administraciones tributarias para que cedan o
comuniquen a la CDE y al resto de Cámaras los datos del IAE y los censales de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/98

empresas necesarios para los fines que determina en su artículo 8 va acompañada del
establecimiento de salvaguardas que pretenden garantizar la protección del derecho
de las personas físicas a la protección de sus datos.

En este sentido, la Ley 4/2014 no solo determina cuáles son las finalidades específicas
para las que la CDE y las Cámaras podrán tratar los datos que les proporcionen las
Administraciones tributarias. Determina también qué datos pueden ser cedidos -“los
necesarios” para atender a dichas finalidades- e impone a los cesionarios de los datos
(la CDE y las Cámaras) la obligación de garantizar su “confidencialidad” durante el
tratamiento que efectúen y “el uso exclusivo” de la información así obtenida
Es más, en aras a lograr el cumplimiento efectivo de la obligación de confidencialidad
de los datos, restringe las personas que dentro de la organización podrán acceder a la
información proporcionada por las Administraciones tributarias a aquella/s que el pleno
de la respectiva Cámara hubiera designado. Y añade que esa persona o personas
estará sometida al “deber de sigilo” exigido a los funcionarios de la Administración
tributaria.
Para hacer efectivo el suministro de información CDE y la AEAT suscribieron en fecha
25/11/2019 un Convenio “para la cesión de información de carácter tributario a las
Cámaras Oficiales para el ejercicio de sus funciones público-administrativas”,
publicado en el BOE de 20/12/2019.

Ese Convenio, de cuatro años de duración, fue prorrogado en 2023. El 19/12/2023 la
AEAT y la CDE suscribieron una “Adenda de modificación y prórroga del convenio
entre la Agencia Estatal de Administración Tributaria y la Cámara Oficial de Comercio,
Industria, Servicios y Navegación de España para la cesión de información de carácter
tributario a las Cámaras Oficiales para el ejercicio de sus funciones público-
administrativas”, publicada en el BOE el 16/02/2024, en la que acuerdan prorrogar por
cuatro años tal convenio, que tendrá eficacia a partir del 20/12/2023, con las
modificaciones introducidas que afectan a las cláusulas octava (“Control y seguridad
de los datos suministrados”) y novena (“Protección de datos”).

El Convenio vigente en la actualidad incluye por tanto las modificaciones incorporadas
por la Adenda precitada. Su Exposición de Motivos, más breve que la del Convenio de
2019, reproduce el siguiente párrafo que figuraba en la del Convenio original:

“La Cámara Oficial de Comercio, Industria, Servicios y Navegación de España
es una Corporación de Derecho Público, con personalidad jurídica propia y plena
capacidad de obrar para el cumplimiento de sus fines que le encomienda la Ley
4/2014, de 1 de abril, […]. Además, desarrolla funciones públicas, en especial
las que se relacionan directa e indirectamente en las letras d) a i) del artículo
21.1 de la Ley 4/2014.
Las Cámaras Oficiales de Comercio, […], cuando actúan en el ejercicio de las
funciones administrativas o de carácter público-administrativo encomendadas
por las leyes, tienen la consideración de Administraciones públicas.”
(El subrayado es nuestro)

La Exposición de Motivos del convenio destaca la naturaleza jurídico-pública de los
entes que intervienen -la AEAT y la CÁMARA DE ESPAÑA- así como de las Cámaras

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/98

de Comercio y la vinculación entre la finalidad del tratamiento y las funciones públicas
que realizan:

“El fin del suministro de información a realizar por la Agencia Estatal de
Administración Tributaria será, en todo caso, el ejercicio de funciones públicas,
tanto por parte de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación, como por parte de la Cámara Oficial de Comercio, Industria,
Servicios y Navegación de España, en su vertiente de Administración pública.”
(El subrayado es nuestro)

El Convenio, con las modificaciones incorporadas a raíz de la Adenda suscrita en
diciembre de 2023, fija las condiciones y el procedimiento que rige la cesión de
información de la AEAT a las Cámaras y a la CDE “preservando en todo caso los
derechos de las personas a las que se refiere la misma” y recoge lo siguiente

-Sobre la finalidad de la cesión (cláusula segunda): La “finalidad exclusiva” de la
comunicación de los datos a la CDE y a las Cámaras es “colaborar en el desarrollo de
las funciones públicas que tienen atribuidas”, las cuales se especifican mediante una
remisión expresa al Anexo III del Convenio que, a su vez, reproduce los artículos 5.1,
5.2 y 21.1, letras d) a i) de la Ley 4/2014.

Añade que “La cesión de los datos del Impuesto sobre Actividades Económicas y los
censales de las empresas tendrá como finalidad exclusiva la elaboración del censo
público de empresas, el cumplimiento de las funciones público-administrativas que la
Ley 4/2014 Básica de las Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación atribuye a las Cámaras, así como la elaboración del censo electoral a que
hace referencia el artículo 17 de la misma Ley.”

- Sobre los destinatarios (cláusula cuarta): La información que cede la AEAT solo
puede tener como destinatarios “a los órganos de la Cámara de Comercio de España
y de las Cámaras que tengan atribuidas las funciones públicas que justifican la cesión
(…). En ningún caso podrán ser destinatarios órganos, organismos o entes que
realicen funciones distintas de las descritas en la cláusula segunda de este Convenio”.

Concluye la citada clausula cuarta que “Todo ello sin perjuicio de la estricta afectación
de la información remitida por la Agencia Tributaria a los fines que la justifican y para
los que se solicita.

En cualquier caso, el destinatario no podrá ceder a terceros la información remitida por
la Agencia Tributaria.”

- Sobre la obligación de sigilo (clausula décima): “Cuantas autoridades, funcionarios y
resto de personal tengan conocimiento de los datos o información suministrados en
virtud de este Convenio estarán obligados al más estricto y completo sigilo respecto
de ellos. La violación de esta obligación implicará incurrir en las responsabilidades
penales, administrativas y civiles que resulten procedentes, así como el sometimiento
al ejercicio de las competencias que corresponden a la Agencia de Protección de
Datos.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/98

Así pues, la CDE elabora un censo público de empresas en cumplimiento de una
función pública de carácter administrativo que le atribuye expresamente el artículo
21.1, en conexión con el artículo 5.1.g), de la Ley 4/2014.

El censo público de empresas, en virtud del principio de adscripción universal a las
Cámaras del artículo 7 de la Ley 4/2014, incluye a todos los empresarios, sean
personas jurídicas o físicas. En la medida en que el censo público trata datos de los
empresarios personas físicas, datos de carácter personal, está sometido a las
disposiciones del RGPD.

El censo público de empresas de la CDE, al que se puede acceder desde su página
web, ofrece, respecto a los empresarios individuales, información del nombre y
apellidos, la dirección (calle, número y en ocasiones el piso) la localidad, la provincia y
el código postal. También, el número del epígrafe del IAE y una descripción de la
actividad. Sin embargo, no consta el dato del NIF, ni las actividades secundarias del
empresario.

Así las cosas, del artículo 8 de la Ley 4/2014 y de las cláusulas del Convenio suscrito
entre la AEAT y la CDE se evidencia que la información que las Administraciones
tributarias facilitan a la CDE no se agota o se limita a la que la CDE incorpora al censo
público de empresas. Por tanto, la información que CDE recibe de las
Administraciones tributarias, es, respecto a los empresarios individuales, más rica en
datos que la que se incluye en el censo público de empresas.

Así pues, el contenido del censo público de empresas que elabora la CDE, y al que
alude el artículo 8 de la Ley 4/2014 es, como su nombre indica, aquél que es accesible
públicamente, en la actualidad a través de la página web de la CDE para cuya
elaboración CDE no utiliza todos los datos cedidos por las Administraciones tributarias,
sino sólo aquellos que sean “necesarios”. Sin embargo, el denominado "Censo Básico
de Empresas" que es el censo objeto de cesión por parte de CDE y de CAMERDATA
contiene más datos personales que los contenidos en el censo público de empresas.
Por tanto, el "Censo Básico de Empresas” no es el Censo Público de empresas a que
se refiere el artículo 8 de la Ley 4/2014 y contiene otros datos adicionales sujetos al
deber de confidencialidad y sigilo.

IV
Sobre el artículo 19 de la LOPDGDD.

La LOPDGDD establece una presunción iuris tantum de licitud del tratamiento que
atañe, entre otros sujetos, a los empresarios personas físicas. El artículo 19 de la
LOPDGDD, “Tratamiento de datos de contacto, de empresarios individuales y de
profesionales liberales”, dice:

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el
artículo 6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de
contacto y en su caso los relativos a la función o puesto desempeñado de las
personas físicas que presten servicios en una persona jurídica siempre que se
cumplan los siguientes requisitos:

a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/98

b) Que la finalidad del tratamiento sea únicamente mantener relaciones de
cualquier índole con la persona jurídica en la que el afectado preste sus
servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a
ellos únicamente en dicha condición y no se traten para entablar una relación
con los mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el
artículo 77.1 de esta ley orgánica podrán también tratar los datos mencionados
en los dos apartados anteriores cuando ello se derive de una obligación legal o
sea necesario para el ejercicio de sus competencias.”

Es indiscutible para esta Agencia, por las razones que se expondrán a continuación,
que el artículo 19.2. del RGPD no tiene otro alcance que el de establecer una
presunción de licitud que recae, exclusivamente, sobre los datos de contacto de los
empresarios individuales.

De acuerdo con su tenor literal el artículo 19.1 de la LOPDGDD articula una
presunción iuris tantum de licitud que se define a través de dos elementos: su
fundamento y su objeto. Se funda en el artículo 6.1.f) y tiene por objeto los datos de
contacto o eventualmente la función o puesto desempeñado. La presunción así
definida en el artículo 19.1 atañe a las personas físicas que prestan sus servicios en
una persona jurídica. Cuando el artículo 19.2. de la LOPDGDD se refiere a la
aplicación de “la misma presunción”, ésta hay que tomarla tal y como aparece definida
en el apartado 1: por los elementos mencionados de su fundamento y de su objeto. De
manera que el artículo 19.2. no dice, sino que la presunción iuris tantum, fundada en el
artículo 6.1.f), cuyo objeto son los datos de contacto se aplicará al tratamiento de los
datos de los empresarios autónomos.

Abona, además, tal interpretación del texto de la norma el dictamen 757/2017, de 26
de octubre, del Consejo de Estado sobre el anteproyecto de Ley Orgánica de
Protección de datos (actual LOPDGDD) que al comentar el que era en el anteproyecto
de Ley Orgánica el artículo 20 (actual artículo 19) dice:

“El artículo 20 del Anteproyecto regula el tratamiento de datos de contacto de las
personas físicas que presten servicios en una persona jurídica (apartado 1) y de
empresarios individuales (apartado 2), en ambos casos invocando como amparo
normativo lo dispuesto en el artículo 6.1.f) del Reglamento. En el primer caso, para
entender que existe licitud al amparo de ese artículo, el precepto exige que el
tratamiento se refiera únicamente a los datos necesarios para la localización
profesional del interesado y que la finalidad del tratamiento sea únicamente mantener
relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus
servicios; en el segundo, que el tratamiento se refiera únicamente a los datos de los
empresarios en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas”.

El comentario que incluye el dictamen 757/2017 del Consejo de Estado sobre el
artículo 20 del Anteproyecto de Ley Orgánica (en la actualidad, artículo 19 de la
LOPDGDD) confirma que la presunción que en él se establece opera, exclusivamente,
sobre los datos de contacto de los empresarios autónomos. Esto, porque indica que el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/98

artículo 20 del Anteproyecto “regula el tratamiento de los datos de contacto” y a
renglón seguido precisa de quiénes; quiénes son las personas a las que conciernen
tales datos: las personas físicas que prestan servicios en una persona jurídica
(apartado 1) “y” los empresarios individuales (apartado 2). Si lo que el dictamen
hubiera querido decir es que el artículo 20 del Anteproyecto regula el tratamiento de
los datos de contacto sólo respecto a las personas físicas que prestan sus servicios en
una persona jurídica y respecto a los empresarios individuales todos sus datos, la
conjunción copulativa “y” no existiría. A mayores, el comentario añade que “en ambos
casos”, es decir, en los tratamientos de datos de contacto del apartado 1 y del 2 del
artículo 20 del Anteproyecto, la base de licitud se encuentra en el artículo 6.1.f) del
Reglamento. Y, a partir de ahí, el comentario reseñado examina cuáles son los
requisitos, respectivamente, del apartado 1 y 2, sobre la base del artículo 6.1.f) RGPD,
para que el tratamiento – claramente, de los datos de contacto- sea lícito.

Es más, El TJUE en su sentencia de 4 de octubre de 2024, asunto C 200/23,
considera que el artículo 6 del RGPD establece una lista exhaustiva de las causas que
pueden legitimar el tratamiento de datos personales debiendo ser objeto de una
interpretación restrictiva las que no se basan en el consentimiento del interesado.

“94 A este respecto, cabe recordar que el artículo 6, apartado 1, párrafo
primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los
que un tratamiento de datos personales puede considerarse lícito. Así pues,
para poder ser considerado legítimo, un tratamiento de datos personales debe
estar comprendido en uno de casos contemplados en dicha disposición [véase,
en ese sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas
Saeima (Puntos por infracciones de tráfico), C 439/19, EU:C:2021:504,
apartados 99 y jurisprudencia citada].

