İspanya Veri Koruma Otoritesi (AEPD)

FIJ'de Borç Verilerinin İşlenmesi

İdari karar

Karar referansı PS/00240/2019
Hukuk düzeni İspanya

AEPD (Spain) - PS/00240/2019

Türkçe özet

Hukuki mesele

EQUIFAX IBÉRICA'nın kişisel verileri FIJ'e dahil etmesi, veri koruma mevzuatına uygun mudur?

Sonuç

AEPD, EQUIFAX IBÉRICA'ya 1.000.000 avro idari para cezası vermiş, FIJ üzerinden kişisel veri işlemeyi sürdürmesini yasaklamış ve kamu ilanlarından alınan varsayılan borç verilerini silmesini emretmiştir.

İnceleme, EQUIFAX IBÉRICA'nın kamu ilanları ve yargı kararlarından aldığı varsayılan borç bilgilerini FIJ adlı dosyada işlemesinin GDPR'a uygun olup olmadığına ilişkindir. AEPD, 96 şikayeti birlikte ele almış ve FIJ'deki işlemenin dört milyondan fazla kişiyi etkileyebildiğini belirlemiştir. Otorite, amaçla sınırlılık ihlalini esas alarak hukuka uygunluk, doğruluk, veri minimizasyonu ve bilgilendirme hükümlerine aykırılıkları da bağlantılı ihlaller olarak değerlendirmiştir. AEPD şirkete 1.000.000 avro idari para cezası vermiş, FIJ üzerinden işlemeyi sürdürmesini yasaklamış ve kamu ilanlarından alınan varsayılan borç verilerini silmesini emretmiştir.

Karar metni

1/184

 Procedimiento Nº: PS/00240/2019

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en
consideración a los siguientes

ANTECEDENTES

PRIMERO: Se han recibido en la Agencia Española de Protección de Datos (AEPD)
noventa y seis (96) reclamaciones contra EQUIFAX IBÉRICA, S.L., con NIF
B80855398, (en adelante, la reclamada o EQUIFAX) por presunta vulneración de la
normativa de protección de datos.

Las reclamaciones versan sobre el tratamiento de los datos personales de los
reclamantes efectuado por EQUIFAX y materializado en su incorporación al Fichero de
Reclamaciones Judiciales y Organismos Públicos (en lo sucesivo, FIJ) asociados a
supuestas deudas en su mayoría contraídas, presuntamente, con Administraciones
Públicas. Con carácter general, los datos personales objeto de tratamiento vinculados
a presuntas deudas figuraron en documentos de las Administraciones Públicas, las
entidades u organismos de Derecho Público dependientes de ellas o en resoluciones
de los órganos jurisdiccionales que fueron publicados a través de boletines o diarios
oficiales, mediante su inserción en los tablones de anuncios ubicados en la sede de
las entidades u organismos o en el tablón edictal judicial único, con la finalidad de
hacer efectiva la notificación de una resolución administrativa o judicial.

EQUIFAX IBÉRICA, S.L., con NIF B80855398, es la responsable del FIJ. Así lo ha
reconocido en alguno de los documentos que obran en el expediente, como la carta
que envió a los reclamantes número 36 (E/6174/2019), número 43 (E/11624/2019) y
número 48 (E/2050/2020) para informarles de la inclusión de sus datos personales en
el FIJ.

Cabe recordar, además, que la derogada Ley Orgánica 15/1999, de Protección de
Datos de Carácter Personal (LOPD) regulaba en sus artículos 14 y 39 el Registro
General de Protección de Datos, de consulta pública, que informaba de los
tratamientos de datos, de las finalidades de esos tratamientos y de la identidad del
responsable del tratamiento. En el citado Registro -actualizado a junio de 2016-
EQUIFAX aparecía como responsable del FIJ, siendo la finalidad del fichero y los usos
previstos la “prestación de servicios de solvencia patrimonial y crédito”.

Si bien en el acuerdo de apertura y en la propuesta de resolución se indicó que eran
97 las reclamaciones formuladas contra EQUIFAX, y así consta en la relación de
reclamantes que figura en el Anexo I y en la descripción de las reclamaciones
(Antecedente Primero), son realmente 96 reclamaciones las que integran este
expediente, habida cuenta de que el reclamante 3 y el 27 son la misma persona que
ha presentado en dos momentos distintos diferente documentación anexa.

Tomando en consideración que no debemos efectuar ninguna rectificación en el
Antecedente Segundo, por cuanto dicho Antecedente se incorporó a la relación de
hechos probados como Hecho Probado Primero, no se altera su contenido, que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/184

permanece tal y como figuraba en la propuesta de resolución, limitándonos a indicar
en lo sucesivo que son 96 y no 97 las reclamaciones formuladas contra EQUIFAX que
han determinado la apertura del presente expediente sancionador.

SEGUNDO: Del examen de las reclamaciones recibidas en la AEPD y de sus
documentos anexos se extrae la siguiente información relevante a los efectos que nos
ocupan:

Reclamante 1: Declara que EQUIFAX ha incluido sus datos en el FIJ, sin su
autorización, por deudas que no son ciertas y sin haber contrastado con el
Ayuntamiento la realidad de la deuda. Aporta, entre otros, los siguientes documentos:
a. Escrito de EQUIFAX, de fecha 14/10/2019, con el resultado del acceso al FIJ.
Consta asociada a los datos personales del reclamante (nombre, apellidos y NIF) la
siguiente información: Bajo la rúbrica “Reclamaciones de organismos públicos”, no hay
datos” Bajo la rúbrica “Reclamaciones Judiciales”:
- Una anotación: aparece como demandante el ***AYUNTAMIENTO.1; como
procedimiento “deuda tributaria”; como medio de publicación “***BOLETIN.1”
y la fecha 11/10/2017.
b. La carta que el reclamante envió a la reclamada, de fecha 12/10/2019, en la que
solicitaba que se suprimieran sus datos del FIJ, al menos de forma cautelar. La carta
de EQUIFAX dirigida al reclamante, de fecha 24/10/2019, en la que le deniega la
cancelación solicitada y le informa de que no procede atenderla dado que no ha
aportado documentación que justifique la supresión de sus datos. (Es el modelo carta
EQUIFAX denegando la cancelación que se reproduce en el Hecho Tercero)

Reclamante 2: Denuncia la inclusión de sus datos en el FIJ sin su consentimiento.
Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 04/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: Bajo la rúbrica “Reclamaciones de organismos
públicos”, no hay datos. Bajo la rúbrica “Reclamaciones Judiciales”, estas anotaciones:
- 1ª anotación: como demandante el ***AYUNTAMIENTO.2, por un
procedimiento de deuda tributaria; medio de publicación, “***BOLETIN.2” y la
fecha de 02/09/2016.
- 2ª anotación: demandante, el ***AYUNTAMIENTO.3; por un procedimiento de
deuda tributaria; medio de publicación, “***BOLETIN.3” y la fecha de
09/09/2015.
- 3ª anotación: demandante, el ***AYUNTAMIENTO.3; por un procedimiento de
deuda tributaria; medio de publicación, “***BOLETIN.3” y la fecha el
06/07/2016.
- 4ª anotación: demandante, el ***AYUNTAMIENTO.3; por un procedimiento de
deuda tributaria; medio de publicación, “***BOLETIN.3” y la fecha el
01/03/2017.
- 5ª anotación: demandante, la Agencia Estatal de Administración Tributaria
(AEAT); por un procedimiento de deuda tributaria; medio de publicación,
“Sede Agencia Tributaria” y la fecha 20/10/2017.
- 6ª anotación: demandante la AEAT; por un procedimiento de deuda tributaria;
medio de publicación, “Sede Agencia Tributaria” y la fecha 08/06/2018.
- 7ª anotación: demandante la AEAT; por un procedimiento de deuda tributaria;
medio de publicación, “Sede Agencia Tributaria” y la fecha 27/07/2018.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/184

- 8ª anotación: demandante la AEAT; por un procedimiento de deuda tributaria;
medio de publicación, “Sede Agencia Tributaria” y la fecha 12/08/2019.
- 9ª anotación: demandante el ***AYUNTAMIENTO.4; por un procedimiento de
deuda tributaria; medio de publicación, “***BOLETIN.3” y la fecha el
30/11/2015.
- 10ª anotación: demandante la AEAT; por un procedimiento de deuda
tributaria; medio de publicación, “Sede Agencia Tributaria” y la fecha de
27/07/2018.
- 11ª anotación: demandante la AEAT; por un procedimiento de deuda
tributaria; medio de publicación, “Sede Agencia Tributaria” y la fecha de
12/08/2019.
- 12ª anotación: demandante el ***AYUNTAMIENTO.4; por un procedimiento
de deuda tributaria; medio de publicación, “***BOLETIN.3” y la fecha
30/11/2015.

b. La carta de EQUIFAX, de fecha 12/11/2019, en la que deniega la cancelación que
solicitó el 03/11/2019 y le comunica que no procede atenderla por no haber aportado
documentación que justifique la supresión (Es el modelo carta EQUIFAX denegando la
cancelación que se reproduce en el Hecho Tercero)

Reclamante 3: Manifiesta en su reclamación que Bankia no respondió al acceso
solicitado y que, en noviembre de 2017, cuando intentaba concertar un préstamo, el
Director de la oficina de Bankia le comunicó que su NIF aparecía incluido en el FIJ
asociado al nombre de una tercera persona, quien constaba como nacido en
***LOCALIDAD,1, y que la información procedía de la Consejería de Fomento y
Vivienda de ***LOCALIDAD.1.

La AEPD, con carácter previo al acuerdo de admisión a trámite de esta reclamación,
dio traslado de ella a Bankia para que informara sobre los hechos denunciados. En su
respuesta, Bankia remitió a la AEPD una copia de la carta que dirigió al reclamante el
06/02/2019 en la que le comunicaba que, respecto al FIJ, tal y como se le informó en
su oficina, aparecía una consulta asociada a su NIF, pero no a su nombre y apellidos.

Añadió también que el FIJ “es una base de datos la cual posee información acerca de
procedimientos judiciales y reclamaciones de los organismos públicos que es obtenida
del Boletín Oficial del Estado y boletines similares de las Comunidades Autónomas. La
información que consta en el mismo, por tanto, no es informada por Bankia por lo que
para conocer Ud. qué datos se tratan en el mismo debe dirigirse a.…”

Reclamante 4: Manifiesta que sus datos, asociados a supuestas deudas con las
Administraciones Públicas, han sido incluidos en el FIJ sin su autorización y sin que el
acreedor le haya informado de la posibilidad de ser incluido en esos sistemas. Añade
que EQUIFAX no ha contrastado los datos con las Administraciones. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 05/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información:
Bajo la rúbrica “Reclamaciones de organismos públicos”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/184

- Una anotación: entidad reclamante la Seguridad Social; por una deuda
correspondiente al periodo “06/2016 – 06/2016”; siendo el “Medio de
Publicación” ***BOLETIN.1 y la fecha de publicación 22/02/2018.
Bajo la rúbrica “Reclamaciones Judiciales” se recogen en el documento las siguientes
anotaciones:
- 1ª anotación: demandante el ***AYUNTAMIENTO.1; procedimiento deuda
tributaria; medio de publicación ***BOLETIN.1 y la fecha 23/03/2015.
- 2ª anotación: consta como demandante la ***ORGANISMO.1; procedimiento
deuda tributaria; medio de publicación, ***BOLETIN.5 y la fecha de
23/02/2018.
- 3ª anotación: demandante la AEAT; procedimiento deuda tributaria; medio de
publicación, “Sede Agencia Tributaria” y la fecha de 08/08/2019.
- 4ª anotación: demandante la AEAT; procedimiento deuda tributaria; medio de
publicación, “Sede Agencia Tributaria” y la fecha de 26/10/2018.
- 5ª anotación: demandante la Tesorería General de la Seguridad Social;
procedimiento Apremio; medio de publicación “***BOLETIN.1” y la fecha
19/07/2018.

b. La carta recibida de EQUIFAX, de 05/11/2019, en la que deniega la cancelación que
solicitó el 04/11/2019 y le comunica que no procede atenderla dado que no ha
aportado la documentación que justifique la supresión. (Es el modelo carta EQUIFAX
denegando la cancelación que se reproduce en el Hecho Tercero)

Reclamante 5: Manifiesta que sus datos, asociados a supuestas deudas con las
Administraciones Públicas, han sido incluidos en ficheros sin su autorización y que
EQUIFAX no ha contrastado los datos con las Administraciones. Aporta, entre otros,
estos documentos:
a. Escrito de EQUIFAX, de fecha 14/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: Bajo la rúbrica “Reclamaciones de organismos
públicos” “No hay datos”. Bajo la rúbrica “Reclamaciones Judiciales” las siguientes
anotaciones:
- 1ª anotación: demandante el ***AYUNTAMIENTO.1; procedimiento deuda
tributaria; medio de publicación ***BOLETIN.1 y la fecha de 22/04/2014.
- 2ª anotación: demandante el ***AYUNTAMIENTO.4; procedimiento la
indicación deuda tributaria; medio de publicación ***BOLETIN.1 y la fecha de
20/05/2015.

b. La carta recibida de EQUIFAX, de fecha 25/11/2019, en la que deniegan la
cancelación solicitada el 14/11/2019 y le comunican que dado que no ha aportado
documentación que justifique la supresión, no procede atender a su solicitud (Es el
modelo carta EQUIFAX denegando la cancelación que se reproduce en el Hecho
Tercero)

Reclamante 6: Denuncia la inclusión de sus datos personales en ficheros de morosos
obtenidos de listados públicos como el BOE pese a no tener ninguna deuda con las
Administraciones Públicas. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 11/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/184

facilita la siguiente información: Bajo la rúbrica “Reclamaciones de organismos
públicos”, no constan datos. Bajo la rúbrica “Reclamaciones Judiciales” figuran las
siguientes seis anotaciones:
- 1ª a 6ª: como demandante la AEAT; como procedimiento, deuda tributaria;
como medio de publicación, “Sede Agencia Tributaria” y las fechas,
respectivamente, el 26/10/2018, 18/01/2019, 22/02/2019,
22/07/2019,18/10/2019 y el 24/05/2019.

b. La carta recibida de EQUIFAX, de 21/10/2019, en la que responde al acceso
solicitado. En ella le comunican que remiten “la información asociada a su identificador
o a su nombre y en el domicilio aportado por usted.” (Es el modelo carta EQUIFAX de
respuesta al acceso solicitado que se transcribe en el Hecho Tercero)

Reclamante 7: Denuncia la inclusión de sus datos en el FIJ sin su consentimiento,
obtenidos de publicaciones en diarios oficiales y sin haber contrastado su exactitud.
Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 13/12/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos” no constan datos. En el apartado “Reclamaciones judiciales” se reflejan cinco
inclusiones:
- 1ª anotación: demandante el ***AYUNTAMIENTO.3; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.3 y la fecha 09/08/2017.
- 2ª anotación: demandante la AEAT; procedimiento, deuda tributaria; medio de
publicación, “Sede Agencia Tributaria” y la fecha 16/01/2014.
- 3ª anotación: demandante AEAT; procedimiento deuda tributaria; medio de
publicación, “Sede Agencia Tributaria” y la fecha 04/02/2019.
- 4ª anotación: demandante el ***AYUNTAMIENTO.5; procedimiento deuda
tributaria; medio de publicación, ***BOLETIN.3 y la fecha 26/02/2016.
- 5ª anotación: demandante el ***AYUNTAMIENTO.3; procedimiento de deuda
tributaria; medio de publicación, ***BOLETIN.3 y la fecha 24/11/2017.

b. La carta de EQUIFAX, de fecha 20/12/2019, en la que le deniega la solicitud de
cancelación de sus datos del FIJ “dado que no ha aportado documentación que
justifique la supresión, no procede atender a su solicitud”. (Modelo carta Equifax
denegando cancelación transcrita en el Hecho Tercero)

Reclamante 8: Denuncia la inclusión de sus datos en el FIJ sin su consentimiento
obtenidos de la publicación en diarios oficiales, sin que haya contratado su veracidad y
exactitud. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 11/12/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales de la reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos” no hay datos. En el apartado “Reclamaciones judiciales”:
- Una anotación: demandante el ***AYUNTAMIENTO.3; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.6 y la fecha 23/06/2017.

b. La carta de EQUIFAX, de fecha 11/12/2019, en la que deniega la cancelación de
sus datos del FIJ. (Modelo carta EQUIFAX denegando la cancelación reproducida en
el Antecedente Tercero)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/184

Reclamante 9: Denuncia la inclusión de sus datos personales en el FIJ sin su
consentimiento por deudas que no reconoce como suyas. Aporta, entre otros, los
siguientes documentos:
a. Escrito de EQUIFAX, de fecha 27/12/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos” no hay datos. En el apartado “Reclamaciones judiciales” figura:
- 1ª anotación: demandante el ***AYUNTAMIENTO.1; procedimiento deuda
tributaria ; medio de publicación ***BOLETIN.1 y la fecha 05/01/2014
- 2ª anotación: demandante la AEAT; procedimiento deuda tributaria; medio de
publicación “Sede Agencia Tributaria” y la fecha 02/01/2019.
- 3ª anotación: demandante el ***AYUNTAMIENTO.6; procedimiento deuda
tributaria; medio de publicación ***BOLETIN.1 y la fecha 22/11/2019.

b. La carta recibida de EQUIFAX, de fecha 27/12/2019, en la que responde a su
petición de acceso a sus datos del FIJ efectuada el 26/12/2019 y le remiten “la
información asociada a su identificador o a su nombre y en el domicilio aportado por
usted”. (Modelo carta de respuesta al acceso solicitado, ver Hecho Tercero)

Reclamante 10: Denuncia la inclusión de sus datos en el FIJ por deudas que no
reconoce. Aporta, entre otros, los siguientes documentos:
a. Escrito de EQUIFAX, de fecha 22/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos” no hay datos. En el apartado “Reclamaciones judiciales”:
- Una anotación: demandante la ***ORGANISMO.2; procedimiento deuda
tributaria; medio de publicación ***BOLETIN.7 y la fecha de 10/07/2019.

b. La carta que le envía EQUIFAX, de fecha 22/11/2019, en la que responde al acceso
solicitado en esa misma fecha y facilita “la información asociada a su identificador o a
su nombre y en el domicilio aportado por usted.”(Modelo carta de respuesta al acceso
solicitado, ver Hecho Tercero.

Reclamante 11: Denuncia la publicación de sus datos personales en ficheros de
solvencia sin su autorización obtenidos de ficheros públicos. Aporta, entre otros, los
siguientes documentos:
a. Escrito de EQUIFAX, de fecha 26/09/2019, con el resultado del acceso al FIJ, en el
que asociados a sus datos personales (nombre, apellidos y NIF) se facilita la siguiente
información: En el apartado “Reclamaciones de organismos públicos”, no hay datos.
En el apartado “Reclamaciones judiciales”:
- Una anotación: demandante el ***AYUNTAMIENTO.7; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.8 y la fecha 22/12/2017.

b. La carta que le envía EQUIFAX, de fecha 26/09/2019, en la que responde al acceso
solicitado y le remite “la información asociada a su identificador o a su nombre y en el
domicilio aportado por usted.”. (Modelo carta de respuesta al acceso solicitado, ver
Hecho Tercero)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/184

Reclamante 12: Denuncia la publicación de sus datos en ficheros de solvencia sin su
autorización procedentes de ficheros públicos. Aporta, entre otros, los siguientes
documentos:
a. Escrito de EQUIFAX, de fecha 27/09/2019, con el resultado del acceso al FIJ, en el
que, asociados a los datos personales del reclamante (nombre, apellidos y NIF), se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos” no hay datos. En el apartado “Reclamaciones judiciales”:
- Una anotación: demandante la AEAT; procedimiento, deuda tributaria; medio
de publicación, “sede Agencia Tributaria” y la fecha 10/02/2017.

b. La carta que le envía EQUIFAX, de fecha 27/09/2019, en la que responde al acceso
solicitado y le remite “la información asociada a su identificador o a su nombre y en el
domicilio aportado por usted”. (Modelo carta de respuesta al acceso solicitado, ver
Hecho Tercero)

Reclamante 13: Denuncia la publicación de sus datos en ficheros de solvencia
patrimonial, sin su autorización, obtenidos de ficheros públicos. Aporta, entre otros, los
siguientes documentos:
a. Escrito de EQUIFAX, de fecha 29/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos”, no hay datos. En el apartado “Reclamaciones judiciales”:
- Una anotación: consta como demandante el ***AYUNTAMIENTO.8; como
procedimiento, deuda tributaria; como medio de publicación, ***BOLETIN.9 y
la fecha 31/05/2019.

b. La carta que le envía EQUIFAX, de fecha 29/11/2019, en la que responde al acceso
solicitado y le remite “la información asociada a su identificador o a su nombre y en el
domicilio aportado por usted”. (Modelo carta de respuesta al acceso solicitado, ver
Hecho Tercero)

Reclamante 14: Denuncia la publicación de sus datos en el FIJ, sin su autorización,
obtenidos de ficheros públicos. Aporta, entre otros, los siguientes documentos:
a. Escrito de EQUIFAX, de fecha 17/10/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos”, no hay datos. En el apartado “Reclamaciones judiciales”:
- 1ª anotación: demandante la ***ORGANISMO.3; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.1 y como fecha 02/10/2019.
- 2ª anotación: demandante la AEAT; procedimiento, deuda tributaria; medio
de publicación, “Sede Agencia Tributaria” y como fecha 24/01/2018.

b. La carta de EQUIFAX, de fecha, 17/10/2019, en la que responde al acceso
solicitado y le remite “la información asociada a su identificador o a su nombre y en el
domicilio aportado por usted”. (Modelo carta de respuesta al acceso solicitado, ver
Hecho Tercero)

Reclamante 15: Denuncia la publicación de sus datos en el FIJ, sin su autorización,
procedentes de ficheros públicos. Aporta, entre otros, los siguientes documentos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/184

a. Escrito de EQUIFAX, de fecha 26/11/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales de la reclamante (nombre, apellidos y NIF) se
facilita la siguiente información: En el apartado “Reclamaciones de organismos
públicos” no hay datos. En el apartado “Reclamaciones judiciales”:
- Una anotación: demandante el ***AYUNTAMIENTO.7; por un procedimiento
de deuda tributaria; medio de publicación, ***BOLETIN.8 y la fecha
20/02/2019.

b. La carta que le envía EQUIFAX, de fecha, 26/11/2019, en la que responde al acceso
solicitado y le remite “la información asociada a su identificador o a su nombre y en el
domicilio aportado por usted”. (Modelo carta de respuesta al acceso solicitado, ver
Hecho Tercero)

Reclamante 16: Denuncia la inclusión de sus datos en el FIJ, sin su consentimiento,
por deudas que no son ciertas. Aporta, entre otros, los siguientes documentos:
a. Escrito con el anagrama de EQUIFAX, de fecha 14/10/2019, con el resultado del
acceso al FIJ, en el que asociados a los datos personales del reclamante (nombre,
apellidos y NIF) se ofrece esta información:
En el apartado “Reclamaciones de organismos públicos”:
- 23 anotaciones en las que, en todas ellas, aparece como entidad reclamante la
Seguridad Social. Las anotaciones son por deudas correspondientes a periodos
mensuales y correlativos siendo el primero el de septiembre de 2016 y el último de
julio de 2018. El medio de publicación de las 23 inclusiones en las que figura como
acreedor la Seguridad Social es siempre ***BOLETIN.3, siendo las fechas de
publicación las comprendidas entre el 01/12/2016 (la de la primera deuda anotada) y la
del 20/09/2018 (la de la última deuda incluida)
En el apartado “Reclamaciones judiciales”:
-Una anotación: como demandante la Tesorería General de la Seguridad Social; como
procedimiento “apremio”; el medio de publicación es ***BOLETIN.3 y la fecha
24/01/2017.

b. Una carta de EQUIFAX, de 14/10/2019, en la que responde a la solicitud de acceso
a sus datos que constan en el FIJ y le remite “la información asociada a su
identificador o a su nombre y en el domicilio aportado por usted.” (Modelo carta de
respuesta al acceso solicitado, ver Hecho Tercero)

c. Una carta de EQUIFAX, de fecha 7/01/2020, en la que responde a la cancelación
solicitada por el reclamante en fecha 03/01/2020 y le informa de que no constan
inclusiones asociadas a sus datos por deudas con organismos públicos. El reclamante
aporta el documento que recibió de EQUIFAX en esa misma fecha, 07/01/2020, con la
información incluida en el FIJ asociada a su nombre, apellidos y NIF. En este
documento ya no figuran anotaciones en el apartado “Reclamaciones de organismos
públicos” que sí aparecían (24 anotaciones) el 14/10/2019. Únicamente se refleja en el
apartado “Reclamaciones judiciales” la incidencia antes reseñada.

Reclamante 17: Denuncia que EQUIFAX no ha atendido la cancelación de sus datos
del FIJ pese a haber transcurrido “el plazo estipulado de seis años”. Aporta, entre otros
documentos, los siguientes:
a. Escrito de EQUIFAX, de 21/02/2019, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/184

siguiente información: En el apartado “Reclamaciones de organismos públicos” no hay
datos. En el apartado “Reclamaciones judiciales” figura:
- 1ª anotación: como demandante, el ***AYUNTAMIENTO.2; como
procedimiento, deuda tributaria; como “Nº de Auto y Juzgado” “1408387/0
Administración Local”; como medio de publicación, ***BOLETIN.2 y la fecha
el 25/08/2017.
- 2ª anotación: como demandante, el ***AYUNTAMIENTO.9; como
procedimiento, deuda tributaria; como “Nº de Auto y Juzgado” “29553/000
Administración Local”; como medio de publicación, ***BOLETIN.2 y la fecha
el 03/10/2013.
- 3ª anotación: como demandante, el ***AYUNTAMIENTO.9; como
procedimiento, deuda tributaria; como “Nº de Auto y Juzgado” “3892245/0
Administración Local”; como medio de publicación, ***BOLETIN.2 y la fecha
el 30/11/2015.
- 4ª anotación: como demandante, el ***AYUNTAMIENTO.8; como
procedimiento, deuda tributaria; como “Nº de Auto y Juzgado” “239/0000
Administración Local”; como medio de publicación, ***BOLETIN.9 y la fecha
el 05/09/2013.

b. La carta de EQUIFAX al reclamante, de 21/02/2019, en la que deniega la
cancelación de sus datos del FIJ por no haber aportado documentación que justifique
la supresión. (Modelo carta de respuesta a la petición de cancelación, ver Hecho
Tercero)

c. La AEPD, con carácter previo a la admisión a trámite de la reclamación, dio traslado
de ella a EQUIFAX el 27/03/2019 y le solicitó que informara sobre los hechos
denunciados. La reclamada responde el 02/04/2019 y explica que no pudo acceder a
la cancelación solicitada porque no se acreditó el pago de las deudas.

Reclamante 18: Denuncia que el 05/02/2019 solicitó a EQUIFAX que cancelara sus
datos del FIJ, toda vez que aparecían asociados a deudas con la Seguridad Social y la
AEAT inexistentes. Añade que facilitó a EQUIFAX los certificados emitidos por la
Tesorería General de la S.S. y por la AEAT que acreditan que no tiene deudas
pendientes y transcurrido un mes, no ha recibido respuesta. Aporta copia, entre otros,
de los siguientes documentos:
a. Carta de EQUIFAX, de fecha 03/01/2019, 21/02/2019 dirigida al reclamante, en la
que responde al acceso solicitado y con la que le da traslado de un documento con la
información que obra en el FIJ. En el documento constan sus datos personales
(nombre, apellidos y NIF) asociados a esta información:
En el apartado “Reclamaciones de organismos públicos”, una anotación en la que
aparece como entidad acreedora la Seguridad Social; por un periodo comprendido
entre el 4/13 al 4/13; como medio de publicación se indica “SSS ELECTR (...)” y como
fecha el 19/07/2013.
En el apartado “Reclamaciones judiciales”, una anotación: como demandante la AEAT;
como procedimiento deuda tributaria; como número de Auto y Juzgado “59300188/0
Admón Local”; como medio de publicación, “sede Agencia Tributaria” y la fecha el
08/09/2017.

b. Escrito que el reclamante envía por burofax de fecha 05/02/2019 a EQUIFAX y a
través del cual ejercita el derecho de cancelación. El reclamante remitió a EQUIFAX
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/184

con dicho escrito sendos certificados emitidos por la Tesorería General de la S.S. y por
la AEAT, Delegación Especial, que acreditan que no tiene deudas pendientes a fecha
19/01/19. En ambos documentos se identifica a la persona del reclamante por su
nombre, apellidos y por el NIF. Además, el documento emitido por la T.G.S.S.
incorpora este dato: “***DATO.1”.
c. Ante la ausencia de respuesta de EQUIFAX a su petición de cancelación, el
reclamante presentó una reclamación ante la AEPD de la cual esta Agencia dio
traslado a EQUIFAX para que informara sobre los hechos expuestos en ella. La
reclamada responde a la AEPD el 12/04/2019 y manifiesta:
“A fecha 12/04/2019 no aparece ningún dato registrado que pueda asociarse a su
nombre y domicilio. Consta registrada una incidencia a nombre de A.A.A., pero
asociada a un domicilio totalmente diferente a los que el afectado ha facilitado en su
reclamación”. “Si desea ser consultado en otros domicilios en los que haya podido
haber residido previamente, y constatar así con certeza si se trata o no de datos
asociados a su identidad, ha de facilitar una relación de los mismos”
“No obstante, informamos que los identificadores que el titular facilita en los
certificados de estar al corriente en las obligaciones de la Seguridad Social (NAF)
tampoco corresponden con los que se asocian a la incidencia dada de alta en
nuestros ficheros, por lo que no nos es posible proceder a la cancelación” (El
subrayado es de la AEPD)
Más adelante, añade que tras recibir el 06/02/2019 a través de burofax la solicitud de
cancelación del reclamante y “la documentación acreditativa necesaria” “se
comprueba que no existen datos registrados asociados a su nombre y domicilio ni a su
DNI. Consta una incidencia a nombre de A.A.A., pero asociada a un domicilio
diferente a los que el titular nos ha aportado en su solicitud, Por tanto, la respuesta
emitida es que “no existen datos inscritos asociados a su identificador/nombre y en el
domicilio aportado y que si hubiese residido en otros domicilios en los que quisiera ser
consultado puede dirigirnos una petición con mención expresa a los mismos”. (El
subrayado es de la AEPD)
EQUIFAX remite a la AEPD un documento con la información que obra en el FIJ
asociada al nombre y dos apellidos del reclamante, pero no su a NIF, toda vez que no
se facilita el NIF pues el apartado destinado a ese dato está vacío. En ese documento,
en el apartado Reclamaciones de Organismos Públicos no constan información y en el
apartado Reclamaciones Judiciales figura esta anotación: como demandante la
T.G.S.S; como procedimiento, Apremio; como número de Auto y Juzgado “192987/20
UNID. REC. EJECU.”; medio de publicación, “SS S ELECTR ASTURIAS” y la fecha
28/04/2013.