95 A falta de consentimiento del interesado para el tratamiento de sus datos
personales en virtud de dicho artículo 6, apartado 1, párrafo primero, letra a), o
cuando este no se haya prestado de forma libre, específica, informada e
inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento
puede, no obstante, estar justificado cuando cumple alguno de los requisitos de
necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras b)
a f), del mencionado dicho Reglamento [véase, en este sentido, la sentencia de
4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio
de una red social), C 252/21, EU:C:2023:537, apartado 92].

96 En este contexto, las justificaciones previstas en esta última disposición,
en la medida en que permiten que un tratamiento de datos personales
realizado sin el consentimiento del interesado sea lícito, deben ser objeto de
una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y
otros (Condiciones generales del servicio de una red social), C 252/21,
EU:C:2023:537, apartado 93 y jurisprudencia citada].”

Siguiendo esta línea argumental ha de considerarse que la presunción de interés
legítimo contenida en el art. 19.2 de la LOPDGDD ha de interpretarse en sentido
estricto, por cuanto se trata de una disposición que no sólo permite el tratamiento de
datos personales sin consentimiento de los interesados, sino que legitima el
tratamiento de los datos personales de los empresarios individuales, sobre la base de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/98

licitud del art. 6.1.f) del RGPD, sin requerir que el responsable del tratamiento realice
la obligatoria ponderación entre los intereses en conflicto.

Las normas han de ser interpretadas teniendo en cuenta no sólo el sentido propio de
las palabras, sino también su contexto, la realidad social del tiempo en que han de ser
aplicadas y el espíritu y los fines perseguidos por la normativa de la que forma parte
(art. 3.1 CC), y en el caso que se examina no puede decirse que la ley ha autorizado
el tratamiento de cualesquiera datos de los empresarios, para realizar cualesquiera
operaciones de tratamiento con cualquier finalidad sea lícita o no y con independencia
del origen lícito de los datos- personales, pues no cabría decir, por ejemplo, que la
norma está habilitando una contratación con un empresario individual al margen de su
voluntad.
El artículo 19 de la LOPD no puede desvincularse del RGPD. No es admisible
interpretarlo al margen o prescindiendo del RGPD sino sólo y exclusivamente en el
contexto del Reglamento del que trae causa. Y en tal sentido, se subraya que el
objetivo que guía la elaboración del RGPD de garantizar una protección eficaz y
uniforme del derecho a la protección de datos personales en los Estados miembro de
la Unión.

Sobre este aspecto del RGPD dice la STJUE de 27/02/2025, asunto C-203/22:

"51 Por último, por lo que respecta a las finalidades del RGPD, es necesario
recordar que el objetivo de este Reglamento consiste, en particular, en
garantizar un nivel elevado de protección de los derechos y libertades
fundamentales de las personas físicas, sobre todo de su derecho a la
protección de los datos personales, consagrado en el artículo 16 TFUE y
garantizado como derecho fundamental en el artículo 8 de la Carta, que
completa el derecho a la vida privada garantizado en el artículo 7 de esta
[véase, en este sentido, la sentencia de 4 de octubre de 2024, Schrems
(Comunicación de datos al público en general), C 446/21, EU:C:2024:834,
apartado 45 y jurisprudencia citada].

52 Así, como precisa asimismo su considerando 11, el RGPD tiene como
finalidad reforzar y especificar los derechos de los interesados (sentencia de 4
de mayo de 2023, Österreichische Datenschutzbehörde y CRIF, C 487/21,
EU:C:2023:369, apartado 33 y jurisprudencia citada)"

El Considerando (11) indica que “La protección efectiva de los datos personales en la
Unión exige que se refuercen y especifiquen los derechos de los interesados y las
obligaciones de quienes tratan y determinan el tratamiento de los datos de carácter
personal, y que en los Estados miembros se reconozcan poderes equivalentes para
supervisar y garantizar el cumplimiento de las normas relativas a la protección de los
datos de carácter personal y las infracciones se castiguen con sanciones
equivalentes.”

Con el propósito indicado el RGPD ha articulado mecanismos que la Directiva no
preveía con los que refuerza la eficacia del derecho fundamental y que no pueden
obviarse cuando se pretende interpretar una norma a la luz del RGPD. Cabe
mencionar, entre otros, el principio de responsabilidad proactiva (artículo 5.2), que se
proyecta sobre la totalidad de los principios del artículo 5.1. del RGPD y que traslada
la carga de la prueba de su cumplimiento al responsable del tratamiento. El enfoque
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/98

del riesgo que para los derechos y libertades fundamentales de las personas físicas
puede derivarse del tratamiento de los datos de carácter personal que les conciernen,
de manera que la repercusión que puede llegar a tener en los derechos y libertades
fundamentales la vulneración del derecho a la protección de datos dota a este derecho
fundamental de un carácter instrumental en la protección del conjunto de derechos y
libertades fundamentales del individuo. O la protección desde el diseño, que obliga al
responsable a aplicar medidas técnicas y organizativas apropiadas a fin de garantizar
y poder demostrar que el tratamiento es conforme con el presente Reglamento.

El nombre, apellidos, el NIF e incluso la dirección del establecimiento mercantil en los
casos que es también el domicilio particular del empresario autónomo, son datos
personales del individuo y no pierden su naturaleza por la circunstancia de que
desarrolle una actividad empresarial. Una interpretación extensiva del artículo 19.2 de
la LOPDGDD que propugnara que todos los datos de carácter personal de un
empresario autónomo, cuando el tratamiento guarde alguna relación con la actividad
empresarial, están excluidos de la protección que el RGDP garantiza a “todas las
personas físicas” sería radicalmente contraria al espíritu del RGPD y no tendría
soporte en uno solo de sus preceptos.

La interpretación del artículo 19.2 de la LOPDGDD que defendiera que el tratamiento
de todo dato de un empresario autónomo cuando “se refieran a ellos únicamente en
dicha condición” goza, de una presunción de licitud, anula de facto para este colectivo
de individuos el principio de responsabilidad proactiva (artículo 5.2) en lo que
concierne a la licitud del tratamiento de sus datos personales y con ello las garantías
que el RGPD establece para la protección de los derechos de las personas físicas.
Esto, insistimos, cuando los datos personales tratados nunca han perdido ese carácter
por el hecho de que su tratamiento se refiera a la persona física empresaria en tal
condición, expresión muy difícil de concretar en la práctica y que conduce
inexorablemente a una permanente situación de incertidumbre jurídica en lo que se
refiere a la protección de los datos personales de más de un millón y medio de
individuos.

La tesis favorable a entender comprendido en el artículo 19.2 de la LOPDGDD todos
los datos de las personas físicas que son empresarios autónomos no solo es contrario
al espíritu del RGPD y de sus disposiciones, además supondría una restricción de un
derecho fundamental desproporcionada en relación con los fines que persigue por
cuanto limitaría para un determinado colectivo el nivel de protección de los derechos y
libertades fundamentales de las personas físicas que persigue.

En consecuencia, esta Agencia entiende por ello que el tratamiento de datos
personales de un empresario persona física que no sean datos de contacto no goza de
la presunción de licitud basada en el artículo 6.1.f) del RGPD. Y esto, aunque el
tratamiento se refiera a datos de la persona física en su condición de empresario y
aunque el tratamiento no tenga por finalidad entablar una relación personal. La
consecuencia es, de conformidad con el principio de responsabilidad proactiva
(artículo 5.2 RGPD), que el responsable del tratamiento de datos personales de
empresarios individuales distintos de los datos de contacto no goza de la presunción
prevista en el artículo 19 de la LOPDGDD y tiene la carga de acreditar que el
tratamiento efectuado está amparado en un fundamento de licitud conforme al art. 6
del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/98

El sentido que a juicio de esta Agencia tiene el artículo 19.2 de la LOPDGDD
únicamente excluiría de la presunción de licitud los datos de contacto, por lo que el
responsable estará obligado a demostrar que el tratamiento de otros datos de los
empresarios individuales fue lícito por concurrir una base jurídica conforme al RGPD

V
Contestación a las alegaciones frente al acuerdo de inicio

PRIMERA ALEGACIÓN: Sobre el Código de Conducta del Sector Infomediario
(CCSI): En su primera alegación, DATACENTRIC sostiene que su participación en la
elaboración del Código de Conducta del Sector Infomediario (CCSI), promovido por la
asociación ASEDIE, y su colaboración con la Agencia Española de Protección de
Datos (AEPD) desde 2017 manifiestan un compromiso claro con las mejores prácticas
en privacidad. Afirma que esta colaboración, que incluyó reuniones, presentación de
actualizaciones y la incorporación de recomendaciones, debería considerarse como
prueba de su diligencia en el cumplimiento normativo. Además, menciona que el
reconocimiento otorgado a ASEDIE en 2018 por la AEPD por buenas prácticas en
privacidad refuerza la legitimidad del tratamiento de datos realizado por las entidades
del sector infomediario.

Sin embargo, esta alegación presenta incongruencias claras cuando se analiza a la luz
de dos documentos obrantes en el expediente mediante diligencia realizada por el
instructor. Por un lado, el informe del Gabinete Jurídico de 16 de marzo de 2021 a
través del cual se evalúa el proyecto de Código de Conducta del Sector Infomediario
presentado por ASEDIE y que concluye desfavorablemente sobre su aprobación. Por
otro lado, la resolución de la AEPD, fechada el 24 de marzo de 2021, consistente en la
denegación de la aprobación del Código de Conducta del Sector Infomediario
presentado por ASEDIE.

Tanto el informe del Gabinete Jurídico como la resolución de denegación del código de
conducta destacan que, pese a la prolongada tramitación del proyecto y la implicación
activa en la revisión del código, el mismo no cumplía con las previsiones exigidas por
el RGPD ni con la LOPDGDD. En ambos se pone de manifiesto que la mera
participación en la elaboración de un código de conducta no exime a las entidades
adheridas del cumplimiento estricto de las disposiciones normativas aplicables, en
especial, el principio de responsabilidad proactiva.

En este sentido, el informe de 16 de marzo de 2021 destaca que el principio de
responsabilidad proactiva, eje central del RGPD, exige que los promotores de un
código de conducta, como ASEDIE, asuman plenamente su responsabilidad en
garantizar que los requisitos legales sean cumplidos antes de presentar un proyecto
para su aprobación. En palabras del informe: "El cambio de paradigma que ha
supuesto el principio de responsabilidad proactiva [...] implica que es el promotor del
código el que debe velar por el adecuado cumplimiento de los requisitos necesarios
para su aprobación, previa realización de todos los trámites y consultas que estime
oportunos, sin que la solicitud de aprobación a la autoridad de control implique la
apertura de un nuevo procedimiento en el que se pueda ir revisando y mejorando el
código gracias a la intervención de dicha autoridad"

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/98

La resolución de la AEPD, de fecha 24 de marzo de 2021, profundiza en esta idea al
señalar que la existencia de un código de conducta aprobado no puede considerarse
una garantía automática de cumplimiento normativo para los tratamientos realizados
por las entidades adheridas. En este sentido, se establece: "La aprobación de un
código de conducta requiere que este ofrezca garantías suficientes de que los
tratamientos regulados cumplen con lo dispuesto en el RGPD y la LOPDGDD. No
obstante, dicha aprobación no exonera a los responsables adheridos de su obligación
de garantizar la licitud de sus tratamientos en cada caso concreto"

De igual forma, el citado informe de la Abogacía del Estado también señalaba que los
tratamientos propuestos en el CCSI no han demostrado una adecuada ponderación
entre el interés legítimo y los derechos y libertades de los afectados, ni se han
proporcionado garantías suficientes para mitigar el impacto en los derechos de los
interesados. Específicamente, se indica que: "Los tratamientos propuestos deben
demostrar una adecuada ponderación entre el interés legítimo del responsable o de
terceros y los derechos y libertades fundamentales de los afectados, así como aportar
garantías suficientes que mitiguen el impacto en los derechos de los interesados, lo
que no ha quedado acreditado en este proyecto"

Asimismo, la resolución de la AEPD enfatizaba que la adopción de medidas técnicas y
organizativas adecuadas es indispensable para garantizar y demostrar la conformidad
normativa. En este sentido, subraya que: "El RGPD exige que los responsables del
tratamiento adopten medidas técnicas y organizativas adecuadas para garantizar y
poder demostrar que el tratamiento de datos personales se realiza de conformidad con
lo dispuesto en la normativa aplicable, principio que no se ha reflejado de manera
adecuada en los tratamientos descritos en el código"

Por ello, el reconocimiento otorgado a ASEDIE por buenas prácticas al que hace
referencia DATACENTRIC no puede servir para justificar una adecuada diligencia en el
tratamiento. De hecho, la propia resolución de la AEPD señalaba que dicho
reconocimiento no implica una validación de los tratamientos de datos personales
realizados ni una garantía de licitud en los mismos. Más aún, en la evaluación del
código, la AEPD concluyó que algunos de los tratamientos propuestos, como los
relacionados con información de solvencia patrimonial, podrían implicar injerencias
graves en los derechos de los interesados, especialmente en ausencia de un
consentimiento informado o de una base legal robusta.