Reclamante 19: Denuncia la inclusión de sus datos en ficheros de solvencia por una
deuda inexistente con el ***AYUNTAMIENTO.2. Afirma haberse dirigido al citado
Ayuntamiento en el que le informan de que existen cientos de casos como el suyo por
deudas que no son ciertas. Aporta, entre otros, los siguientes documentos:
a. Escrito de EQUIFAX, de 18/03/2019, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
En el apartado “Reclamaciones de organismos públicos”, no hay datos.
En el apartado “Reclamaciones judiciales” consta una anotación: Como demandante,
el ***AYUNTAMIENTO.2; como procedimiento, deuda tributaria; como Número de Auto
y Juzgado, “***REFERENCIA.1”; como medio de publicación, ***BOLETIN.2 y la fecha
05/12/2016.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/184

b. Un certificado emitido por el ***AYUNTAMIENTO.2 el 21/03/2019, que indica el
reclamante, identificado por su nombre, apellidos y NIF, no consta como deudor de la
Hacienda Pública Municipal por conceptos contributivos que al día de la fecha se
encuentren en periodo ejecutivo de cobro.

Reclamante 20: Denuncia la inclusión de sus datos en un fichero de morosos
asociados a una deuda inexistente con la Agencia Tributaria. Remite a EQUIFAX
certificado negativo de la AEAT que acredita que está al corriente de pago.
Recibida la reclamación en esta Agencia, antes de acordar su admisión a trámite, se
dio traslado de ella a la reclamada para que facilitara información.
Obran en el expediente, entre otros, los documentos siguientes:
a. Escrito de EQUIFAX, de 22/02/2019, con el resultado del acceso al FIJ, en el que
asociada a los datos personales del reclamante (nombre, apellidos y NIF) se ofrece
esta información:
En el apartado “Reclamaciones de organismos públicos”, no hay datos.
En el apartado “Reclamaciones judiciales” figura una anotación: como demandante, la
AEAT; como procedimiento, deuda tributaria; como Nº de Auto y Juzgado, 4472761/0
ADMON. LOCAL; como medio de publicación, “sede Agencia Tributaria” y la fecha
09/05/2016.

b. EQUIFAX respondió a la petición informativa de la AEPD el 14/05/2019. Explicó que
el reclamante había solicitado el acceso a sus datos del FIJ el 22/02/2019. Que el
04/03/2019, el reclamante solicitó la cancelación de sus datos del FIJ y aportó “la
documentación acreditativa correspondiente para dicha cancelación” por lo que,
añade, “Con fecha 13/03/2019 el dato es cancelado”.

Reclamante 21: Denuncia la inclusión en el FIJ de sus datos personales asociados a
información que se ha obtenido del BOE relativa a supuestas deudas con
Administraciones Públicas, así como la negativa de EQUIFAX a cancelar los datos.
Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 13/01/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información: En el apartado “Reclamaciones de organismos públicos”, no hay
datos. En el apartado “Reclamaciones judiciales” consta:
- 1ª anotación: nombre del demandante, ***AYUNTAMIENTO.2; como
procedimiento, deuda tributaria; como medio de publicación, “***BOLETIN.2”
y la fecha 12/02/2016.
- 2ª anotación: nombre del demandante, Agencia Estatal de Administración
Tributaria; como procedimiento, deuda tributaria; medio de publicación,
“Sede Agencia Tributaria” y la fecha 02/12/2015.
- 3ª anotación: nombre del demandante, Agencia Estatal de Administración
Tributaria; como procedimiento, deuda tributaria; medio de publicación “Sede
Agencia Tributaria” y la fecha 28/01/2019.

b. Escrito que EQUIFAX dirige al reclamante, de 13/01/2020, denegándole la petición
de cancelación de sus datos del FIJ “dado que no ha aportado documentación que
justifique la supresión, no procede atender su solicitud” (Modelo de carta de respuesta
a la petición de cancelación, ver Hecho Tercero)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/184

c. Informe de la Secretaría General de la Agencia Estatal Boletín Oficial del Estado,
firmado el 31/07/2019, en respuesta a la consulta planteada por la representante del
reclamante acerca de la legalidad de recabar los datos de carácter personal que
publica el BOE para crear una base de datos con ánimo de lucro. Informe de la S.G.
de Registro de Protección de Datos de la AEPD, de fecha 03/10/2019, respondiendo a
la consulta planteada por la representante del reclamante (número de referencia
037917/2019)

Reclamante 22: Denuncia la inclusión de sus datos personales en el FIJ por una
deuda con la ***ORGANISMO.4 sin su autorización y sin que esta Administración
Pública haya comunicado sus datos. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 16/12/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) consta la
siguiente información:
En el apartado “Reclamaciones de Organismos Públicos”, no hay datos.
En el apartado “Reclamaciones Judiciales” consta una incidencia: el nombre del
demandante es ***ORGANISMO.4; como procedimiento, deuda tributaria; como medio
de publicación, “***BOLETIN.2” y la fecha 14/08/2015.

b. Un escrito con la rúbrica “Informe de información judicial de EQUIFAX”, relativo a
una consulta de fecha 11/12/2019 asociada a los datos personales del reclamante en
la que éste figura como deudor, como demandante la ***ORGANISMO.4; como
estado, “embargo” y la fecha de 14/08/2015.

c. Dos documentos con el anagrama de la ***ORGANISMO.4, en los que bajo la
rúbrica “Informe de situación de deuda” del sujeto pasivo -el reclamante- se hace
constar el pago íntegro en fecha 12/12/2019 de dos deudas correspondientes al IVTM.

Reclamante 23: Denuncia que EQUIFAX ha publicado en un fichero de solvencia sus
datos, sin su autorización, obtenidos de ficheros públicos. Aporta, entre otros, estos
documentos:
a. Escrito de EQUIFAX, de fecha 14/01/2020, con el resultado del acceso al FIJ,
en el que asociados a los datos personales del reclamante (nombre, apellidos y
NIF) se facilita la siguiente información: En el apartado “Reclamaciones
Organismos Públicos”, no hay datos. En el apartado “Reclamaciones
Judiciales” figura:
- 1ª anotación: nombre del demandante, ***AYUNTAMIENTO.5; como
procedimiento, deuda tributaria; como medio de publicación,
“***BOLETIN.10” y la fecha 06/11/2015.
- 2ª anotación: nombre del demandante, ***AYUNTAMIENTO.5; como
procedimiento, deuda tributaria; como medio de publicación,
“***BOLETIN.10” y la fecha 08/05/2017.

b. Carta de EQUIFAX al reclamante respondiendo al acceso al FIJ. Dice que le remite
“la información asociada a su identificador o a su nombre y en el domicilio aportado
por usted”. (Modelo de carta de respuesta a la petición de acceso, ver Hecho Tercero)

Reclamante 24: Denuncia que EQUIFAX publica en el FIJ datos personales que ha
obtenido, sin autorización, de ficheros públicos. Aporta, entre otros, los documentos
siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/184

a. Escrito de EQUIFAX, de 19/12/2020, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF)
se facilita la siguiente información. En el apartado “Reclamaciones de
Organismos Públicos”, no hay datos. En el apartado “Reclamaciones
Judiciales” consta:
- 1ª anotación: nombre del demandante, ***AYUNTAMIENTO.10; como
procedimiento, deuda tributaria; como medio de publicación, ***BOLETIN.10
y la fecha 05/05/2014.
- 2ª anotación: como nombre del demandante figura ***AYUNTAMIENTO.10;
como procedimiento, deuda tributaria; como medio de publicación,
***BOLETIN.10 y la fecha 20/05/2015.
- 3ª anotación: como demandante la AEAT; por un procedimiento de deuda
tributaria; como medio de publicación “Sede Agencia Tributaria” y la fecha
04/07/2016.
- 4ª anotación: como demandante la AEAT; por un procedimiento de deuda
tributaria; como medio de publicación “Sede Agencia Tributaria” y la fecha
24/10/2015.
- 5ª anotación: como demandante la AEAT; por un procedimiento de deuda
tributaria; como medio de publicación “Sede Agencia Tributaria” y la fecha
31/03/2017.

b. Carta de EQUIFAX al reclamante, de fecha 19/01/2020 en la que responde al
acceso solicitado y le remite “la información asociada a su identificador o a su nombre
y en el domicilio aportado por usted” (Modelo de carta de respuesta a la solicitud de
acceso, ver Hecho Tercero)

Reclamante 25: Denuncia la publicación en el FIJ de información asociada a sus datos
personales que fue publicada en su día en el BOE, tratamiento de datos que no está
autorizado por el RGPD. Obran en el expediente, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 25/03/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información:
En el apartado “Reclamaciones de Organismos Públicos”:
- 14 anotaciones en las que la entidad reclamante es, en todas, la Seguridad
Social; por deudas relativas a los siguientes periodos de tiempo, correlativos a
cada una de las 14 incidencias: La primera, del 03/2016-03/2017. Las siguientes,
por periodos mensuales: 07/2016;
08/2016;09/2016;10/2016;11/2016;12/2016;01/2017;02/2017;03/2017:04/2017;05
/2017;06/2017 y 07/2017. Como medio de publicación, en las 14 incidencias
consta “***BOLETIN.3”, siendo las fechas de publicación desde el 23/05/2016, la
más antigua, al 14/03/2017, la más reciente.
En el apartado “Reclamaciones Judiciales” una anotación: Como nombre del
demandante, Tesorería General de la Seguridad Social. Como procedimiento, apremio.
Como “Nº de Auto y Juzgado”, 140021/20 Unid Recau Ejec”; como medio de
publicación “***BOLETIN.3” y la fecha 09/09/2016.
b. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, da
traslado de ella a EQUIFAX y le solicita información. La reclamada responde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/184

21/05/2019 y manifiesta que tras la consulta efectuada al FIJ con los datos del
reclamante (nombre, apellidos y NIF) constan 15 inclusiones y aporta el resultado del
acceso a sus datos en el referido fichero. Añade que la reclamación del afectado
“carece de documentación acreditativa que permita efectuar la cancelación de los
datos en el FIJ”. Y dice: “El titular hace referencia únicamente a que la nueva
normativa legal al respecto no permite la recopilación de este tipo de datos del BOE.
Por consiguiente, los datos se mantienen dados de alta en el fichero”. (El subrayado
es de la AEPD)

Reclamante 26: Denuncia que en el FIJ constan 12 anotaciones por deudas con la
Seguridad Social asociadas a su nombre cuya inclusión no ha autorizado y de las que
no ha sido informado. Además, algunas tienen una antigüedad superior a 6 años.
Obran en el expediente, entre otros, estos documentos:
a. Carta de EQUIFAX, de 19/12/2018, en la que responde al acceso solicitado por el
reclamante y con la que le remite la información que aparece en el FIJ “asociada a su
identificador o a su nombre y en el domicilio aportado por usted”.
b. Escrito de EQUIFAX, de 19/12/2018, con el resultado del acceso al FIJ, en el que la
información facilitada consta asociada, exclusivamente, al nombre y dos apellidos del
reclamante, pero no a su NIF, pues el espacio destinado a ese dato aparece en
blanco.
En el apartado “Reclamaciones Organismos Públicos”:
- 12 anotaciones en las que la “entidad reclamante” es, en todas, la Seguridad
Social; por deudas correspondientes a los siguientes periodos de tiempo:
10/2012;01/2013;07/2013;11/2013;12/2013 y de enero a julio de 2014 por
periodos mensuales. Como medio de publicación, en las 12 incidencias consta
“SSS ELECTR (...)”, siendo las fechas de publicación desde el 23/05/2016, la
más antigua, al 14/03/2017, la más reciente.
En el apartado “Reclamaciones Judiciales” no hay información.
c. Correo electrónico del reclamante dirigido a EQUIFAX, de 28/01/2019, mediante el
que ejercita el derecho de oposición a la publicación de sus datos en el FIJ.
d. La AEPD, una vez recibida en fecha 03/04/2019 la reclamación del afectado, antes
de acordar su admisión a trámite, da traslado de ella a EQUIFAX solicitándole
información sobre los hechos denunciados.
La reclamada responde el 29/05/2019 y manifiesta: Que “Tras la consulta al fichero
[FIJ] de los datos de D. [nombre y dos apellidos del reclamante] a fecha 29/05/2019
constan registradas 10 incidencias asociadas al domicilio del titular ***DIRECCION.1.
Se aporta como documento dos el acceso al fichero con dicha información”. EQUIFAX
dice que en el citado documento se puede comprobar que han desaparecido las
incidencias de antigüedad superior a 6 años a las que alude el reclamante (El
subrayado es de la AEPD) En el resultado del acceso al FIJ que nos remite la
reclamada -documento dos-, al igual que ocurría con el acceso facilitado el 19/12/2018
al reclamante, no consta el NIF del reclamante sino exclusivamente su nombre y dos
apellidos.
Respecto a la solicitud de oposición/cancelación efectuada por el reclamante el
28/01/2019 y la negativa de la reclamada a cancelar las anotaciones, responde a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/184

AEPD que “carecía de documentación acreditativa que permitiese efectuar la
cancelación de datos en el ...” FIJ. Añade que “El titular alega únicamente algunos
aspectos de la normativa legal para acreditar su cancelación. Por consiguiente, los
datos se mantienen dados de alta en el fichero. Es necesario que se aporte
documentación acreditativa de pago o bien certificado emitido por el órgano
reclamante, en este caso la Tesorería General de la Seguridad Social, en el que se
especifique estar al corriente del pago”.

Reclamante 27: Denuncia que en el año 2017 BANKIA le informó de la inclusión de
sus datos en el FIJ denegándole la operación financiera solicitada. Ejerció entonces el
derecho de acceso ante EQUIFAX que le respondió que no constaban datos
personales suyos incluidos en el referido fichero. Sin embargo, en febrero de 2019 su
entidad financiera BANKIA continúa visualizando sus datos como deudor a través de la
información que le facilita el FIJ. En particular, figura su NIF asociado al nombre y
apellidos de una persona con este nombre: B.B.B.. Obran en el expediente, entre
otros, los siguientes documentos:
a. Carta del SAC de BANKIA, de fecha 29/11/2018, dirigida al reclamante en la que
informa que los datos que constan en el “BIJ” no son incluidos por esa entidad.
b. Respuesta de EQUIFAX, de fecha 29/05/2019, a la solicitud informativa que le
dirigió la AEPD con carácter previo a la admisión a trámite de la presente reclamación.
La reclamada responde respecto a los hechos expuestos por el reclamante.:
-Que en esa fecha no aparece registrado ningún dato que pueda asociarse “a su
nombre y domicilio”. Añade que “constan varias incidencias registradas a nombre de
[nombre y dos apellidos del reclamante] , dos de ellas asociadas a otros DNI que no
corresponden con el Sr. C.C.C. y otra asociada a un domicilio totalmente diferente a
los que el afectado facilita en su reclamación” Añade que “si desea ser consultado en
otros domicilios en los que haya podido residir previamente, y constatar así con
certeza si se trata o no de datos asociados a su identidad, ha de facilitar una relación
de los mismos”. (El subrayado es de la AEPD)
-Que constan en sus sistemas dos expedientes gestionados para el reclamante (que
identifica por su nombre, dos apellidos y el NIF) con las referencias 2018/54322 y
2019/40848. A propósito del primero de ellos indica, entre otras cuestiones, que en la
carta emitida por INFORMA que el reclamante le hizo llegar se le comunicaba también
que “no les constaban datos asociados a su nombre y domicilio en el FIJ”. Respecto al
segundo de los expedientes tramitados, de 2019, EQUIFAX dice: “En este último en
concreto se le indicaba que no constaban datos asociados a su nombre y domicilio, y
que si hubiera residido en otros domicilios en los que quisiera ser consultado debería
de dirigirnos una petición con mención expresa de los mismos”. Añade: “Como se
puede comprobar en las búsquedas efectuadas para el [FIJ] existen incidencias
anotadas a nombre de “C.C.C.” pero están asociadas a identificadores y/o domicilios
que no corresponden con los facilitados por el titular”.
-Aporta una captura de pantalla en la que aparecen seis registros de nombres y
apellidos y ningún NIF o NIE vinculado a ellos. De los seis registros, los tres primeros
coinciden íntegramente con los datos del nombre y apellidos del reclamante y para
uno de los tres registros se facilita también un domicilio que está ubicado en
***LOCALIDAD.2. Los tres restantes registros se diferencian de los datos del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/184

reclamante, exclusivamente, en que incorporan un segundo nombre -así, además de
X, el nombre de pila es XV, XY, o XZ-Uno de estos tres registros incluye un domicilio
en ***LOCALIDAD.3.

Reclamante 28: Denuncia la inclusión de sus datos en el FIJ y la negativa de la
reclamada a atender la cancelación solicitada, pese a que acreditó documentalmente
la inexistencia de deuda.
La AEPD, una vez recibida en fecha 04/04/2019 la reclamación del afectado, antes de
acordar su admisión a trámite, dio traslado de ella a EQUIFAX y le solicitó información
sobre los hechos denunciados. La reclamada responde el 30/05/2019. Obran en el
expediente, entre otros, estos documentos:
a. Escrito con el anagrama de EQUIFAX, de fecha 01/04/2019, con el resultado
del acceso al FIJ, en el que asociados a los datos personales del reclamante
(nombre, apellidos y NIF) se facilita esta información:
En el apartado “Reclamaciones de Organismos Públicos”:
- 13 anotaciones en las que figura como entidad reclamante la Seguridad Social;
en las 6 primeras anotaciones por deudas correspondientes a periodos
mensuales y correlativos comprendidos entre el 5/2013 y el 10/2013; en las
restantes, por periodos mensuales no correlativos, la más antigua de 12/2013 y
la más reciente de 8/2017. Como medio de publicación en las 10 primeras
anotaciones figura “SSS ELECTR (...)” y en las 3 últimas “***BOLETIN.3”. La
fecha de publicación más antigua es el 19/08/2013 y la más moderna de
03/11/2017.
En el apartado “Reclamaciones Judiciales” se incluyen:
- 1ª anotación: como demandante figura la TGSS; como procedimiento, Apremio;
como medio de publicación “SSS ELECTR (...)” y la fecha 05/02/2014.
- 2ª anotación: como demandante figura la TGSS; como procedimiento, Apremio;
como medio de publicación ***BOLETIN.3 y la fecha 21/08/2018.
b. Carta de EQUIFAX al reclamante, de fecha 01/04/2019, en la que le informa que no
pueden atender su solicitud de cancelación de datos del FIJ “porque no ha aportado
documentación que justifique la supresión”.
c. Tres certificados emitidos por la TGSS y firmados electrónicamente el 26/03/2019;
01/04/2019 y 02/04/2019, en los que consta que el reclamante, identificado por su
nombre, apellidos, NIF y NAF, está al corriente en las obligaciones de Seguridad
Social. Estos tres certificados fueron enviados por el reclamante a EQUIFAX a fin de
que se procediera a la cancelación de sus datos del FIJ y su copia se ha facilitado a
esta Agencia por EQUIFAX con la respuesta a la solicitud informativa hecha por la
AEPD.
d. Varios correos electrónicos enviados por el reclamante a EQUIFAX, de fechas
01/04/2019, 02/04/2019 y 09/04/2019, en los que solicitó la cancelación de sus datos
del FIJ y una carta enviada por el reclamante a EQUIFAX por correo postal, con
idéntica finalidad que lleva sello de entrada en la sede de la entidad reclamada el
01/04/2019.
e. Documento aportado por EQUIFAX en el que consta el nombre y apellidos del
reclamante en dos apartados: en uno de ellos, los datos están asociados a su NIF y a
su dirección postal. En otro apartado, su nombre y apellidos no se vincula a NIF

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/184

alguno, pero sí a un domicilio en la localidad de ***LOCALIDAD.4 de la provincia de
***PROVINCIA.1.
f. Carta de EQUIFAX de 30/05/2019 dirigida a esta AEPD respondiendo a su solicitud
de información. Dice que el reclamante aportó documentación acreditativa, emitida por
la Seguridad Social, para dicha cancelación y que “Tras consultar los datos registrados
en el [ FIJ] se comprueba que hay dos anotaciones a nombre de [el reclamante], una
de ellas asociada a su DNI y otra asociada a un domicilio y un número de NAF que no
corresponde con los facilitados por el titular en su solicitud. Se procede, por tanto, a
cancelar únicamente, la anotación asociada a su DNI con fecha 10/04/2019.” (El
subrayado es de la AEPD)

Reclamante 29: Denuncia la publicación en el FIJ de sus datos personales asociados
a deudas con Administraciones Públicas. Destaca que la información se había
publicado en el BOE; que el fichero fija un plazo de 6 años para cancelar las
anotaciones y que muchas de las deudas que le atribuyen son de los años 2012 y
2014, algunas están prescritas y otras recurridas. Obran en el expediente, entre otros,
estos documentos:
a. Escrito de EQUIFAX, de fecha 07/03/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales de la reclamante (nombre, apellidos y NIF), se
facilita esta información:
En el apartado “Reclamaciones de Organismos Públicos”:
- 3 anotaciones en las que la entidad reclamante es la Seguridad Social; por
deudas correspondientes a los siguientes periodos, respectivamente, 4/2014,
5/2014 y del 25/07/2014 al 21/10/2014. El medio de publicación es, para las tres
incidencias, “SS S ELECTR (...)” y las fechas de publicación 25/07/2014,
26/08/2014 y 21/1072014.
En el apartado “Reclamaciones Judiciales”:
- 1ª anotación: figura como demandante la ***ORGANISMO.1; como
procedimiento, deuda tributaria; como medio de publicación, “***BOLETIN.5” y la
fecha 21/07/2014.
- 2ª anotación: demandante el ***AYUNTAMIENTO.1; procedimiento, deuda
tributaria; medio de publicación ***BOLETIN.1 y la fecha 20/11/2013.
- 3ª anotación: demandante la ***ORGANISMO.1; procedimiento deuda tributaria;
medio de publicación “***BOLETIN.5” y la fecha 13/01/2014.
- 4ª anotación: demandante la Tesorería General de la Seguridad Social;
procedimiento Apremio; medio de publicación ***BOLETIN.1 y fecha
135/02/2016.
- 5ª anotación: demandante el ***AYUNTAMIENTO.10; procedimiento, deuda
tributaria; medio de publicación ***BOLETIN.11 y la fecha 13/04/2018.
b. Escrito de EQUIFAX de 07/03/2019 en el que deniega a la reclamante la
cancelación de sus datos del FIJ “porque no ha aportado documentación que
justifique la supresión”. (Modelo de carta denegando cancelación, ver Antecedente
Tercero)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/184

c. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, da
traslado de ella a EQUIFAX y solicita información. La reclamada responde en fecha
14/06/2019 y manifiesta: “Actualmente, y tras la consulta al [FIJ] de los datos [nombre
y dos apellidos de la reclamante], titular del DNI [ el NIF de la reclamante], indicamos
que a fecha 14/06/2019 no nos consta registrada ninguna incidencia asociada a su
nombre y apellidos y a su domicilio”. (El subrayado es de la AEPD) En tal sentido
aporta capturas de pantalla de sus ficheros en los que no constan incidencias
vinculadas a la reclamante.
EQUIFAX no explica cuál es la razón por la que ahora atiende la cancelación.
La entidad declara que la reclamante formuló cinco solicitudes de cancelación de sus
datos personales del FIJ que dieron lugar a la tramitación de los correspondientes
expedientes. Aporta copia de las peticiones de cancelación, de fechas 06/03/2019,
07/03/2019, 08/03/2019, 14/03/2019 y 17/03/2019, y de los expedientes gestionados.
Advierte que en todas ellas la titular ejerció el derecho de cancelación sin aportar
ningún tipo de documentación acreditativa que justificase la cancelación de los datos
registrados en dicho fichero, “de ahí que el dato se mantuviera de alta”.

Reclamante 30: Denuncia que ha solicitado a EQUIFAX la cancelación de sus datos
del FIJ en fechas 25/02/2019 y 12/03/2019 respondiendo en ambas ocasiones la
reclamada -en fechas 26/02/2019 y el 12/03/2019- que no constan datos a su nombre.
Sin embargo, su entidad financiera sigue visualizando a través del FIJ que constan
deudas asociadas a sus datos personales. Aporta, entre otros, estos documentos:
a. Pantallazo obtenido el 27/02/2019 del monitor del agente bancario que le denegó la
financiación solicitada. En la captura de pantalla, bajo la rúbrica “Resumen de
información judicial”, consta como fecha de consulta el 27/02/2019; en el apartado
“NIF/CIF” figura el NIF del reclamante; en el apartado “Nombre/Razón social”,
“E.E.E.”; en el apartado “Nº incidencias judiciales” “3”. Se hace referencia a estas tres
incidencias: Como “Procedimiento” aparece “Deuda Tributaria”; como “Estado”
“embargo”; como “Demandante” la “Agencia Estatal de Administración Tributaria” y,
respectivamente, las fechas 23/07/2013, 23/10/2017 y 25/11/2015.
Aporta también una captura de pantalla obtenida del monitor del agente bancario que
le denegó la financiación solicitada en 2018. La información que consta es idéntica a la
anterior con la salvedad que figura como fecha de la consulta el 21/08/2018.
b. Certificado emitido por la AEAT a solicitud del reclamante -identificado por su NIF,
nombre y dos apellidos, D.D.D.- firmado electrónicamente el 24/08/2018, que deja
constancia de que el solicitante se encuentra al corriente de sus obligaciones
tributarias. La validez del certificado es de doce meses contados desde la fecha de su
expedición.
c. Escrito de EQUIFAX de fecha 26/02/2019 en el que responde a la cancelación
solicitada por el reclamante el 25/02/2019 y le comunica que “no existen datos
inscritos asociados a su identificador/nombre y en el domicilio aportado por usted”.
d. Escrito de BANCO SANTANDER, S.A., que lleva impreso el sello de la entidad con
indicación del número de sucursal y la fecha 03/10/2018, que indica que no se han
podido conceder facilidades crediticias al cliente E.E.E., con NIF [el NIF del
reclamante] al encontrar a su nombre 3 incidencias judiciales pertenecientes a la
Agencia Estatal de Administración Tributaria entre los años 2013 y 2017.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/184

e. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, dio
traslado de ella a EQUIFAX y solicitó información. La reclamada responde el
01/07/2019 que “el resultado de la búsqueda en el [FIJ] de datos de D. E.E.E. es
negativo”. Reconoce que el NIF del reclamante estaba asociado a un nombre – E.E.E.-
que no era el suyo -D.D.D.- y que, debido a esta incidencia, “y dado que las
búsquedas al fichero judicial se gestionan por nombre y apellidos” no se localizaron
datos asociados al reclamante en los expedientes tramitados en virtud de sus
peticiones de cancelación. Añade que con fecha 01/07/2019 se han cancelado los
datos del reclamante.

Reclamante 31: Denuncia la inclusión de sus datos en el FIJ por supuestas deudas
con el ***AYUNTAMIENTO.3, de las que ha tenido noticia a través de su entidad ban-
caria, sin que la inclusión le haya sido notificada por EQUIFAX ni el Ayuntamiento pre-
suntamente acreedor le haya informado de su existencia. Obran en el expediente, en-
tre otros, los siguientes documentos:
a. Dos escritos de EQUIFAX, de fechas 05/11/2018 y 12/12/2018, respectivamente,
con la información que consta en el FIJ, asociada al NIF, nombre y dos apellidos del
reclamante. La información es idéntica en ambos escritos. En el apartado “Reclama-
ciones de Organismos Públicos” no hay datos.
(En el apartado “Reclamaciones Judiciales”:
- 2 anotaciones: Nombre del demandante, ***AYUNTAMIENTO.3; procedimiento,
deuda tributaria; medio de publicación, ***BOLETIN.3. La fecha de publicación es
el 05/04/2013 y el 20/05/2014, respectivamente.
b. Cartas de EQUIFAX, de fechas 05/11/2018 (número de referencia del expediente
2018/251714) y de 20/12/2018 (número de expediente 2018/285508) en las que res-
ponde a las peticiones del reclamante para que, respectivamente, proceda a cancelar
sus datos del FIJ y le facilite información sobre las anotaciones que constan en el fi-
chero asociadas a sus datos. EQUIFAX deniega la cancelación solicitada “dado que
no ha aportado documentación que justifique la supresión”. (Modelo de carta transcrito
en Hecho Tercero)
c. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, da tras-
lado de ella a la reclamada y le solicita información. EQUIFAX responde el 18/06/2019
que constaban dos expedientes en los que el reclamante había ejercido el derecho de
cancelación sobre el FIJ, pero sin aportar ningún tipo de documentación acreditativa
que justificara la cancelación de los datos registrados en él, de ahí que los datos se
mantuviera de alta, y seguidamente comunica que en esa misma fecha, 18/06/2019,
ha procedido a cancelar la información que constaba en el FIJ asociada al reclamante
por lo que, dice, “no figura ningún otro dato registrado en el [FIJ] asociado al
nombre/identificador y domicilio del reclamante”.