En base a tales argumentos jurídicos, la invocación por parte del principio de confianza
legítima no puede prosperar, pues dicho principio no puede amparar actuaciones que
incumplen las disposiciones del RGPD y la LOPDGDD. El principio de confianza
legítima exige que la Administración actúe de manera previsible y coherente, lo cual no
puede interpretarse como una exoneración de las obligaciones legales que son
directamente exigibles. Tal y como resulta de los citados documentos, la AEPD advirtió
reiteradamente sobre las deficiencias del código de conducta y su incompatibilidad con
la normativa, lo cual impide argumentar que existiera una expectativa razonable de
aprobación o de validación implícita de los tratamientos realizados. En consecuencia,
la invocación de este principio no resulta adecuado para justificar una adecuada
diligencia, ni aun menos el incumplimiento de las disposiciones normativas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/98

SEGUNDA ALEGACIÓN: SOBRE LA PRESUNTA VULNERACIÓN DEL ARTÍCULO
6.1 DEL RGPD: DATACENTRIC alega que el tratamiento de datos personales
realizado por la entidad se encuentra plenamente legitimado bajo el artículo 6.1.f) del
RGPD, amparándose en un análisis ponderado que, según afirma, demuestra que el
interés legítimo de la empresa prevalece sobre los derechos y libertades
fundamentales de los afectados. Además, invoca el artículo 19 de la LOPDGDD para
justificar el tratamiento de datos de contacto con fines profesionales y asegura que
respeta el principio de minimización, limitando el tratamiento a los datos estrictamente
necesarios. Finalmente, argumenta que su actividad contribuye al interés general, al
facilitar información valiosa para el tejido empresarial y profesional. Sin embargo, estas
afirmaciones no se sostienen a la luz de las disposiciones normativas aplicables y de
los hechos que obran en el presente documento.

El artículo 19 dispone:

“1. Salvo prueba en contrario, se presumirá amparado en lo dispuesto en el artículo
6.1.f) del Reglamento (UE) 2016/679 el tratamiento de los datos de contacto y en su
caso los relativos a la función o puesto desempeñado de las personas físicas que
presten servicios en una persona jurídica siempre que se cumplan los siguientes
requisitos:

a) Que el tratamiento se refiera únicamente a los datos necesarios para su
localización profesional.
b) Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier
índole con la persona jurídica en la que el afectado preste sus servicios.

2. La misma presunción operará para el tratamiento de los datos relativos a los
empresarios individuales y a los profesionales liberales, cuando se refieran a ellos
únicamente en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas.

3. Los responsables o encargados del tratamiento a los que se refiere el artículo 77.1
de esta ley orgánica podrán también tratar los datos mencionados en los dos
apartados anteriores cuando ello se derive de una obligación legal o sea necesario
para el ejercicio de sus competencias.”

En consecuencia, el artículo 19 de la LOPDGDD incorpora una presunción iuris tantum
de licitud del tratamiento de los datos de contacto de las personas físicas y de los
empresarios individuales, pero exigiendo para que esta presunción se produzca que
los datos de contacto de los empresarios individuales se traten “cuando se refieran a
ellos únicamente en dicha condición y no se traten para entablar una relación con los
mismos como personas físicas.” Por tanto, la presunción no opera cuando la finalidad
del tratamiento sea entablar una relación con ellos como personas físicas.

Así las cosas, cuando se cumplan los requisitos que establece el artículo 19 los
responsables no precisarán realizar ninguna ponderación, dado que la Ley habrá
realizado con anterioridad dicha ponderación. Ahora bien, en este caso como resulta
de los hechos probados IBERINFORM no sólo trata datos de contacto de empresarios
individuales sino otra sería de categorías de datos a los que no les resulta de
aplicación la presunción de licitud del tratamiento. Pues bien, cuando no resulta de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/98

aplicación la presunción de interés legítimo que establece el art. 19.2 de la LOPDGDD
tendrá que ser el responsable del tratamiento, en este caso CAMERDATA, el que
justifique que concurre la base de legitimación del artículo 6.1.f) del RGPD, como así
señala la Exposición de Motivos de la LOPDGDD: “cuando no se cumplen
estrictamente las condiciones previstas en el texto, si bien en este caso el responsable
deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la
prevalencia de su interés legítimo”.

Dicho lo anterior ha de señalarse que la alegación de IBERINFORM no puede basar
estos tratamientos en el interés legítimo prevalente, ya que el interés legítimo invocado
no cumple con los tres requisitos acumulativos exigidos por el Tribunal de Justicia de
la Unión Europea (por todas, STJUE, 4 de octubre de 2024, C-621/22) para que un
tratamiento basado en el artículo 6.1.f) del RGPD sea lícito:

- Existencia de un interés legítimo válido y lícito.
- Necesidad del tratamiento para satisfacer ese interés legítimo.
- Ponderación de los intereses en conflicto en la que no prevalezcan los intereses,
derechos y libertades de los interesados.

En primer lugar, el interés legítimo invocado no es lícito, ya que entra en conflicto con
una norma de rango legal, concretamente el artículo 8 de la Ley 4/2014 pues del tenor
literal del precepto resulta, de forma inequívoca, la obligación de las Administraciones
tributarias de ceder a la CDE y a las Cámaras la información tributaria necesaria para
la elaboración del censo, así como el establecimiento de una garantía de
confidencialidad y sigilo respecto de los datos que reciban la CDE y las Cámaras.

El artículo 8 de la Ley 4/2014, de 1 de abril, establece de forma expresa y taxativa las
finalidades permitidas para los datos recogidos por las Cámaras de Comercio: la
elaboración del censo público de empresas, el cumplimiento de funciones público-
administrativas y la creación del censo electoral. Esta delimitación normativa excluye
cualquier otro uso, incluyendo los fines comerciales o de redistribución a terceros, que
son precisamente los llevados a cabo por DATACENTRIC

Los datos obtenidos por la Administración tributaria en el desempeño de sus funciones
tienen, según establece expresamente el artículo 95.1 de la Ley General Tributaria,
carácter reservado, lo que en principio (y sin perjuicio de algunas excepciones
legalmente previstas) excluye que puedan ser cedidos o comunicados a terceros.
Pues bien, entre estas excepciones no se incluye la comunicación de los datos a
CAMERDATA ni a CAMERDATA, toda vez que la comunicación de datos
expresamente prevista en la ley es la que realizan las Administraciones tributarias a la
CDE y a las Cámaras con unos fines específicos.

Como se ha expuesto, no todos los datos que ceden conforman el censo público de
empresas. Por tanto, la comunicación de tales datos se realiza con vulneración del
deber de confidencialidad y para fines no expresamente recogidos en la ley.

En definitiva, la ley 4/2014 establece un límite al tratamiento de los datos comunicados
pues los datos solo pueden utilizarse para fines público-administrativos, como la
elaboración del censo electoral, del censo público de empresas o el cumplimiento de
funciones asignadas a las Cámaras de Comercio. Dicha norma limita expresamente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/98

las finalidades del tratamiento de estos datos, excluyendo cualquier otra finalidad,
como la comercialización o reutilización con fines mercantiles.

La jurisprudencia y los principios de interpretación legal refuerzan esta afirmación. El
artículo 1 del Código Civil establece que las normas deben interpretarse según el
sentido propio de sus palabras, considerando su contexto y finalidad. En este caso, la
finalidad de la Ley 4/2014 es garantizar la confidencialidad y el uso restringido de los
datos personales recogidos por las Cámaras de Comercio, limitando su tratamiento
exclusivamente a los fines públicos enumerados en la norma. Esta interpretación,
conforme al principio de legalidad, excluye cualquier ponderación, ya que el
tratamiento realizado fuera de estas finalidades es directamente ilícito.

La comunicación de datos que realizan las administraciones tributarias tiene su
amparo en la base de legitimación contenida en el art. 6.1.c) del RGPD, al venir
impuesta en la Ley 4/2014.

El artículo 6.3 del RGPD establece que la finalidad del tratamiento deberá quedar
determinada en las leyes en las que se justifique el tratamiento. En consecuencia, no
puede existir un interés legítimo válido si es contrario a los fines específicos recogidos
en la ley, ya que el interés legítimo debe ser siempre lícito, como ha señalado el TJUE:
"El interés legítimo, en el sentido del artículo 6.1.f) del RGPD, no se limita a los
intereses consagrados por la ley, pero exige que el interés alegado sea lícito." (STJUE
de 4 de octubre de 2024, C-621/22, apartado 40).

En segundo lugar, el tratamiento no supera el criterio de necesidad, ya que el interés
legítimo invocado por CAMERDATA, consistente en contribuir al interés general,
facilitar información valiosa para el tejido empresarial y profesional, puede lograrse
mediante otros sistemas alternativos que respeten las disposiciones del artículo 8 de la
Ley 4/2014. Además, la utilización de los datos personales de los empresarios
individuales con fines de marketing no puede considerarse un tratamiento
estrictamente necesario para la consecución de ese interés legítimo que
supuestamente se persigue.

En tercer lugar, no se ha acreditado que los intereses y derechos y libertades de los
interesados no prevalezcan sobre el interés legítimo de CAMERDATA,

La ponderación entre el interés legítimo del responsable del tratamiento y los derechos
y libertades fundamentales de los interesados, prevista en el artículo 6.1.f) del RGPD
tiene como finalidad evaluar, caso por caso, si el interés legítimo invocado prevalece
sobre los derechos del interesado, teniendo en cuenta factores como la naturaleza de
los datos, el impacto potencial del tratamiento y las medidas adoptadas para mitigar
dicho impacto..

La ponderación solo procede cuando no existe una norma que limite de manera
específica el tratamiento. En el presente caso, la existencia de la Ley 4/2014, que
regula de forma precisa el uso de los datos cedidos, elimina la posibilidad de realizar
una ponderación bajo el artículo 6.1.f) del RGPD, ya que cualquier tratamiento fuera
del marco previsto es incompatible con la normativa y, por tanto, ilícito.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/98

El propio Tribunal de Justicia, en el apartado 40 de la sentencia de 4 de octubre de
2024, asunto 621/22, establece que, si bien el concepto de interés legítimo no se limita
únicamente a aquellos intereses expresamente reconocidos en la ley, sí exige que el
interés alegado sea lícito. Esto significa que un interés no puede ser considerado
legítimo si entra en conflicto con una disposición normativa que limite el tratamiento de
datos personales, como ocurre en este caso con el artículo 8 de la Ley 4/2014.

En este sentido, la propia interpretación del TJUE confirma que el interés legítimo no
puede ser utilizado como justificación para un tratamiento que contravenga una
disposición legal que imponga una limitación específica. Por tanto, la invocación del
interés legítimo por parte de DATACENTRIC es jurídicamente inviable, ya que no
cumple con los tres requisitos acumulativos exigidos por la jurisprudencia del TJUE y,
además, entra en conflicto directo con una norma de rango legal que excluye la
reutilización de los datos para los fines que se persigue.

Por otro lado, DATACENTRIC invoca el artículo 19 de la LOPDGDD para justificar el
tratamiento de datos de contacto profesional. Sin embargo, este artículo no puede
invocarse para justificar cualquier uso de datos de empresarios individuales. El artículo
19 presume lícito exclusivamente el tratamiento de datos de localización de los
empresarios individuales y a los solos efectos mantener relaciones empresariales.
Además, el art. 19 LOPDGDD establece una presunción de licitud que admite prueba
en contrario y como se ha indicado, en este caso, los datos personales fueron
obtenidos de un censo público cuya finalidad está expresamente delimitada por la Ley
4/2014, y su uso para fines comerciales, como la comercialización y distribución de los
datos a terceros, excede dichas finalidades legales.

Por lo que se refiere al principio de minimización alegado y que se encuentra
establecido en el artículo 5.1.c) del RGPD, exige que los datos personales tratados
sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para
los que son tratados. Sin embargo, este principio no puede analizarse de manera
aislada en el presente caso, ya que, como se ha indicado, el tratamiento realizado por
DATACENTRIC habría sido ilícito desde su origen, al vulnerar la limitación impuesta
por el artículo 8 de la Ley 4/2014. En este sentido, el análisis sobre si el tratamiento
respeta el principio de minimización resulta superfluo, dado que cualquier tratamiento
realizado fuera de las finalidades previstas por la ley ya implica un exceso y supone
una infracción del RGPD y de la LOPDGDD. La licitud es un requisito previo a
cualquier valoración sobre proporcionalidad, adecuación o pertinencia de los datos
tratados. Por ello, en el presente caso, no es posible aplicar el principio de
minimización, ya que el tratamiento en su conjunto es ilícito y, en consecuencia,
cualquier evaluación sobre un supuesto exceso carece de relevancia.

Por último, respecto al interés general invocado por DATACENTRIC al facilitar
información relevante para el desarrollo del tejido empresarial y profesional, su
argumento no es suficiente para justificar el tratamiento de datos personales basado
en el interés legítimo, pues como se ha indicado no supera el juicio de necesidad ni
prevalecería sobre los derechos y libertades de los interesados que no esperan que
los datos personales que se encuentran obligados a facilitar a las Administraciones
tributarias sean tratados por terceros con fines comerciales .

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/98

La Ley 4/2014 establece claramente los fines para los cuales se permite el uso de los
datos del censo público, y ningún precepto de dicha norma habilita su uso posterior
para actividades comerciales o de enriquecimiento de bases de datos privadas.
Aunque el acceso a la información puede tener un impacto positivo en el ámbito
económico, ello no puede prevalecer sobre los derechos fundamentales de los
interesados, protegidos por el RGPD. El interés general no puede ser utilizado como
una justificación genérica que permita ignorar las restricciones legales específicas que
regulan el uso de los datos personales.

TERCERA. – SOBRE LA PRESUNTA VULNERACIÓN DEL ARTÍCULO 14 DEL
RGPD. DATACENTRIC alega que no ha vulnerado el artículo 14 del RGPD,
argumentando que su obligación de informar a los interesados no se aplica debido a la
concurrencia de la excepción del artículo 14.5.b), que exonera al responsable del
tratamiento de dicha obligación cuando implique un esfuerzo desproporcionado.
Además, la entidad sostiene que la naturaleza profesional de los datos tratados, su
origen en fuentes legítimas como el censo público de empresas, y la publicación de su
política de privacidad en su sitio web son medidas suficientes para garantizar la
transparencia del tratamiento. Sin embargo, estos argumentos no pueden prosperar a
la luz de las disposiciones del RGPD y de los hechos probados en el expediente.

El artículo 14 del RGPD establece de forma clara la obligación del responsable del
tratamiento de informar a los interesados cuando los datos personales no se obtienen
directamente de ellos. En este caso, los datos tratados por DATACENTRIC fueron
adquiridos mediante un contrato de cesión con CAMERDATA y no obtenidos
directamente de los interesados, lo que activa la aplicación del artículo 14.
DATACENTRIC no habría cumplido con esta obligación, lo que supondría una
vulneración directa del principio de transparencia consagrado en el artículo 5.1.a) del
RGPD.

DATACENTRIC alega que el volumen de datos tratados, aproximadamente 1.500.000
registros, y los costes asociados a la notificación individualizada hacen que informar a
los interesados constituya un esfuerzo desproporcionado. Sin embargo, esta
excepción debe interpretarse de manera restrictiva y solo puede aplicarse cuando el
esfuerzo requerido para informar sea objetivamente considerable, teniendo en cuenta
la naturaleza del tratamiento y las herramientas disponibles para el responsable.

En el presente caso, el volumen de datos no justifica la omisión de esta obligación, ya
que DATACENTRIC no ha demostrado haber explorado alternativas razonables para
cumplir con el deber de información. La publicación de la política de privacidad en el
sitio web no es una medida suficiente, ya que no garantiza que los interesados sean
efectivamente informados, especialmente cuando no se les ha comunicado de ninguna
manera que sus datos están siendo tratados. Este incumplimiento manifiesta la falta
de diligencia en la adopción de medidas adecuadas para cumplir con la normativa.
Además, la cláusula utilizada por CAMERDATA para ofrecer la información no cumple
con los requisitos del artículo 14, por cuanto no se indica de modo claro quién sería el
responsable del tratamiento, ni recoge la base de legitimación, ni que la información
será comunicada a terceros.

DATACENTRIC argumenta que los datos tratados son exclusivamente profesionales e
identificativos y que esto reduce la injerencia en los derechos de los interesados. Sin
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/98

embargo, el artículo 14 del RGPD es igualmente aplicable a los datos personales de
carácter profesional, como en este caso, donde se tratan datos identificativos de
empresarios individuales y profesionales autónomos.

Es importante destacar que, incluso si el tratamiento realizado por DATACENTRIC
fuera considerado ilícito por la falta de una base legal adecuada, el responsable del
tratamiento sigue estando obligado a cumplir con el principio de transparencia e
informar a los interesados según lo dispuesto en el artículo 14. La omisión de esta
obligación agrava la vulneración de los derechos de los interesados, ya que los priva
del conocimiento necesario para ejercer sus derechos y oponerse al tratamiento.

CUARTA ALEGACIÓN: SOBRE LA FALTA DE PROPORCIONALIDAD DE LA
SANCIÓN PROPUESTA

DATACENTRIC alega que la sanción propuesta por la Agencia Española de Protección
de Datos (AEPD) resulta desproporcionada y contraria al principio de proporcionalidad
consagrado en el artículo 29 de la Ley 40/2015, de Régimen Jurídico del Sector
Público (LRJSP). Sin embargo, esta alegación carece de fundamento, ya que la
sanción propuesta por la AEPD está plenamente justificada conforme a los criterios
establecidos en el artículo 83.2 del RGPD y la gravedad de las infracciones
constatadas en el expediente.

En primer lugar, el principio de proporcionalidad exige que las sanciones sean
adecuadas, necesarias y proporcionadas a la gravedad de las infracciones cometidas,
teniendo en cuenta las circunstancias del caso. En este sentido, el artículo 83.2 del
RGPD establece una lista exhaustiva de factores que deben considerarse para la
determinación de la sanción. La AEPD ha valorado estos factores en el acuerdo de
inicio, concluyendo que la conducta de DATACENTRIC constituye una infracción de los
artículos 6.1 y 14 del RGPD, que afecta directamente a los derechos fundamentales
de los interesados. Estas infracciones, lejos de ser actos aislados, constituirían una
conducta sistemática y continuada, que agravaría la conducta de DATACENTRIC y
justifica la imposición de la sanción.

Así, en relación con la duración de la infracción, DATACENTRIC argumenta que la
AEPD no ha fundamentado suficientemente este agravante, al no especificar de
manera detallada el periodo durante el cual se ha producido la infracción. Sin
embargo, esta objeción no puede prosperar, ya que el expediente refleja con claridad
que las infracciones, tanto la ausencia de una base legal válida para el tratamiento
como la falta de cumplimiento del deber de información establecido en el artículo 14
del RGPD, han persistido de manera continuada desde la obtención de los datos
personales a través del contrato de cesión formalizado con CAMERDATA. Este
contrato, fechado en abril de 2017, marca el inicio de una sucesión continuada de
tratamientos de datos personales realizados sin una base jurídica adecuada y sin que
los interesados fueran informados de manera efectiva sobre el uso de su información.

La duración prolongada de estas infracciones no es un hecho anecdótico, sino que
tiene implicaciones significativas en los derechos de los interesados. Durante todo este
tiempo, los titulares de los datos han estado sujetos a un tratamiento que carecía de
legitimidad y llevado a cabo sin la transparencia requerida por la normativa. La falta de
información les habría impedido ejercer sus derechos de acceso, rectificación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/98

supresión y oposición, aumentando el impacto negativo sobre sus derechos y
libertades fundamentales.

En este sentido, el RGPD establece en su artículo 83.2 que la duración de una
infracción es uno de los criterios clave para graduar las sanciones, y ello es debido a
que refleja tanto el alcance del incumplimiento como la persistencia del responsable en
mantener una situación contraria a la normativa. En este caso, la continuidad del
tratamiento ilícito y la ausencia de información durante varios años demuestran una
falta de diligencia significativa por parte de DATACENTRIC, lo que agrava su
responsabilidad.

En cuanto a la intencionalidad o negligencia, DATACENTRIC sostiene que no hubo
negligencia en su actuación y que adoptó medidas técnicas y organizativas adecuadas
para garantizar el cumplimiento normativo. Es importante destacar que la negligencia,
a diferencia de la intencionalidad, no requiere una voluntad deliberada de infringir la
normativa, sino que se configura por la omisión de las precauciones razonables que
son exigibles a un responsable del tratamiento según sus características y contexto.

En este caso, la negligencia de DATACENTRIC se manifiesta de manera agravada por
varios factores que reflejan no solo una mera falta de cumplimiento, sino también una
ausencia de diligencia reforzada que es exigible a una entidad que gestiona un
volumen significativo de datos personales como parte esencial de su modelo de
negocio. Este elevado número de registros amplifica las consecuencias de cualquier
incumplimiento normativo, al no limitarse a un reducido número de interesados, sino
que impacta a un grupo amplio de personas cuyos derechos fundamentales pueden
verse vulnerados de manera significativa.

En este sentido, el citado volumen de datos gestionados impone a DATACENTRIC un
especial deber de cuidado, que exige en consecuencia una diligencia reforzada en el
cumplimiento de la normativa, incluyendo la verificación rigurosa de la licitud del
tratamiento y el compromiso de informar a los interesados.

Por otro lado, la negligencia de DATACENTRIC también se agrava por el hecho de
que, como entidad dedicada al tratamiento y análisis de datos, tiene un conocimiento
especializado del sector y de las obligaciones legales impuestas por la normativa de
protección de datos. La implicación en la promoción de un Código de Conducta
sectorial junto con ASEDIE a la que ha hecho referencia, incluida su interacción
prolongada con la Agencia Española de Protección de Datos, demuestra que la
empresa no puede alegar desconocimiento ni confusión respecto a las exigencias del
RGPD.

En consecuencia, al operar dentro de un sector altamente regulado y basado en el
tratamiento de datos, DATACENTRIC se encontraba en una posición privilegiada para
comprender y anticipar las exigencias normativas, incluyendo la necesidad de contar
con una base legal válida y cumplir con el principio de transparencia. El incumplimiento
por parte de una entidad con este nivel de conocimiento técnico y jurídico refleja una
negligencia agravada al ignorar sus responsabilidades en un entorno que, como es
sabido, exige un nivel elevado de conformidad normativa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/98

Respecto a las circunstancias atenuantes alegadas por DATACENTRIC, como la
ausencia de infracciones previas, el tratamiento de datos no sensibles y la
colaboración con la AEPD, estas han sido consideradas por la Agencia, pero no
resultan suficientes para mitigar la gravedad de las infracciones ni justificar una
reducción significativa de la sanción impuesta. Aunque estas circunstancias pueden
reflejar cierto nivel de cumplimiento parcial de las obligaciones normativas, no tienen el
peso necesario para contrarrestar los incumplimientos graves constatados en el
procedimiento.

La ausencia de infracciones previas es, ciertamente, un factor que puede influir en la
graduación de la sanción, pero nunca para conseguir su atenuación. El art. 83.2 e) del
RGPD se refiere a “toda infracción anterior cometida por el responsable o el
encargado del tratamiento”, por esta circunstancia está haciendo referencia a las
infracciones anteriormente cometidas por el responsable y no a la ausencia de ellas.

En este caso, las infracciones de los artículos 6.1 y 14 del RGPD afectan pilares
fundamentales de la normativa de protección de datos, como la licitud del tratamiento y
el deber de transparencia. El hecho de que DATACENTRIC no cuente con
antecedentes sancionadores no modifica el impacto significativo que estas
infracciones tienen en los derechos fundamentales de los interesados, por eso la
ausencia de infracciones anteriores no puede tenerse en cuenta como atenuante. La
existencia de atenuantes debe derivarse de las circunstancias previstas en el RGPD, y
en este caso, no cabe la aplicación del art. 83.2.e) como atenuante.

En cuanto al argumento de que los datos tratados no son sensibles ni especialmente
protegidos, si bien es cierto que el RGPD contempla categorías especiales de datos
que no han sido objeto de tratamiento en el presenta caso, la naturaleza no sensible
de los datos no disminuye la gravedad de las infracciones, ya que el impacto de tratar
datos de manera ilícita y sin informar a los interesados se extiende al control que las
personas tienen sobre su información personal, un derecho protegido por el RGPD.

Además, DATACENTRIC trataría información tributaria como las actividades
secundarias del IAE y si bien el NIF no forma parte de las categorías especiales de
datos del artículo 9 del RGPD, su tratamiento indebido reviste una especial
sensibilidad, ya que constituye un dato clave para la identificación y vinculación de una
persona física con múltiples trámites administrativos, financieros y fiscales, lo que
agrava el impacto del tratamiento ilícito. El uso del NIF sin base jurídica adecuada y
sin la debida información a los interesados incrementa los riesgos de suplantación de
identidad y de utilización indebida, lo que implica la necesidad de aplicar una sanción
proporcional a la gravedad de la conducta infractora.

Por lo que se refiere a la alegada colaboración de DATACENTRIC con la AEPD debe
evaluarse en términos de su eficacia para remediar los incumplimientos y evitar daños
adicionales. Aunque DATACENTRIC ha proporcionado información durante el
procedimiento, esta actuación no puede considerarse como atenuante El artículo
83.2.f) del RGPD establece que el grado de cooperación puede ser un factor
atenuante, pero la actuación de DATACENTRIC no puede considerarse un atenuante,
toda vez en este caso, la cooperación no ha contribuido de manera sustancial a mitigar
las consecuencias de los incumplimientos ni a reparar los derechos de los interesados.
Además, a tal efecto hay que tener en consideración las Directrices 04/2022 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/98

CEPD, las cuales señalan que “debe considerarse que el deber ordinario de
cooperación es obligatorio y, por tanto, debe considerarse neutro (y no un factor
atenuante)

Finalmente, la participación en iniciativas como la elaboración de un Código de
Conducta, aunque representa una acción positiva en el marco general de la protección
de datos, no puede considerarse un atenuante relevante en este procedimiento. El
hecho de participar en la promoción de buenas prácticas no tiene un impacto directo
en la corrección de los incumplimientos constatados. Además, el Código de Conducta
mencionado no ha sido aprobado por la AEPD, lo que limita su valor como referencia
para evaluar el cumplimiento normativo de DATACENTRIC

En conclusión, las circunstancias atenuantes alegadas por DATACENTRIC han sido
valoradas por la AEPD, pero no tienen el peso suficiente para contrarrestar la
gravedad de las infracciones constatadas ni justificar una reducción significativa de la
sanción. Estas circunstancias, aunque positivas, no eliminan la responsabilidad por los
incumplimientos graves y continuados de las disposiciones del RGPD. La gravedad de
las conductas, el impacto sobre los derechos de los interesados y la persistencia de
las infracciones justifican las sanciones propuestas.