Reclamante 32: Denuncia la publicación de sus datos personales en el FIJ asociados
a deudas con la Seguridad Social que ya están satisfechas. Aporta, entre otros, estos
documentos:
a. Certificado de la Tesorería General de la Seguridad Social, firmado
electrónicamente el 08/04/2019, que deja constancia de que la persona identificada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/184

con el nombre, dos apellidos y NIF de la reclamante y con el NAF ***DATO.2 se
encuentra al corriente de pago. No se aporta documentación de las anotaciones que
obran en el FIJ vinculadas a sus datos. La reclamante proporciona como domicilio uno
ubicado en ***DIRECCION.2.
b. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, da
traslado de ella a EQUIFAX y solicita información. La reclamada responde el
19/06/2019 y hace estas manifestaciones que transcribimos:
“(...) Tras la consulta al fichero de ... [FIJ] de los datos de Dª [la reclamante], titular del
DNI [el de la reclamante], indicar que a fecha 19/06/2019 constaban registradas dos
anotaciones una de ellas asociada al domicilio de ***DIRECCION.3 y al NAF [ los
mismos dígitos del NAF de la reclamante] con deudas a la Seguridad Social, y otra de
ellas asociada al NIF de la titular, con deudas de la Diputación Provincial y del
***AYUNTAMIENTO.1. Aportamos el resultado del acceso al fichero con los datos de
referencia a fecha 19/06/2019.”
El resultado del acceso al FIJ que EQUIFAX remite a esta Agencia tiene, en fecha
19/06/2019, las siguientes características:
(i) Las anotaciones por deudas con la Seguridad Social están asociadas,
exclusivamente, al nombre y dos apellidos de la reclamante. El espacio destinado al
NIF está vacío. Figuran las siguientes anotaciones vinculadas, exclusivamente, al
nombre y dos apellidos de la reclamante:
En el apartado “Reclamaciones de Organismos Públicos”:
- 5 anotaciones en las que la entidad reclamante es, en todas, la Seguridad Social;
por deudas, respectivamente para cada anotación y con periodicidad mensual,
de enero a mayo de 2018, inclusive. El medio de publicación, en todas, es
“***BOLETIN.1” en los meses de abril, mayo y junio de 2018.
En el apartado “Reclamaciones Judiciales”:
- 1 anotación: como nombre de la demandante aparece TGSS; como
procedimiento, apremio; como medio de publicación, ***BOLETIN.1” y la fecha
18/04/2018.
(ii) EQUIFAX aporta otro documento con la información que consta en el FIJ a fecha
19/06/2019. En este caso está asociada, además de al nombre y apellidos de la
reclamante, también a su NIF.
En el apartado “Reclamaciones de Organismos Públicos” no hay datos.
En el apartado “Reclamaciones Judiciales” figuran 2 anotaciones:
- 1ª anotación: Nombre de la demandante, ***ORGANISMO.3; procedimiento,
deuda tributaria; medio de publicación ***BOLETIN.1 y la fecha 27/05/2019.
- 2ª anotación: Nombre del demandante, ***AYUNTAMIENTO.1; procedimiento,
deuda tributaria; como medio de publicación, ***BOLETIN.1 y la fecha
27/04/2017.
EQUIFAX manifiesta en la carta que dirigió a la AEPD el 19/06/2019, respondiendo a
la solicitud informativa, que “Con fecha 19/06/2019, se ha procedido a cancelar todos
los datos registrados en el fichero de Incidencias Juridiciales y Reclamaciones de
Organismos Públicos asociados a la titular, Dª [reclamante] ...” Y aporta capturas de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/184

pantalla de sus sistemas en las que refleja la cancelación de todos los datos. Adjunta
también una copia de la carta que envió a la reclamante en la que afirma: “Le
comunicamos que hemos procedido a la baja de los datos relativos a su reclamación,
asociados a su identificador/nombre y en el domicilio aportado por usted” (El
subrayado es de la AEPD)

Reclamante 33: Denuncia que ha abonado las multas pendientes al
***AYUNTAMIENTO.3; que en los ficheros internos del Ayuntamiento ya figura sin
deudas y que, pese a ello, sus datos continúan incluidos en el FIJ “por lo que, o bien el
Ayuntamiento o bien EQUIFAX es responsable de no haber actualizado datos
confidenciales acerca de mi solvencia”. Facilita como domicilio uno ubicado en
***DIRECCION.4.
a. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, da
traslado de ella a EQUIFAX y solicita información. La reclamada responde el
19/06/2019 en los siguientes términos que se transcriben:
“...tras la consulta al [FIJ] de los datos de [ el reclamante] titular del DNI [ el del
reclamante] indicamos que a fecha 19/06/2019 no consta registrada ninguna
incidencia asociada a su nombre/identificador y a su domicilio. No obstante, si el titular
hubiera residido en otros domicilios en los que quisiera ser consultado, dado que en el
fichero constan anotaciones a nombre de [el nombre y dos apellidos del reclamante]
asociadas a otros domicilios diferentes a los aportados a la presente reclamación,
puede dirigirnos una petición con mención expresa de los mismos”. (El subrayado es
de la AEPD)

Reclamante 34: Denuncia la inclusión de sus datos personales en el FIJ. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX de fecha 08/04/2019 en el que figuran sus datos personales
(nombre, apellidos y NIF) asociados a la siguiente información. En el apartado
“Reclamaciones de Organismos Públicos” no hay datos. En el apartado
“Reclamaciones Judiciales”:
- 1ª anotación: demandante la ***ORGANISMO.5; como procedimiento, deuda
tributaria; como medio de publicación, “***BOLETIN.10” y la fecha 28/03/2016.
- 2ªanotacion: Agencia Estatal de Administración Tributaria; procedimiento, deuda
tributaria; medio de publicación, “Sede Agencia Tributaria” y la fecha 03/02/2017.
- 3ª anotación: Agencia Estatal de Administración Tributaria; procedimiento, deuda
tributaria; medio de publicación, “Sede Agencia Tributaria” y la fecha 24/02/2017.
b. Carta de EQUIFAX al reclamante, de fecha 08/04/2019, en la que responde al
acceso solicitado. (Modelo carta respuesta a solicitud de acceso, transcrita en Hecho
Tercero)
c. La AEPD, recibida la reclamación y antes de acordar su admisión a trámite, da
traslado de ella a EQUIFAX y solicita información. La reclamada responde el
01/07/2019 y confirma que, en el FIJ, asociados al nombre, apellidos y NIF del
reclamante figuran varias incidencias. Son las mismas que se reflejan en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/184

información de EQUIFAX de fecha 08/04/2019.

Reclamante 35: Denuncia que la inclusión de sus datos en el FIJ vulnera tanto la
LOPD como el RGPD. Manifiesta que no se le comunicó la inclusión de sus datos en
el fichero; que no ha existido un mandato del acreedor para que sus datos se incluyan
en el FIJ; que la deuda es inexistente, pues está pagada; que según información
facilitada por el SAC de AEBOE únicamente podrán consultar sus datos en el BOE si
se han publicado en los tres meses precedentes, debiendo, en otro caso solicitarse la
información previa acreditación se su identidad. Añade que EQUIFAX no atendió su
solicitud de cancelación. Aporta, entre otros, estos documentos:
a. Escritos de EQUIFAX de fechas 05/04/2019 y 09/0472019 con la información
asociada a su nombre, apellidos y NIF -idéntica en ambos documentos- que aparece
en el FIJ. En el apartado “Reclamaciones Organismos Públicos”:
- 2 anotaciones en las que consta como reclamante la Seguridad Social, por
deudas correspondientes a los periodos 09/2014 y 10/2014, respectivamente;
como medio de publicación, “SS S CTR (...)” y como fecha de publicación, para
ambas anotaciones, el 13/01/2015.
En el apartado “Reclamaciones Judiciales”:
- Una anotación: como demandante la TGSS; como procedimiento, Apremio; como
medio de publicación, ***BOLETIN.3 y como fecha de publicación el 23/05/2016.
b. Certificado de la TGSS de “Estar al corriente en las obligaciones de la Seguridad
Social”, firmado electrónicamente el 09/04/2019 y asociado a los datos de la
reclamante (nombre, dos apellidos, NIF y NAEF).
c. Carta de EQUIFAX, de fecha 09/04/2019, en la que responde a una solicitud de
cancelación de datos del FIJ, de fecha 05/04/2019, que deniega por cuanto, dice, la
reclamada no ha acreditado estar al corriente del pago. Carta de EQUIFAX, de fecha
22/04/2019, en la que comunica a la reclamante que ha atendido su petición de
cancelación de fecha 09/04/2019 y se ha procedido a cancelar del FIJ “los datos
asociados a su identificador/su nombre y en el domicilio aportado por usted”.
d. Correo electrónico del Servicio de Atención al Cliente de AEBOE enviado a la
reclamante. En fecha 18/01/2019 le informa en los siguientes términos:
“Si su notificación se ha publicado en los tres últimos meses, puede consultarla
utilizando el buscador del BOE:
https//www.boe.es/tablon_edictal_unico/notificaciones.php.”
“Para consultar sus notificaciones anteriores, puede acceder con un certificado digital,
al servicio “Mis anuncios de notificación”
https//www.boe.es/tablón_edictal_unico/notificaciones_historico.php.” Este servicio le
permite acceder sin límite de tiempo, a los anuncios de notificaciones que incorporan
su NIF, tanto si se trata de una persona física como de una persona jurídica o entidad.
Para ello deberá identificarse previamente a través del sistema CL@VE (...)”
“Otra opción es recuperar vd. mismo sus notificaciones con un certificado digital a
través de la carpeta ciudadana...”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/184

“Si desea que el Servicio de Atención al Ciudadano le tramite su petición, y dado que
los datos de notificación son de carácter personal, necesitamos que lo solicite al
servicio de Atención al Ciudadano (www.boe.es/info) haciendo la solicitud y
adjuntando fotocopia su DNI, la fecha de publicación y el órgano que le remitió la
notificación si los conoce. Si actúa en nombre de un notificado, debe remitirnos,
además, la autorización de la persona afectada”

Reclamante 36: Denuncia la inclusión de sus datos personales en el FIJ por deudas
que no son ciertas y la negativa de la entidad a atender el derecho de supresión de
sus datos. Obran en el expediente, entre otros, estos documentos:
a. Carta de EQUIFAX de 18/10/2018 dirigida al reclamante con el siguiente texto: “Le
comunicamos que en esa fecha se ha procedido a dar de alta en el fichero Incidencias
Judiciales y Reclamaciones de Organismos Públicos la información que a
continuación le señalamos: “Juzgado/Organismo” “T.G.S.S.”; “Asunto- D.S.S.”; “Origen
de la información Boletín Oficial del Estado”; “Fecha 18/10/2018”.
La carta se dirige al mismo domicilio que el reclamante ha facilitado a esta Agencia si
bien falta en ella el dato del número de bloque de la vivienda. En la carta se identifica
al reclamante por su nombre y dos apellidos, pero no consta ningún NIF, NIE o NAF.
b. Certificado de la TGSS, firmado electrónicamente el 30/10/2018, denominado
“Informe de estar al corriente en las obligaciones de Seguridad Social” referente al
reclamante, identificado por su nombre, dos apellidos, NIF y NAF.
c. Escrito del reclamante a EQUIFAX, mediante el cual ejercita el derecho de
supresión de sus datos, con el que anexa el certificado emitido por la TGSS, y
resguardo acreditativo del envío dirigido a la reclamada a través de correo certificado
en fecha 21/11/2018.
d. La AEDP, recibida la reclamación y antes de acordar su admisión a trámite, dio
traslado de ella a la reclamada en fecha 27/06/2019 y le solicitó información. EQUIFAX
responde el 02/07/2019. Reconoce que recibió la solicitud de supresión del reclamante
en fecha 21/11/2018 así como el Informe de la TGSS que acreditaba que estaba al
corriente del pago en obligaciones de la Seguridad Social.
Afirma que “Dicha solicitud fue atendida, procediéndose a cancelar los datos
registrados en dichos ficheros con fecha 7 de diciembre de 2018”. No obstante,
EQUIFAX, en el mismo documento, hace otras afirmaciones -que la documentación
que anexa viene a confirmar- que contradicen radicalmente la anterior. En el mismo
escrito afirma que respondió a la petición de cancelación del reclamante de 27/11/2018
“Indicando que era necesario que remitiese copia de su DNI para atender su solicitud”.
Aporta una carta de fecha 07/12/2018 dirigida al reclamante -remitida por correo de
10/12/2018- en la que dice: “Lamentamos comunicarle que no se ha podido acreditar
la identidad del interesado. Le solicitamos que facilite documentación adicional que
nos pueda confirmar su identidad, como fotocopia legible por ambas caras del
DNI/NIF/CIF y proceder a atender su solicitud de cancelación”
Aporta un documento con el resultado del acceso al FIJ en fecha 27/11/2018. Llama la
atención que las anotaciones (dos incidencias por reclamaciones de la Seguridad
Social) están asociadas, exclusivamente, al nombre y dos apellidos del reclamante. El
espacio destinado al NIF figura vacío.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/184

Reclamante 37: Denuncia que EQUIFAX le atribuye una deuda con la Seguridad
Social que es inexistente, extremo que ha acreditado a través de certificado de la
TGSS. Obran en el expediente los siguientes documentos:
a. Certificado de la TGSS, firmado electrónicamente el 23/05/2019, que acredita que la
persona identificada con el nombre, apellidos y NIF del reclamante está al corriente de
pago en las obligaciones de Seguridad Social.
b. La AEPD, recibida la reclamación, antes de acordar su admisión a trámite, dio
traslado de ella a EQUIFAX en fecha 19/06/2019 y le solicitó información. La
reclamada responde el 21/06/2019 y manifiesta: “Actualmente, tras la consulta al [FIJ]
de los datos de D. [el reclamante] titular del DNI [el NIF del reclamante], indicamos
que a fecha 21/06/2019 no consta ninguna incidencia asociada a su
nombre/identificador y a su domicilio”. (El subrayado es de la AEPD)
EQUIFAX afirmó haber recibido dos solicitudes de acceso/cancelación del reclamante.
Una, que dio lugar al expediten 2019/119599, que fue desestimada por no haber
aportado documentación acreditativa para la supresión de los datos. Otra, recibida el
25/05/2019, con la que aportó un certificado emitido por la TGSS, y como
consecuencia procedió a cancelar los datos en fecha 04/06/2019.
c. Obran en el expediente, aportados por EQUIFAX, la copia de diversos correos
electrónicos que el reclamante envió a la reclamada solicitando la supresión de sus
datos. En todos ellos afirma que le remite un certificado de la Seguridad Social que
acreditaría que las deudas que le atribuye no existen. Todos están dirigidos a
[email protected] en fechas 17/05/2019; 20/05/2019 y 25/05/2019.
d. Documento de EQUIFAX con el resultado del acceso al FIJ asociado al nombre,
apellidos y NIF del reclamante. Los documentos, idénticos entre sí, son de distintas
fechas, 21/05/2019 y 27/05/2019, y contienen esta información:
En el apartado “Reclamaciones de Organismos Públicos”:
- 17 anotaciones en las que la entidad reclamante es, en todas, la Seguridad
Social; por periodos mensuales -de 08/2014; 11/2016; y las quince restantes por
meses sucesivos comprendidos entre el 01/2017 y el 03/2018-; el medio de
publicación es, en todos los casos, ***BOLETIN.8 y las fechas de publicación el
17/11/2014 la primera y el 28/05/2018 la última.
En el apartado “Reclamaciones Judiciales” consta una anotación: Como demandante
figura la TGSS; como procedimiento, Apremio; como medio de publicación, “SS S
ELECTR (...)” y la fecha de publicación 30/03/2015.

Reclamante 38: Denuncia que EQUIFAX la ha incluido en un fichero de morosos por
deudas que no son ciertas pues ya han sido abonadas. Obran en el expediente, entre
otros, estos documentos:
a. Informe emitido por el ***ORGANISMO.6., firmado el 17/05/2019, que certifica que
el sujeto pasivo -la reclamante, identificada por su nombre, dos apellidos y NIF- no
tiene deudas pendientes con el ***AYUNTAMIENTO.11.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/184

b. Escrito con el anagrama de EQUIFAX, de fecha 17/05/2019, con la información que
consta en el FIJ en esa fecha asociada al nombre, dos apellidos y NIF de la
reclamante. En el apartado “Reclamaciones de Organismos Públicos”, no hay datos.
En el apartado “Reclamaciones Judiciales” consta una anotación: Como entidad
demandante figura ***AYUNTAMIENTO.11; como procedimiento, deuda tributaria;
como medio de publicación, ***BOLETIN.12. y la fecha de publicación 18/06/2018.
c. Carta de EQUIFAX dirigida a la reclamante, de fecha 27/05/2019, en la que
responde a la cancelación de sus datos del FIJ que había solicitado y le comunica que
“tras las comprobaciones pertinentes, hemos procedido a la baja en el fichero [FIJ] de
los datos relativos a su reclamación, asociados a su identificador/su nombre y el
domicilio aportado por usted”.
d. La AEPD, recibida la reclamación, y antes de acordar su admisión a trámite, dio
traslado de ella a EQUIFAX y le solicitó información en fecha 19/06/2019. La
reclamada responde el 21/06/2019 y expone que el 16/05/2019 recibió una solicitud de
cancelación de la reclamante con la que aportó documentación acreditativa de la
inexistencia de deuda por lo que se procede en fecha 27/05/2019 a la cancelación de
la anotación.

Reclamante 39: Denuncia que EQUIFAX ha incluido sus datos en el FIJ sin su
consentimiento con información obtenida del BOE, incumpliendo tanto la LOPD como
el RGPD. Aporta, entre otros, estos documentos:
a. Carta de EQUIFAX dirigida al reclamante, de fecha 14/05/2017, en la que responde
a la solicitud de cancelación de sus datos del FIJ, que fue registrada en sus oficinas el
13/05/2019, en la que le comunica que “dado que no ha aportado documentación que
justifique la supresión, no procede atender su solicitud”.
b. Escrito de EQUIFAX, de fecha 14/05/2019, con la información que consta en el FIJ
asociada al nombre, dos apellidos y NIF del reclamante. En el apartado
“Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales” se recogen dos anotaciones:
- 1ª anotación: Nombre del demandante, ***AYUNTAMIENTO.3; procedimiento,
deuda tributaria; medio de publicación, ***BOLETIN.3 y la fecha 30/08/2017.
- 2ª anotación: Demandante, AEAT; procedimiento, deuda tributaria; medio de
publicación, “Sede Agencia Tributaria” y la fecha 08/06/2016.

Reclamante 40: Denuncia que sus datos personales han sido incluidos en un fichero
de solvencia patrimonial por una deuda con el Ayuntamiento que fue abonada en
tiempo y forma. Acredita que no tiene deudas pendientes con el Ayuntamiento. El
reclamante aporta, entre otros, estos documentos:
a. Escrito con el anagrama de EQUIFAX, de fecha 30/05/2019, con la información que
consta en el FIJ asociada a su nombre, dos apellidos y NIF. En el apartado
“Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/184

- Una anotación: Demandante el ***AYUNTAMIENTO.12; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.3 y la fecha de publicación
08/01/2016.
En el “Histórico de Consultas” se informa de que se efectuaron consultas en las
siguientes fechas: 29/05/2019; 28/05/2019; 13/12/2019; 10/12/2018 y 09/12/2018.
b. Escrito de EQUIFAX, de 10/06/2019, respondiendo a la oposición ejercida por el
reclamante a que sus datos se publiquen en el FIJ. EQUIFAX afirma que no existen
datos inscritos asociados a su identificador/nombre y en el domicilio facilitado por el
reclamante y que “no nos consta que sus datos hayan sido consultados por ninguna
entidad en los últimos seis meses”. (El subrayado es de la AEPD)

Reclamante 41: Denuncia la inclusión de sus datos en el FIJ sin su consentimiento y
que, pese a haber solicitado a EQUIFAX la cancelación de la anotación y haber
aportado a tal fin la copia de la resolución judicial que acreditaba la extinción de la
deuda, se ha negado a atender la cancelación. Aporta, entre otros, estos documentos:
a. Auto del Juzgado de Primera Instancia nº 3 de (...), de 02/06/2017, recaído en el
procedimiento de Concurso Ordinario 115/2017, sección B, que declara a la
reclamante -identificada por su nombre, dos apellidos y NIF- en “concurso de
acreedores consecutivo” y dispone la “publicación de esta resolución (...) en el
Registro Público Concursal y en el Boletín Oficial del Estado y, a tal efecto, se
remitirán los correspondientes edictos con las menciones indispensables que
establece el artículo 23.1 de la L.C. (...) Además se fijará un edicto en el tablón de
anuncios de este Órgano judicial”.
c. Auto del Juzgado de Primera Instancia nº3 de (…), recaído en el procedimiento de
Concurso Consecutivo 115/2017 B, de fecha 09/04/2019, que “Acuerda la conclusión
del procedimiento concursal respecto de D.ª [la reclamante] y la concesión a la
concursada del beneficio de exoneración definitiva del pasivo insatisfecho,
procediendo al archivo de los autos”. (El subrayado es de la AEPD)
d. Escrito de EQUIFAX, de 30/05/2019, con la información que figura en el FIJ
asociada a los datos de la reclamante -nombre, dos apellidos y NIF-. En el apartado
“Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales” consta:
- Una anotación: No figura la identidad del demandante; como procedimiento se
indica “concurso voluntario”; “Nº de Auto y Juzgado” 115/2017, Primera Instancia;
medio de publicación, Boletín Oficial del Estado y fecha 06/11/2017.
e. Carta de EQUIFAX a la reclamante, de 08/06/2019, respondiendo a su solicitud de
cancelación de sus datos del FIJ, de fecha 30/05/2019, en la que le comunica que “no
procede atender su solicitud” “dado que no ha aportado documentación que justifique
la supresión”.

Reclamante 42: Denuncia la vulneración de su derecho de protección de datos. Ha
sido incluido en el fichero de morosos FIJ y le han denegado la cancelación solicitada.
Obran en el expediente estos documentos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/184

a. Escrito de EQUIFAX, de 18/03/2019, con la información que aparece en esa fecha
en el FIJ asociada a los datos personales del reclamante (nombre, dos apellidos y
NIF). En el apartado “Reclamaciones de Organismos Públicos”, no hay datos. En el
apartado “Reclamaciones Judiciales”:
- 3 anotaciones: En todas ellas el nombre del demandante es el
***AYUNTAMIENTO.13; como procedimiento, deuda tributaria; como “Nº de Auto
y Juzgado”, consta, respectivamente para cada anotación, “2743575/0
Administración Local”, “3129072/0 Administración Local” y “826/000
Administración Local”. El medio de publicación es, para todas las anotaciones,
***BOLETIN.13 y las fechas de publicación son, respectivamente, 15/10/2014,
25/03/2015 y 16/04/2014.
b. Carta de EQUIFAX al reclamante de fecha 18/03/2019 mediante la que responde a
la solicitud de acceso a sus datos en el FIJ según el modelo de carta habitualmente
utilizado por la entidad.
c. Certificado expedido por el Secretario del ***AYUNTAMIENTO.13, firmado el
08/03/2019, que da fe de que el reclamante -identificado por su nombre, dos apellidos
y NIF- se encuentra al corriente del pago en sus obligaciones tributarias.
d. La AEPD, recibida la reclamación, y antes de acordar su admisión a trámite, dio
traslado de ella a EQUIFAX y le solicitó información en fecha 12/08/2019. La
reclamada responde el 14/08/2019 y expone que el 30/06/2019 el reclamante solicitó
la cancelación de sus datos del FIJ y que en fecha 09/07/2019 se procedió a dar de
baja sus datos del fichero y a contestarle. Anexa una copia del email del reclamante de
fecha 30/06/2019 con el que aportaba una copia del certificado expedido por el
Ayuntamiento supuestamente acreedor.

Reclamante 43: Denuncia que recibió en agosto de 2019 una carta de EQUIFAX -con
la referencia nº 740/JU1908006269- informándole de que sus datos personales habían
sido incluidos en el FIJ. Añade que, después de haber ejercitado los derechos “ARCO”
y remitido la documentación exigida a la reclamada, no ha obtenido respuesta pese a
haber transcurrido más de un mes desde su solicitud. Aporta, entre otros, estos
documentos:
a. Carta de EQUIFAX con la referencia nº 740/JU1908006269, enviada por correo
postal al mismo domicilio que consta en la copia del DNI del reclamante. La carta va
dirigida a don G.G.G.., tiene fecha de 22/08/2019 y en ella le comunica que en esa
fecha se ha procedido a dar de alta en el FIJ esta información asociada a sus datos:
como “Juzgado/Órgano” “Diputación Provincial”; como “Asunto” deuda tributaria; como
“Origen de la información” Boletín Oficial del Estado y la fecha 21/08/2019.
b. La copia de tres emails que el reclamante envió al SAC de EQUIFAX, de fechas
05/09/2019, 16/09/2019 y 27/09/2019. En el primero de ellos, con el que anexó una
copia de su DNI, solicitaba el acceso a sus datos del FIJ. En los otros dos, se limitó a
recordar a la reclamada la petición efectuada y el tiempo que había transcurrido sin
recibir respuesta.

Reclamante 44: Denuncia la inclusión de sus datos personales en el FIJ vinculados a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/184

una presunta deuda con la AEAT sin que EQUIFAX haya contrastado la certeza de la
deuda con la Administración Pública y sin que le haya notificado la inclusión. Añade
que se niega a cancelar sus datos del FIJ. Aporta, entre otros, los siguientes
documentos:
a. Escrito con el anagrama de EQUIFAX, de 09/10/2019, con la información que figura
en el FIJ asociada a su nombre, dos apellidos y NIF. En el apartado “Reclamaciones
de Organismos Públicos”, no hay datos. En el apartado “Reclamaciones Judiciales”:
- Una anotación: El nombre del demandante es la AEAT; el procedimiento, deuda
tributaria; el medio de publicación, “Sede Agencia Tributaria” y la fecha
27/01/2017.
b. Carta de EQUIFAX al reclamante de 09/10/2019 (expediente con referencia
2019/225056), en el que le deniega la cancelación solicitada “dado que no ha
aportado documentación que justifique la supresión”.
c. Email remitido por el reclamante al SAC de EQUIFAX en fecha 09/10/2019
solicitando la exclusión de sus datos de los archivos de la reclamada con el que envía
copia de su permiso de residencia.

Reclamante 45: Denuncia que EQUIFAX ha incluido sus datos en el FIJ vinculados a
supuestas deudas con el ***AYUNTAMIENTO.12. Explica que tuvo noticia de su
inclusión el 19/10/2019 y que con anterioridad no recibió ninguna comunicación
informándole de su inclusión. Aporta estos documentos:
a. Escrito con el anagrama de EQUIFAX, de fecha 19/11/2019, con la información que
consta en el FIJ asociada a su nombre, dos apellidos y NIF. En el apartado
“Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales”:
- 3 anotaciones: El nombre del demandante es, en la primera anotación, el
***AYUNTAMIENTO.14 y en la segunda y tercera el ***AYUNTAMIENTO.12;
como procedimiento, en las tres anotaciones figura “deuda tributaria”; el medio
de publicación es, respectivamente ***BOLETIN.14 y ***BOLETIN.15 y las fechas
el 09/02/2015 para la primera y el 05/12/2018 para la segunda y tercera.
b. Carta de EQUIFAX al reclamante, de fecha 19/11/2018, (expediente con referencia
2019/257542) en la que responde a la petición de acceso (Modelo de carta de
respuesta al acceso solicitado, transcrita en el Hecho Tercero)

Reclamante 46: Denuncia que EQUIFAX ha publicado sus datos personales en el FIJ
vulnerando la normativa de protección de datos, por lo que solicita que sean
cancelados. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 21/10/2019, con la información que consta en el FIJ,
en esa fecha, asociada a sus datos personales -nombre, dos apellidos y NIF-. En el
apartado “Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales”:
- 2 anotaciones: En ambas, el nombre del demandante es AEAT; el procedimiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/184

deuda tributaria; el medio de publicación, “Sede Agencia Tributaria” y la fecha,
respectivamente, el 02/12/2014 y el 05/03/2014.
b. Carta de EQUIFAX dirigida a la reclamante, de fecha 21/10/2019 (número de
expediente de la reclamada 2019/235237), en la que responde al acceso a los datos
que figuran en el FIJ. (Modelo de carta de respuesta al acceso solicitado, transcrita en
el Hecho Tercero)

Reclamante 47: Denuncia que EQUIFAX ha publicado sus datos personales en el FIJ
vulnerando la normativa de protección de datos, por lo que solicita que sean
cancelados. Aporta, entre otros, los documentos siguientes:
a. Escrito de EQUIFAX, de fecha 21/10/2019, con la información que, asociada a los
datos personales de la reclamante -nombre, dos apellidos y NIF- consta en el FIJ en
esa fecha. En el apartado “Reclamaciones de Organismos Públicos”, no hay datos. En
el apartado “Reclamaciones Judiciales”:
- 5 inclusiones: En todas ellas aparece como demandante el
***AYUNTAMIENTO.3; como procedimiento, deuda tributaria; como medio de
publicación, “Sede Agencia Tributaria” y la fecha, respectivamente, 02/12/2014 y
05/03/2014.
b. Carta de EQUIFAX, de 21/10/2019 (número de expediente de la reclamada
2019/235205), en la que responde al acceso solicitado por la reclamante a los datos
que figuran en el FIJ. (Modelo de carta de respuesta al acceso solicitado, transcrita en
el Hecho Tercero)

Reclamante 48: Denuncia que EQUIFAX ha incluido sus datos personales en el FIJ,
vinculados a una supuesta deuda con el ***AYUNTAMIENTO.7. El Ayuntamiento le ha
certificado que no existen deudas a su nombre. Aporta estos documentos:
a. Carta de EQUIFAX, de fecha 24/08/2019, que lleva la referencia
740/JU1908006464, en la que le comunica que con fecha 23/08/2019 se ha procedido
a dar de alta en el FIJ la siguiente información: “Juzgado/Organismo”,
***AYUNTAMIENTO.7; “Asunto”, deuda tributaria; “Origen de la información”, Boletín
Oficial del Estado; “Fecha”, 23/08/2019.
b. Certificado del ***AYUNTAMIENTO.7, firmado el 20/01/2020, en el que se hace
constar que en el día de la fecha no existen deudas pendientes a nombre del
reclamante.
c. Escrito del reclamante dirigido a EQUIFAX, de fecha 27/01/2020, en el que solicita la
cancelación de sus datos del FIJ y con el que le remite el certificado expedido por el
Ayuntamiento.

Reclamante 49: Denuncia que EQUIFAX ha incluido sus datos personales en el FIJ
asociados a una deuda inexistente. Manifiesta que el 14/08/2019 recibió de EQUIFAX
una carta, con la referencia 740/JU1905009652, informándole de que le había dado de
alta en un fichero de morosos. Añade en su escrito; que la deuda que EQUIFAX le
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/184

atribuye corresponde al IBI rústico de la ***ORGANISMO.5; que se publicó en el BOE
y que tal deuda fue abonada en el pasado a través de cuenta bancaria, por lo que es
inexistente. El reclamante no ha aportado ningún documento adjunto a su escrito de
reclamación.

Reclamante 50: Denuncia la inclusión de sus datos personales como moroso en el FIJ
por deudas con diversas Administraciones Públicas que no son ciertas y que EQUIFAX
continúa manteniendo esas anotaciones pese a haberle enviado documentos que
acreditan la inexistencia de las deudas. Explica que la AEAT le ha informado que no
tiene nada que ver con el tratamiento que la responsable del FIJ hace de sus datos
personales y que se encuentra al corriente en el pago del aplazamiento acordado en el
año 2014 del que “le quedan dos letras por pagar, de los meses de julio y agosto”.
Añade que tampoco es cierta la deuda con el ***AYUNTAMIENTO.11, que contrajo en
el año 2012 y que pagó, mediante embargo de su nómina, en el año 2014. Aporta,
entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 27/05/2019, con la información que consta en el FIJ
asociada a sus datos personales -nombre, apellidos y NIF-: En el apartado
“Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales”:
- 1ª anotación: como demandante la AEAT; como procedimiento, deuda tributaria;
como medio de publicación, “Sede Agencia Tributaria” y la fecha 15/04/2014.
- 2ª anotación: como demandante el ***AYUNTAMIENTO.11, como procedimiento,
deuda tributaria; como medio de publicación, ***BOLETIN.8 y la fecha
05/02/2014.
b. Certificado emitido por el ***AYUNTAMIENTO.11, firmado electrónicamente el
22/05/2019, en el que se hace constar que no existen deudas pendientes a nombre del
reclamante.
c. Documentos emitidos por la AEAT: (i) De la Dependencia Regional de Recaudación
de la Delegación Especial de (...), dirigido al reclamante, en el que le notifican una
diligencia de embargo de sueldos: Número de diligencia 081421339376V, de fecha
13/09/2014. En ella se acuerda el embargo del importe líquido de los sueldos o
salarios que fueran satisfechos al obligado en cantidad suficiente para cubrir el importe
de la deuda no ingresada en periodo voluntario, el recargo de apremio ordinario y los
intereses y costas del procedimiento ordinario, por un importe total de 229, 47 euros.
En el documento se identifica al “obligado”, que coincide con el reclamante y al
“pagador”, la empresa ***EMPRESA.1.
(ii) Documento de la AEAT, Delegación Especial de (...); Anexo II, con la rúbrica
“Liquidación de intereses de demora resultado de la concesión del aplazamiento”. En
el documento, en el que figuran los datos personales del reclamante y la referencia “Nº
expediente 081440369344S”, se incluye esta leyenda: “...Como consecuencia de la
autorización del pago aplazado o fraccionado de la/s deuda/s, se procede a la
correspondiente liquidación del interés de demora”. Lleva fecha de 31/03/2014. (El
subrayado es de la AEPD)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/184

Reclamante 51: La reclamación se dirige contra el ***AYUNTAMIENTO.1 por entender
el reclamante que ha sido esta Administración Pública quien ha incluido en el FIJ sus
datos personales asociados a deudas que no son ciertas. A juicio del reclamante las
anotaciones del fichero corresponden a multas impuestas por la Policía Local del
***AYUNTAMIENTO.1. El reclamante aporta entre otros documentos:
a. Abundante documentación referente a los recursos de reposición y extraordinario de
revisión interpuestos frente a resoluciones del citado Ayuntamiento recaídas en
expedientes sancionadores por infracciones en materia de circulación y aparcamiento
regulado. Figuran entre los documentos que el reclamante aporta varias resoluciones
dictadas por esa entidad local, estimatoria de algunos de los recursos de reposición
interpuestos frente al embargo de bienes decretado por el Ayuntamiento ante el
impago de multas. La resolución estimatoria de los recursos de reposición se funda en
que el Ayuntamiento no había notificado al reclamante el inicio del procedimiento de
apremio para el cobro del importe de las multas.
b. Escrito de EQUIFAX, de fecha 05/02/2019, con la información que consta en el FIJ
asociada a sus datos personales -nombre, apellidos y NIF-: En el apartado
“Reclamaciones de Organismos Públicos”, no hay datos. En el apartado
“Reclamaciones Judiciales”:
- Una anotación: consta como demandante, el ***AYUNTAMIENTO.1; procedimiento,
deuda tributaria; número de Auto y Juzgado, un número de referencia ilegible seguido
de la indicación Administración Local; medio de publicación, ***BOLETIN.1 y la fecha
17/01/2019.