Por lo que se refiere al cálculo de la sanción propuesto por la presente autoridad se
encuentra plenamente justificado y dentro del límite establecido por el artículo 83.5 del
RGPD. Este precepto prevé que, para las infracciones más graves, como las relativas
a los artículos 6.1 y 14 del RGPD, se puede imponer una multa administrativa de hasta
20 millones de euros o el 4% del volumen de negocio total anual global del ejercicio
financiero anterior, optándose por la mayor cuantía.

Es importante destacar que el límite del 4% del volumen de negocio establecido por el
RGPD se aplica a cada una de las infracciones de manera individual, y no al conjunto
de las sanciones acumuladas en un procedimiento. Esto significa que, en el caso de
DATACENTRIC, las infracciones del artículo 6.1 y del artículo 14 pueden sancionarse
separadamente con hasta el 4% de su volumen de negocio anual. Sin embargo, la
AEPD ha optado por una cuantificación razonable y proporcionada, que considera el
impacto agregado de ambas infracciones sin exceder el límite de sanción para cada
una de ellas.

Esto demuestra que el cálculo realizado no es arbitrario ni desproporcionado, sino que
responde a una evaluación detallada de la gravedad y el alcance de las infracciones.
El 4% del volumen de negocio no es un umbral fijo que se aplique automáticamente,
sino un límite máximo dentro del cual la autoridad de control debe graduar la sanción
considerando factores como la naturaleza, gravedad y duración de la infracción; el
carácter intencional o negligente; los daños causados; y las medidas adoptadas para
mitigar el impacto. En este caso, la AEPD ha fundamentado la cuantía propuesta
considerando elementos que agravan la conducta, como la duración prolongada de las
infracciones, la falta de transparencia hacia los interesados y el volumen masivo de
datos gestionados.

Además, el objetivo principal de las sanciones impuestas bajo el RGPD no es solo
penalizar conductas infractoras, sino también garantizar un efecto disuasorio efectivo
que prevenga futuras infracciones, tanto por parte del infractor como de otras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/98

entidades. En el caso de DATACENTRIC, cuya actividad empresarial depende
directamente del tratamiento de datos personales, una sanción de menor cuantía
podría no ser suficiente para modificar sus prácticas o para enviar un mensaje claro
sobre la importancia de cumplir con las disposiciones normativas. El impacto
significativo de las conductas sancionadas en los derechos fundamentales de los
interesados refuerza la necesidad de imponer una sanción que sea proporcional al
daño causado y suficientemente disuasoria para evitar la repetición de conductas
similares.

En conclusión, la sanción propuesta por la AEPD cumple con los principios de
proporcionalidad y adecuación establecidos en el RGPD. Al calcular la cuantía
equivalente al 4% del volumen de negocio anual DATACENTRIC, la AEPD se ha
ajustado al marco legal y ha considerado de manera razonada los agravantes y el
impacto de las infracciones, sin exceder el límite aplicable para cada una de las
sanciones.

VI
Contestación a las alegaciones frente a la propuesta de resolución

Primera alegación: Sobre el Censo Público de Empresas.

La alegación presentada parte de una interpretación errónea del contenido, finalidad y
régimen jurídico del Censo Público de Empresas regulado en el artículo 8 de la Ley
4/2014, de 1 de abril, de Cámaras Oficiales de Comercio, Industria, Servicios y
Navegación. En particular, confunde el carácter público del censo que se publica por
CDE con la posibilidad de reutilizar libremente todos los datos personales
comunicados por la Administración tributaria a CDE, obviando las limitaciones legales
aplicables tanto a su cesión como a su uso posterior.

En primer lugar, el hecho de que la información se proporcione para elaborar el censo
“público” no implica que los datos personales puedan ser tratados sin restricciones y
para fines incompatibles. El artículo 8 de la Ley 4/2014 exige expresamente que los
datos cedidos por la Administración tributaria sean tratados con “confidencialidad en el
tratamiento y el uso exclusivo de dicha información”, limitando su utilización a las
funciones público-administrativas que la ley atribuye a las Cámaras, como son la
elaboración del censo electoral y del censo público.

La propia cláusula del convenio suscrito entre la AEAT y la Cámara de Comercio de
España, vigente en el momento de los hechos, prohíbe de forma expresa la cesión a
terceros de la información procedente de la AEAT (Cláusula cuarta del Convenio de
2019, prorrogado y modificado en 2023), reiterando que su uso debe estar
estrictamente limitado a las finalidades recogidas en la cláusula segunda del convenio,
entre las cuales no se encuentra la explotación comercial ni la cesión a empresas
infomediarias.

Por tanto, la existencia de una página web donde puede consultarse el censo no
convierte automáticamente todos los datos cedidos en reutilizables con fines
incompatibles a los previstos legalmente. El acceso público a ciertos datos básicos no
legitima el tratamiento posterior por terceros con finalidades comerciales de todos los
datos cedidos, especialmente cuando se trata de información personal relativa a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/98

empresarios individuales, como el NIF que tiene carácter de dato personal conforme al
artículo 4.1 del RGPD y no figura en el censo publicado.

Asimismo, el argumento de que la información del “Censo Básico de Empresas” es
equivalente al “Censo Público de Empresas” resulta inaceptable, ya que no todos los
datos se publican y el contrato de cesión entre CAMERDATA y las empresas
infomediarias excede del ámbito cubierto por el art. 8 de la Ley 4/2014 que no habilita
la comercialización masiva de datos personales obtenidos de la AEAT. Esta cesión, en
la práctica, vulnera las condiciones impuestas en el convenio con la AEAT y desborda
el marco de uso exclusivo previsto por la Ley 4/2014.

Tampoco puede invocarse el artículo 19 de la LOPDGDD o el interés legítimo del
artículo 6.1 f) del RGPD como base habilitante, dado que, conforme a las Directrices
06/2020 del Comité Europeo de Protección de Datos, el interés legítimo no es
aplicable cuando existe una norma legal que restringe el uso de los datos personales o
cuando el tratamiento entra en contradicción con los fines establecidos legalmente,
como sucede en este caso.

Por todo ello, debe rechazarse la alegación, ya que la información tratada por
DATACENTRIC no puede considerarse “pública” en el sentido de libremente
reutilizable para finalidades distintas a las autorizadas, y su uso comercial constituye
un tratamiento de datos personales carente de base legal y contrario a los principios
de licitud y transparencia establecidos en los artículos 5.1 a) y 6.1 del RGPD.

Segunda alegación: Sobre el Código de Conducta del Sector Infomediario

La alegación parte de un presupuesto erróneo: que la tramitación del Código de
Conducta del Sector Infomediario (CCSI) implicaría una validación o aceptación tácita
por parte de la AEPD del tratamiento de datos personales llevado a cabo por las
entidades del sector. Sin embargo, la mera colaboración durante el proceso de
elaboración de un código no puede interpretarse como una convalidación de los
tratamientos ni como una garantía de licitud.

Como es bien sabido, el Código de Conducta del Sector Infomediario no fue aprobado,
tal y como consta en la resolución denegatoria de la AEPD de 24 de marzo de 2021,
que rechazó su aprobación por no cumplir los requisitos del RGPD y la LOPDGDD.
Dicha resolución, así como el informe del Gabinete Jurídico de 16 de marzo de 2021,
señalan expresamente que los tratamientos propuestos en el código no demostraron
una adecuada ponderación entre el interés legítimo y los derechos y libertades de los
afectados, ni ofrecieron garantías suficientes para mitigar el impacto de dichos
tratamientos.

Además, el artículo 40.5 del RGPD establece que la adhesión a un código de conducta
aprobado no exime al responsable del cumplimiento del resto de obligaciones legales.
En este sentido, menos aún puede considerarse eximente una propuesta de código no
aprobada, cuyo contenido fue objeto de valoración crítica por parte de la presente
autoridad.

Respecto a las menciones del expediente CC/0003/2018, debe recordarse que los
elementos positivos señalados por el informe de la Subdirección General del Registro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/98

General de Protección de Datos se referían únicamente a ciertos aspectos técnicos del
texto, y no a una validación global de todos los tratamientos recogidos en el CCSI. En
ningún caso puede afirmarse que la AEPD hubiera avalado el tratamiento masivo y
comercial de datos personales de empresarios individuales.

Por otro lado, el hecho de que la AEPD haya conocido el proyecto de código o que se
hayan mantenido reuniones informativas con los proponentes no constituye un acto
administrativo generador de derechos, ni satisface los requisitos jurisprudenciales del
principio de confianza legítima, que exige una actuación previa clara, reiterada y
coherente de la Administración que cree una expectativa legítima de licitud. En este
caso, al contrario, existe una resolución expresa de denegación del código, por lo que
mal puede alegarse una expectativa fundada de validación.

Finalmente, la supuesta voluntad de cumplimiento normativo expresada por la entidad
no subsana las infracciones ya cometidas ni acredita que el tratamiento llevado a cabo
hasta la fecha cumpla los principios del RGPD, particularmente los de licitud,
minimización, transparencia y responsabilidad proactiva. Por tanto, la alegación carece
de base jurídica y fáctica para desvirtuar los fundamentos de la propuesta de
resolución.

Tercera alegación: Sobre la presunta vulneración del artículo 6.1 del RGPD

La alegación formulada por DATACENTRIC trata de justificar la licitud del tratamiento
de datos personales de empresarios individuales invocando el interés legítimo del
artículo 6.1.f) del RGPD en relación con el artículo 19 de la LOPDGDD. Sin embargo,
esta interpretación no resulta admisible, en tanto que se omite por completo que el uso
de los datos objeto de tratamiento está expresamente condicionado por una norma
con rango legal que impone restricciones específicas a su reutilización.

Tal como establece el artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las Cámaras
Oficiales de Comercio, los datos procedentes de la Agencia Tributaria y otras
administraciones sólo pueden utilizarse por las Cámaras para la elaboración del censo
público, el cumplimiento de funciones público-administrativas y la elaboración del
censo electoral. Esta previsión, de carácter tasado, impide cualquier uso posterior de
los datos con fines comerciales o de redistribución a terceros, incluso aunque se
invoque una base jurídica alternativa como el interés legítimo. El propio Comité
Europeo de Protección de Datos en sus Directrices 1/2024 ha sido claro al señalar que
el interés legítimo no puede utilizarse para eludir una norma específica que limita el
tratamiento de determinados datos, por lo que la existencia de una base jurídica
adicional no exime del cumplimiento del marco normativo aplicable.

Tampoco resulta de aplicación el artículo 19 de la LOPDGDD, que establece una
presunción de licitud en el tratamiento de datos de contacto de empresarios
individuales cuando se utilicen únicamente para fines profesionales. En el presente
caso, DATACENTRIC no se limita a establecer relaciones individuales de contacto
profesional, sino que comercializa sistemáticamente grandes bases de datos para
fines de marketing, las cuales incluyen información identificativa completa como el
nombre, dirección, NIF, actividad económica o teléfono. Este tratamiento masivo y con
fines de explotación económica excede con mucho el uso previsto por el citado artículo
19, máxime cuando no consta que los interesados hayan sido informados conforme a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/98

lo previsto en el artículo 14 del RGPD ni que el tratamiento se limite al ámbito
estrictamente profesional de los contactos.

La falta de aplicación del art. 19 de la LOPDGDD no impide que puedan tratarse datos
basados en el interés legítimo, pero siempre y cuando se realice una adecuada
ponderación de los intereses en conflicto

En este caso, aunque DATACENTRIC afirme haber realizado un análisis de
ponderación del interés legítimo, ello no es suficiente para legitimar el tratamiento si se
parte de una base jurídica inviable por colisionar con una norma especial. El principio
de responsabilidad proactiva exige evaluar la compatibilidad del tratamiento no sólo
con el RGPD en abstracto, sino también con el marco sectorial aplicable. En este
caso, la limitación expresa del artículo 8 de la Ley 4/2014 impide fundamentar el
tratamiento que específicamente se realiza en este caso en el interés legítimo.
Asimismo, el NIF, aunque no sea un dato de categoría especial, es un identificador
único que, combinado con otros datos personales, aumenta considerablemente el
riesgo de suplantación de identidad y uso indebido, por lo que su tratamiento requiere
una justificación reforzada. Este riesgo se ve agravado por el hecho de que no consta
que se haya informado a los interesados de forma directa ni que se les haya
proporcionado un medio efectivo para ejercer sus derechos.

La alegación de que el censo público es, por definición, accesible libremente y sin
restricciones no resiste una interpretación sistemática ni finalista de la norma. La Ley
4/2014 utiliza la expresión “público” para describir la naturaleza del censo elaborado
por las Cámaras, pero ello no implica que todos los datos cedidos puedan ser
reutilizados sin limitación para finalidades incompatibles a las previstas legalmente. De
hecho, la propia norma establece un deber de confidencialidad respecto a los datos
recibidos de la administración tributaria, y restringe su uso al cumplimiento de
funciones público-administrativas. En este sentido, resulta irrelevante que los datos
sean accesibles a través de un portal web si su reutilización comercial no cuenta con
una base jurídica válida ni se ha informado a los interesados.

Por otro lado, las medidas alegadas por DATACENTRIC en relación con la información
indirecta a través de su página web o de sus clientes no cumplen con el deber de
información del artículo 14 del RGPD, ya que no constan mecanismos efectivos para
garantizar que el interesado reciba dicha información ni se justifica adecuadamente
por qué no se proporciona directamente. La mera posibilidad de ejercer el derecho de
oposición no basta para legitimar el tratamiento, ni puede considerarse una garantía
adicional válida. La transparencia y la información previa al tratamiento son requisitos
esenciales, no facultativos ni sustitutivos.

En definitiva, el tratamiento de datos personales realizado por DATACENTRIC carece
de una base jurídica válida conforme al artículo 6.1 del RGPD, vulnera el principio de
transparencia del artículo 5.1.a) y no supera el juicio de necesidad ni de ponderación
exigido para fundamentarse en el interés legítimo. Todo ello justifica la calificación del
tratamiento como ilícito y avala la posición sostenida por la AEPD en la Propuesta de
Resolución.

Cuarta alegación. Sobre la presunta vulneración del artículo 14 del RGPD

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/98

La alegación presentada por DATACENTRIC relativa a que resulta de aplicación al
presente caso la excepción del apartado 5.b) del art. 14 del RGPD, aludiendo a la
existencia de un esfuerzo desproporcionado por la elevada cantidad de interesados.
Sin embargo, esta argumentación no puede prosperar las siguientes varias razones.

En primer lugar, porque para poder acogerse a esta excepción el responsable debe
sopesar el esfuerzo que implica para él facilitar la información al interesado y los
efectos y la repercusión de que supone para el interesado no recibir esta información.
Además, no consta que en este caso se haya realizado tal evaluación el responsable
deberá documentar esta evaluación. Sin embargo, tal evaluación no se ha realizado en
este caso.

Y en segundo lugar, porque el responsable puede sustituir la comunicación directa por
la publicación de la información en una web, pero además de hacer pública la
información deberá adoptar las medidas adecuadas que se deriven de las concretas
circunstancias del tratamiento. Sin embargo, la medida adoptada en este caso ha
consistido exclusivamente en publicar una política de privacidad en una página web
que no contiene la información que exige el art. 14 del RGPD, por lo que no puede
considerarse una medida adecuada para dar cumplimiento a lo dispuesto en el art. 14.

En este sentido, indican las Directrices sobre transparencia en virtud del Reglamento
2016/679 (wp260rev.01) del antiguo GT29, adoptadas por el CEPD, lo siguiente:

“64. Cuando un responsable del tratamiento pretenda acogerse a la excepción
contemplada en el artículo 14, apartado 5, letra b), aduciendo que facilitar la
información supondría un esfuerzo desproporcionado, este debe sopesar el
esfuerzo que implica para él facilitar la información al interesado y los efectos y
la repercusión de no recibir la información para el interesado. El responsable
del tratamiento debe documentar esta evaluación de conformidad con sus
obligaciones de responsabilidad proactiva. En tal caso, el artículo 14, apartado
5, letra b), especifica que el responsable del tratamiento debe adoptar medidas
adecuadas para proteger los derechos, libertades e intereses legítimos del
interesado. Esto se aplica igualmente cuando un responsable determina que
resulta imposible facilitar la información o que hacerlo podría imposibilitar u
obstaculizar gravemente el logro de los objetivos del tratamiento. Una medida
adecuada, tal como se especifica en el artículo 14, apartado 5, letra b), que los
responsables siempre deben adoptar es hacer pública la información. Los
responsables pueden hacerlo de varias formas, por ejemplo publicando la
información en su sitio web, o anunciando proactivamente la información en un
periódico o en carteles en sus instalaciones. Además de hacer pública la
información, el resto de medidas adecuadas dependerá de las circunstancias
del tratamiento, pero estas pueden ser: llevar a cabo una evaluación de
impacto relativa a la protección de datos; aplicar técnicas de seudonimización a
los datos; minimizar los datos recogidos y el periodo de almacenamiento; y
aplicar medidas técnicas y organizativas para garantizar un nivel elevado de
seguridad. Por otro lado, pueden darse situaciones en las que el responsable
esté tratando datos personales sin que sea necesario identificar a los
interesados (por ejemplo, con datos seudonimizados). En tales cases, el
artículo 11, apartado 1, también puede ser pertinente, ya que dispone que un
responsable de datos no estará obligado a mantener, obtener o tratar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/98

información adicional con vistas a identificar al interesado con la única finalidad
de cumplir el RGPD.”

En definitiva, la alegación presentada no acredita con el debido rigor que concurran los
requisitos legales para aplicar la excepción del artículo 14.5.b) del RGPD, ni que las
medidas adoptadas sean adecuadas para cumplir con el deber de información. La
actuación de DATACENTRIC, por tanto, supone una vulneración clara del artículo 14,
al haberse tratado datos personales de miles de personas sin que estas hayan sido
informadas de manera efectiva y completa del tratamiento de sus datos personales, ni
de su procedencia, ni de sus derechos.

Alegación Quinta: Sobre la propuesta de sanción. Fundamentación jurídica y
proporcionalidad de esta.

En primer lugar, el hecho de que la AEPD tuviera conocimiento de que DATACENTRIC
participaba en el sector infomediario o que compartiera información en el contexto del
CCSI, no implica en ningún caso que conociera ni aprobara el contenido concreto del
tratamiento que ahora es objeto de análisis. La AEPD no contaba con información
suficiente para pronunciarse sobre su licitud hasta que se inició formalmente el
procedimiento sancionador y se analizaron los hechos probados y la documentación
aportada. En consecuencia, no puede invocarse el principio de confianza legítima para
evitar la responsabilidad, máxime cuando el propio CCSI fue denegado expresamente
por no cumplir con las garantías exigidas por el RGPD.

La alegación de que no ha existido negligencia tampoco resulta sostenible. El RGPD
impone al responsable del tratamiento un deber de diligencia reforzada, especialmente
cuando la actividad empresarial se basa en la explotación sistemática de datos
personales. La infracción del artículo 6.1 del RGPD al tratar datos sin base jurídica
adecuada, y la vulneración del artículo 14 por omitir el deber de información, son
conductas objetivamente contrarias al marco normativo. La existencia de medidas
organizativas o el nombramiento de un DPD no elimina esta responsabilidad, ya que
no basta con desplegar estructuras formales si el tratamiento en sí carece de licitud y
transparencia.

Del mismo modo, la invocación de la excepción del artículo 14.5.b) RGPD tampoco es
válida. Las Directrices sobre Transparencia del CEPD exigen que se valore
cuidadosamente si realmente informar a los interesados constituye un esfuerzo
desproporcionado y, en su caso, deben desplegarse mecanismos eficaces para hacer
pública la información de manera accesible, clara y suficiente. La mera publicación en
la web no cumple por sí sola con estos estándares, especialmente en tratamientos
masivos con impacto potencial significativo sobre los derechos de los afectados.

Respecto a la pretendida desproporción de la sanción, debe recordarse que el artículo
83 del RGPD establece que las multas deben ser efectivas, proporcionadas y
disuasorias, y en este caso, la cuantía propuesta se basa en hechos probados, la
gravedad de las infracciones y la actividad principal de la empresa, centrada en el
tratamiento de datos personales. El hecho de que no se hayan tratado categorías
especiales de datos o que no existan antecedentes sancionadores no desvirtúa la
gravedad objetiva de las infracciones, ni elimina la necesidad de imponer una sanción
ejemplarizante para garantizar el cumplimiento normativo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/98

En suma, la AEPD conocía la existencia del tratamiento, pero no tenía constancia de
que se estuviera realizando sin base jurídica suficiente ni con la omisión del deber de
información exigido por el RGPD. Solo con la apertura formal del procedimiento ha
podido constatarse la ilicitud de dicho tratamiento. Por ello, ni puede alegarse buena fe
ni cabe invocar el principio de confianza legítima para excluir la responsabilidad. La
sanción impuesta responde al principio de proporcionalidad y se encuentra
debidamente motivada conforme al marco jurídico vigente.

VII
Obligación incumplida del artículo 6.1 del RGPD

El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales.

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;

c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;

d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física;

e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;

f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.

El principio de licitud representa uno de los pilares fundamentales sobre los que se
asienta el Reglamento General de Protección de Datos (RGPD). La relevancia de este
principio radica, entre otros aspectos, en el papel esencial en la construcción de una

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/98

relación de confianza entre las distintas personas y entidades que tratan datos
personales y los individuos titulares de dichos datos.

La licitud en el tratamiento de los datos personales garantiza que toda actividad de
tratamiento se realice dentro del marco legal establecido, respetando los derechos de
los titulares de los datos y cumpliendo con las obligaciones legales. Este principio
actúa, por tanto, como un escudo protector de los derechos fundamentales de las
personas, garantizando que sus datos personales no sean utilizados de manera
indebida.

En la práctica, el principio de licitud obliga a los responsables y encargados del
tratamiento de datos a identificar una base legal válida antes de proceder con
cualquier actividad de tratamiento. Esta base legal se determina por el citado artículo
6.1 que establece de forma concreta y exhaustiva las condiciones para considerar un
determinado tratamiento lícito. Estas condiciones incluyen el consentimiento del
interesado, la necesidad del tratamiento para la ejecución de un contrato en el que el
interesado es parte, el cumplimiento de una obligación legal, la protección de intereses
vitales, la ejecución de una misión realizada en interés público o el ejercicio de
poderes públicos, y la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre estos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado
que requieran la protección de datos personales.

En el caso que nos ocupa, no se desprende la concurrencia de ninguna de las
condiciones enumeradas por el citado artículo 6.1 RGPD en el tratamiento realizado
por DATACENTRIC respecto a los datos personales obtenidos a través del contrato de
cesión formalizado con CAMERDATA. Como se indica en el citado documento
contractual, la finalidad de dicho tratamiento por DATACENTRIC consiste en
enriquecer su fichero para acciones de marketing promocional y proveer información
empresarial y comercial a sus clientes a través de su sitio web.

Así, en primer lugar, no existe un consentimiento de los titulares de los datos
(empresarios individuales cuyos datos fueron cedidos por CAMERDATA) para el
tratamiento de sus datos personales con fines de marketing promocional o cualquier
otro propósito no directamente relacionado con la finalidad para la cual se recopilaron
los datos, por lo que no puede considerarse el consentimiento de los titulares como
base legal para realizar el citado tratamiento.

De la misma forma, el uso de los datos personales para enriquecer ficheros de
marketing y para fines promocionales por parte de DATACENTRIC no se encuadra den
ninguna d las obligaciones contractuales que hayan asumido los titulares de los datos
ni responde a una obligación legal específica que justifique dicho tratamiento. Tal
consideración se deduce claramente al no existir relación contractual alguna entre
DATACENTRIC y los titulares de los datos personales afectados, puesto que dichos
datos fueron cedidos por CAMERDATA, en los términos anteriormente expuestos.
Finalmente, por lo que se refiere a un presunto interés legítimo, debemos de señalar
que lo intereses legítimos que concurren en el tratamiento de datos de empresarios
individuales por entidades infomediarias son múltiples y convergentes. Por un lado,
destaca el interés económico propio de estas entidades, cuya actividad empresarial se

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/98

basa en generar y comercializar información estructurada sobre actividades
económicas desarrolladas por personas físicas, en respuesta a una demanda
constante del mercado. A ello se suma un interés instrumental general: facilitar el
acceso a información verificable permite a múltiples actores —empresas,
administraciones o profesionales— valorar la existencia y fiabilidad de una actividad
antes de contratar, mitigando riesgos y garantizando la seguridad en el tráfico
mercantil.

Asimismo, existe un interés legítimo en quienes necesitan confirmar que una persona
actúa como profesional o empresario, en el marco de exigencias propias de la
contratación pública, el cumplimiento normativo o la financiación. No puede
descartarse, además, el interés del propio empresario que, al figurar en bases de
datos de actividad profesional, puede aumentar su visibilidad y facilitar su
posicionamiento económico. Finalmente, el ordenamiento jurídico reconoce
expresamente, en el artículo 19 de la LOPDGDD, el interés legítimo en tratar datos de
localización profesional de empresarios individuales, cuando ello se limite a su
condición profesional y permita asegurar relaciones económicas y jurídicas con
terceros.
Ahora bien, y en cualquier caso, no puede pasarse por alto una cuestión esencial de
contexto normativo: el legislador español, a diferencia de otros ordenamientos jurídicos
europeos, no ha optado por establecer un marco legal específico que regule
expresamente la publicidad o el acceso generalizado a las bases de datos que
contienen información sobre empresarios individuales.

Pese a la relevancia funcional, económica y social de este ecosistema de información
empresarial, y a la constatación de que existe una demanda sostenida de este tipo de
servicios (tanto por parte de actores privados como de organismos públicos que
requieren verificar la existencia y la solvencia de actividades económicas), la
normativa española no ha articulado un régimen jurídico que, con carácter general,
permita la recogida, tratamiento, cesión y reutilización de estos datos con finalidades
amplias o comerciales, ni siquiera cuando tales finalidades puedan estar inspiradas en
intereses legítimos.