Reclamante 52: Denuncia la inclusión de sus datos en el FIJ asociados a una deuda
inexistente. Manifiesta que el 03/05/2019, en la entidad bancaria en la que solicita un
producto financiero, comprueban que existe una anotación por deudas desde
noviembre de 2017 vinculada a sus datos. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 22/05/2019, con la información que figura en el FIJ
asociada a su nombre, apellidos y NIF: En el apartado “Reclamaciones de
Organismos Públicos”, no hay datos. En el apartado “Reclamaciones Judiciales”:
- Una anotación: como demandante figura el ***AYUNTAMIENTO.12; como
procedimiento, deuda tributaria; como medio de publicación, “TEU-BOE” y la fecha
24//11/2017.
b. Impresión de una captura de pantalla con información económica referente al
reclamante que lleva sello del Banco Santander, S.A. y la fecha 25/06/2019. En una de
las líneas, bajo la rúbrica “Ficheros negativos (24/06/2019)” consta: “Incl. Judiciales; 1ª
incidencia 24/11/2017; última incidencia 24/11/2017; Peor situación, Normal”.
c. Certificado expedido por el ***AYUNTAMIENTO.12 en el que se indica que a fecha
24/06/2019 “no consta...deuda exigible a nombre [el del reclamante] con D.N.I. [el NIF
del reclamante] en concepto de impuestos, tasas o precios públicos municipales
gestionados por esta unidad recaudatoria”.
d. Varios correos electrónicos que el reclamante envió al SAC de EQUIFAX: De fecha
04/05/2019, en el que además de solicita que cancelen esa anotación, explica la
información que ha conocido a través de la entidad Banco de Santander y que tras
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/184

consultar al ***AYUNTAMIENTO.12 y a la DGT para saber si existe a su nombre
alguna deuda pendiente o multas de tráfico el resultado ha sido negativo. De fechas
13/05/2019 y 15/05/2019 en el que les informa que continúa a la espera de que le
aclaren “de qué se trata esto que se encuentra en sus registros”.
e. Carta de EQUIFAX de 22/05/2019 en la que responde a la cancelación solicitada
denegándola por no haber acreditado el pago de la deuda pendiente. (Modelo de carta
denegando cancelación transcrita en el Hecho Tercero)

Reclamante 53: Denuncia la inclusión de sus datos personales en el FIJ por una
deuda inexistente, pues fue saldada hace tiempo. Destaca las consecuencias
negativas que le ha provocado su inclusión en el FIJ. Aporta, entre otros, estos
documentos:
a. Escrito de EQUIFAX, de fecha 17/07/2019, con la información que consta en el FIJ
asociada a nombre, dos apellidos y NIF: En el apartado “Reclamaciones Judiciales”:
- Una anotación: como demandante, el ***AYUNTAMIENTO.12; como
procedimiento, deuda tributaria; como medio de publicación, ***BOLETIN.15 y la
fecha 06/04/2018.
Llama la atención que en el Histórico de Consultas del FIJ no figure ninguna. Sin
embargo, en el Histórico de consulta de los ficheros ASNEF y ASNEF Empresas -
pese a que no consta en ellos ninguna incidencia asociada al reclamante- sí figuran
cuatro consultas efectuadas en los últimos seis meses.
b. Certificado del Órgano de Gestión Tributaria del ***AYUNTAMIENTO.12, firmado
electrónicamente el 16/05/2019, que acredita que el reclamante, identificado por su
nombre, dos apellidos y NIF, se encuentra al corriente de pago de sus obligaciones
tributarias con ese Ayuntamiento.

Reclamante 54: Denuncia la inclusión de sus datos en el FIJ, obtenidos del BOE,
asociados a deudas inexistentes. Afirma haber enviado a la reclamada justificante del
pago de las deudas y no ha cancelado sus datos del fichero. Aporta copia, entre otros,
de estos documentos:
a. Escrito de EQUIFAX, de fecha 13/05/2019, con la información que figura en el FIJ
asociada a su nombre, dos apellidos y NIF. En el apartado “Reclamaciones Judiciales”
consta:
- 3 anotaciones en las que figura, como nombre del demandante,
***AYUNTAMIENTO.5; como procedimiento, deuda tributaria; como medio de
publicación, “***BOLETIN.6” y las fechas siguientes, respectivamente,
21/10/2015; 22/06/2018 y 23/08/2017.
- Una anotación en la que consta como nombre del demandante, AEAT; como
procedimiento, deuda tributaria; como medio de publicación, Sede Agencia
Tributaria y la fecha 07/08/2017.
b. “Certificado de estar al corriente en las obligaciones de la Seguridad Social”, emitido
por la TGSS y firmado electrónicamente el 08/05/2019. El documento indica que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/184

persona identificada con el nombre, dos apellidos y NIF del reclamante “no tiene
pendiente de ingreso ninguna reclamación por deudas ya vencidas con la Seguridad
Social”.
c. Certificado expedido por la AEAT -Delegación Especial de (...)- firmado
electrónicamente el 10/05/2019, en el que declara que el reclamante -identificado por
su nombre, dos apellidos y NIF- se encuentra al corriente de sus obligaciones
tributarias.
d. Carta de EQUIFAX al reclamante, de fecha 22/05/2019, en la que responde a la
cancelación de datos solicitada el 10/05/2019 y le comunica que “tras las
comprobaciones pertinentes hemos procedido a la baja en el [FIJ] de los datos
relativos a su reclamación, asociados a su identificador/nombre y en el domicilio
aportado por usted”.

Reclamante 55: Denuncia que EQUIFAX ha incluido y mantiene en el FIJ datos
personales del reclamante obtenidos del BOE, tratamiento que es ilícito. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX, de 13/08/2019, con la información que figura en esa fecha en
el FIJ, asociada a su nombre, dos apellidos y NIF. En el apartado “Reclamaciones de
Organismos Públicos”, no hay datos. En el apartado “Reclamaciones Judiciales”:
- Una anotación: como demandante consta ***AYUNTAMIENTO.2; como “Nº de
Auto y Juzgado”, deuda tributaria; como medio de publicación, ***BOLETIN.2 y la
fecha 04/05/2016.
b. Carta de EQUIFAX al reclamante, de 13/08/2019, (expediente de la reclamada
referencia 2019/181735) en la que responde a la solicitud recibida en sus oficinas el
12/08/2019 en la que -según declara EQUIFAX- el reclamante solicitaba el acceso a
sus datos del FIJ.
c. Copia del escrito, de fecha 08/08/2019, que el reclamante envió a EQUIFAX a través
de email. La empresa “E-Garante” certifica el envío a la reclamada del escrito del
reclamante y de los documentos anexos -copias de DNI del reclamante y de su
representante y el informe emitido a petición del reclamante por AEBOE- a la dirección
electrónica [email protected], así como la recepción del escrito y documentación por la
reclamada. En el escrito el reclamante solicita a EQUIFAX “la urgente supresión” de
sus datos personales del FIJ y no menciona en absoluto el acceso.
d. Informe emitido por la Agencia Estatal Boletín Oficial del Estado (AEBOE), firmado
electrónicamente el 31/07/2019, en el que responde a la consulta formulada por el
reclamante acerca de “si es legal, si obtengo datos de carácter personal que publica el
BOE, “nombre, apellidos y DNI” para crear una base de datos con ánimo de lucro”.

Reclamante 56: Denuncia la inclusión de sus datos personales en el fichero de
morosos de EQUIFAX por una supuesta deuda con la AEAT que desconoce
totalmente. Manifiesta que si fuera cierta la deuda la habría pagado, que no le han
requerido el pago y que el fichero de morosidad no especifica cuál es el importe de la
supuesta deuda. El único documento aportado es la copia del DNI.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/184

Reclamante 57: Dirige su denuncia frente a EQUIFAX. El único documento que aporta
es la copia del DNI. En el formulario de reclamación identifica al “supuesto acreedor”,
el ***AYUNTAMIENTO.10, e incluye una única frase: “No nos consta deuda por estar
pagado con Ayuntamiento. Pagos parciales mensuales”.

Reclamante 58: Denuncia la inclusión de sus datos en el FIJ por supuestas deudas
con Administraciones Públicas de las que ha tenido noticia al intentar, sin éxito, realizar
una operación financiera. Añade que EQUIFAX le ha denegado la cancelación de sus
datos y que las entidades públicas presuntamente acreedoras le han confirmado que
no tiene deudas pendientes. Aporta copia de los siguientes documentos.
a. Escrito de EQUIFAX, de 09/10/2019, con la información que en esa fecha incluye en
el FIJ asociada al nombre, dos apellidos y NIF del reclamante. En el apartado
“Reclamaciones Judiciales” se reflejan 8 anotaciones:
- Dos anotaciones en las que como demandante figura el ***AYUNTAMIENTO.3; el
procedimiento es deuda tributaria; el medio de publicación, ***BOLETIN.3 y las
fechas, respectivamente, 13/04/2016 y 19/09/2019.
- Dos anotaciones en las que consta como demandante la AEAT; como medio de
publicación, “Sede Agencia Tributaria” y las fechas, respectivamente, 26/11/2013
y 30/12/2014.
- Tres anotaciones en las que figura como demandante el ***AYUNTAMIENTO.12;
como procedimiento, deuda tributaria; como medio de publicación, ***BOLETIN.3
y, respectivamente, las fechas 22/01/2018, 07/02/2018 y 12/06/2018.
- Una anotación en la que el nombre del demandante es ***AYUNTAMIENTO.15;
el procedimiento indicado deuda tributaria; el medio de publicación,
***BOLETIN.3 y la fecha 09/05/2016.
b. Carta de EQUIFAX al reclamante, de fecha 09/10/2019, número de expediente de la
reclamada 2019/225276, en la que responde en los siguientes términos a la solicitud
de cancelación de los datos del FIJ que tuvo entrada en esa entidad el 09/10/2019:
“dado que no ha aportado documentación que justifique la supresión, no procede
atender a su solicitud”.

Reclamante 59: Denuncia la inclusión de sus datos personales en el FIJ asociados a
deudas con la Seguridad Social y varios Ayuntamientos. Añade que la deuda con la
Seguridad Social es inexistente, pues se pagó en 2016; que remitió a EQUIFAX
documentación acreditativa de estar al corriente de los pagos y que, pese a haber
contestado que cancelaban las anotaciones, la supuesta deuda continúa incluida en el
FIJ. Aporta los siguientes documentos:
a. Escrito de EQUIFAX, de 24/09/2019, con la información que en esa fecha se
incluye en el FIJ asociada al nombre, dos apellidos y NIF del reclamante. En el
apartado “Reclamaciones Judiciales” figuran cinco anotaciones:
- 1ª anotación: nombre del demandante, ***AYUNTAMIENTO.7; procedimiento,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/184

deuda tributaria; medio de publicación ***BOLETIN.8 y la fecha 04/09/2015.
- 2ª anotación: demandante, la ***ORGANISMO.7; procedimiento, deuda tributaria;
medio de publicación, ***BOLETIN.8 y la fecha 14/08/2019.
- 3ª anotación: demandante, ***AYUNTAMIENTO.16; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.8 y la fecha 28/03/2018.
- 4ª anotación: demandante, ***AYUNTAMIENTO.16; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.8 y la fecha 16/04/2018
- 5ª anotación: demandante, AEAT; procedimiento, deuda tributaria; medio de
publicación, Sede Agencia Tributaria y la fecha 08/07/2016.
En el apartado “Reclamaciones de Organismos Públicos”:
- 10 anotaciones: en todas ellas, la entidad reclamante es la TGSS; por periodos
mensuales y correlativos comprendidos entre el 07/2014 (la primera anotación)
hasta el 03/2015 (la novena anotación). La décima anotación corresponde a
octubre de 2015. El medio de publicación es en todos los casos, ***BOLETIN.8 y
la fecha de publicación el 10/09/2015 para las nueve primeras anotaciones y el
21/12/2015 para la décima.
b. Copia del email que el reclamante remitió al SAC de EQUIFAX el 24/09/2019 en el
que expone que las deudas con la Seguridad Social que le atribuyen se abonaron
varios años antes, aporta copia del certificado negativo emitido por la TGSS y solicita
la cancelación de la anotación.
c. Carta que EQUIFAX dirige al reclamante, de 03/10/2019, respondiendo a la
cancelación solicitada. Le informa que tras las comprobaciones pertinentes han
procedido a dar de baja del FIJ los datos relativos a su reclamación asociados a su
identificador, nombre y en el domicilio aportado por el reclamante.

Reclamante 60: Denuncia a través de dos escritos (de los años 2019 y 2020
respectivamente) la inclusión de sus datos personales en el FIJ, sin su consentimiento
ni conocimiento, asociados a una deuda con el ***AYUNTAMIENTO.17., del año 2014,
de la que ignora su existencia, cuantía y a qué corresponde. Aporta los siguientes
documentos:
a. Escrito de EQUIFAX, de 12/06/2019, con la información que en esa fecha se incluye
en el FIJ asociada a su nombre, dos apellidos y NIF. En el apartado “Reclamaciones
de Organismos Públicos” no hay datos. En el apartado “Reclamaciones Judiciales”
figura una anotación:
- Demandante, ***AYUNTAMIENTO.17; procedimiento, deuda tributaria; medio de
publicación, ***BOLETIN.16 y la fecha 05/07/2014.
b. Escrito que declara haber remitido a la dirección [email protected] en el que expone
que en el informe de EQUIFAX de fecha 27/11/2019 consta una incidencia de impago
asociada a sus datos personales por “reclamaciones de organismos públicos” que se
habría efectuado por el ***AYUNTAMIENTO.17., ***PROVINCIA.2, en fecha
07/07/2014.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/184

Reclamante 61: Denuncia el uso que EQUIFAX ha hecho de sus datos personales, sin
su consentimiento y sin notificación alguna, para su inclusión en su fichero de morosos
por deudas inexistentes. Aporta copia, entre otros, de estos documentos:
a. Escrito de EQUIFAX, de 17/10/2019, con la información que en esa fecha se incluye
en el FIJ asociada a su nombre, dos apellidos y NIF. En el apartado “Reclamaciones
de Organismos Públicos” no hay datos. En el apartado “Reclamaciones Judiciales”
consta:
- 1ª anotación: como demandante, el ***AYUNTAMIENTO.2; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.2 y la fecha 10/10/2016.
- 2ª anotación: demandante el ***AYUNTAMIENTO.16; procedimiento, deuda
tributaria; medio de publicación ***BOLETIN.3 y fecha 05/11/2014.
b. Carta de EQUIFAX de 17/10/2019 en la que responde al acceso solicitado según
modelo (ver Antecedente Tercero)
c. Certificado emitido por el ***AYUNTAMIENTO.2 -Recaudación Ejecutiva Municipal-,
de 21/10/2019, en el que se indica que el reclamante -identificado por nombre,
apellidos y NIF- no consta como deudor en la Hacienda Pública Municipal por
conceptos contributivos que, al día de la fecha, se encuentren en periodo ejecutivo de
cobro.
d. Certificado emitido por el ***AYUNTAMIENTO.16 el 21/10/2019 que declara que el
reclamante -identificado por el nombre, dos apellidos y el NIF- se encuentra al
corriente de pago del Impuesto de Vehículos de Tracción Mecánica respecto al
vehículo -se identifica por la matrícula, el bastidor, la marca, modelo y tipo- cuyo titular
es el reclamante.

Reclamante 62: Denuncia a EQUIFAX por inclusión de sus datos personales en el FIJ
vinculados a una supuesta deuda con el ***AYUNTAMIENTO.11 con el que no ha teni-
do relación alguna. Aporta, además del DNI, copia de estos documentos:
a. Escrito de EQUIFAX, de 21/05/2019, con la información que en esa fecha se incluye
en el FIJ asociada a su nombre, dos apellidos y NIF. En el apartado “Reclamaciones
de Organismos Públicos” no hay datos. En el apartado “Reclamaciones Judiciales”
consta una anotación:
- Demandante, el ***AYUNTAMIENTO.11; procedimiento, deuda tributaria; medio
de publicación, ***BOLETIN.16 y la fecha 13/06/2017.
b. Una captura de pantalla a la que se accede desde la página Administración.Gob.es,
Carpeta Ciudadana, abierta a nombre del reclamante. El epígrafe que aparece en pan-
talla es el relativo a los anuncios en el Tablón Edictal Único (TEU) en el que se puede
consultar la relación de anuncios de notificación publicados en el suplemento del BOE.
Consta la siguiente leyenda: “No se han encontrado anuncios en el Tablón Único con
tu identificador (NIF o NIE)”.

Reclamante 63: Denuncia que EQUIFAX ha incluido sus datos personales en el FIJ
por deudas con el ***AYUNTAMIENTO.2 y con la AEAT inexistentes. Subraya el hecho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/184

de que no hayan sido estas Administraciones las que le han incluido en el fichero, sino
que lo ha hecho el propio FIJ de “motu proprio”. Añade que la reclamada le ha denega-
do la cancelación solicitada. Aporta, entre otros documentos:
a. Copia del email enviado el 08/10/2019, a las 12:12 horas, al SAC de EQUIFAX, con
el que les remite copia de su DNI y de su solicitud firmada, y pide que sus datos se ex-
cluyan del fichero.
b. Carta de EQUIFAX dirigida al reclamante, de fecha 08/10/2018, en la que responde
a la petición de cancelación de sus datos del FIJ en estos términos: “Con relación a su
petición registrada en nuestras oficinas con fecha 08 de octubre de 2019, en la que
nos solicita cancelación de los datos que figuran registrados en el fichero de [FIJ] con
la documentación por usted aportada, le comunicamos que no consta registrada nin-
guna incidencia. No obstante, le remitimos junto a la presente su situación actual en el
citado fichero”.
c. Escrito de EQUIFAX, de 08/10/2019 a las 13:30:30 horas, con la información que en
esa fecha se incluye en el FIJ asociada a su nombre, dos apellidos y NIF. En el aparta-
do “Reclamaciones de Organismos Públicos” no hay datos. En el apartado “Reclama-
ciones Judiciales” consta:
- 1ª anotación: demandante el ***AYUNTAMIENTO.2; procedimiento, deuda tribu-
taria; medio de publicación, ***BOLETIN.2 y la fecha 09/05/2016.
- 2ª a 7ª anotaciones: en todas ellas el demandante es la AEAT; el procedimiento,
deuda tributaria, el medio de publicación “sede Agencia Tributaria” y, las fechas,
respectivamente, 05/12/2016;20/01/2017; 24/02/2017; 05/01/2018; 22/01/2018 y
18/05/2018.
Reclamante 64: Denuncia la inclusión de sus datos en el FIJ sin su autorización, datos
que, dice, proceden de un fichero público. Solicita que se dé de baja toda la
información relativa a deudas que se hubiera obtenido de ficheros públicos. Aporta,
entre otros, estos documentos:
a. Escrito de EQUIFAX, de 13/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
Bajo la rúbrica “Reclamaciones judiciales” consta una anotación: Como
demandante figura el ***AYUNTAMIENTO.10; como procedimiento, deuda tributaria;
medio de publicación, ***BOLETIN.11 y la fecha de publicación 20/05/2015.
b. Una carta de EQUIFAX, de 13/02/2020, en la que responde al acceso solicitado
según modelo de carta (ver Hecho Tercero)

Reclamante 65: Denuncia la inclusión de sus datos en el FIJ por EQUIFAX. Aporta,
entre otros, estos documentos:
a. Escrito de EQUIFAX, de 18/12/2019, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información: Bajo la rúbrica “Reclamaciones judiciales” consta:
- 1ª anotación: Como demandante el ***AYUNTAMIENTO.10; como
procedimiento, deuda tributaria; medio de publicación, ***BOLETIN.10 y la
fecha de publicación 28/03/2016.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/184

- 2ª anotación: Como demandante el ***AYUNTAMIENTO.7; como
procedimiento, deuda tributaria; medio de publicación, ***BOLETIN.10 y
fecha de publicación 05/08/2015.
b. Una carta de EQUIFAX, de 18/12/2019, en la que responde al acceso solicitado
según modelo de carta (ver Hecho Tercero)

Reclamante 66: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Afirma que ejercitó el derecho de oposición.
Solicita que se dé de baja toda la información relativa a deudas que se hubiera
obtenido de ficheros públicos. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 10/01/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información: Bajo la rúbrica “Reclamaciones judiciales” constan:
- Seis anotaciones en las que el demandante es la AEAT; el procedimiento,
deuda tributaria; el medio de publicación, “Sede Agencia Tributaria”, y las
siguientes fechas de publicación, respectivamente: 09/06/2015;
16/10/2015;17/02/2016;23/09/2016;02/12/2016 y 11/11/2014.
b. Una carta de EQUIFAX, de 10/01/2020, en la que responde al acceso solicitado
según modelo de carta (ver Hecho Tercero)

Reclamante 67: Entre las varias cuestiones planteadas expone que tuvo conocimiento,
cuando intentaba gestionar un préstamo, de que sus datos habían sido incluidos en el
FIJ asociados a deudas con el ***AYUNTAMIENTO.10 y con la AEAT y que de
inmediato procedió a resolver las deudas pendientes y remitió a EQUIFAX la
documentación que así lo acreditaba. Aporta, entre otros, estos documentos:
a. Certificado expedido por el ***AYUNTAMIENTO.10, firmado electrónicamente el
05/02/2020, en el que consta que a fecha 04/02/2020 no existe, vinculada a los datos
del reclamante, ninguna deuda pendiente en vía ejecutiva de recaudación del citado
Ayuntamiento.
b. Certificado de la AEAT, firmado electrónicamente el 06/02/2020, de estar al corriente
en el pago de las obligaciones tributarias.

Reclamante 68: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Afirma que ejercitó el derecho de oposición.
Solicita que se dé de baja toda la información relativa a deudas que se hubiera
obtenido de ficheros públicos. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 18/10/2019, con el resultado del acceso al FIJ, en el que
asociados a sus datos (nombre, apellidos y NIF) se facilita la siguiente información:
Bajo la rúbrica “Reclamaciones judiciales” consta:
- 1ª anotación: Demandante el ***AYUNTAMIENTO.12; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.15, y fecha de publicación
29/04/2016.
- 2ª anotación: Demandante el ***AYUNTAMIENTO.12; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.15, y fecha de publicación
21/04/2014.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/184

b. Una carta de EQUIFAX, de 16/10/2019, en la que responde al acceso solicitado
según modelo de carta (ver Hecho Tercero)

Reclamante 69: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Afirma que ejercitó el derecho de oposición.
Solicita que se dé de baja toda la información relativa a deudas que se hubiera
obtenido de ficheros públicos. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 18/10/2019, con el resultado del acceso al FIJ, en el que
asociados a los datos personales de la reclamante (nombre, apellidos y NIF) se facilita
la siguiente información: Bajo la rúbrica “Reclamaciones judiciales” constan:
- 1ª anotación: Demandante el ***AYUNTAMIENTO.12; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.15, y fecha de publicación
29/04/2016.
- 2ª anotación: Demandante el ***AYUNTAMIENTO.12; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.15, y fecha de publicación
21/04/2014.
b. Una carta de EQUIFAX, de 16/10/2019, en la que responde al acceso solicitado
según modelo de carta (ver Hecho Tercero)

Reclamante 70: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Solicita que se dé de baja toda la
información relativa a deudas obtenida de ficheros públicos. Aporta, entre otros, estos
documentos:
a. Escrito de EQUIFAX, de 20/02/20, con el resultado del acceso al FIJ, en el que
asociados a los datos personales de la reclamante (nombre, apellidos y NIF) se facilita
la siguiente información: Bajo la rúbrica “Reclamaciones judiciales” constan:
- 1ª anotación: Demandante el ***AYUNTAMIENTO.1; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.17, y fecha de publicación
04/11/2015.
- 2ª anotación: Demandante AEAT procedimiento, deuda tributaria; medio de
publicación, “Sede Agencia Tributaria” y fecha de publicación 08/08/2018

Reclamante 71: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Niega la certeza de la deuda. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX, de 20/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información: Bajo la rúbrica “Reclamaciones judiciales” consta una anotación:
Demandante, la ***ORGANISMO.5; procedimiento, deuda tributaria; medio de
publicación ***BOLETIN.10 y la fecha 11/01/19.

Reclamante 72: Denuncia la inclusión de sus datos en un listado de morosos sin su
consentimiento ni conocimiento por deudas inexistentes pues ya habían sido
abonadas. Conoce los hechos al gestionar la solicitud de un préstamo. Aporta, entre
otros, estos documentos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/184

a. Escrito de EQUIFAX, de 20/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita
esta información: Bajo la rúbrica “Reclamaciones judiciales” consta:
-1ª anotación: demandante, ***AYUNTAMIENTO.18; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.18; fecha de publicación
27/01/2017.
-2ª anotación: demandante “Mancomunidad de Servic Provinc.”; procedimiento,
deuda tributaria; medio de publicación ***BOLETIN.18 y fecha 11/03/2016.
-3ªanotacióin: demandante ***AYUNTAMIENTO.18; procedimiento, deuda
tributaria; medio de publicación ***BOLETIN.18 y fecha 05/05/2015.
b. Una carta de EQUIFAX, de 21/02/2020, en la que responde al acceso solicitado
según modelo de carta (ver Hecho Tercero)

Reclamante 73: Denuncia la inclusión de sus datos personales en un listado de
morosos de EQUIFAX sin su consentimiento ni conocimiento por una deuda
inexistente. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 21/02/2020, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” una anotación: demandante, el
***AYUNTAMIENTO.6; procedimiento, deuda tributaria; medio de publicación,
***BOLETIN.11 y fecha 11/12/2017.
b. Carta de EQUIFAX, de 21/02/2020, en la que responde a la solicitud de supresión
de sus datos del FIJ denegándola por no haber aportado documentación que justifique
la supresión (ver modelo de carta denegando la supresión, Hecho Tercero).

Reclamante 74: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Niega la certeza de la deuda. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 09/01/2020, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” consta una anotación: como
demandante el ***AYUNTAMIENTO.5; procedimiento, deuda tributaria; medio de
publicación ***BOLETIN.6 y fecha 16/12/2019.
b. Carta de EQUIFAX, de 20/01/2020, en la que responde a la solicitud de supresión
de sus datos del FIJ denegándola por no haber aportado documentación que justifique
la supresión (ver modelo de carta denegando la supresión, Hecho Tercero).

Reclamante 75: Denuncia la inclusión de sus datos en el FIJ por deudas que no son
ciertas. Aporta entre otros, los siguientes documentos:
a. Escrito de EQUIFAX, de fecha 25/10/2019, con el resultado del acceso al FIJ, en el
que asociados a los datos personales del reclamante (nombre, apellidos y NIF) se
facilita la siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” consta una anotación: como
demandante la ***ORGANISMO.8; procedimiento, deuda tributaria; medio de
publicación ***BOLETIN.3 y fecha 02/10/2017.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/184

b. Certificado expedido por la Dirección Gral. de Tributos de la Comunidad Autónoma,
firmado electrónicamente el 26/11/2019, en el que se indica que “con los datos obrante
en la Recaudación Ejecutiva de la Comunidad Autónoma de (...) no tiene deudas en
periodo ejecutivo, y si las tiene, están aplazadas, fraccionadas o ha sido acordada su
suspensión, o bien existen créditos a su favor que garantizan el cobro de las mismas”.
c. Carta de EQUIFAX, de 25/10/2019 respondiendo a la solicitud de acceso al FIJ
(según modelo, ver Hecho Tercero)

Reclamante 76: Denuncia la inclusión de sus datos en el FIJ asociados a una deuda
con un Ayuntamiento. Rechaza que hubiera sido esa Administración quien haya
comunicado sus datos al fichero. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 17/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” consta una anotación: como
demandante el ***AYUNTAMIENTO.11; procedimiento, deuda tributaria; medio de
publicación ***BOLETIN.16 y fecha 08/11/2017.
b. Documentación acreditativa de haber solicitado la cancelación de los datos del FIJ
en fecha 16/01/2020 y respuesta de EQUIFAX, de 25/02/2020en la que deniega la
supresión solicitada por no haber aportado documentación que la justifique (según
modelo de carta denegando la cancelación, ver Hecho Tercero)

Reclamante 77: Denuncia la inclusión de sus datos en el FIJ efectuada por EQUIFAX,
asociados a supuestas deudas con organismos públicos. Aporta, entre otros, estos
documentos:
a. Escrito de EQUIFAX, de 11/12/2019, con el resultado del acceso al FIJ, en el que
asociados a sus datos personales (nombre, apellidos y NIF) se facilita la siguiente
información: Bajo la rúbrica “Reclamaciones Judiciales”:
- 1ª anotación: demandante, la ***ORGANISMO.9; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.19 y fecha 15/07/2019.
- 2ª anotación: demandante, el ***AYUNTAMIENTO.19; procedimiento, deuda
tributaria; medio de publicación, ***BOLETIN.19 y fecha 13/04/2018.
b. Certificado firmado por el jefe de la Oficina de Gestión Tributaria e Inspección de la
***ORGANISMO.9, firmado el 13/02/2020, en el que se indica que no figuran recibos
pendientes de cobro y que están vigentes dos fraccionamientos para el pago de
deudas que se detallan en el documento.

Reclamante 78: Denuncia que una entidad financiera con la que pretendía contratar un
préstamo hipotecario le ha facilitado información procedente, según le ha informado,
de un fichero inexistente –“ASNEF JUDICIAL”- referente a varias deudas a su nombre
contraídas con Administraciones Públicas que no son ciertas pues ya están saldadas.
Aporta, entre otros, estos documentos:
a. Captura de pantalla que le facilitó la entidad financiera relativa a las deudas
asociadas a su persona. En el encabezado figura “Resumen información judicial”; la
fecha de la consulta es el 20/02/2020; los criterios de búsqueda utilizados son el NIF,
nombre y dos apellidos del reclamante. Se reflejan tres anotaciones por “Incidencias
Judiciales” siendo la fecha de última actualización el 14/05/2018. Constan estas
anotaciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/184

- 1ª anotación: demandante la AEAT; procedimiento, deuda tributaria; estado,
embargo; fecha 17/05/2017.
- -2ª y 3ª anotación: demandante el ***AYUNTAMIENTO.12; procedimiento
deuda tributaria; estado, embargo y fechas, respectivamente, 03/11/2017 y
09/05/2018.
b. Copia del email recibido desde ***EMAIL.1 , de fecha 24/02/2020 en el que le
comunican que no figura ninguna deuda pendiente en situación ejecutiva a día de hoy
asociada a su persona.