El legislador habría podido, legítimamente, establecer un sistema legal que
reconociera un acceso público estructurado a esta información, acompañado de
garantías adecuadas en materia de transparencia, seguridad, supervisión, trazabilidad
y control. Un modelo así podría haber delimitado claramente qué datos pueden
tratarse, en qué condiciones, con qué límites y con qué derechos de oposición o
exclusión para los interesados. No obstante, no se ha hecho. La ausencia de este
marco normativo impide presumir la licitud de tratamientos generalizados de esta
naturaleza, por muy extendidos que estén en la práctica empresarial.

En consecuencia, y ante la falta de una previsión legal que habilite expresamente
estos usos, sólo cabe acudir, caso por caso, a las posibilidades que ofrece el
ordenamiento jurídico vigente, principalmente el RGPD y la LOPDGDD. Esto significa
que cualquier tratamiento que pretenda apoyarse en el interés legítimo deberá
someterse a una evaluación individualizada y restrictiva, documentando
adecuadamente la necesidad, idoneidad y proporcionalidad del tratamiento, y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/98

ponderando con rigor los intereses del responsable frente a los derechos y libertades
del interesado.

En el caso que nos ocupa, tal y como resulta de las actuaciones de investigación, los
datos personales que fueron cedidos por CAMERDATA se obtuvieron a través de las
Cámaras que a su vez obtuvieron de la AEAT. La finalidad de dicha información está
expresamente recogida por el artículo 8 de la Ley 4/2014, de 1 de abril, Básica de las
Cámaras Oficiales de Comercio, Industria, Servicios y Navegación, la cual se limita a
la elaboración del censo público. el cumplimiento de las funciones público-
administrativas y la elaboración del censo electoral:

Las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación elaborarán un
censo público de empresas del que formarán parte las personas físicas o jurídicas,
nacionales o extranjeras, que ejerzan las actividades comerciales, industriales, de
servicios y navieras en territorio nacional, para cuya elaboración contarán con la
colaboración de la administración tributaria competente así como de otras
administraciones que aporten la información necesaria, garantizando, en todo caso, la
confidencialidad en el tratamiento y el uso exclusivo de dicha información.

Para la elaboración del censo público de empresas las administraciones tributarias
facilitarán a la Cámara Oficial de Comercio, Industria, Servicios y Navegación de
España y a las Cámaras Oficiales de Comercio, Industria, Servicios y Navegación los
datos del Impuesto sobre Actividades Económicas y los censales de las empresas que
sean necesarios. Únicamente tendrán acceso a la información facilitada por la
administración tributaria los empleados de cada Cámara que determine el pleno.

Esta información se empleará para la elaboración del censo público de empresas,
para el cumplimiento de las funciones público-administrativas que la presente Ley
atribuye a las Cámaras, así como para la elaboración del censo electoral a que se
hace referencia en el artículo 17 de la misma.

Dicho personal tendrá, con referencia a los indicados datos, el mismo deber de sigilo
que los funcionarios de la administración tributaria. El incumplimiento de este deber
constituirá, en todo caso, infracción muy grave de conformidad con su régimen
disciplinario.

El mencionado artículo especifica que la información recopilada tiene un propósito
claramente definido, que es facilitar la elaboración de un censo público de empresas,
cumplir con funciones públicas administrativas y la elaboración del censo electoral.
Este enfoque limitado tiene precisamente como objetivo proteger la información
personal y empresarial de usos no autorizados, asegurando que no se utilice de forma
indiscriminada en otros fines de los específicos para los que fueron recogidos.

Conviene recordar que el interés legítimo, previsto en el artículo 6.1.f) del RGPD,
constituye una base legal autónoma para el tratamiento de datos personales, que no
requiere, para su aplicación, la existencia de una “presunción normativa” por parte del
Derecho nacional. Así lo ha afirmado expresamente CEPD y ha sido igualmente
reconocido por la Agencia Española de Protección de Datos en múltiples
pronunciamientos. En este sentido, la ausencia de una norma que reconozca o
presuma ex lege el interés legítimo no excluye, por sí misma, la posibilidad de que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/98

dicho interés pueda operar válidamente como base de legitimación. El RGPD no
condiciona su aplicación a una habilitación nacional previa, a diferencia de otras bases
jurídicas. Ahora bien, la falta de una presunción normativa impone al responsable del
tratamiento una carga argumental más intensa y una mayor diligencia en la aplicación
del principio de responsabilidad proactiva. Esto implica que el responsable debe llevar
a cabo un análisis detallado que justifique no solo la legitimidad del interés perseguido,
sino también la necesidad del tratamiento para alcanzar ese fin, y, especialmente, la
prevalencia efectiva de dicho interés frente a los derechos y libertades fundamentales
del interesado. Este análisis debe estar debidamente documentado y actualizado,
debiendo contemplar el tipo de datos tratados, el contexto del tratamiento, las
expectativas razonables de los interesados y la existencia de medidas atenuantes que
reduzcan el posible impacto.

La exigencia de esta evaluación se ve reforzada en aquellos casos en los que existe
una normativa sectorial que establece finalidades específicas y limitadas para los
datos tratados, como sucede en el presente caso con el artículo 8 de la Ley 4/2014.
Cuando una norma delimita con claridad las finalidades del tratamiento y restringe su
uso a determinados sujetos o funciones (como ocurre con los datos facilitados por la
AEAT a las Cámaras para la elaboración del censo público), no basta con que el
interés del responsable sea funcional o razonable; se requiere además una regulación
específica o, en su defecto, un conjunto de garantías reforzadas que legitimen y
encaucen dicho tratamiento.

Existen, además, situaciones híbridas, en las que se aprecia cierta afinidad normativa
con la base de interés legítimo, como puede suceder con preceptos de la LOPDGDD o
de leyes sectoriales (por ejemplo, la actividad de las Cámaras de Comercio), pero no
se cumplen todos los requisitos legales exigidos para presumir su licitud. En estos
casos, no procede rechazar de forma automática la existencia de interés legítimo, pero
sí resulta necesario tener en cuenta estas referencias legales como elementos
orientadores de la ponderación. Así, si bien no constituyen por sí solas una habilitación
suficiente, sí aportan criterios relevantes para evaluar el alcance del tratamiento, la
expectativa del interesado y la necesidad de reforzar las garantías.

Es importante, en todo caso, diferenciar claramente entre situaciones en las que no
existe una regulación específica y aquellas en las que existe una prohibición expresa
del tratamiento. La falta de previsión normativa no equivale a una prohibición, pero la
existencia de una norma que limita el uso de los datos a fines concretos e impone un
deber de sigilo sí puede implicar una restricción incompatible con el interés legítimo.
Este matiz debe valorarse con especial atención en resoluciones administrativas y
judiciales, ya que no es lo mismo tratar datos en un vacío normativo que hacerlo en
contra de un marco legal que impone finalidades exclusivas y requisitos restrictivos.

Por último, cuanto más invasivo o intensivo sea el tratamiento de datos personales (ya
sea por la naturaleza de los datos, su volumen, la finalidad comercial, la elaboración
de perfiles o su comunicación a terceros), mayor será la exigencia de contar con una
base normativa complementaria o, al menos, con garantías reforzadas que refuercen
su licitud y legitimidad. En estos casos, no solo es recomendable, sino que puede
resultar necesario disponer de mecanismos normativos o contractuales que aporten
transparencia, trazabilidad y control sobre el uso de la información, minimizando así el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/98

riesgo de vulneración de los derechos del interesado y asegurando el cumplimiento
efectivo de los principios del RGPD.

En el caso que nos ocupa, aunque el artículo 8 de la Ley 4/2014 no contiene una
prohibición expresa de usos ulteriores, sí delimita con claridad las finalidades
concretas para las cuales pueden emplearse los datos obtenidos por las Cámaras de
Comercio a través de las administraciones tributarias, restringiéndolos a la elaboración
del censo público de empresas, al cumplimiento de funciones público-administrativas
atribuidas por ley y a la elaboración del censo electoral. Esta finalidad tasada impone
un marco jurídico finalista que, aunque no excluye toda reutilización, sí condiciona su
licitud a que sea compatible con dichos fines. En el presente caso, los datos obtenidos
por las Cámaras se comunican a las infomediarias, a través de Camerdata para un
uso comercial se revela objetivamente incompatible con el espíritu, la letra y los
objetivos de la norma sectorial que ampara la recogida inicial de los datos.

Por último, el carácter intensivo e invasivo del tratamiento efectuado que incluye la
cesión y uso masivo de identificadores personales como el NIF, sin consentimiento,
con fines de explotación económica y sin conocimiento previo por parte de los
afectados exige un umbral de legitimación particularmente elevado. En ausencia de
una base normativa que refuerce su licitud, y teniendo en cuenta que la finalidad del
tratamiento se aleja sustancialmente de la finalidad para la que los datos fueron
recabados en origen, el tratamiento no puede superar la prueba de ponderación
exigida por el artículo 6.1.f) del RGPD. La falta de compatibilidad entre la finalidad
legal prevista y la finalidad real del tratamiento, unida a la ausencia de garantías
adecuadas, impide considerar el tratamiento como lícito, incluso si formalmente no se
vulnera una prohibición expresa. La colisión con el marco legal finalista supone, en
términos materiales, una infracción del principio de licitud del tratamiento.

VIII
Tipificación y calificación de la infracción a efectos de prescripción

De conformidad con las evidencias de las que se dispone en el presente momento de
propuesta de procedimiento sancionador, deducidas de las actuaciones, se considera
que la parte reclamada ha incumplido el principio de licitud previsto en el artículo 6.1
del RGPD, en los términos anteriormente desarrollados.

En este sentido, los hechos conocidos podrían ser constitutivos de una infracción
tipificada en el artículo 83.5 a) del RGPD, que califica como tal la infracción de “los
principios básicos para el tratamiento, incluidas las condiciones para el consentimiento
a tenor de los artículos 5, 6, 7 y 9”.

De la misma forma, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

Esta infracción es sancionable, de acuerdo con el apartado 5 del mencionado artículo
83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/98

volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”.

Por lo que se refiere al plazo de prescripción de la mencionada infracción, viene
determinada por la ya mencionada LOPDGDD, cuyo artículo 72.1 establece de forma
expresa que “En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”

IX
Sanción

A fin de establecer la multa administrativa que procede imponer han de observarse las
previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/98

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

De la misma forma el artículo 76 de la LOPDGDD establece que de acuerdo a lo
“previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse
en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

En relación con los hechos expuestos, se tienen en cuenta los siguientes factores que
reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de la entidad
infractora:

- Artículo 83. 2 a) del RGPD “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de
tratamiento de que se trate, así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido;”

La concurrencia de la citada circunstancia particularmente se manifiesta en el elevado
número de interesados que no pueden esperar que sus datos personales serán objeto
de tratamiento para satisfacer los intereses comerciales de terceros y en la duración
prolongada del tratamiento de datos personales sin que exista una base legal
adecuada. Este factor de duración, por un lado, amplifica el alcance del posible
impacto sobre los derechos y libertades de los sujetos de datos y, por otro lado, refleja
una falta de medidas correctivas o de supervisión por parte de AXESOR a lo largo del
tiempo, lo cual hace especialmente grave esta infracción.

- Artículo 83. 2 b) del RGPD “la intencionalidad o negligencia en la infracción;”

En el caso presente, no concurre una conducta dolosa ni puede apreciarse una
intencionalidad directa en la infracción cometida, ya que el tratamiento de datos
llevado a cabo por AXESOR se apoya en una interpretación, aunque errónea, de la
licitud del tratamiento basada en la cesión formalizada por CAMERDATA y en el interés
legítimo como posible base de legitimación. Tampoco se advierte una negligencia

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/98

grave en su conducta, en tanto que no se trata de una actuación manifiestamente
temeraria ni al margen de toda consideración jurídica.

No obstante, sí puede apreciarse la existencia de cierto grado de negligencia por parte
de DATACENTRIC, al no haber realizado una ponderación suficiente ni haber
acreditado el cumplimiento de los requisitos exigidos para que el interés legítimo
pudiera operar válidamente como base de tratamiento, conforme al artículo 6.1.f) del
RGPD, en consonancia con el principio de responsabilidad proactiva.

Esta omisión, aunque reprochable, no alcanza un nivel de gravedad que justifique la
imposición de la sanción elevada, y por ello la existencia de una negligencia no grave
debió ser valorada como elemento atenuante en la propuesta de resolución. Es por
ello que en la presente resolución ha sido tenida en cuenta en el análisis de la
graduación de la sanción de conformidad al principio de proporcionalidad que debe
regir cualquier resolución sancionadora.

Se tiene también en cuenta la siguiente circunstancia como agravante

- Artículo 76.2 b) de la LOPDGDD “La vinculación de la actividad del infractor
con la realización de tratamientos de datos personales.