Reclamante 79: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Afirma que ejercitó el derecho de oposición
ante la reclamada. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 27/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” aparecen 2 anotaciones. En ambas,
como demandante, figura la AEAT; como procedimiento, deuda tributaria; como medio
de publicación “Sede Agencia Tributaria” y las fechas, respectivamente, 07/09/2015 y
04/03/2019.
b. Respuesta de EQUIFAX, 27/02/2020 al acceso al FIJ (según modelo de carta, ver
Hecho Tercero)

Reclamante 80: Denuncia la inclusión de sus datos en el FIJ a instancia de EQUIFAX
por una deuda con la Seguridad Social que no es cierta, al estar recurrida en vía admi-
nistrativa. Añade que no se le comunicó la inclusión de sus datos en el FIJ y que
EQUIFAX le denegó la cancelación solicitada pese a haberle remitido copia del recur-
so de alzada presentado contra la resolución de la Seguridad Social. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 14/12/2018, con el resultado del acceso al FIJ, en el
que asociados a sus datos personales (nombre, apellidos y NIF) se facilita la siguiente
información:
Bajo la rúbrica “Reclamaciones de organismos públicos”:
- 33 anotaciones siendo en todas ellas la entidad reclamante, la Seguridad So-
cial; el medio de publicación, ***BOLETIN.8; la fecha de publicación
18/09/2017. Las 33 anotaciones corresponden a deudas devengadas por pe-
riodos mensuales siendo la de fecha más antigua del 12/2014 y la más re-
ciente de 04/2017.
Bajo la rúbrica “Reclamaciones Judiciales”, consta una anotación: como
demandante la TGSS; medio de publicación ***BOLETIN.8 y la fecha de publicación
18/04/2018.
b. Escrito de EQUIFAX de 29/11/2018 en el que responde, denegándola, a la petición
de cancelación del reclamante por no haber aportado documentos que justifiquen su
supresión. (carta según modelo recogido en el Hecho Tercero)
c. La AEPD con carácter previo a la admisión a trámite de la presente reclamación dio
traslado de ella a EQUIFAX. La reclamada responde en escrito de fecha 18/02/2019,
en el que tras reconocer que constan en el FIJ las incidencias que se han detallado en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/184

el punto a. precedente, afirma lo siguiente: “Atendiendo a la solicitud de cancelación
del titular, se procede con fecha 18/02/2019 a la cancelación de dichos datos, de tal
modo que tras efectuar la baja, no consta ninguna otra incidencia asociada a D. [el re-
clamante] en el fichero..[FIJ]” (El subrayado es de la AEPD) .

Reclamante 81: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 10/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” consta una anotación: como deman-
dante el ***AYUNTAMIENTO.7; procedimiento, deuda tributaria; medio de publicación
***BOLETIN.8 y fecha 16/08/2018.
b. Respuesta de EQUIFAX, de 18/02/2020, en la que deniega la supresión solicitada
por no haber aportado documentación que la justifique (según modelo de carta dene-
gando la cancelación, ver Hecho Tercero)

Reclamante 82: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 25/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” consta una anotación: como deman-
dante AEAT; procedimiento, deuda tributaria; medio de publicación “Sede Agencia Tri-
butaria” y fecha 1/10/2018.
Bajo la rúbrica “Reclamaciones de Organismos Públicos” figuran 7 anotaciones:
En todas ellas la reclamante es la Seguridad Social; el medio de publicación ***BOLE-
TIN.15; las fechas de publicación entre el 24/04/2018 y el 01/02/2019; por deudas de-
vengadas por periodos mensuales y consecutivos entre 01/2018 y 04/2018 y el
10/2018.
b. Respuesta de EQUIFAX, de 05/03/2020, en la que deniega la cancelación solicitada
por no haber aportado documentación que la justifique (según modelo de carta dene-
gando la cancelación, ver Hecho Tercero)

Reclamante 83: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 27/02/2020, con el resultado del acceso al FIJ, en el que
asociados a los datos personales del reclamante (nombre, apellidos y NIF) se facilita la
siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” aparecen 3 anotaciones. En todas
ellas figura como demandante la AEAT; como procedimiento, deuda tributaria; como
medio de publicación, “Sede Agencia Tributaria” y las fechas, respectivamente,
20/05/2014;08/01/2016 y 28/06/2019.
b. Escrito de EQUIFAX, 06/03/2020, dirigido al reclamante en el que dice: “De acuerdo
con su petición de oposición/cancelación, dado que no ha aportado documentación
que justifique la supresión, no procede atender su solicitud..” (continúa según modelo
de carta denegando cancelación, ver Hecho Tercero. El subrayado es de la AEPD)
c. La AEPD, con carácter previo a la admisión a trámite de la reclamación solicitó a
EQUIFAX información sobre los hechos expuestos por el reclamante. La reclamada
respondió en escrito de fecha 18/02/2019 en el que reconoce la existencia de las ano-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/184

taciones en el FIJ asociadas a los datos personales del reclamante y se pronuncia en
los siguientes términos: “Atendiendo a la solicitud de cancelación del titular se procede
con fecha 18/02/2019 a la cancelación de dichos datos, de tal modo que, tras efectuar
la baja, no consta ninguna otra a nombre de D. [el reclamante] en el [FIJ]” (El subraya-
do es de la AEPD)

Reclamante 84: Denuncia la inclusión de sus datos en el FIJ, sin su autorización, datos
que, dice, proceden de un fichero público. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 27/02/30/01/2020, con el resultado del acceso al FIJ, en el
que asociados a sus datos (nombre, apellidos y NIF) se facilita la siguiente informa-
ción:
Bajo la rúbrica “Reclamaciones Judiciales” constan:
- 14 anotaciones en las que la demandante es la AEAT; procedimiento, deuda
tributaria; el medio de publicación, “Sede Agencia Tributaria” y las fechas de
publicación están comprendidas entre el 06/01/2015 (la más antigua) y el
11/05/2018 (la más reciente)
- Una anotación en la que el demandante es el ***AYUNTAMIENTO.3; el pro-
cedimiento deuda tributaria; el medio de publicación ***BOLETIN.3 y la fecha
de publicación 20/02/2017.
b. Escrito de EQUIFAX, de 30/01/2020 en el que responde a su solicitud de acceso al
FIJ (según modelo de carta, ver Hecho Tercero)

Reclamante 85: Denuncia la inclusión de sus datos personales en el FIJ vinculados a
deudas con Administraciones Públicas sin su consentimiento y la cesión de sus datos
por EQUIFAX a terceros. Añade que ejercitó el 20/02/2020 el derecho de supresión
que le fue denegado sin justificación. Aporta, entre otros, estos documentos:
a. Escrito de EQUIFAX, de 20/02/2020, con el resultado del acceso al FIJ, en el que
asociados a sus datos (nombre, dos apellidos y NIF) se facilita la siguiente informa-
ción: Bajo la rúbrica “Reclamaciones Judiciales” constan:
- 4 anotaciones en las que la demandante es la AEAT; procedimiento, deuda
tributaria; el medio de publicación, “Sede Agencia Tributaria” y las fechas de
publicación están comprendidas entre el 07/09/2015 (la más antigua) y el
23/01/2017 (la más reciente)
- Una anotación en la que el demandante es el ***AYUNTAMIENTO.20 el pro-
cedimiento deuda tributaria; el medio de publicación ***BOLETIN.11 y la fe-
cha de publicación 30/09/2016.
b. Escrito de EQUIFAX, de 02/03/2020, en el que le deniega la cancelación de sus da-
tos solicitada el 20/02/2020 (según modelo de carta, ver Hecho Tercero)

Reclamante 86: Denuncia la inclusión de sus datos en el listado de morosos FIJ por
deudas de antigüedad superior a cinco años, por lo que estarían prescritas. Añade que
EQUIFAX ha denegado la cancelación de las anotaciones por falta de pruebas. Aporta,
entre otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 16/03/2020, en el que asociados los datos del recla-
mante (nombre, dos apellidos y NIF) se facilita la siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” constan:
- 2 anotaciones: como demandante figura la AEAT; como procedimiento, deuda
tributaria; medio de publicación “Sede Agencia Tributaria” y las fechas, res-
pectivamente, 11/12/2015 y 12/02/2016.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/184

- 2 anotaciones: como demandante la TGSS; medio de publicación SS S
ELECTR. (...) y las fechas 17/11/2014 y 19/06/2014.
Bajo la rúbrica “Reclamaciones de Organismos Públicos”:
- Dos anotaciones: como reclamante la S.S.; medio de publicación, respectiva-
mente, SS S ELECTR. (...) y ***BOLETIN.8. Se destaca que esta segunda
anotación es por un importe de 2,50 euros. Las fechas de publicación son,
respectivamente, el 17/11/2014 y el 04/04/2016.
b. Carta de EQUIFAX, de fecha 16/03/2020, en la que responde a la petición de cance-
lación del reclamante denegándola, pues no ha aportado documentos que justifiquen
la supresión.

Reclamante 87: La Autoridad Catalana de Protección de Datos remite documentación
relativa al reclamante, en particular, la siguiente:
a. Certificado negativo expedido por el ***AYUNTAMIENTO.7 y firmado el 05/05/2020
en el que consta que el reclamante, identificado por su nombre, primer apellido y NIF,
no tiene deudas pendientes de pago en periodo ejecutivo según las bases de datos de
la recaudación municipal.
b. Escrito de EQUIFAX, de fecha 04/05/2020, en el que asociados los datos del recla-
mante (nombre, dos apellidos y NIF) se facilita la siguiente información: Bajo la rúbrica
“Reclamaciones Judiciales” aparece una anotación: como demandante figura el
***AYUNTAMIENTO.7; el procedimiento es deuda tributaria; el medio de publicación
***BOLETIN.8 y la fecha de publicación 20/02/2019. .

Reclamante 88: Afirma haber presentado anteriormente reclamaciones ante
“DPS@AEPD” y [email protected] de las que espera respuesta y con las que
adjuntó 28 archivos. En este escrito de reclamación expone, entre otras cuestiones,
que EQUIFAX le informó de la existencia de una anotación en el FIJ asociada a sus
datos y vinculada a deudas con la Seguridad Social, sin que en la información se
facilite el importe de la deuda pendiente de pago. Añade que ha solicitado a la TGSS
en varias ocasiones -la última el 28/03/20- un aplazamiento de la deuda.

Reclamante 89: Denuncia la inclusión de sus datos personales sin su consentimiento
en el FIJ vinculados a presuntas deudas con Administraciones Públicas. Aporta, entre
otros, estos documentos:
a. Escrito de EQUIFAX, de fecha 20/05/2020, en el que asociados a los datos del re-
clamante (nombre, dos apellidos y NIF) se facilita la siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” constan:
- 3 anotaciones: demandante la AEAT; procedimiento, deuda tributaria; medio
de publicación “Sede Agencia Tributaria” y las fechas, respectivamente,
09/04/2019;06/05/2019 y 27/05/2019.
- 1 anotación: demandante el ***AYUNTAMIENTO.5; medio de publicación
***BOLETIN.8 y la fecha 27/11/2015
- 1 anotación: demandante el ***AYUNTAMIENTO.7; medio de publicación
***BOLETIN.8 y la fecha 05/02/2015.
- 1 anotación: demandante (…); medio de publicación ***BOLETIN.8 y la fecha
11/11/2017.

Reclamante 90: Denuncia la inclusión de sus datos personales en el FIJ asociados a
deudas con Administraciones Públicas que, dice, “son inexactas o inexistentes”. Apor-
ta, entre otros, estos documentos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/184

a. Escrito de EQUIFAX, de fecha 11/03/2020, en el que asociados a los datos del re-
clamante (nombre, dos apellidos y NIF) se facilita la siguiente información:
Bajo la rúbrica “Reclamaciones Judiciales” constan:
- 1anotacion: demandante la AEAT; procedimiento, deuda tributaria; medio de
publicación “Sede Agencia Tributaria” y la fecha 10/09/2018.
- 1 anotación: demandante el ***AYUNTAMIENTO.1; medio de publicación
***BOLETIN.1 y la fecha 20/02/2018.

Reclamante 91: Denuncia la inclusión de sus datos personales en el FIJ por una pre-
sunta deuda con un Ayuntamiento y por la cesión de sus datos a terceros sin que él ni
el Ayuntamiento hayan autorizado tal comunicación. Aporta, entre otros:
a. Escrito de EQUIFAX, de 04/03/2020, en el que asociados a los datos del reclamante
(nombre, dos apellidos y NIF) consta esta información: Bajo la rúbrica “Reclamaciones
Judiciales” una anotación, siendo el demandante el ***AYUNTAMIENTO.21; el procedi-
miento, deuda tributaria; el medio de publicación, ***BOLETIN.15 y la fecha
09/03/2018.
b. Escrito de EQUIFAX de 13/03/2020 denegando la cancelación solicitada por no ha-
ber aportado documentación que justifique la supresión (modelo transcrito en Antece-
dente Tercero)

Reclamante 92: Denuncia que sus datos personales han sido incluidos en el FIJ por
supuestas deudas con la TGSS y la AEAT sin su conocimiento. Añade que EQUIFAX
obtuvo probablemente los datos de los Diarios Oficiales, pero, dice, no ha contrastado
la veracidad de la información pues las deudas o son inexactas o no existen. Aporta,
entre otros, estos documentos:
a. Carta remitida por EQUIFAX el 10/03/2020 en la que responde a la petición de can-
celación de sus datos del FIJ, denegándola por no haber aportado documentación que
justifique la supresión (modelo transcrito en Antecedente Tercero)

Reclamante 93: Denuncia que EQUIFAX ha incluido sus datos personales en el FIJ
vinculados a deudas con la AEAT sin su autorización ni la de la AEAT. Aporta, entre
otros:
a. Escrito de EQUIFAX, de 04/03/2020, en el que asociados a sus datos (nombre, dos
apellidos y NIF) consta bajo la rúbrica “Reclamaciones Judiciales” una anotación.
Como demandante figura la AEAT; procedimiento, deuda tributaria; medio de publica-
ción, “Sede Agencia Tributaria” y la fecha 20/07/2015.
b. Escrito de EQUIFAX, de 12/03/2020, en el que responde, denegándola, a la solicitud
de supresión de sus datos del FIJ por no haber aportado documentación que justifique
tal supresión (modelo transcrito en Antecedente Tercero)

Reclamante 94: Denuncia la inclusión de sus datos personales en el FIJ por una
supuesta deuda con la ***ORGANISMO.10, sin su consentimiento ni el de la
Diputación. Añade que solicitó la supresión de sus datos a EQUIFAX el 02/03/2020 y le
fue denegada. Aporta, entre otros documentos:
a. Escrito de EQUIFAX, de 03/03/2020, con la información que consta en el FIJ asocia-
da a su nombre y dos apellidos, pero no a su NIF, toda vez que en el documento de
EQUIFAX falta ese dato En el apartado “Reclamaciones Judiciales” figura una anota-
ción. Como demandante la ***ORGANISMO.10; procedimiento, deuda tributaria; medio
de publicación, ***BOLETIN.20 y la fecha 06/10/2017.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/184

b. Escrito de EQUIFAX, de fecha 11/03/2020, en el que le deniega la cancelación soli-
citada por no haber aportado documentos que justifiquen la supresión.

Reclamante 95: Denuncia que EQUIFAX ha incluido sus datos personales en el FIJ
por una supuesta deuda con la TGSS que es inexistente. Añade que ha solicitado de
la reclamada, sin éxito, que proceda a subsanar el error cometido.
a. Aporta, entre otros, copia del escrito que dirigió a EQUIFAX, enviado por correo cer-
tificado el 04/04/2019, en el que solicita la cancelación de sus datos del fichero. Certifi-
cado negativo de la TGSS, firmado electrónicamente el 30/11/2018, que acredita que
está al corriente de pago.
b. La AEPD, antes de acordar la admisión a trámite de la presente reclamación, se diri-
gió a EQUIFAX solicitando información sobre los hechos expuestos por el reclamante.
La reclamada respondió en escrito de fecha 14/06/2019 en el que manifestó que, en la
fecha de recepción de la petición informativa de la AEPD, el 13/06/2019, “constaba re-
gistrada una incidencia con el ***AYUNTAMIENTO.22 y que con fecha 13/06/2019 ha
procedido a cancelar dicha anotación”. (El subrayado es de la AEPD)

Reclamante 96: Denuncia la inclusión de sus datos en el FIJ lo cual, dice, viene
provocando que en los últimos años las entidades bancarias le denieguen la
financiación que solicita, pues reciben un informe de EQUIFAX con datos que él no ha
facilitado y cuya existencia ignoraba.
a. El reclamante aporta, entre otros documentos, escrito de EQUIFAX, de fecha
14/02/2019, en el que asociados a sus datos personales (nombre, dos apellidos y NIF)
consta esta información: Bajo la rúbrica “Reclamaciones Judiciales” una anotación,
siendo el demandante el ***AYUNTAMIENTO.22; el procedimiento, deuda tributaria; el
medio de publicación, ***BOLETIN.6 y la fecha 26/07/2017.
b. La AEPD, antes de acordar admitir a trámite de la presente reclamación, se dirigió a
EQUIFAX solicitando información sobre los hechos expuestos por el reclamante. La re-
clamada respondió en escrito de fecha 14/06/2019 en el que manifestó que, en la fe-
cha de recepción de la petición informativa de la AEPD, el 13/06/2019, “constaba re-
gistrada una incidencia con el ***AYUNTAMIENTO.22 y que con fecha 13/06/2019 ha
procedido a cancelar dicha anotación”. (El subrayado es de la AEPD)

Reclamante 97: Denuncia la incorporación de sus datos personales al FIJ efectuada,
según manifiesta, por el ***AYUNTAMIENTO.23 por una deuda inexistente.

TERCERO: El modelo de carta utilizado por EQUIFAX cuando el RGPD era ya de
efectiva aplicación -desde el 25/05/2018- para denegar a los reclamantes la supresión
de sus datos personales del FIJ, del que hay numerosos ejemplos en el expediente
administrativo, incluía estos párrafos que reproducimos a continuación:

“(...) Dichos datos han sido obtenidos de FUENTES DE ACCESO PÚBLICO. Si
deseara ampliar la información aquí provista, puede hacerlo dirigiéndose al Organismo
Público que consta en el informe abreviado.

Las entidades que utilicen este fichero podrán comparar su nombre, apellidos y
NIF/NIE con el de la persona solicitante de una operación y en el caso de que exista
una discrepancia (mismo NIF/NIE con otro nombre y apellidos) podrán prevenir que se
use su NIF/NIE en dicha solicitud. Para ayudar a las entidades que consultan el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/184

fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar
a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones,
productos o servicios no solicitados por usted. Los datos incluidos en este fichero
también podrán ser tratados de manera anonimizada para realizar análisis
estadísticos.

Los datos incluidos serán cancelados o dados de baja una vez que usted haya
realizado el pago de las deudas y nos justifique dicho pago mediante certificado
emitido por el Organismo Público en cuestión o con sentencia a su favor, y en todo
caso, a los 6 años de la fecha en que sus datos fueron publicados (origen de la
información)” (El subrayado es de la AEPD)

El modelo de carta utilizado por EQUIFAX para responder a las peticiones de acceso a
los datos incluidos en el FIJ después de que el RGPD fuera de aplicación efectiva
(desde el 25/05/2018), del que obran en el expediente numerosos ejemplos, tiene el
siguiente texto:

Comienza comunicando al afectado que envían “la información asociada a su
identificador o a su nombre y en el domicilio aportado por usted.” “Adjunto le remitimos
acceso formal al fichero con objeto de que pueda usted comprobar los datos que se
encuentran actualmente registrados. También le adjuntamos el Histórico de Consultas,
que consiste en toda la información relativa a las entidades que, en su caso, hayan
consultado sus datos en los últimos seis meses.”
“Dichos datos han sido obtenidos de FUENTES DE ACCESO PÚBLICO. Si deseara
ampliar la información aquí provista, puede hacerlo dirigiéndose al Organismo Público
que consta en el informe abreviado.

Las entidades que utilicen este fichero podrán comparar su nombre, apellidos y
NIF/NIE con el de la persona solicitante de una operación y en el caso de que exista
una discrepancia (mismo NIF/NIE con otro nombre y apellidos) podrán prevenir que se
use su NIF/NIE en dicha solicitud. Para ayudar a las entidades que consultan al
fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar
a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones,
productos o servicios no solicitados por usted. Los datos incluidos en este fichero
también podrán ser tratados de manera anonimizada para realizar análisis
estadísticos.

Los datos incluidos serán cancelados o dados de baja una vez que usted haya
realizado el pago de las deudas y nos justifique dicho pago mediante certificado
emitido por el Organismo Público en cuestión o con sentencia a su favor, y en todo
caso, a los 6 años desde la fecha en que sus datos fueron publicados (origen de la
información).” (El subrayado es de la AEPD)

En ambas cartas, EQUIFAX afirma que los datos personales de los afectados incluidos
en el FIJ se obtuvieron de fuentes de acceso público; relaciona las finalidades del
tratamiento de datos que lleva a cabo; exige como condición para poner fin al
tratamiento de los datos que sus titulares le acrediten el pago de la deuda mediante
documento expedido por el correspondiente organismo oficial o a través de sentencia
e informa de que los datos así obtenidos serán objeto de tratamiento durante 6 años
computados desde la fecha en la que fueron publicados, “origen de la información”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/184

Paralelamente, obran también en el expediente -exclusivamente vinculadas a los
reclamantes 36, 43 y 48- las cartas que EQUIFAX les envió en fechas 18/10/2018,
22/08/2019 y 24/08/2019, respectivamente, informándoles de la inclusión de sus datos
en el FIJ. En ese modelo de carta, la reclamada facilitaba la siguiente información:
<< ¿Qué es el fichero de reclamaciones judiciales y Organismos Públicos?
Es un fichero titularidad de la compañía EQUIFAX IBÉRICA, S.L., con CIF ..., que
contiene datos sobre reclamaciones judiciales, en las que usted figura como
demandado, y reclamaciones de organismos públicos en las que usted figura como
deudor con organismos como la Tesorería General de la Seguridad Social (TGSS),
Ayuntamientos o la Agencia Tributaria, y que son publicados en la página web de la
TGSS, Registros Públicos, los Boletines Oficiales Provinciales, de las Comunidades
Autónomas, del Estado, en los anexos publicados en dichos Boletines y medios de
comunicación social. Este fichero tiene su base jurídica en el interés legítimo de las
entidades, que necesitan conocer las deudas o reclamaciones de una persona física o
jurídica para dar seguridad al tráfico mercantil, prevenir la morosidad y valorar la
solvencia patrimonial de dichas personas, con las que tienen o van a tener relaciones
comerciales, de crédito y de pago periódico o aplazado.

¿Para qué se utilizan mis datos?
Para ayudar a las entidades que consultan el fichero a prevenir la morosidad y
analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y
evitar que puedan suplantar su identidad en operaciones, productos o servicios no
solicitados por usted. Las entidades que utilicen este fichero podrán comparar su
nombre, apellidos y NIF/NIE con el de la persona solicitante de una operación y en el
caso de que exista una discrepancia (mismo NIF/NIE con otro nombre y apellidos)
podrán prevenir que se use su NIF/NIE en dicha solicitud. Los datos incluidos en este
fichero también podrán ser tratados de manera anonimizada para realizar análisis
estadísticos.

¿Cuánto tiempo puedo estar incluido en el fichero de Información Judicial y
Reclamaciones de Organismos Públicos?
Los datos incluidos serán cancelados o dados de baja una vez que usted haya
realizado el pago de las deudas y nos justifique dicho pago mediante certificado
emitido por el Organismo Público en cuestión o con sentencia a su favor, y en todo
caso, a los 6 años desde la fecha en que sus datos fueron publicados (origen de la
información)

¿Quién puede ver mis datos?
En general, entidades del sector financiero, seguros, telecomunicaciones, suministros
de energía o que presten servicios de pago aplazado o periódico con las que tenga
algún contrato en vigor o si éstos necesitan consultar sus datos para estudiar alguna
solicitud que usted haya realizado.

¿Cómo ejerzo mis derechos de acceso, rectificación, cancelación, limitación y
oposición de forma gratuita?
Puede enviarnos un correo electrónico a la dirección [email protected] o enviándonos
una carta al Apdo. de Correos 10546, 28080 de Madrid. Por favor no olvide leer el
dorso de esta carta “Requisitos para el ejercicio de derechos”. (...)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/184

¿Puedo presentar una reclamación oficial?
Puede dirigirse a la Agencia Española de Protección de Datos y presentar una
reclamación si así lo considera www.agpd.es . Asimismo, le facilitamos los datos de
contacto del Delegado de Protección de Datos [email protected] >> (El subrayado es
de la AEPD)

CUARTO: Acuerdo de inicio.
Con fecha 24/07/2020 la Directora de la Agencia Española de Protección de Datos
acuerda iniciar procedimiento sancionador a la reclamada, con arreglo a lo dispuesto
en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la
presunta infracción de los artículos 6.1 y 5.1.d) del RGPD, tipificadas ambas en el
artículo 83.5.a) del RGPD.

En el acuerdo de inicio se indica que, sin perjuicio de lo que resulte de la instrucción,
las sanciones que podrían imponerse serían las siguientes:
Por la infracción del artículo 6.1 RGPD, conforme al artículo 58.2.i) RGPD, multa
administrativa de tres millones de euros. Conforme al artículo 58.2.f) RGPD, la
prohibición de que continúe el tratamiento de datos que realiza a través del FIJ, lo que
implicaría el cierre del fichero. Se indica, además, que, a tenor del artículo 58.2.g)
RGPD, podría ordenarse a la reclamada que procediera a la supresión de todos los
datos personales asociados a las presuntas deudas que son objeto de tratamiento a
través del FIJ.

Por la infracción del artículo 5.1.d) RGPD, conforme al artículo 58.2.i) del RGPD, multa
administrativa de tres millones de euros. Conforme al artículo 58.2.f) RGPD, la
prohibición de que continúe el tratamiento de datos que realiza a través del FIJ, lo que
implicaría el cierre del fichero. Se indica, además, que, a tenor del artículo 58.2.g)
RGPD, podría ordenarse a la reclamada que procediera a la supresión de todos los
datos personales asociados a las presuntas deudas que son objeto de tratamiento a
través del FIJ.

QUINTO: Notificación del acuerdo de inicio.
El acuerdo de inicio se notifica a la reclamada por medios electrónicos en fecha
24/07/2020. La notificación es aceptada el 30/07/2020. Ambos extremos quedan
acreditados por el certificado del servicio de Soporte del Servicio de Notificación
Electrónica y Dirección Electrónica Habilitada emitido por la FNMT-RCM (en lo
sucesivo, FNMT) que obra en el expediente.

SEXTO: Alegaciones al acuerdo de inicio: Petición de ampliación del plazo de
alegaciones y copia del expediente.
Con fecha 04/08/2020 tiene entrada en la Agencia un escrito de la reclamada en el que
solicita, al amparo de los artículos 32.1 y 53.1.a) de la LPACAP, la ampliación del plazo
para formular alegaciones al acuerdo de inicio del procedimiento sancionador y la
entrega de una copia del expediente administrativo. Aporta con su escrito una copia de
la escritura pública notarial otorgada el 04/05/2012 en la que la reclamada confiere
poder a D. D.P.R. para que, obrando en su nombre y representación, pueda hacer uso,
entre otras facultades, de las necesarias para intervenir en tal condición en todos los
trámites del expediente sancionador que nos ocupa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/184

La AEPD, en escrito de fecha 12/08/2020, acuerda ampliar, por el máximo permitido
legalmente, el plazo fijado inicialmente para presentar alegaciones y remite a la
reclamada una copia del expediente administrativo. La notificación del escrito y la
entrega de la copia del expediente se efectuó mediante mensajería postal pues el
volumen del expediente hace imposible su remisión por medios electrónicos. Obra en
el procedimiento el justificante de la empresa MRW que prueba que los documentos
fueron recibidos por la reclamada en fecha 12/08/2020.

SÉPTIMO: Alegaciones al acuerdo de inicio: Escrito de alegaciones.
El 19/08/2020 tiene entrada en el registro de la AEPD el escrito de alegaciones al
acuerdo de inicio presentado por la reclamada en el que solicita que se dicte
resolución declarando la nulidad de pleno derecho del procedimiento.
Subsidiariamente, que se acuerde el archivo del procedimiento. Y subsidiariamente
respecto a la anterior petición, que se le imponga una advertencia o apercibimiento o
que se reduzca significativamente la cuantía de la sanción prevista en el acuerdo de
inicio.

Esgrime en apoyo de sus pretensiones los argumentos siguientes:
La primera alegación versa sobre la indefensión generada a EQUIFAX como
consecuencia de haber fijado en el acuerdo de apertura del procedimiento el importe
de la sanción en lugar de expresar en dicho acuerdo, únicamente, los límites de la
posible sanción a imponer. Otras circunstancias que a su juicio le habrían provocado
indefensión, viciando de nulidad el procedimiento, son las siguientes: no haber tenido
la oportunidad de exponer su opinión sobre las circunstancias que podrían resultar
aplicables al caso; la sumaria motivación de las circunstancias agravantes que se hace
en el acuerdo de inicio y el que se haya visto afectada sustancialmente la
imparcialidad del instructor en clara ruptura del principio de separación de la fase
instructora y de sanción.

La alegación segunda lleva por rúbrica “De la indefensión de EQUIFAX por el acceso
tardío al expediente administrativo y al contenido del mismo”. En ella explica la
indefensión sufrida como consecuencia de haber visto limitada y reducida
ostensiblemente su capacidad para formular unas alegaciones “completas e
informadas”. A ese respecto subraya dos hechos: la entrega tardía de la copia del
expediente, de la que se le dio traslado el 12/08/2020, un día hábil antes de que
finalizara el plazo ordinario de diez días hábiles, por lo que, si bien el Órgano
Sancionador acordó ampliar el plazo hasta el 20/08/2020, el periodo de tiempo en el
que ha podido tener acceso a la documentación fue de solo 6 días hábiles.

En segundo término, destaca que la copia del expediente adolece de diversos
defectos que implican, cuando menos, la necesidad de “proceder a la supresión de
una gran parte de los Antecedentes del propio acuerdo”. Estas deficiencias serían las
siguientes: (i)El expediente remitido se refiere a un número limitado de las
reclamaciones que se mencionan en el acuerdo de inicio, pues no existe en dicho
expediente reclamación o documento alguno relacionado con 43 reclamantes. (ii) Se
incluyen en el expediente, al menos tres reclamaciones que no guardan relación con el
objeto del expediente.

Respecto a las reclamaciones que sí constan en la documentación del expediente
administrativo que la AEPD le remitió, la reclamada extrae la conclusión de que éstas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/184

no guardan relación con las cuestiones de fondo contenidas en los fundamentos del
acuerdo de inicio “toda vez que la práctica totalidad se referían al ejercicio por los
interesados de sus derechos de acceso y supresión” Clasifica las reclamaciones
formuladas, sobre las que se aportó documentación en la copia del expediente que le
fue remitida, en los siguientes grupos:
(i) Aquellas en las que el interesado ejerce ante la AEPD un derecho que no ha
ejercitado previamente ante EQUIFAX. (ii) Aquellas en las que el reclamante ha
solicitado la supresión de sus datos del FIJ y EQUIFAX ha atendido su petición. (iii)Y
otras en las que los interesados ejercitan ante EQUIFAX su derecho de acceso, que es
atendido, y sin dirigirse a EQUIFAX, solicitan el ejercicio del derecho de supresión
directamente ante la AEPD “alegando cuestiones tales como que el tratamiento no se
encontraba fundado en su previo consentimiento, que no era lícita la recogida de los
datos de boletines y diarios oficiales o incluso que la Administración autora de la
publicación manifestaba su disconformidad con la existencia misma del FIJ”. Así,
califica de mala fe la actuación del representante de varios reclamantes que, con
independencia de que la reclamada hubiera atendido el derecho de acceso ejercido,
no dudó en remitir a la AEPD una reclamación que no tenía que ver con el derecho
ejercido inicialmente.

Concluye la entidad que de las 47 reclamaciones que constan en el expediente dio
plena satisfacción al derecho que el reclamante ejercitó ante ella, si bien, en
ocasiones, el interesado dirigió a la AEPD una reclamación que no guardaba relación
con lo solicitado ante EQUIFAX.

La alegación tercera se ocupa de la normativa preexistente al RGPD y la actuación de
la AEPD en relación con el FIJ. La reclamada dice que “[..] tal y como reconoce el
propio Acuerdo, las normas materiales cuya vulneración se imputa a mi mandante no
han variado en cuanto a su contenido como consecuencia de la reforma operada por
el RGPD”. Analiza las similitudes y diferencias entre el texto del artículo 6.1.f) del
RGPD y el del artículo 7.f) de la Directiva 95/46; indica que el razonamiento contenido
en los considerandos del RGPD acerca de los requisitos del interés legítimo y de cómo
llevar a cabo la ponderación necesaria para verificar su aplicación deriva directamente
de la jurisprudencia emanada del TJUE en su sentencia de 24/10/2011 (asuntos
acumulados C-468/10 y C-469/10, Asnef, Fecemed) que declara el efecto directo del
artículo 7.f) de la Directiva 95/46. Hace referencia, asimismo, al documento del Grupo
de Trabajo del artículo 29 (en adelante, GT29) “Dictamen 6/2014 sobre el concepto de
interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de
la Directiva 95/46/CE”.

Considera que el tratamiento de datos efectuado por el FIJ era lícito a tenor de la
normativa anterior y que “partiendo de la similitud, cuando no identidad, entre la
normativa anteriormente vigente y la recogida en el texto del RGPD, es preciso tener
en cuenta que los sistemas como el FIJ aparecían reconocidos expresamente en el
artículo 29.1 de la” LOPD. “[...] que el supuesto tratamiento llevado a cabo por mi
mandante [...] no sólo no resultaba contrario, sino expresamente amparado en el
marco normativo vigente anterior a la entrada en vigor del RGPD [...]”. Añade, que el
marco normativo no se ha visto alterado, sino por el contrario reiterado, con la entrada
en vigor del RGPD.
Respecto a la actuación de la AEPD dice que “Esta licitud no sólo era conocida por
esa AEPD, sino que la misma vino en reiteradas ocasiones a ponerla de manifiesto,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/184

dictando numerosas resoluciones en las que consideraba perfectamente conforme a la
normativa de protección de datos el comportamiento de Equifax” en conductas
totalmente similares a las que ahora son objeto del expediente sancionador. Menciona
las resoluciones dictadas en las TD/00724/2015 y TD/02085/2016.

Indica que el tratamiento de datos que se efectúa a través del FIJ “no sólo se ha
venido realizando durante la vigencia de todas las normas de protección de datos baja
la vista, ciencia y paciencia de la AEPD, sino que la misma ha bendecido en reiteradas
ocasiones la legalidad de dicho tratamiento que ahora se anatemiza por la propia
institución”. “Si ello es así y la AEPD manifestó la licitud de un tratamiento que ahora
se considera radicalmente opuesto a la normativa de protección de datos, cabría
concluir, dicho sea con el mayor de los respetos, que esa institución colaboró
necesariamente en la perpetración de esa conducta radicalmente ilícita con el
consiguiente perjuicio al derecho fundamental [...] que la misma tiene como misión
esencial garantizar y proteger”.

Respecto a la actuación de la AEPD después de la entrada en vigor del RGPD señala
que esta Agencia es perfectamente conocedora de “la existencia de los sistemas de
información similares al FIJ” por cuanto se está tramitando ante la AEPD el Código de
Conducta presentado por la Asociación Multisectorial de la Información (ASEDIE) a la
que pertenece EQUIFAX y cuya primera versión se presentó el 24/05/2018 y la última
en mayo de 2020.

Invoca la quiebra del principio de confianza legítima en el que ha incurrido la AEPD,
que reputa ahora ilícitas conductas que antes estimaba plenamente lícitas. La quiebra
de la confianza legítima determinaría la ausencia de elemento culpabilístico en la
conducta de la reclamada debiendo, en consecuencia, proceder al archivo del
expediente. Precisa que, esto es así porque, aun cuando el cambio de criterio se funde
en un cambio normativo, la reforma normativa ha dejado inalterados los preceptos en
los que anteriormente la Agencia fundaba la licitud del FIJ. Considera que se cumplen
todos los requisitos necesarios para apreciar la vulneración del principio de confianza
legítima en los términos descritos en la STS 22/02/2016 (recurso de casación
1354/2014) Invoca la SAN de 04/02/2009 (recurso 304/2007) que mantiene que la
ruptura del principio de confianza legítima debe abocar a la nulidad de la resolución
sancionadora objeto del recurso.

Denuncia también el carácter desproporcionado de las medidas que la AEPD pretende
adoptar: “sanciones desmesuradas” y medidas “completamente irreversibles”. Y
explica que la imposición de una sanción en la cuantía fijada en el acuerdo de inicio
del procedimiento implicaría que esta empresa saliera del mercado “en beneficio de
otras empresas competidoras que manejan la misma información”. Llama la atención
sobre el hecho de que la AEPD haya decidido “adoptar las medidas de mayor
gravedad previstas en la normativa de protección de datos” cuando el RGPD ofrece a
las autoridades de control una amplia gama de medidas correctoras (artículo 58). A lo
que se suma que el artículo 83 RGPD prevé expresamente, ante un incumplimiento
normativo, la posibilidad de no imponer una multa administrativa y sancionar con
alguna otra las medidas correctivas del artículo 58 RGPD.

La alegación cuarta lleva por rúbrica “De la base jurídica del tratamiento del FIJ”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/184

La reclamada se refiere, en primer término, a las implicaciones que derivan de la
normativa de reutilización de la información del sector público, Ley 37/2007, de 16 de
noviembre, de reutilización de información del Sector Público (LRISP) e indica que “las
fuentes de las que ha recabado los datos a los que se refieren las reclamaciones
formuladas y, en general, los datos incorporados al FIJ, habilitan expresamente para la
reutilización de dicha información”. Por tanto, concluye, la citada LRISP, sin perjuicio
de la aplicación de su artículo 4.6, no constituye un obstáculo para la recogida de
datos que ella efectúa. Menciona a tal efecto las condiciones generales de reutilización
de la página web del BOE y añade que, en las restantes fuentes utilizadas las
condiciones de cada una permiten la reutilización siempre y cuando se respete el
marco legislativo vigente y, en particular, el RGPD y la Ley de Propiedad Intelectual.

Reitera que existe un concepto jurídico de fuentes de acceso público -como lo
evidencia, dice la reclamada, la mención que a ellas se hace en la STJUE de
24/11/2011 y en el proyecto de Código de Conducta de ASEDIE presentado a la AEPD
en mayo de 2020- que “implican el posible conocimiento y acceso por cualquier
persona a la información que las mismas contienen y que el hecho de que esa
información esté al alcance de cualquier persona hace que el tratamiento de los datos
que las mismas pudieran incluir afecte a la vida privada y familiar de los interesados a
los que los datos se refieren en un grado enormemente menor al que se produciría
cuando los datos no proceden de tales fuentes, lo que permite que la ponderación
exigida por el artículo 6.1.f) RGPD pueda operar con mayor facilidad en beneficio del
interés legítimo del responsable que tratase esos datos públicamente accesibles”.

Sobre el principio de necesidad, muestra su desaprobación con la referencia que el
acuerdo de inicio hizo a la STJUE de 16/12/2008 (asunto C-524/2016) y a la sentencia
del TEDH de 25/03/1983 y propone, para la interpretación del concepto de necesidad,
acudir al criterio que sigue el T.C. para analizar la proporcionalidad de una medida
restrictiva de un derecho fundamental.

Respecto a los requisitos para aplicar la base jurídica del artículo 6.1.f) RGPD ,
conforme a la doctrina del GT29 en el Dictamen 6/2014, menciona los siguientes:
1.Existencia de un interés legítimo del responsable del tratamiento o de cualquier
tercero. 2. El cumplimiento del principio de necesidad vinculado al principio de
idoneidad. 3. El resultado favorable de la ponderación. Sólo cuando quepa considerar
que la afectación a los derechos de los interesados resulta tolerable a la vista del
resultado obtenido por el tratamiento, éste podrá llevarse a cabo. Seguidamente
comenta las características de cada uno de los términos de la ponderación y los
factores que deberían tomarse en consideración en la preceptiva ponderación.

Recuerda la vinculación que existe entre los conceptos de finalidad e interés legítimo y
critica las consideraciones que hace el acuerdo de inicio sobre la base del comentario
del Dictamen 6/2014 del GT29. Pasa después a describir el interés legítimo que se
satisface con el tratamiento de los datos que efectúa el FIJ. Distingue un doble interés
legítimo: un interés vinculado a la evaluación de la solvencia de los afectados -del que
serían titulares EQUIFAX, los terceros que acceden a los datos y los prestatarios y
consumidores- y un interés legítimo vinculado a la prevención del fraude. Invoca
normas jurídicas, dictámenes, circulares e informes en los que considera se sustenta
el interés legítimo que cada uno de ellos ostenta.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/184

Dedica un apartado a “la ponderación de la prevalencia del interés legítimo en el
presente caso”. Afirma que son múltiples los elementos que conducen a concluir que
el “interés legítimo de Equifax, sus compañías usuarias y la propia sociedad en el
tratamiento de los datos del FIJ prevalece sobre los derechos e intereses de los
deudores a los que se refieren los datos”. Menciona a estos efectos los siguientes
elementos:
a. Que la LOPD recogía una norma que determinaba la prevalencia del citado interés
legítimo pues, “el artículo 29.1 de la citada ley se refería expresamente a la licitud del
tratamiento de los datos en estos sistemas”. Y recuerda que, respecto al tratamiento al
que nos referimos, no se ha producido un cambio sustancial en la normativa aplicable,
sino que “las bases jurídicas y los principios aplicables al tratamiento permanecen
inalterables como consecuencia de la entrada en vigor del RGPD”.

b. La propia regulación de la LOPDGDD. En este sentido indica que la citada Ley
reconoce la prevalencia del interés legítimo al establecer una presunción a favor en los
sistemas de información crediticia y añade que en estos sistemas “el interés legítimo
que justifica el tratamiento es idéntico al perseguido por el FIJ” de lo que concluye que
es un indicio de la ponderación en favor del interés legítimo que examinamos, “aun
cuando no existiera en la nueva Ley una regulación similar al antiguo artículo 29.1 de
la LOPD.” Continúa afirmando que “el hecho de que el impacto sobre los derechos e
intereses de los interesados como consecuencia del tratamiento de sus datos en el FIJ
sea sustancialmente similar al que genera el tratamiento de sus datos en los sistemas
de información crediticia, respecto de los que se presume la prevalencia del interés
legítimo, debe ser considerado un indicio evidente de la prevalencia del interés
legítimo en este caso.”

c. La jurisprudencia del TJUE, que concreta en la ya citada STJUE de 24/11/2011.

d. La actitud de la AEPD, que, dice, ha venido “reconociendo hasta ahora la licitud de
estos sistemas sin haber llevado a cabo requerimiento, advertencia o apercibimiento
alguno dirigido a mi mandante, tal y como se ha analizado en la alegación tercera de
este escrito.” Añade también que a través del proyecto de Código de Conducta que
promueve ASEDIE la AEPD ha tenido conocimiento de que se incluía un examen de la
prevalencia del interés legítimo de las entidades que gestionan estos sistemas de
información.

A juicio de la reclamada, las evidencias citadas, unidas al hecho de que se cumplían a
su entender los requisitos que establece el GT29 en su Dictamen 6/2014, acreditaban
suficientemente el interés legítimo cuya prevalencia defiende. Por ello, explica la
entidad, continuó con el tratamiento a través del FIJ y consideró innecesario realizar
un análisis del interés legítimo específico para el FIJ pues “[...]la propia normativa al
realizar la ponderación de intereses aplicables al tratamiento regulado en el artículo 20
de la LOPDGDD ya resultaba suficiente para suplir la adopción de esta medida”. E
invoca para reforzar su argumento la cita del artículo 35.10 del RGPD: “[...] cuando el
tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e), tenga su base
jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique
al responsable del tratamiento, tal Derecho regule la operación específica de
tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una
evaluación de impacto relativa a la protección de datos como parte de una evaluación

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/184

de impacto general en el contexto de la adopción de dicha base jurídica, los
apartados”

Expone que en el año 2019 elaboró un “informe de ponderación” con objeto de
“minimizar el impacto del tratamiento por debajo de los estándares exigibles al
tratamiento adoptando medidas adicionales a las que serían suficientes para
considerar aplicable lo dispuesto en el artículo 6.1.f del RGPD.” Precisa que algunas
de estas medidas ya se han implantado, otras están en fase de implementación y otras
se encuentran en desarrollo para su adopción en el futuro. Entre las actualizaciones
que afirma haber introducido se encuentra la “notificación de inclusión de los datos a
los interesados, en los mismos términos establecidos para los sistemas de información
crediticia en el artículo 20.1 c), párrafo segundo de la LOPDGDD” pues, afirma, que la
aprobación de la LOPDGDD “suponía la desaparición de la exención del deber de
informar que la jurisprudencia ya había reconocido expresamente en relación con los
sistemas de información contenidos en el artículo 29.1 de la LOPD.”

Sobre la concurrencia de “expectativas razonables del interesado” muestra su
discrepancia con lo indicado en el acuerdo de inicio y afirma que “el interesado no sólo
tiene la expectativa razonable de que sus datos podrán ser consultados, sino que
espera razonablemente tener la fortuna de que no se produzca el acceso a los
mismos para que quien contrate con él no tenga un conocimiento real de sus
solvencia patrimonial y crédito”.

La última cuestión comentada en el marco de su alegación cuarta –“De la base
jurídica del tratamiento del FIJ”- se refiere al ejercicio por los interesados de sus
derechos de supresión y oposición. En tal sentido, critica el siguiente párrafo incluido
en el acuerdo de inicio:
“Son muy numerosas las comunicaciones que los reclamantes dirigieron a EQUIFAX
en las que solicitaban la cancelación de sus datos personales. De haber sido
coherente con el pretendido interés legítimo en el que, a su juicio, se amparaba el
tratamiento de datos realizado, EQUIFAX debería haber calificado esas solicitudes
como ejercicio del derecho de oposición”.

Manifiesta la reclamada que tan sorprendente afirmación conduciría, como única
conclusión lógica, a privar al interesado de la posibilidad de ejercitar el derecho de
supresión en cualquier manifestación de las previstas en el artículo 17.1 del RGPD
que difiera del derecho de oposición, obligándole así a invocar los motivos
relacionados con su situación particular que justifican su solicitud. Por ello, dice la
entidad, “alcanzada la conclusión de que el derecho de supresión no queda derogado
en las modalidades distintas del derecho de oposición”, dio cumplimiento a las
exigencias establecidas en la normativa de protección de datos, de forma que “cuando
las solicitudes reclamaban la supresión sobre la mera base de que el interesado no
había prestado su consentimiento Equifax no podía atender la petición, toda vez que
dicho consentimiento no es exigible en este caso, tal y como se ha manifestado
reiteradamente”. “Del mismo modo, cuando se invocaba la supuesta falsedad o
inexactitud de los datos, Equifax no hacía sino cumplir con las exigencias de la
normativa de protección de datos cuando solicitaba la aportación por el solicitante de
la información que acreditase la inexactitud, dado que, en caso contrario, procediendo
el dato de un diario oficial, no cabía sin más concluir en la ilicitud del dato”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/184

En la alegación quinta del escrito de alegaciones al acuerdo de inicio, “Sobre el
cumplimiento por Equifax del principio de exactitud de los datos”, reitera, en primer
término, que, respecto a este principio, el RGPD no ha introducido modificaciones en
relación con lo que establecía la Directiva, ni en la enunciación del principio ni en sus
consecuencias, y que la AEPD, hasta la publicación del presente acuerdo de inicio,
“consideró en todo momento al FIJ plenamente respetuoso con lo dispuesto en la
normativa de protección de datos personales, en la que ya aparecía claramente
recogido el mencionado principio de exactitud (artículos 6.1.d) de la Directiva y 4 d) de
la LOPD)” Por tanto, considera que el acuerdo de inicio implica que la Agencia ha
adoptado un “nuevo criterio” de lo que concluye que la actuación de la AEPD es
contraria a los principios de seguridad jurídica y confianza legítima.

Manifiesta que, puesto que los datos proceden de fuentes públicas, debe presumirse
su exactitud, por lo que ninguna responsabilidad puede derivarse para EQUIFAX de la
inexactitud de la que adolezcan o de la ausencia de alguno de ellos en la fuente
original. Dice haber actuado con pleno respeto a las normas de reutilización de la
información establecidas en cada caso y haber incorporado al FIJ los datos “tal y
como aparecen en las citadas fuentes”.

Insiste en que los datos se recogen en los términos en los que son publicados y
accesibles por cualquier persona y “en toda la extensión que dicha publicación permita
identificar al interesado.” “Por ello, en caso de que no se incluya alguno de los
mencionados datos en el FIJ ello [...] se debe [...]al puro y simple hecho de que ese
dato no se encuentra recogido en el diario oficial o en el edicto del que se obtiene la
información.”

Considera plenamente aplicable al caso el artículo 4.2. LOPDGDD, en particular el
apartado d), precepto que dispone:
“2. A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no será
imputable al responsable del tratamiento, siempre que este haya adoptado todas las
medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de
los datos personales, con respecto a los fines para los que se tratan, cuando los datos
inexactos:
[...]
d) Fuesen obtenidos de un registro público por el responsable.”

Dice haber adoptado las “medidas necesarias para garantizar la exactitud de la
información recabada”, ya que, en el plazo de un mes desde el momento de la
recogida de la información, procede a comunicar al interesado su inclusión en el FIJ.

Sobre la inversión de la carga de la prueba invocada en el acuerdo de inicio, parte en
su exposición de la afirmación de que los datos que EQUIFAX obtiene de los boletines
y diarios oficiales gozan de “presunción de exactitud” “dada la propia naturaleza de la
fuente de la que se obtiene”. Por ello, tal presunción únicamente puede destruirse si el
propio interesado acredita la inexactitud de la información o la propia fuente procede a
su rectificación. Así pues, la conclusión es que ninguna inversión de la carga de la
prueba existe, puesto que la información publicada es exacta en tanto no se
demuestre lo contrario.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/184

Cita también el artículo 14 de la LOPDGDD que, con ocasión de la regulación del
derecho de rectificación señala “Al ejercer el derecho de rectificación reconocido en el
artículo 16 del Reglamento (UE) 2016/679, el afectado deberá indicar en su solicitud a
qué datos se refiere y la corrección que haya de realizarse. Deberá acompañar,
cuando sea preciso, la documentación justificativa de la inexactitud o carácter
incompleto de los datos objeto de tratamiento.

Se refiere finalmente a los supuestos en los que ha solicitado al interesado
documentación adicional para vincular con el mismo la existencia de una determinada
publicación edictal. Por ejemplo, ha solicitado al interesado la indicación de los
posibles domicilios a los que podía encontrarse vinculada la publicación de un
determinado edicto que le afectase. A ese respecto, dice lo siguiente:
“Esta solicitud, [...]se lleva a cabo, [...] sino de garantizar el pleno cumplimiento y
ejercicio de sus derechos, a fin de poder proceder a la supresión de cualesquiera
datos que no debieran aparecer recogidos en el FIJ.” Y explica lo siguiente: “En este
sentido, esa AEPD es plenamente consciente de que, hasta la entrada en vigor de la
LOPDGDD, el régimen de publicaciones edictales llevado a cabo por los distintos
boletines, diarios y tablones edictales de los que Equifax recaba lícitamente la
información se caracterizaba por la dispersión, de forma que el alcance de los datos
publicados por cada uno de ellos difería sustancialmente, incluyendo algunos de ellos,
pero no todos, el documento identificativo del interesado o su domicilio.

De este modo, no puede achacarse a mi mandante el hecho de que en ocasiones los
datos identificativos del interesado no se encuentren vinculados a un documento
identificativo, sino que dicha ausencia de vinculación procede directamente de la
fuente de la que se recaban los datos, dotada de la presunción de exactitud a la que
reiteradamente se ha hecho referencia a lo largo de esta alegación.”

La alegación sexta se refiere a las circunstancias modificativas de la responsabilidad
conforme al acuerdo de inicio. Expone la entidad que, en el supuesto de que
procediera adoptar “una medida coercitiva contra Equifax” ésta debería limitarse, a lo
sumo, al apercibimiento y al requerimiento para que adopte las medidas que la AEPD
estimase necesarias. La reclamada justifica esta declaración en las “cualificadas
atenuantes “que en su opinión concurren en el presente caso, a las que se suma “la
propia conducta de la AEPD que habría venido a generar en Equifax la plena
convicción de la licitud del tratamiento de los datos en el FIJ”.

Invoca como atenuantes las siguientes:
(i) Que desde la aprobación de la LOPDGDD y el RGPD viene implantado medidas
“encaminadas a minimizar aún más el impacto que el tratamiento [...] pudiera producir
en la esfera privada de los interesados”. Se refiere a las medidas previstas en el LIA
aportado -examen del interés legítimo prevalente- que afirma son medidas adicionales
que no serían en principio necesarias para lograr una ponderación favorable. (ii) Que
EQUIFAX no ha sido sancionado nunca por la AEPD en relación con el tratamiento
llevado a cabo por el FIJ. (iii) Que ha atenido reiteradamente los requerimientos o
solicitudes de información de la AEPD. (iv) Que en cuanto entidad asociada a ASEDIE
está adherida automáticamente al Código de Conducta que promueve esa asociación.
La reclamada no especifica el precepto del RGPD en el que tendrían cabida las
atenuantes que invoca.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/184

Por otra parte, en relación con las agravantes apreciadas en el acuerdo de inicio,
comenta que “No puede considerarse como dolosa la realización de una conducta que
la propia AEPD venía reconociendo como lícita”; que “No cabe apreciar la existencia
de un beneficio lícito” en el que ha obtenido con una conducta de que la AEPD era
conocedora” así como de las circunstancias que rodeaban el tratamiento. Y que,
menos aún, puede considerarse infracción continuada la “realizada con el beneplácito
de la autoridad de control”.

Aporta, anexos al escrito de alegaciones al acuerdo de inicio, los documentos
siguientes:
-Copia del Código de Conducta de ASEDIE, Sector Infomediario.
-LIA, Fichero Judicial. Análisis legal. Diciembre de 2019.

OCTAVO: Escrito de la instructora dirigido a la reclamada: La copia del expediente
administrativo que se entregó estaba incompleta; entrega de una copia íntegra; nuevo
plazo de alegaciones.

En escrito firmado por la instructora el 23/12/2020, notificado electrónicamente y
aceptado por la reclamada en la misma fecha, se pone en su conocimiento que, una
vez analizada la documentación que integra la copia del expediente electrónico que se
le remitió el 12/08/2020, se ha comprobado que la aplicación no llegó a volcar en ella
la totalidad de la documentación que integraba el expediente administrativo electrónico
que sirvió de base para la elaboración del acuerdo de inicio, por lo que la copia que
entonces se facilitó a EQUIFAX estaba incompleta. La AEPD tiene implementado el
expediente electrónico, de tal modo que es la aplicación la que genera de forma
automática la copia de dicho expediente.

Además, en el citado escrito se informa a la reclamada de que en esa fecha se
procede a remitirle, a través de mensajería postal, un CD cifrado que contiene la copia
íntegra del expediente administrativo y se le facilita la clave que le permitirá acceder al
contenido del CD. En el escrito se le comunica también, a fin de que pueda formular
nuevas alegaciones a la vista del expediente íntegro, lo siguiente:
“Con el fin de garantizar que EQUIFAX pueda, una vez que tenga a su disposición
toda la documentación que sirvió de base a esta Agencia para la adopción del acuerdo
de inicio del expediente sancionador PS/000240/2019, hacer las alegaciones y aportar
la documentación que estime pertinente, la instructora del expediente no procederá a
la apertura de la fase de prueba hasta transcurridos, al menos, diez días hábiles
computados desde la fecha de notificación del presente escrito, si la notificación fuese
posterior al 28 de diciembre de 2020. Si la notificación de esta comunicación fuera
anterior al 28 de diciembre, los diez días hábiles se computarán desde esa fecha, por
ser en esta fecha en la que, en último término, la empresa de mensajería ha
garantizado que hará entrega del envío que contiene el soporte CD con la
documentación aludida.”

Obran en el expediente los documentos facilitados por la empresa de mensajería
MRW que acreditan que el envío con referencia 2625/A014103, remitido por la AEPD,
se entregó en la estafeta de la destinataria el 24/12/2020.

NOVENO: Alegaciones complementarias o segundas alegaciones al acuerdo de inicio:
Petición de ampliación del plazo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/184

En fecha 28/12/2020 tiene entrada en la AEPD un escrito de EQUIFAX en el que
expone que ha recibido en sus oficinas con fecha 28/12/2020 el CD cifrado que
contiene la copia del expediente y solicita que se amplíe en cinco días adicionales el
plazo fijado inicialmente en el escrito de fecha 23/12/2020 para formular las segundas
alegaciones y aportar documentos.

En escrito firmado y notificado electrónicamente el 13/01/2021, aceptado por la
reclamada el 14/01/2021, la instructora del expediente le comunica que:
“Sin perjuicio de lo prevenido en el artículo 76.1 de la Ley 39/2015, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP), con el mismo
propósito de garantizar el legítimo derecho de defensa de EQUIFAX que inspiró el
escrito que le fue remitido a esa entidad por la instructora del expediente el
23/12/2020, se le informa que no se procederá a la apertura de la fase probatoria del
procedimiento hasta vencido el día 15/01/2021.”

DÉCIMO: Alegaciones complementarias de la reclamada al acuerdo de inicio del
expediente. (I) Presentación de sus alegaciones en la AEPD. (II) Alegaciones
complementarias formuladas.

I. Con fecha 20/01/2021 se genera un “Recibo de presentación en oficina de Registro”,
emitido por GEISER (Gestión Integrada de Servicios de Registro), número de registro
O00007128e2100001973, referente a la supuesta presentación por la reclamada de un
escrito de alegaciones complementarias al PS/240/2019, sin que con el citado recibo
se acompañara ningún escrito o documento.

En el recibo emitido por GEISER constan, entre otras, estas indicaciones: “Fecha
presentación: 20/01/2021 10:38:13 (horario peninsular)”; “Tipo de documentación:
Documentación adjunta digitalizada”; “Interesado: Equifax Ibérica, S.L.”. Además, bajo
la rúbrica “Información del Registro” se indica: “Tipo de asunto: entrada”;
“Resumen/asunto: Alegaciones complementarias al PS 240/2020”; “Unidad de
tramitación destino/Centro directivo: Inspección de Datos-XXXXXXXXX/Agencia
Española de Protección de Datos”.

Habida cuenta de que con el recibo de presentación de GEISER no entró en el registro
de la AEPD ni el documento mencionado, “Alegaciones complementarias al PS
240/2019”, ni ningún otro, en fecha 21/01/2021 la instructora del expediente, mediante
comunicación notificada electrónicamente a EQUIFAX, le informa de esta incidencia y
de que, hechas las comprobaciones técnicas pertinentes, los servicios informáticos de
la Agencia consideraban que el emisor del envío -la reclamada- no llegó a subir a la
sede ningún documento o, si lo hizo, incurrió en algún error que determinó que el
envío fuera inviable.

También en fecha 21/01/2021 se tiene constancia de otro “Recibo de presentación en
oficina de Registro”, emitido por GEISER, en el que como fecha de presentación figura
el 20/01/2021, a las 21:34:58 (Hora peninsular); la referencia O00007128e2100002152
y como interesado Equifax Ibérica, S.L., en el que figura como “Resumen/asunto”
“Solicitud ampliación plazo presentación pruebas”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/184

Ante este hecho -que el 21/01/2021 existían dos entradas de GEISER procedentes de
EQUIFAX, referentes a “Alegaciones complementarias al PS/240/2019” y “Solicitud
ampliación plazo presentación pruebas”, con las que no se acompañaba ni el
documento que la entidad decía aportar ni ningún otro- y, toda vez que, según la
información que nos ofrecía nuestra aplicación informática la reclamada aún no había
aceptado la comunicación electrónica que se le envió en fecha 21/01/2021 para
informarle de lo ocurrido respecto a la primera entrada, la instructora del expediente
envía un correo electrónico al representante de EQUIFAX, a la dirección electrónica
que figura en el formulario utilizado para la presentación de documentos relativos a
este procedimiento, en el que pone en su conocimiento ambas incidencias.

El correo electrónico enviado el 21/01/2021 a las 13:12, ha quedado incorporado al
expediente mediante diligencia de la instructora firmada el 21/01/2021.

EQUIFAX respondió al correo electrónico el día 21/021/2021 a las 20:48 horas y
explicó que habían presentado electrónicamente, de nuevo, los dos documentos,
alegaciones complementarias al acuerdo de inicio y solicitud de ampliación del plazo
para la aportación de pruebas. El 22/01/2021 continúa sin recibirse en esta Agencia la
documentación de EQUIFAX, lo que se comunica a la entidad mediante otro correo
electrónico de la instructora enviado a las 9:59 horas. El 24/01/2021 a las 13:51 horas
el representante de EQUIFAX remite un correo electrónico en el que expone que se
han enviado nuevamente ambos escritos a través de la sede de la AEPD y adjunta el
justificante. Todas estas comunicaciones intercambiadas a través de email han sido
incorporadas al expediente mediante una diligencia firmada por la instructora el
25/01/2021.

II. Con fecha 24/01/2021 tiene entrada en la sede electrónica de la AEPD el escrito de
alegaciones complementarias al acuerdo de inicio del procedimiento sancionador
presentado por la reclamada.

En dicho escrito, tras solicitar que “se tenga por formuladas alegaciones en relación
con el contenido del expediente administrativo del que no tuvo conocimiento hasta su
remisión el día 28 de diciembre de 2020, debiendo las mismas considerarse
complementarias a las formuladas en su día al Acuerdo de Inicio ...”, hace estas
peticiones:

Que se declare la nulidad de pleno derecho del procedimiento por los motivos que
detalla en la alegación primera del escrito de alegaciones; subsidiariamente, el archivo
del procedimiento y, con carácter subsidiario respecto a esta última pretensión, la
imposición de una advertencia o apercibimiento o una reducción significativa de la
cuantía de la multa establecida en el acuerdo de inicio.