La vinculación de la actividad de DATACENTRIC con la realización de tratamientos de
datos personales actúa como una agravante en la infracción debido a la naturaleza
principal de la gestión de datos dentro de sus operaciones. Dado que el tratamiento de
datos personales no es una actividad accesoria, sino un elemento fundamental de su
modelo de negocio resulta exigible un mayor nivel de cumplimiento con el RGPD y, del
mismo modo, su incumplimiento agrava la conducta del tipo infractor.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) y
artículo 6.1 del RGPD de la que se responsabiliza a DATACENTRIC, se considera
adecuado imponer una sanción de 24.000 € (VEINTICUATRO MIL EUROS).

X
Obligación incumplida del artículo 14 del RGPD

El artículo 14 del RGPD establece la información que deberá facilitarse cuando los
datos personales no se hayan obtenido del interesado:

1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable
del tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/98

c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;

f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de estas o al lugar en que se hayan puesto a disposición.

2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:

a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/98

b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado, o

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.

4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.

La obligación prevista en el mencionado artículo 14 del RGPD desempeña un papel
fundamental en el marco de la protección de datos personales en aquellos contextos
donde los datos personales no se obtienen directamente de los interesados. Esta
disposición garantiza la transparencia y el respeto por los derechos en dicho ámbito,
dos pilares esenciales sobre los que se construye la confianza entre los titulares de los
datos y las entidades que los tratan.

El mandato previsto en el artículo implica que el responsable del tratamiento debe
proporcionar a los interesados una serie de información relacionada con el tratamiento
de sus datos personales La importancia de cumplir con la obligación prevista en dicho
artículo radica en varios aspectos:

- Proporciona a los interesados una comprensión clara y completa de cómo se
están utilizando sus datos personales, lo cual resulta esencial para la
construcción de una relación basada en la confianza con las entidades que
manejan sus datos.
- Facilita y garantiza a sus titulares el ejercicio de sus derechos de protección de
datos, incluido el derecho de oposición al tratamiento, acceso, rectificación, y
supresión de sus datos personales, entre otros.
- Refuerza la legitimidad del tratamiento de datos personales al asegurar que se
realice dentro del marco legal establecido y de acuerdo con los principios del
RGPD.
- Ayuda a proteger a los individuos contra el uso indebido de sus datos
personales, asegurando que solo se utilicen para fines específicos, legítimos y
explícitamente informados.
- Ayuda a los responsables del tratamiento con el cumplimiento de la normativa
de protección de datos, evitando sanciones, así como daños a su reputación
que podrían derivarse del incumplimiento.

En el presente caso, tal y como resulta de los hechos probados DATACENTRIC no ha
obtenido los datos personales directamente de los interesados, sino que dicha
información se adquirió través de un contrato de cesión formalizado con CAMERDATA.
Dicha circunstancia implica que el mencionado artículo 14 resulte plenamente
aplicable en este caso y, por tanto, sea exigible a DATACENTRIC el cumplimiento de
facilitar la información prevista en dicho precepto a los interesados titulares de dichos
datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/98

Tal y como alegaba DATACENTRIC el mencionado artículo 14 del RGPD contempla
una serie de excepciones a dicho deber de información entre los cuales se encuentra
la prevista en el apartado b) aplicable cuando “la comunicación de dicha información
resulte imposible o suponga un esfuerzo desproporcionado”, especialmente en
tratamientos con fines de archivo en interés público, fines científicos o históricos, o
fines estadísticos. siempre que se respeten las condiciones y garantías del artículo
89.1 del RGPD. Ahora bien, la mera concurrencia de un presunto esfuerzo
desproporcionado no exonera automáticamente del cumplimiento de la obligación de
información.

El propio artículo 14.5.b) del RGPD impone, en estos casos, que el responsable del
tratamiento adopte medidas adecuadas para proteger los derechos, libertades e
intereses legítimos de los interesados. Estas medidas sustitutorias no son opcionales,
sino obligatorias cuando no se realiza la comunicación individual, con el objetivo de
preservar el principio de transparencia y garantizar que los interesados tengan acceso
a la información esencial sobre el tratamiento de sus datos.

Sin embargo, DATACENTRIC no ha acreditado haber adoptado medida alternativa
alguna que supla su falta de comunicación directa. En particular, la política de
privacidad que mantiene publicada en su sitio web se limita a reproducir los elementos
exigidos por el artículo 13 del RGPD, es decir, los previstos para los supuestos en que
los datos se recogen directamente del interesado, sin contemplar ni diferenciar la
información adicional que exige el artículo 14 para los casos de obtención indirecta.

Tampoco consta que haya realizado publicaciones específicas, campañas informativas
o cualquier otro mecanismo dirigido a informar a los afectados. Por tanto, en este caso
no puede considerarse cumplido el deber de información del artículo 14 del RGPD, ni
cabe entender justificada la excepción prevista en su apartado 5.b), lo que constituye
una vulneración del principio de transparencia y de la obligación de informar a los
interesados.

Esta carencia de información adecuada a los interesados pone de manifiesto una
notable omisión en tal obligación que el RGPD impone a los responsables del
tratamiento de datos personales.

El incumplimiento del deber de información implica que los interesados no hayan sido
informados sobre aspectos fundamentales del tratamiento de sus datos, tales como la
identidad y los datos de contacto de DATACENTRIC como responsable del
tratamiento, los fines específicos del tratamiento de sus datos personales, la base
jurídica que legitima dicho tratamiento, las categorías de datos personales implicadas,
los posibles destinatarios de sus datos, y, de ser aplicable, la intención de realizar
transferencias internacionales de datos.

De la misma forma, la falta de información a los interesados tiene como consecuencia
directa la imposibilidad de que estos puedan ejercer sus derechos respecto a dichos
datos. Debe de tenerse en cuenta que dicha información resulta esencial para que los
individuos puedan tomar decisiones informadas sobre sus datos personales y ejercer
sus derechos de manera efectiva.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/98

Los derechos establecidos en el RGPD, entre los cuales se encuentra al derecho de
acceso, el derecho de rectificación, el derecho a la supresión, el derecho a la limitación
del tratamiento, el derecho de oposición, y el derecho a la portabilidad de los datos,
dependen en gran medida del conocimiento por parte de los interesados de que sus
datos están siendo tratados, quién los está tratando, y para qué fines. Así, de forma
concreta, en el caso que nos ocupa, los titulares de dichos datos personales:

- Se ven privados de la posibilidad de solicitar y recibir una confirmación de si
sus datos personales están siendo tratados o no, y de acceder a dichos datos.
- No pueden identificar ni corregir datos personales inexactos o incompletos que
les conciernan.
- No están en posición de solicitar la supresión de sus datos personales cuando
el tratamiento ya no es necesario, es ilegal, o han retirado su consentimiento.
- Les es imposible solicitar la limitación del tratamiento de sus datos en ciertas
circunstancias, como cuando la exactitud de los datos es impugnada.
- Se encuentran incapacitados para oponerse al tratamiento de sus datos
personales en situaciones específicas, incluyendo el procesamiento para fines
de marketing directo.
- No pueden solicitar la transferencia de sus datos personales a otro responsable
del tratamiento sin impedimentos.

Por lo expuesto, la falta de información a los titulares de los datos sobre el tratamiento
de sus datos personales constituye por parte de DATACENTRIC la infracción de las
obligaciones estipuladas en el artículo 14 del RGPD. Conviene indicar que esta
infracción es significativa por sí misma, con independencia de que el tratamiento de los
datos por parte de DATACENTRIC haya sido declarado como ilícito por la presente
autoridad. Incluso en situaciones donde el tratamiento de datos personales pueda
considerarse ilícito debido a la falta de una base legal adecuada al no ajustarse a las
bases legales requeridas por el artículo 6.1 del RGPD, el responsable del tratamiento
sigue estando obligado a cumplir con el principio de transparencia y, por ende, debe
informar a los interesados acerca del tratamiento de sus datos, incluida la información
del artículo 14 si dichos datos no fueron obtenidos directamente por los interesados,
como ocurre en el presente supuesto.

XI
Sanción

De la misma forma que se indicó anteriormente, a fin de establecer la multa
administrativa que procede imponer han de observarse las previsiones contenidas en
los artículos 83.1 y 83.2 del RGPD. Así, en el presente caso, se tienen en cuenta los
siguientes factores:

- Artículo 83. 2 a) del RGPD “la naturaleza, gravedad y duración de la infracción,
teniendo en cuenta la naturaleza, alcance o propósito de la operación de
tratamiento de que se trate, así como el número de interesados afectados y el
nivel de los daños y perjuicios que hayan sufrido;”

En el caso que nos ocupa, debe tenerse en cuenta que, aunque la alegación de
esfuerzo desproporcionado por parte de DATACENTRIC no puede eximirle del
cumplimiento del deber de información previsto en el artículo 14 del RGPD (al no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/98

haberse acreditado la adopción de medidas alternativas como exige el apartado 5.b)),
dicha circunstancia sí resulta relevante a efectos de graduación de la sanción
conforme al artículo 83.2.a) del RGPD. Dicho precepto establece que deben
considerarse elementos como la naturaleza, gravedad y duración de la infracción, así
como el número de interesados afectados y el alcance del tratamiento. En este
sentido, la existencia de una carga operativa elevada, derivada del volumen de datos
tratados y de la dificultad de realizar comunicaciones individualizadas, podría atenuar
la valoración subjetiva de la infracción, sin eliminarla, pero sí modulando su intensidad.

Sin embargo, en la propuesta de resolución no se aprecia que dicha circunstancia
haya sido tomada en consideración en el análisis de los criterios de graduación, lo que
ha podido conducir a una valoración incompleta de la conducta del responsable. La
alegación de un esfuerzo desproporcionado, aunque insuficiente para justificar la
exención prevista en el artículo 14.5.b), debe valorarse como un factor a ponderar en
la determinación de la sanción, conforme al principio de proporcionalidad que rige el
régimen sancionador del RGPD. En consecuencia, resulta procedente tener en cuenta
esta circunstancia especialmente en lo relativo al alcance y a la ejecución material del
deber incumplido.

- Artículo 83. 2 b) del RGPD la intencionalidad o negligencia en la infracción;

La negligencia grave se manifiesta en la omisión total de informar a los interesados
acerca del tratamiento de sus datos personales cuando estos no se han obtenido
directamente de ellos. Dicha negligencia se considera, en primer lugar, porque
evidencia una falta de medidas internas y de conocimiento sobre los requisitos básicos
del RGPD, lo cual es esencial para cualquier entidad que trate datos personales, más
aún cuando dicha entidad se dedica intensivamente al tratamiento de estos. En
segundo lugar, esta omisión priva a los interesados de ejercer sus derechos
fundamentales bajo el RGPD, como el derecho a la información, el acceso, la
rectificación y la supresión de datos, así como el derecho a oponerse al tratamiento de
sus datos personales.

Asimismo, se tiene en cuenta la siguiente circunstancia agravante:

- Artículo 76.2 b) de la LOPDGDD La vinculación de la actividad del infractor con
la realización de tratamientos de datos personales.

Dado que el núcleo de las operaciones de DATACENTRIC se basa en el tratamiento,
análisis y comercialización de datos personales, implica que a diferencia de otras
entidades que pueden tratar datos personales de manera ocasional o secundaria,
posee una mayor responsabilidad de asegurar la protección de los derechos de los
titulares de los datos. El hecho de no informar a los interesados sobre el tratamiento
de sus datos en este contexto pone en riesgo la confianza y la seguridad de las
personas cuyos datos personales son el eje central de su modelo de negocio.

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) y
artículo 14 del RGPD de la que se responsabiliza a DATACENTRIC, se considera
adecuado imponer una sanción de 18.000,00 € (DIECIOCHO MIL EUROS).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/98

XI
Adopción de medidas

El responsable deberá adoptar las medidas adecuadas para ajustar su actuación a la
normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo
58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”. La imposición de esta
medida es compatible con la sanción consistente en multa administrativa, según lo
dispuesto en el art. 83.2 del RGPD.

De forma concreta, se ordena como medidas a adoptar, en el plazo de tres meses las
siguientes:

- El cese en el tratamiento de los datos personales obtenidos en virtud del
contrato de cesión con CAMERDATA hasta que cuente con una base de
legitimación de las contempladas en el artículo 6.1 del RGPD, así como a la
supresión de los datos personales que hayan sido objeto de tratamiento sin
base de legitimación, conforme al RGPD.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a DEYDE DATACENTRIC,S.L.U., con NIF B83086926:

- Por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de
dicha norma, multa administrativa de 24.000,00 euros.
- Por la infracción del artículo 14 del RGPD, tipificada en el artículo 83.5 de dicha
norma, multa administrativa de cuantía 18.000,00 euros

SEGUNDO: ORDENAR a DATACENTRIC PDM S.A. y DEYDE
DATACENTRIC,S.L.U., con NIF B83086926 que en virtud del artículo 58.2.d) del
RGPD, en el plazo de tres meses desde que la presente resolución sea firme y
ejecutiva, acredite haber procedido al cumplimiento de la siguiente El cese en el
tratamiento de los datos personales obtenidos en virtud del contrato de cesión con
CAMERDATA hasta que cuente con una base de legitimación de las contempladas en
el artículo 6.1 del RGPD, así como a la supresión de los datos personales que hayan
sido objeto de tratamiento sin base de legitimación, conforme al RGPD.

TERCERO: NOTIFICAR la presente resolución a DEYDE DATACENTRIC, S.L.U..

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/98

de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-100325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es