También, como hiciera en su primer escrito de alegaciones al acuerdo de inicio, solicita
“[...] la apertura, [...] de un período de prueba en el que pueda aportar a esa AEPD los
documentos que la misma considere necesarios en caso de que por la misma no se
otorgue veracidad a lo afirmado por mi mandante en el apartado 2 de la alegación
tercera de este escrito.”

Los argumentos que esgrime en apoyo de sus peticiones se estructuran en tres
alegaciones:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/184

La alegación primera lleva por rúbrica “De la excepcional afectación al derecho a la
tutela judicial efectiva derivada de la situación acaecida en el expediente
administrativo en el presente procedimiento”. En este apartado expone que “el
expediente administrativo remitido por la AEPD se encontraba, en palabras de la
propia Autoridad de Control, cercenado en nada menos que 1.345 folios” y que carecía
de información sobre dicha circunstancia porque, “al haberse tramitado el mismo [el
expediente] por esa AEPD sin su conocimiento”, no había podido conocer el alcance
real del expediente administrativo remitido. Destaca que, de los denunciantes “ahora
incorporados al expediente”, la AEPD únicamente le había dado traslado, a los efectos
de los artículos 37 y 65.4 LOPDGDD, de tres de ellos.

En esa línea argumental recuerda que, en sus alegaciones al acuerdo de inicio de
19/08/2020, solicitó “limitar el enjuiciamiento del presente caso a las reclamaciones
efectivamente obrantes en el expediente administrativo, resultando que dicho
expediente no contenía información alguna sobre 43 de las relaciones a las que se
refería el acuerdo de inicio”. Sin embargo, más de cuatro meses después de que
formulara tales alegaciones, la AEPD le comunica que el expediente se encontraba
“amputado” en más de un 30 por ciento de su extensión; le remite una nueva copia del
expediente y no le otorga la posibilidad de alegar lo que a su derecho proceda,
“limitándose a acordar una demora en el inicio del periodo probatorio”.

La reclamada afirma que este modo de actuar es contario a la normativa reguladora
del procedimiento administrativo, artículos 65.2.f) LPACAP y 89.1 del mismo texto
legal, a propósito de los cuales comenta que “el trámite de audiencia de los
interesados y el derecho del encartado a la formulación de alegaciones, a la vista del
expediente administrativo, se configuran como una garantía esencial del
procedimiento, siendo el reflejo en el procedimiento administrativo sancionador del
derecho a la tutela judicial efectiva que asiste al encartado.”

Concluye de lo anterior que “la actuación de la AEPD en el presente caso, [...] supone
una conculcación de su derecho a la defensa, lo que hace incurrir al procedimiento en
el vicio de nulidad establecido en el artículo 47.1 e) de la LPACAP, dado que se ha
prescindido de un trámite tan esencial como es el de audiencia del encartado en un
procedimiento sancionador. Y dicho vicio no puede subsanarse por el hecho de que mi
mandante emita las presentes alegaciones.”

Sobre la pretendida omisión del trámite de audiencia hace estas consideraciones:

Por una parte, que no se han respetado los principios aplicables al procedimiento
sancionador “al no haber podido [...] tener un conocimiento real del expediente, salvo
con el alcance del que le fue notificado con anterioridad a la formulación de sus
alegaciones al Acuerdo de Inicio.” Explica que “La AEPD afirma que dicho expediente
debe completarse hasta conformar el que fue objeto de remisión y registro en las
oficinas de mi mandante el día 26 de diciembre de 2021, pese a que dicho expediente
no se corresponde con el remitido previamente para alegaciones, sobre la única base
de afirmarse, en el escrito notificado a mi mandante, que dicho expediente es el
completo y que debe reemplazar al previamente notificado.” Que, “pese a ignorar los
motivos por los que no le fue remitido en el momento oportuno del procedimiento el
expediente administrativo completo, al constar en un acto de trámite emitido por el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/184

instructor” no va a poner en duda tal afirmación. Añade que nos encontramos en este
caso “ante la ausencia de más del 30 por 100 del expediente y que “No existe siquiera
correlación entre los índices de los dos expedientes remitidos. Es decir, no sólo se
produce una adición de 1435 folios al expediente, sino que además ese suplemento
se intercala a lo largo de todo el procedimiento, lo que dificulta aún más el adecuado
ejercicio por mi mandante de su derecho a la defensa.”

Señala que la vulneración que se ha producido a lo largo de la tramitación del presente
procedimiento, “se ve aún más agravada cuando en su escrito de 23 de diciembre de
2020 la AEPD no sólo no concede plazo alguno a mi mandante para la emisión de las
citadas alegaciones, sino que a mayor abundamiento parece otorgar a la misma la
concesión o gracia consistente en demorar la iniciación del período de prueba durante
el plazo de diez días desde la entrega del citado expediente “completado” o
“suplementado”.

A través de la alegación segunda del escrito de alegaciones complementarias al
acuerdo de inicio se ratifica en las alegaciones que efectuó en su escrito de
alegaciones al acuerdo de inicio de 19/08/2020. En cuanto a “lo que constituye el
fondo” del procedimiento sancionador, ratifica lo manifestado en las alegaciones
tercera a sexta de su escrito y reitera “la plena legalidad” de su actuación en relación
con el FIJ. Reitera lo manifestado en sus primeras alegaciones sobre “la escasa,
cuando no inexistente, vinculación” entre las cuestiones que se debaten en el
procedimiento sancionador y las reclamaciones que se formularon.

La alegación tercera del escrito de alegaciones complementarias lleva por título
“Sobre las reclamaciones no incorporadas al expediente en su remisión adicional y
que se incluyen en la nueve versión remitida en fecha 26 de diciembre de 2020”.

Comienza refiriendo que, con carácter general, las reclamaciones incorporadas a lo
que ella denomina “esta nueva versión del expediente administrativo” tienen
características en gran parte similares a las de las reclamaciones que constaban en la
copia del expediente facilitada inicialmente por la AEPD, pero, a diferencia de aquellas,
en este grupo es excepcional que la AEPD le diera traslado de la reclamación a los
efectos previstos en los artículos 37 y 65.4 LOPDGDD.

Entiende la reclamada que la AEPD emitió los acuerdos de admisión a trámite sin
conocer ni valorar ningún extremo relacionado con la reclamación, salvo la referencia
al “tratamiento de los datos en el fichero de incidencias judiciales y administrativas”, y
que decidió admitirlas a trámite incluso cuando de la propia documentación aportada
por los reclamantes se desprendía que las reclamaciones se formulaban “respecto de
solicitudes que todavía estaban pendientes de respuesta por EQUIFAX, hacían
referencia al tratamiento de los datos de los reclamantes en ficheros distintos del FIJ o
que incluso [...] no se acompañaban en algunos supuestos de la más mínima
información referida a la formulación de tales reclamaciones”.

Respecto al plazo que media entre la fecha en la que la reclamación se presentó ante
la AEPD y la fecha en la que la Agencia acordó su admisión a trámite destaca que
“resulta sumamente prolongado, alcanzando en ocasiones una duración cercana a los
dieciocho meses”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/184

Mantiene que, del contenido del expediente, se concluye que “la AEPD considera que
la admisión a trámite no es más que un formalismo que ha de cumplirse, sin tener en
cuenta el plazo legalmente previsto o por la mera presentación de una reclamación
cuando, probablemente, ya se ha decidido, sin realización de actuación inspectora
alguna, iniciar un procedimiento sancionador y con el único objetivo de engrosar aún
más el expediente.”

Seguidamente, la reclamada analiza las reclamaciones y las agrupa en las siguientes
categorías: Un primer grupo formado por los casos en los que la entidad respondió a
las reclamaciones de los interesados y, además, procedió a la supresión de los datos
personales respecto de los que su titular había ejercido este derecho. En él incluye a
los reclamantes identificados con los números 22; 47; 48; 50; 67; 80; 87 y 96.

Respecto a este grupo de reclamaciones, comenta que “en la práctica totalidad de los
supuestos enumerados, las reclamaciones fueron formuladas ante la AEPD cuando
aún no había transcurrido el plazo de un mes legalmente establecido para dar
respuesta a lo solicitado por el reclamante”. Y añade que incluso en algún supuesto,
como el del reclamante 87, los plazos no fueron superiores a una semana. Menciona
el caso del reclamante 80, en el que la reclamación ante la AEPD se formuló después
de que la reclamada hubiera atendido el derecho de supresión, como consecuencia de
haber aportado la documentación que acreditaba el pago de la deuda incluida en el
FIJ, y en el que la AEPD acordó admitir a trámite la reclamación un año y dos meses
después de la fecha en la que debería haberlo hecho, el 11/06/2020, quince meses
después de la fecha de la reclamación y catorce meses después de la respuesta de la
reclamada a la AEPD.

Un segundo grupo integrado por aquellas reclamaciones en las que los interesados
ejercitaron ante la reclamada el derecho de acceso a sus datos obrantes en el FIJ, que
fue atendido por ella en tiempo y forma, y, sin haberle dirigido a ella una solicitud en
este sentido, los interesados reclamaron ante la AEPD “la falta de atención del
derecho de supresión”; derecho que o bien no había sido ejercitado ante la reclamada
“o bien lo fue en forma simultánea o incluso posterior ante [la reclamada], alegando
cuestiones tales como que el tratamiento no se encontraba fundado en su previo
consentimiento, que no era lícita la recogida de los datos de boletines y diarios
oficiales o incluso que la Administración autora de la publicación manifestaba su
disconformidad con la existencia misma del FIJ.” Cita como ejemplo las reclamaciones
presentadas a través de la representación de Inzertia relativas a los reclamantes 23;
24;46; 47; 64; 66; 68; 69; 70; 71; 74; 79; 81; 82; 83 y 84. Destaca además que,
respecto al reclamante 47, se procedió a la supresión de los datos pese a que no era
esa su solicitud inicial. Y respecto al reclamante 80, pese a haber ejercitado el derecho
de acceso, se le informó que no constaban datos en el FIJ.

Un tercer grupo de reclamaciones en las que se incluirían aquellas en las que los
interesados ejercieron los derechos de “acceso, rectificación, cancelación y oposición”,
“lo cual hace sumamente complicada la respuesta por parte de mi mandante”. En este
supuesto estarían los reclamantes 76; 85; 90; 91; 92; 93 y 94.

La reclamada declara que, respecto a las reclamaciones encuadradas en esta
categoría, puesto que se solicitaba la cancelación, se analizó su procedencia, pero no
fue posible otorgarla “al no aportarse información acerca de la satisfacción de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/184

deuda.” Dice que tampoco fue posible atender la solicitud de oposición “al no
facilitarse por el interesado información alguna acerca de las especiales circunstancias
derivadas de su situación personal que la amparasen. Por este motivo, se solicitó en
todos los casos, la aportación de información adicional.”

Otro grupo lo formarían aquellas reclamaciones en las que se había solicitado a la
reclamada la supresión de un determinado dato incluido en el FIJ pero en las que el
interesado no aportó la información que acreditara que la deuda había sido satisfecha.
Estarían en este caso los reclamantes 21; 49; 73; 86 y 89. Además, indica la entidad,
que “estos supuestos, como se razonó en las alegaciones al Acuerdo de Inicio, son
ejercicios del derecho de supresión y no del derecho de oposición, dado que lo que se
afirma es que el tratamiento no es lícito por encontrarse la deuda pagada (artículo
17.1 d) del RGPD).”.

Finalmente se refiere a un grupo formado por diversas reclamaciones: La del
reclamante 78, de la cual dice que no hace referencia en ningún momento al FIJ ni la
referencia al mismo puede encontrarse en el expediente administrativo, por lo que no
guarda relación con el presente procedimiento. La del número 97, que fue respondida
informando que no existían datos asociados a su nombre, apellidos y documento
identificativo. O la del reclamante 95, que tuvo entrada en la AEPD el 06/05/2019 y no
fue admitida a trámite hasta el 11/06/2020.

EQUIFAX sostiene, tras el análisis de las 43 reclamaciones que “constan ahora en el
expediente administrativo y de las que esta parte no tenía conocimiento”, que su
actuación fue respetuosa con la normativa de protección de datos y que, como ya
manifestó en sus alegaciones al acuerdo de inicio, “no cabe apreciar la existencia de
una relación real entre las reclamaciones formuladas y la fundamentación jurídica del
Acuerdo, pareciendo, dicho sea con el debido respeto, que las citadas reclamaciones
actúan más bien como una excusa para justificar la apertura de un expediente de la
magnitud del presente que como fundamento de lo que posteriormente considera
imputable a mi mandante el órgano sancionador”.

UNDÉCIMO: Fase de prueba. (I) Apertura de la fase de prueba. (II) Notificación a la
reclamada y primera solicitud de prueba. (III) Petición de ampliación del plazo para
responder a las pruebas solicitadas. (IV). Respuesta de la reclamada

I. De conformidad con lo prevenido en el artículo 77 de la LPACAP, en fecha
19/01/2021 se acuerda abrir en el procedimiento sancionador una fase de prueba por
un plazo máximo de quince días hábiles. Así consta en la diligencia firmada en esa
fecha que obra en el expediente.

II. En escrito firmado el 19/01/2021, notificado electrónicamente y aceptado por la
reclamada el 20/01/2021, se le comunica la apertura de la fase de prueba y las
diligencias probatorias a efectuar.

En dicho escrito se acuerda también dar por reproducidas, a efectos de prueba, (i) las
noventa y siete reclamaciones mencionadas en los Antecedentes del acuerdo de inicio
del PS/00240/2019 y su documentación anexa; (ii) los documentos generados y
obtenidos por la Subdirección de Inspección en la solicitud informativa previa a la
admisión a trámite de las reclamaciones y los correspondientes acuerdos de admisión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/184

a trámite de las citadas reclamaciones; (iii) las alegaciones al acuerdo de inicio del
PS/00240/2019 presentadas por EQUIFAX) y su documentación anexa; (iv) el escrito
que la instructora del expediente dirigió a EQUIFAX el 23/12/2020 comunicándole el
envío de una copia íntegra del expediente administrativo que sirvió de base para la
apertura del procedimiento sancionador; (v) el escrito de fecha 28/12/2020 de
EQUIFAX, en el que solicita la ampliación del plazo para las segundas alegaciones al
acuerdo de inicio y (vi) el escrito de respuesta de la instructora del procedimiento que
se notificó a la reclamada el 13/01/2021.

Resulta conveniente reseñar aquí -aunque ello suponga alterar el orden cronológico
seguido en el relato de las actuaciones practicadas- que, en fecha posterior al escrito
de notificación de apertura de la fase de prueba, mediante diligencia de fecha
11/02/2021, la instructora del expediente dejó constancia de que quedaban
incorporadas al procedimiento, a efectos de prueba, las segundas
alegaciones/alegaciones complementarias de la reclamada al acuerdo de inicio, que
habían tenido entrada en esta Agencia el 24/01/2021. Así lo solicitó la reclamada en un
escrito de fecha 09/02/2021 que tenía por objeto pedir una ampliación del plazo para
responder a las nuevas diligencias de prueba (pruebas complementarias) que se le
requirieron.

Pues bien, en el escrito firmado el 19/01/2021 y notificado a la reclamada el
20/01/2021, se le requiere para que aporte a la Agencia la documentación y/o
información siguiente:
“4.1. La copia del registro de las actividades de tratamiento de datos personales,
previsto en el artículo 30 del Reglamento (UE) 2016/679, relativo al tratamiento
que EQUIFAX efectúa a través del Fichero de Reclamaciones Judiciales y
Organismos Públicos (en lo sucesivo, FIJ). Deberá hacer constar en su
respuesta la fecha en la que se elaboró el registro de actividades y aportar la
versión inicial del documento junto con cualquier adición, modificación o
exclusión efectuada en su contenido posteriormente.

4.2. En caso de que EQUIFAX no disponga de registro de las actividades de
tratamiento que lleva a cabo a través del FIJ, deberá aportar la siguiente
información:
(i) Las razones por las cuales, a su juicio, se acoge a la dispensa del artículo
30.5 RGPD.
(ii) La información que se indica en los apartados a) a g) del artículo 30.1 RGPD.

4.3. La copia de la evaluación de impacto en la protección de datos personales,
prevista en el artículo 35 del RGPD, relativa a las operaciones de tratamiento
que EQUIFAX efectúa a través del FIJ. Deberá facilitar la versión inicial de la
evaluación de impacto y, en su caso, el detalle de las modificaciones o
actualizaciones que pudieran haberse realizado. En el supuesto de que
EQUIFAX no disponga de una evaluación de impacto en la protección de datos
personales a la que alude el artículo 35.1 RGPD, que informe de los motivos
por los cuales, a su juicio, el tratamiento que realiza a través del FIJ no entraña
un alto riesgo y los argumentos en los que funda la no aplicación del precepto
del artículo 35.3. RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

67/184

4.4. Respecto a las operaciones de tratamiento de datos personales que
EQUIFAX efectúa a través del FIJ, la ponderación que sobre los intereses en
juego hubiera realizado la entidad para llegar a concluir que no prevalecen los
intereses o los derechos y libertades fundamentales de los interesados frente a
los intereses perseguidos por esa entidad reclamada o por un tercero.

4.5. El criterio o criterios que el FIJ utiliza para organizar en sus sistemas los
datos personales objeto de tratamiento a fin de que sus titulares estén
debidamente identificados. Si tal criterio hubiera sufrido variaciones desde la
entrada en funcionamiento del FIJ, deberá informar tanto de los criterios
utilizados inicialmente como de los adoptados posteriormente, con indicación de
la fecha en la que la variación se implementó. Su respuesta deberá estar
debidamente documentada.

4.6. Número de personas físicas respecto de las cuales existieron en el FIJ
registros de datos activos. Deberá indicar el número de personas afectadas por
el tratamiento de sus datos a través del FIJ durante los seis últimos años y
facilitar la información desglosada por años.

4.7. El volumen de negocio total anual global de EQUIFAX IBÉRICA, S.L.,
durante el ejercicio financiero 2019. Su respuesta deberá estar debidamente
documentada

4.8. El resultado económico obtenido por EQUIFAX IBÉRICA, S.L., derivado,
exclusivamente, de la actividad que ha desarrollado a través del FIJ. Deberá
facilitar la información correspondiente a los últimos seis años, desglosada por
anualidad o, en su caso, ejercicio. Su respuesta deberá estar debidamente
documentada.

4.9. Información del número de asociados que tiene y ha tenido EQUIFAX para
recibir información del FIJ. Deberá facilitar el número de asociados que la
entidad tuvo en cada ejercicio durante los últimos seis años.

4.10. Identificar los documentos en los que -según declaraciones del
representante de la reclamada hechas en el escrito de alegaciones, folio 63- la
AEPD, con su actuación, “había concluido inequívocamente lícita la actuación de
EQUIFAX”. Esto, sin perjuicio de las resoluciones de Tutela de derechos a las
que se hace referencia en el escrito de alegaciones al acuerdo de inicio.

III. La reclamada, mediante escrito que tiene entrada en la sede electrónica de la
AEPD el 24/01/2021, solicita que se amplíe en cinco días el plazo fijado inicialmente
para responder. La instructora del expediente, en escrito firmado el 25/01/2021, le
comunica que se amplía en cinco días hábiles el plazo que se fijó inicialmente para
evacuar el trámite. El escrito se notifica electrónicamente a la reclamada el 25/01/2021
que acepta la notificación en la misma fecha.

IV. Respuesta de la reclamada a las primeras pruebas solicitadas.
En fecha 10/02/2021 entra en la sede de la AEPD el escrito de la reclamada de
respuesta a las pruebas solicitadas con el que anexa diecinueve documentos.
Comienza invocando la “confidencialidad y el secreto empresarial de los documentos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

68/184

aportados junto con el presente escrito y solicita que sean tratados [...] sin difusión de
los elementos que afectan a su configuración empresarial ni al secreto de su actuación
comercial y sin que los mismos sean utilizados o difundidos”. Cita a esos efectos la
Ley 1/2019, de 20 de febrero, de Secretos Empresariales.

1.- A la pregunta formulada en el punto 4.1., en el que se le requería que facilitara una
copia del registro de actividades de tratamiento (en adelante, RAT) de datos
personales relativo al FIJ y se pedía expresamente que facilitara la fecha en la que se
elaboró el documento, responde aportando cinco documentos de los que cuatro
corresponden a la versión inicial del RAT del FIJ y el quinto a la versión final. Sin
embargo, no informa de la fecha en la que se elaboraron la versión inicial y la versión
final; tampoco se ofrece esta información en el escrito de respuesta a las pruebas
solicitadas ni consta en ninguno de los cinco documentos aportados.

La versión inicial del RAT está recogida en los documentos 1 a 4. Todos ellos llevan en
el primer folio la leyenda “Registro de actividades de tratamiento. Artículo 30 GPDR. V
01”. Tienen, respectivamente, este “Nombre del Registro”:
“Descarga de información de fuentes públicas”; “Generación y envío de ficheros a
otras plataformas”; “Integración de la información en B.D.” y “Acceso al fichero judicial”
.
El quinto documento contiene la versión final. En el primer folio se indica: “Registro de
Actividades de Tratamiento. Artículo 30 GPDR. V. Final”. “Nombre del Registro.
Descarga, generación e integración de la información de fuentes públicas por parte de
EQUIFAX y acceso al fichero por parte de los clientes”. En el RAT, versión final,
apartado 3, “Finalidades del tratamiento” se indican, esquemáticamente, las fases del
tratamiento y sus finalidades.

La primera, la “descarga de información”, “en formato pdf desde la página del BOE y
del TGSS. Esta actividad tiene como finalidad la generación de los siguientes ficheros
principales: BORME, Notificaciones Administrativas, Reclamaciones y Judiciales”.
Terminada la carga y actualización de la información en Pick se graban las listas en
base de datos (altas, modificaciones y bajas de registros en Pick) que sirven de fuente
de información a otros entornos, plataformas y productos, garantizando la integridad
de la información compartida. “Una vez descargados los ficheros en los directorios
correspondientes y habiéndose tratado la información y preparado el formato de
carga, se procede a la integración de la información en la base de datos.” Y, por último,
“Integrada la información, las entidades que tienen contratado el servicio acceden (por
nombre y apellidos o DNI) a la base de datos de Equifax para poder hacer el análisis
de solvencia sobre los interesados.”

El punto 8 del RAT, versión final, que lleva por rúbrica “Plazos de supresión de la
información”, dice así: “La información está accesible durante 3 meses y después se
guarda en un directorio Linux con la finalidad de poder trabajar posteriormente con los
datos. Dicha información, guardada en formato “PDF”, estará disponible durante un
periodo de 10 años desde la fecha de publicación, y ello con el único fin de poder
atender las posibles reclamaciones y dar respuesta a las solicitudes de información
por parte del órgano administrativo competente, así como de los juzgados y
tribunales.” En la versión inicial, documento 4, existe una cláusula 8 idéntica a la que
hemos transcrito. (El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

69/184

2.- A la pregunta que se formuló en el punto 4.4., relativa a la ponderación de los
intereses y derechos enfrentados en el tratamiento de datos que la entidad realiza a
través del FIJ y en la que hubiera concluido que no prevalecen los intereses o los
derechos y libertades fundamentales de los interesados frente a los intereses
perseguidos por ella o por terceros, responde que ya aportó este documento con las
alegaciones al acuerdo de inicio pero que, no obstante, lo facilita de nuevo.

El documento número 8 que a tal efecto aporta en este trámite –“LIA Fichero Judicial.
Análisis Legal. Diciembre de 2019”- es el mismo que remitió a la AEPD como anexo a
las alegaciones al acuerdo de inicio del procedimiento sancionador. En sus
alegaciones al acuerdo de inicio y en su respuesta al trámite de prueba la reclamada
ha advertido del carácter confidencial de la documentación y, es más, el documento
número 8 lleva en su primer folio la indicación “Internal use only” (sólo uso interno).

El Documento denominado LIA Fichero Judicial, muy extenso y cuyo contenido
consiste, en esencia, en una reiteración de los argumentos expuestos por la
reclamada en sus escritos de alegaciones; en reflexiones sobre la actuación que sería
deseable que la AEPD adoptara en esta materia y en la descripción de las medidas
que tiene previsto adoptar, pero sin especificar las fechas, se estructura en los
siguientes epígrafes de los que extraemos el contenido más relevante:

1.Alcance del presente informe. Indica que la finalidad es determinar si el tratamiento
realizado como consecuencia de la captura de fuentes de acceso público estaría
legitimado conforme a la normativa de protección de datos de carácter personal.

2. Evolución normativa en España de las fuentes accesibles al público y evaluación de
la solvencia. Se mencionan la Ley Orgánica 5/1992, de 29 de octubre, de regulación
del tratamiento automatizado de datos de carácter personal (LORTAD); la Ley
Orgánica 15/1999, de protección de datos de carácter personal (LOPD), en particular
los artículos 3.j; 6.2.; 28 y 29.1 y el Reglamento de desarrollo de la LOPD, aprobado
por el Real Decreto 1720/2007 (RLOPD). Se alude al RGPD y al hecho de que el
término fuentes de acceso público aparezca sólo en el Considerando 61 y en el
artículo 14.2.f. Cita la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
y Garantía de los derechos digitales (LOPDGDD) y se refiere en particular a los
artículos 11.3.b) y al artículo 4.2.d)

3.Consideraciones generales sobre el interés legítimo como causa legitimadora del
tratamiento de los datos personales. Indica que esta base jurídica del tratamiento no
permite aportar una justificación documental por lo que será necesario adoptar las
medidas encaminadas a acreditar su concurrencia. Esto requiere un adecuado análisis
de los requisitos exigidos en el precepto para poder concluir que una operación de
tratamiento está amparada en él. Menciona aquí el Dictamen 6/2014 del GT29 y la
metodología que describe para verificar la procedencia de la aplicación de la base
jurídica prevista en el artículo 7.f) de la Directiva así como la STJUE de 24/11/2011.

4.Concurrencia del interés legítimo prevalente en el tratamiento de la información de
fuentes de acceso público. En el análisis distingue: 1. El interés legítimo de Equifax; 2.
El interés legítimo del sistema crediticio; 3. El interés legítimo del sector asegurador; y
4. El interés legítimo del sector asegurador para la prevención del fraude.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

70/184

Respecto al apartado 1, (el interés legítimo de EQUIFAX) dice que el RGPD no
contiene una disposición como el artículo 29.1 LOPD sobre la que, dice, “legitimaba a
los bureaus de crédito al tratamiento datos de carácter personal obtenidos de registros
y fuentes accesibles al público”. Añade que el hecho de no tener definidos estos
conceptos (el de fuentes de acceso público) “por sí mismo no excluiría sin más la
licitud del tratamiento de datos provenientes de estas fuentes, y en particular de los
Boletines y Diarios Oficiales, teniendo en cuenta su accesibilidad universal por
cualquier persona, aunque ya no sería aplicable la presunción de prevalencia del
interés legítimo que establecía la normativa anterior.” y cita en apoyo de su tesis la
sentencia del TJUE de 24 de octubre de 2011, apartados 44 y 45:

Sobre las notificaciones judiciales, señala que Equifax solamente integra en sus
ficheros de información judicial procedimientos tramitados por los Juzgados de
Primera Instancia, de Primera Instancia e Instrucción (excluyendo en todo caso los
juicios de faltas), de lo Mercantil y de lo Social. De este modo, no se procede al
tratamiento de datos relacionados con la jurisdicción penal.

En cuanto a las infracciones administrativas, el RGPD no contiene una previsión
respecto de ellas, por lo que no establece limitación o especialidad alguna en relación
con su tratamiento. No obstante, los dos primeros apartados del artículo 27 de la
LOPDGDD establecen un régimen especial para este tipo de tratamiento, si bien, a
juicio de la reclamada, el precepto se extralimita en relación con las competencias que
el RGPD reconoce a los Estados miembros. Seguidamente añade:
“Ante esta situación y, en concreto, tomando como criterio interpretativo la Sentencia
del Tribunal Superior de Justicia de la Unión Europea, (Sala Segunda) de 4 de mayo
de 2017, consideramos que debería seguirse por parte de la AEPD la misma línea
interpretativa que la seguida por la jurisprudencia, en la medida en que los datos
manifiestamente públicos o de fuentes públicas se deberían encuadrar dentro del
interés legítimo en su posterior uso, cuando la finalidad perseguida sea la de facilitar a
los operadores en el mercado la información más fiable posible a fin de coadyuvar al
correcto funcionamiento del mercado en nuestro país, pues en este caso no se
estarían vulnerando derechos fundamentales, al igual que sucede con los SIC del art.
20 LOPDGDD (finalidad y objeto social de Equifax en ambos tratamientos)”. (El
subrayado es nuestro)

Recuerda las condiciones generales de reutilización de la página web del BOE y que
Equifax extrae de él información relativa a embargos, subastas, reclamaciones
administrativas, publicados por la Tesorería General de la Seguridad Social y la
Agencia
Entiende que puede haber una expectativa razonable, por parte de los interesados
(cuyos datos han sido publicados en el BOE, BORME o TGSS) de uso de sus datos
con la finalidad de evaluación de su solvencia en una solicitud de crédito, cuando
previamente se le ha procedido a reclamar el pago de una deuda tributaria o de la
Seguridad Social que sigue pendiente de abono, finalidad para la que, dichos datos,
quedarían integrados en el fichero Judicial de Equifax.

Concluye diciendo: “consideramos que queda demostrado el interés legítimo de
Equifax en el trato de dicha información a efectos de enjuiciar la solvencia de los
posibles prestatarios, prevenir el fraude en la contratación de productos financieros y
de seguros, cuyos datos de deuda con las administraciones públicas figuran en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

71/184

fuentes accesibles al público de cuya información se prevé la reutilización.” (El
subrayado es nuestro)

5. Se refiere a la “idoneidad” y “necesidad” del tratamiento de la información de fuentes
de acceso público para el cumplimiento del interés legítimo. Se recogen en este
epígrafe las siguientes consideraciones:

“En lo que respecta a la idoneidad del acceso a la información de fuentes de acceso
público para el logro de las finalidades que se han descrito en el apartado anterior y,
en consecuencia, para la satisfacción del interés legítimo perseguido por la entidad
gestora del sistema, las entidades participantes en el mismo y los propios
consumidores en su condición de potenciales beneficiarios de la financiación, ya se ha
indicado que el conocimiento de información de morosidad proveniente de fuentes
como el BOE o la página de la Tesorería de la Seguridad Social resulta una medida
idónea para el logro del objetivo perseguido.”

6. Impacto del tratamiento de fuentes accesibles al público en los derechos y
libertades de los afectados.

Dice que el tratamiento de los datos relacionado con descarga de información Judicial
como puede ser (CIF/NIF/NIE, nombre de los demandados/concursados y
demandantes, domicilios, importes de los bienes muebles embargados, nombres y
mail del administrador concursal, nº seguridad social, nombre y dirección a quien se
reclama la deuda) implica una afectación a la privacidad de los consumidores.

No obstante, el hecho de que se produzca esta limitación no impondría
necesariamente una ponderación del citado derecho sobre los intereses legítimos que
se han venido describiendo siempre y cuando se adopten las debidas garantías que
permitan hacer prevalecer el interés legítimo sobre la limitación de la privacidad que
supone el tratamiento.

Y advierte: “En todo caso, debe tenerse en cuenta que el tratamiento al que se está
haciendo referencia no afecta más que a los incumplimientos de obligaciones
dinerarias, financieras o de crédito del solicitante de un crédito o seguro, como sucede
con los SIC del art. 20 de la LOPDGDD. Quiere ello decir que el sistema en ningún
caso tiene por objeto la revelación de información adicional que se refiera a dicho
sujeto ni de otros datos distintos de los publicados por las fuentes de acceso público.

Por ello, el nivel de intromisión del tratamiento en la esfera privada del afectado
deberá modularse atendiendo a esta condición objetiva y al hecho de que no se revela
información adicional a la situación de incumplimiento crediticio del interesado.”

7. Funcionamiento de los ficheros de EQUIFAX con información obtenida de fuentes
de acceso público.

En este punto del documento se indica: “A través del proceso de Cargas de
información Judicial y BORME se consigue importar información de gran utilidad para
Equifax sobre personas físicas y jurídicas que es publicada en medios de acceso libre
como el BOE o la página de la Tesorería de la Seguridad Social.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

72/184

La base de datos en la que se integra y consolida esta información es gestionada por
el área de Operaciones y se denomina Pick Cabe destacar que adicionalmente existen
procesos de enriquecimiento de los datos contenidos en Pick mediante la importación
de ficheros provenientes de proveedores de información y de otras fuentes públicas.
(El subrayado es nuestro)

Desde esta base de datos Pick, la información se explota para generar productos para
los clientes de Equifax y además se emplea para alimentar mediante ficheros otras
bases de datos y plataformas de la compañía: Host (IT), EDEN (UK), SAS (D&A) y
Oracle.

El documento incluye un cuadro que “describe el flujo completo del proceso,
comenzando por la descarga y obtención de información de fuentes externas,
siguiendo con el tratamiento de esta información y finalizando con la carga o
integración en la base de datos Pick, generando los ficheros: BORME, Notificaciones
Administrativas (Pre-judiciales), Reclamaciones y Judiciales. El resultado obtenido es
una base de datos Pick completa e íntegra con información de calidad y que sirve los
datos fuente para gran cantidad de procesos y productos de Equifax. Es importante
conocer que el campo clave de los registros contenidos en Pick es el identificador de
persona (física o jurídica). Este identificador puede ser el CIF, NIF, NIE, Número de la
Seguridad Social o un número provisional que se le asigne. A este identificador se le
relaciona con el resto de información del registro siendo cada dato asociado
directamente a la fuente de datos de la que se ha obtenido.” (El subrayado es nuestro)

Los productos que actualmente se generan con esta información son los siguientes:
Consultas Judiciales (Batch); Consulta Situaciones Concursales (Batch); Consultas
Fichero ASNEF Empresas por Terceros (Batch); Consultas Fichero ASNEF Empresas
(Online) ; Consultas Fichero ASNEF Empresas (Online) Resellers ; Consultas
Judiciales APPC (Online) ; Consultas Judiciales (Online) ; ID Verifier; ; IdentityRisk ;
Reputational Risk Monitoring; Enriquecimiento empresas activas; Matriz de Captación ;
Alertas proactivas ASNEF Empresas ; SVCNM ASNEF Empresas; Alertas diarias
Concursal; Alertas Judicial.

7.1. Descarga y obtención de datos de fuentes externas y tratamiento de los ficheros.

Es el proceso por el que Equifax descarga y obtiene toda la información necesaria
para incorporar a la base de datos Pick. En la tabla del Anexo I que incluye el
documento se describen, entre otras cuestiones, los datos principales obtenidos, las
fuentes de datos y la web de descarga para que, posteriormente, se pueda realizar
correctamente su integración en la base de datos Pick.

Los ficheros que se descargan automáticamente se almacenan inicialmente en los
directorios de la máquina de producción y los que se descargan de forma manual se
descargan inicialmente en un repositorio de red que es el mismo en el que se
depositan los ficheros descargados automáticamente ya tratados. “IT genera backups
de este directorio de red, pero los ficheros originales se mantendrán según los
periodos de retención definidos según GDPR. De este modo se resuelve el problema
de acceso a la información histórica ya que según normativa los ficheros solo pueden
estar en BOE para su consulta durante 3 meses.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

73/184

7.2. Criterios de grabación para demandados, demandantes o deudores.

Todo registro que vaya a ser integrado en la base de datos tiene que cumplir los
siguientes requisitos, distinguiendo entre personas físicas y jurídicas. Respecto a las
personas físicas: Tiene que ser una persona localizable, por nombre completo o por
dirección completa, tendremos que tener en cuenta varios conceptos
• Cuando aparezca publicado solo DNI/NIE comprobaremos la base de datos. En
caso de tener antecedentes de este DNI/NIE, lo podemos incorporar, en caso contrario
no lo podemos incorporar.
• Si apareciera publicado el nombre y apellidos con domicilio completo
buscaríamos en la base de datos, en el caso de que coincidieran todos los datos los
seleccionaríamos, en caso contrario le asignaríamos un número provisional.
• Si apareciera publicado el nombre y apellidos pero sin domicilio y sin DNI/NIE
no los podríamos integrar.
• Si apareciera publicado las siglas del nombre y apellidos, o simplemente un
apellido o un nombre (una palabra) no lo podríamos integrar.

A continuación, el documento, salta del punto “7” al punto “IV” que lleva por rúbrica
“Descripción de las garantías y de las reglas de funcionamiento del fichero de
información judicial”.

En este aparatado IV indica que, “Una vez descrita la existencia de un interés legítimo
suficiente que podría ser considerado como base jurídica del tratamiento” y teniendo
en cuenta que este tratamiento supone una limitación del derecho a la privacidad del
afectado, se analizan “las garantías que el sistema va a establecer a fin de reforzar la
protección de los derechos del interesado” siguiendo la jurisprudencia constitucional
citada. Y añade:
“En este punto, debe indicarse que, como se ha dicho con anterioridad, las previsiones
legales habilitantes de la creación de estos sistemas permitirían que los mismos
pudieran considerarse amparados por la regla del artículo 6.1 f) del RGPD mediante el
cumplimiento de garantías meramente equivalentes a las exigidas para los sistemas
de información crediticia regulados por la LOPDGDD.” El documento no especifica la
fecha en la que estas garantías van a adoptarse.

1. Garantía de los principios de protección de datos:

1.1 Principio de finalidad
Indica entre otras cosas: “Por otra parte, el principio de finalidad incluye la limitación
de los usos posteriores de los datos, dado que el RGPD prohíbe en su artículo 5.1 a)
el tratamiento posterior de los datos para fines incompatibles con los que motivaron su
recogida, aunque exceptúa de esta limitación el uso de datos con fines de archivo de
interés público o de investigación científica o estadística.

El tratamiento estadístico de los datos contenidos en el fichero, una vez haya
transcurrido el período que se fija para su conservación, al que posteriormente nos
referiremos, resulta indudablemente útil para tener un adecuado conocimiento del
comportamiento de la sociedad en relación con el crédito, pudiendo analizar la
evolución de los hábitos de la ciudadanía en esta materia o del nivel de
endeudamiento, particularmente si se confronta con la evolución del ciclo económico.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

74/184

Por este motivo, Equifax prevé el uso posterior de los datos con fines estadísticos. No
obstante, a fin de garantizar plenamente los derechos de los afectados, de forma que
la información no pueda asociarse a personas identificadas o identificables, someterá
esos datos a un proceso de agregación, de modo que los datos no puedan ya
singularizarse para un sujeto determinado. Además, esta operación se desarrollará
con un nivel mínimo de agregación de veinte sujetos por categoría, de forma que no
pueda tampoco inferirse a partir de los datos agregados la singularización de los
afectados. Por ello, si bien podría ser posible el uso de los datos, incluso
seudonimizados, con fines estadísticos, sólo se llevará a cabo ese uso previa
agregación de los mismos, de modo que se impida su singularización en el futuro.”

1.2 Principio de minimización.
Se pretende la plena garantía del principio de minimización, de forma que los sistemas
no incorporen ninguna información que no resulte absolutamente imprescindible para
poder valorar la solvencia de los clientes. Los datos cuya inclusión en el sistema
resultaría indispensable para el adecuado cumplimiento de la finalidad del mismo, sin
incorporar ninguna otra información adicional, aun cuando la misma pudiera resultar
relevante para el logro de dicho fin, son los que constan en el Anexo I como datos de.
“origen”.

1.3 Principio de conservación
Considera que el plazo de cinco años, contado desde la fecha del vencimiento del
correspondiente plazo es adecuado para la finalidad que persigue el fichero de
información judicial, teniendo además en cuenta que es éste el plazo recogido en el
artículo 20.1 d) de la LOPDGDD.

1.4. Principio de exactitud
En cumplimiento de este principio y dado que la publicación edictal únicamente
reconoce la existencia de la obligación de satisfacer lo adeudado, pero no se dispone
de información adicional que permita conocer efectivamente si esa cantidad se
adeuda en el momento de la notificación de inclusión, una posible solución a este
problema sería la limitación de plazos muy breves referidos a las citadas
comunicaciones, y en el sistema analizado esta exigencia se cumple, al reducirse el
plazo a las publicaciones acaecidas en los últimos cinco meses. Sin embargo, esta
reducción tampoco permite soslayar plenamente el riesgo derivado del tratamiento de
estos datos, pudiendo verse la calificación de un interesado negativamente por el
hecho de incorporarse una notificación edictal referida a una deuda ya satisfecha del
mismo modo que podría verse afectado favorablemente el sujeto al que se le hubiera
efectuado una notificación con una antigüedad de más de cinco meses y no hubiera
procedido al pago de la cantidad adeudada.

1.5 Garantía de los Principios de finalidad y minimización en el acceso al fichero.
Supuestos habilitantes y usos de los datos. Datos susceptibles de ser accedidos.
La aplicación de los principios de finalidad y minimización se verá reforzada en cuanto
al acceso a los datos con la aplicación de las siguientes garantías:

- Sólo podrán acceder a los datos las entidades que mantengan con sus clientes una
relación que determine la inclusión de sus datos en un SIC o a las que los afectados
hayan solicitado la celebración de un contrato cuya ejecución determinaría la inclusión
de tales datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

75/184

- Se adoptarán medidas tendentes a sancionar o incluso expulsar del sistema a las
entidades que lleven a cabo accesos no autorizados a los datos.
- Los datos relativos a las consultas previas del fichero, que no incluirán a la entidad
que hubiera accedido al mismo únicamente se referirán a los accesos producidos en
los últimos seis meses.

En todo caso, las entidades no podrían utilizar la información recabada del fichero de
fuentes públicas con la finalidad de conocer el funcionamiento del sector ni tampoco
con el fin de remitir ningún tipo de oferta comercial a quienes no tengan la condición
de clientes de la misma.

2. Transparencia e información a los interesados
En los supuestos de tratamientos basados en el interés legítimo prevalente se
refuerzan los mecanismos de información al interesado acerca del tratamiento de los
datos, en los términos establecidos en el artículo 14 del RGPD.

2.1 Información posterior a la recogida de los datos de fuentes públicas
Equifax deberá informar al interesado acerca de la inclusión de sus datos en el fichero.
en cumplimiento del art. 14 del RGPD: Corresponderá a Equifax acreditar el
cumplimiento del deber de informar, independientemente del medio utilizado para ello.
Dice que los datos contenidos en el fichero de fuentes públicas no serán accesibles
por parte de las entidades adheridas en tanto no se haya cumplido el plazo de treinta
días establecido para los SIC en el art. 20 LOPDGDD. Además, la información referida
a la notificación efectuada se incorpora a la base de datos de notificaciones, a fin de
acreditar su cumplimiento ante la AEPD.
No se incorporarán al fichero los datos referidos a los supuestos en que se haya
producido la devolución de la notificación por causas distintas a su rechazo, a menos
que hubiera sido remitida al domicilio contractual del deudor y éste apareciese como
desconocido, de conformidad con lo dispuesto en el artículo 4.2 d) de la LOPDGDD,
según el cual: “A los efectos previstos en el artículo 5.1.d) del Reglamento (UE)
2016/679, no será imputable al responsable del tratamiento, siempre que este haya
adoptado todas las medidas razonables para que se supriman o rectifiquen sin
dilación, la inexactitud de los datos personales, con respecto a los fines para los que
se tratan, cuando los datos inexactos:
d) Fuesen obtenidos de un registro público por el responsable”.
De este modo, se establecen garantías suficientes para determinar que no existe un
riesgo en el tratamiento de esta información.

2.2 Imposibilidad material de información en caso de no tener dirección del interesado
Existen supuestos en que la información publicada en las fuentes de acceso público
no incluye una dirección postal a la que poder realizar la notificación de inclusión en
los términos del art. 14 RGPD.
En estos supuestos, y siguiendo las interpretaciones Grupo de Trabajo del artículo 29,
en la Guía de transparencia bajo el régimen normativo del RGPD, de 29/11/2017,
revisada y adoptada el 11/04/2018, se limita a transcribir lo siguiente:
“59. La situación en la que "resulta imposible" según el Artículo 14.5 (b) proporcionar
la información es una situación de todo o nada porque algo es imposible o no lo es; No
hay grados de imposibilidad. Por lo tanto, si un responsable del tratamiento busca
confiar en esta exención, debe demostrar las razones que realmente le impiden
proporcionar la información en cuestión a los interesados. Si, después de un cierto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

76/184

período de tiempo, las razones que causaron la "imposibilidad" ya no existen y es
posible proporcionar la información a los interesados, entonces el responsable del
tratamiento debe hacerlo inmediatamente. En la práctica, habrá muy pocas
situaciones en las que un responsable del tratamiento pueda demostrar que en
realidad es imposible proporcionar la información a los interesados.

3. Derechos de los afectados
Se prevén protocolos específicos para atender los derechos de los artículos 15 a 22
del RGPD, cuyas solicitudes, con carácter general, serán atendidas en el plazo de
quince días hábiles desde su recepción por el responsable del fichero.

3.1 Acceso remoto y permanente a la información del sistema

3.2 Derechos de rectificación, supresión y limitación del tratamiento
a) Rectificación La solicitud de rectificación deberá indicar el dato que es erróneo y la
corrección que debe realizarse y deberá ir acompañada de la documentación
justificativa de la rectificación solicitada.
b) Supresión El interesado podrá ejercitar el derecho de supresión respecto de los
datos que no deberían figurar en el sistema, bien por no corresponderse con la
realidad, bien como consecuencia del transcurso del plazo de conservación al que se
ha hecho referencia en un lugar anterior. Cuando el derecho de supresión conlleve el
ejercicio del derecho de oposición se estará a lo señalado en el apartado 3.3 siguiente.
c) Limitación del tratamiento. El artículo 18 del RGPD enumera los supuestos
legitimadores del ejercicio del derecho a la limitación del tratamiento. resultan
especialmente relevantes los relacionados con los supuestos en que el afectado
ejercite el derecho como consecuencia de la invocación de las letras a), b) y c) del
artículo 18.1; es decir, cuando “el interesado impugne la exactitud de los datos
personales, durante un plazo que permita al responsable verificar la exactitud de los
mismos”, cuando “el tratamiento sea ilícito y el interesado se oponga a la supresión de
los datos personales y solicite en su lugar la limitación de su uso” o cuando “el
responsable ya no necesite los datos personales para los fines del tratamiento, pero el
interesado los necesite para la formulación, el ejercicio o la defensa de
reclamaciones”.
En estos casos, se plantea el problema de que el ejercicio del derecho en el momento
inmediatamente anterior a la solicitud de una operación financiera de crédito podría
implicar que la consulta del sistema arrojase una imagen del interesado no ajustada a
la realidad, sustrayéndose de dicha imagen determinados datos que estuvieran siendo
objeto de valoración y, durante ese plazo, tuvieran su tratamiento limitado.
Prevé que en los ficheros de fuentes públicas se introduzca una regla equivalente a la
prevista en el artículo 20.1.e) de la LOPDGDD, a fin de garantizar le adecuado
cumplimiento por los mismos de la finalidad que justifica el tratamiento de la
información y garantizar la exactitud de las consultas, pero internamente en Equifax se
plantea dentro de una fase II de desarrollo.
de limitación del tratamiento al invocarse la inexactitud o inexistencia del dato o su
tratamiento ilícito, se tratará como una baja procediendo al borrado del dato en el
sistema.

3.3 Derecho de oposición. Con el fin de proteger y ser garantista con el consumidor
que invoca su derecho de oposición por estar incluido en una base de datos cuya
información ha sido obtenida de una fuente pública, los interesados podrán ejercitar su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

77/184

derecho de oposición a figurar en el fichero Judicial a su simple petición, sin necesidad
de exigirle que justifique con motivos concretos dicha petición, salvo acreditación de su
identidad o certificados de corriente de pago en AEAT o SS. En este caso, se
procederá a la exclusión de todos sus datos del fichero de manera automática.

3.4 Decisiones personales automatizadas e información a los afectados
El artículo 22 del RGPD reconoce el derecho del afectado a no ser objeto de una
decisión basada únicamente en el tratamiento automatizado de sus datos, incluida la
elaboración de perfiles, que produzca efectos jurídicos o le afecte significativamente
de modo similar. Dice el documento que no será posible la adopción por las entidades
adheridas al SIC de una decisión personal automatizada relativa a la contratación de
un producto financiero de consumo solicitado por el interesado, siendo la información
contenida en el fichero de fuentes públicas únicamente uno de los elementos a tomar
en consideración para la adopción de la decisión final acerca de dicha contratación.

4. Medidas de responsabilidad activa
4.1 Medidas técnicas y organizativas y delegado de protección de datos

4.2 Requisitos para el acceso: limitación, trazabilidad y seguridad

4.3. Auditoría de las entidades participantes en el sistema

4.4 Reacción ante quiebras de seguridad

8. Enumeración de las garantías adicionales a adoptar tras el RGPD y la LOPDGDD.
Prevé la implantación de las siguientes garantías, adicionales a las establecidas en la
normativa de protección de datos, a fin de garantizar una adecuada ponderación de
los derechos e intereses de los afectados con el interés legítimo que justifica la
existencia de estos Ficheros.
 Los ficheros únicamente incorporarán los datos mínimos necesarios para la
identificación de los interesados (DNI/NIF, nombre y apellidos, domicilio) y sus
deudas asociadas publicadas (ej.: casos de embargos).
 En el proceso de Cargas de información Judicial y BORME, se crearán
ficheros temporales en Pick que solo se mantendrán durante 15 días.
 Captura de datos conforme a los criterios de publicación de la Disposición
Adicional 7ª de la LOPDGDD y su interpretación por parte de la AEPD, con la
garantía adicional de no captura de datos asteriscados.
 Sólo se capturarán datos de nombre y apellidos de un interesado cuando los
mismos vengan acompañados de domicilio postal y/o DNI completo.
 Control de calidad en la captura y posterior inclusión de todas las direcciones
postales publicadas, relativas a los interesados, con carácter previo a la carga
en la BBDD Judicial.
 Sólo se mantendrá información referente a los incumplimientos, producidos en
los últimos 5 años (por analogía con negativa, tal y como se reguló en el art.
29.1 de la LOPD adaptado al plazo actual del art. 20.1 d) de la LOPDGDD de
cinco años).
 Una vez cumplidos los plazos mencionados, la entidad gestora del fichero
únicamente podrá conservar los datos para fines estadísticos y exclusivamente
si procede a un previo proceso de agregación de los datos, de forma que los
mismos no puedan referirse a un colectivo de personas inferior a veinte.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

78/184

 Los interesados son siempre informados acerca de la inclusión de sus datos en
el Fichero Judicial en el momento de la misma mediante el envío de una carta
informativa que reúne todos los requisitos del art. 14 RGPD, concretamente en
cumplimento del art. 14.2 f) de dicha norma.
 Gestión cartas devueltas: Podrán ser incluidos en el fichero Judicial las cartas
cuyo motivo de devolución sea: “rechazo por parte del consumidor” o
“desconocido”. (se adjunta documento acreditativo del protocolo que se sigue,
auditable y trazable).
 Bloqueo de los datos: Los datos permanecerán bloqueados durante los treinta
días siguientes a la inclusión de la deuda en el fichero Judicial, pasado dicho
plazo los datos podrán ser visibles por todas las entidades consultantes.
 El sistema contará con protocolos específicos encaminados a la atención de
los derechos consagrados por los artículos 15 a 22 del RGPD. Con carácter
general, dichas solicitudes serán atendidas en el plazo de quince días hábiles
desde su recepción por el responsable del fichero (Equifax Ibérica, S.L.).
 A fin de reforzar el derecho de acceso, Equifax establecerá un mecanismo de
acceso remoto, directo y seguro a los datos personales incorporados en el
mismo, garantizándose así su acceso permanente por los interesados. En caso
de ejercicio por un interesado de su derecho de acceso, el responsable del
fichero le remitirá al mencionado sistema, dando así por respondida su
solicitud.
 El interesado podrá, sin perjuicio de lo anterior, ejercitar gratuitamente su
derecho de acceso a los datos contenidos en el sistema máximo 5 veces al
mes, facilitándose por el responsable del fichero copia de los datos
incorporados al mismo. En caso de ejercicio del derecho en más de una
ocasión deberá proceder al abono de un canon orientado a costes que en
ningún caso excederá de cinco euros.
 El interesado podrá ejercitar el derecho de rectificación ante la entidad
responsable del fichero. Dichos derechos serán atendidos en un plazo máximo
de quince días.
 Cuando se ejercite el derecho de limitación del tratamiento al invocarse la
inexactitud o inexistencia del dato o su tratamiento ilícito, se tratará igual que
una cancelación o supresión de datos, es decir será una baja, con indicación
del motivo de la cancelación.
 Los interesados podrán ejercitar su derecho de oposición a figurar en el fichero
Judicial a simple petición del consumidor sin necesidad de exigirle que
justifique con motivos concretos su petición salvo acreditación de su identidad
o certificados de corriente de pago en AEAT o SS. En este caso, se procederá
a la exclusión de todos sus datos del fichero de manera automática.
 En ningún caso será posible la adopción por las entidades consultantes del
fichero Judicial de una decisión personal automatizada relativa a la
contratación de un producto financiero de crédito solicitado por el interesado,
siendo la información contenida en el fichero Judicial únicamente uno de los
elementos a tomar en consideración para la adopción de la decisión final
acerca de dicha contratación, salvo que se solicite el consentimiento del
interesado. En todo caso se informará al interesado si la información contenida
en el fichero judicial ha sido tenida en cuenta para la denegación del préstamo
o crédito.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

79/184

 Se realizará una previa evaluación de impacto en la protección de datos en los
términos establecidos en el artículo 35 del RGPD.
 De conformidad con el artículo 34.1 j) de la LOPDGDD la entidad responsable
del sistema común contará con un Delegado de Protección de Datos
 Se limitará el personal de las entidades adheridas con acceso a la información
del fichero,
 El sistema garantizará
 la trazabilidad de los accesos al mismo, produciéndose el intercambio de los
datos a través de protocolos seguros que impidan su acceso por terceros
durante su comunicación.
 Equifax auditará periódicamente, a través de técnicas de muestreo, los
accesos al sistema, recabando cuando fuera necesaria la información que
acredite la licitud de los mismos y en particular el uso de los datos para las
exclusivas finalidades de evaluación de solvencia que justifican el acceso al
fichero.
 Se adoptará un protocolo de respuesta ante las quiebras de seguridad que
garantice su inmediata comunicación a la AEPD y, cuando procediera, a los
interesados.

Anexo I al documento:
Se reproduce a continuación la información que figura en las columnas con estas
rúbricas: “Tipo de información” y la correlativa de las columnas “Fuente de datos” y
“Web de descarga”.

1.Notificaciones Administrativas de la AEAT (Pre-judiciales). Fuente de datos: BOE.
Web de descarga: Suplemento Notificaciones del BOE diario ->
2. Notificaciones Administrativas de la AEAT (Judiciales) Fuente de datos: BOE. Web
de descarga: Suplemento Notificaciones del BOE diario ->
3. Administración de Justicia. Juzgados de 1ª Instancia e Instrucción y Juzgados de lo
Mercantil (Judiciales-Concursos) Fuente de datos: BOE. Web de descarga:
Disposiciones y Anuncios del BOE diario -> Sección IV. Administración de Justicia
4.Administración de Justicia. Juzgados De lo Social (Judiciales) Fuente de datos: BOE.
Web de descarga: Disposiciones y Anuncios del BOE diario -> Sección IV.
Administración de Justicia
5.Notificaciones Administrativas de la TGSS (judiciales) Fuente de datos: BOE. Web
de descarga: Suplemento Notificaciones del BOE diario ->
6. Notificaciones Administrativas de la TGSS (reclamaciones) (Ultimo día que hubo
publicaciones en el BOE fue el 24 de mayo del 2019) Fuente de datos: BOE. Web de
descarga: Suplemento Notificaciones del BOE diario ->
7.Notificaciones Administrativas de la Comunidades Autónomas Fuente de datos:
BOE. Web de descarga: Suplemento Notificaciones del BOE diario ->
8. I. Actos Inscritos (Judiciales-Concursos) Fuente de datos: BORME. Web de
descarga: del boe /Borme diario
9. Sección I. Actos Inscritos Fuente de datos: BORME. Web de descarga: boe /Borme
diario
10. Administración de Justicia. Juzgados de 1ª Instancia e Instrucción y Juzgados de
lo Mercantil (Judiciales-Concursos) Fuente: BOCAM o BOP. Web de descarga: boe.
Boletines Autonómico y Boletines Provinciales
11.Administración de Justicia. Juzgados de lo Social (Judiciales) Fuente de datos:
BOCAM o BOP. Web de descarga: boe. Boletines Autonómico y Boletines Provinciales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

80/184

12. Notificaciones Administrativas de la Comunidades Autónomas (judiciales) Fuente
de datos: BOCAM o BOP. Web de descarga: boe. Boletines Autonómico y Boletines
Provinciales.
13. Anuncios de Notificaciones de la TGSS (judiciales) Fuente de datos: TGSS. Web
de descarga: sede.seg-social.gob.es Tablón Anuncios (TANUSS)
14. SECCIÓN I - Edictos Concursales: www.publicidadconcursal.es (Judiciales-
Concursos) SECCIÓN II - Publicidad Registral (Judiciales-Concursos) SECCIÓN III -
Acuerdos Fuente de datos: Registro público concursal. Web de descarga:
www.publicidadconcursal.es

4.- La pregunta formulada en el punto 4.5 del escrito de petición de prueba versó sobre
el/los criterio/s que el FIJ utiliza para organizar en sus sistemas los datos personales
tratados a fin de que sus titulares se encuentren debidamente identificados. Se
solicitaba información tanto de los criterios utilizados inicialmente como de los cambios
adoptados con indicación de las fechas.

La reclamada explica que los criterios de integración en el FIJ de los datos que captura
referentes a personas físicas está en función de las fuentes de las que proceden
puesto que, dice, “La forma en que los diferentes organismos públicos han venido
publicando la información, ha variado en el tiempo”, por lo que ha tenido que
adaptarse a dichos cambios, “con la finalidad de que los titulares puedan ser debida e
inequívocamente identificados.” Añade que la última variación en la forma de
publicación de los datos deriva de la disposición adicional séptima de la LOPDGDD.

Se debe destacar que la reclamada no ha proporcionado la información que se solicitó,
referente a las fechas en las que se adoptaron los diferentes criterios. Nos ofrece la
siguiente información sin especificar en qué fecha implementó estos criterios:

a) Caso de que sólo se publique el NIF/NIE: entonces “se verifica si en la fecha de
publicación, el NIF/NIE en cuestión, se encuentra registrado en la información activa
del FIJ (excluyendo por tanto la que se encuentre bloqueada). En función del resultado
obtenido se llevan a cabo diferentes actuaciones:”
a´) Si el identificador ya está incluido en el FIJ asociado a un nombre y apellidos, se
registra en el FIJ la nueva información publicada.
a´´) Si ese identificador no está incluido en el FIJ, se descarta la grabación del registro.

b) En el caso de que se publique el nombre y apellidos y NIF/CIF incompleto: se
descarta la grabación del dato en el fichero FIJ.

c) Supuestos en los que aparece publicado nombre + apellidos+ domicilio: Se procede
a la grabación del registro en el fichero FIJ, asociando ambos datos.

d) Supuestos en los que sólo aparezca publicado nombre + apellidos: En este
supuesto, se descarta la grabación del dato en el fichero FIJ.

Y añadió: “En consecuencia, cabe concluir de lo descrito que únicamente se
incorporan al fichero aquellas notificaciones en las que o bien se contiene el nombre y
apellidos asociado bien a un DNI o NIF completo (lo que ya no sucede como
consecuencia de la aplicación de la DA séptima de la LOPDGDD), o bien a un
domicilio determinado. Fuera de estos casos, únicamente se incorporarían al FIJ los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

81/184

datos en caso de que ya obrase en el mismo la información referida a un DNI
completo y asociada a su titular.”

4.- La pregunta del punto 4.6. versó sobre el número de personas físicas de las que
existieron registros de datos activos en el FIJ durante los últimos seis años, debiendo
facilitar la información desglosada por años y aportar la documentación que sirva de
fundamento a su respuesta.

La reclamada facilita dos tablas con esta información. Por una parte, una tabla con el
“número medio” de personas físicas que en el periodo 2016-2021 figuraron en el FIJ.
Año 2016:4.624.312; año 2017: 4.879.391; año 2018: 4.940.225; año 2019: 4.657.196;
año 2020:4.183.445; año 2021: 3.826.436.

Por otra, facilita una tabla con el número de personas físicas que han sido incluidas en
el FIJ desde el 25/05/2018: En el año 2018: 196.653; en el 2019: 62.113; en el 2020:
20.193 y en el año 2021: 2.358.

La reclamada, pese a que expresamente se le requirió, no aporta ningún documento
que acredite la veracidad de la información ofrecida. Además, hace los siguientes
comentarios:
Que desde el 25/05/2018 se ha incluido un total de 282.037 personas físicas y se ha
producido “una reducción sistemática del número de personas incluidas” que es
debido “a la progresiva implantación de las reglas establecidas en la disposición
adicional 7ª de la LOPGDD.
Que la mayor parte de los registros que permanecen en el fichero son anteriores a la
entrada en vigor del RGPD, cuando el artículo 29.1 de la derogada LOPD establecía
un plazo de conservación de los datos en el fichero de 6 años. Y concluye diciendo
que “[...]la mayor parte de los registros que permanecen en el FIJ fueron recabados
antes de la entrada en vigor del RGPD, cuando no había existido por parte de la AEPD
ninguna objeción o cuestionamiento de ninguna naturaleza acerca de la suficiencia de
la base legítima del tratamiento en el fichero ni se había discutido en ningún momento
por aquélla el cumplimiento de los principios establecidos en la normativa de
protección de datos.”

5.- En el punto 4.7. se preguntó por el volumen de negocio total anual global durante el
ejercicio financiero 2019. Responde facilitando sus cuentas anuales individuales
(documento 19) a fecha 31/12/21019 que incluyen una cifra de negocio por un importe
neto de 42.259.655 euros.

6.- La pregunta del apartado 4.8 versó sobre el resultado económico obtenido por la
reclamada durante los últimos seis años derivado, exclusivamente, de la actividad que
ha desarrollado a través del FIJ, desglosado el resultado por anualidad o, en su caso,
ejercicio y acreditando documentalmente su respuesta.

La reclamada ha facilitado una tabla con los importes de los “ingresos directos en
relación con el servicio de acceso al FIJ prestado a los clientes de manera directa
desde el año 2015”. Estos ingresos oscilan entre los 316.204€ del año 2015 y
1.734.763 € en el año 2020. No obstante, la reclamada precisa “que la contratación de
otros servicios por parte de los clientes [...] puede incluir, complementariamente la
posibilidad de consulta del FIJ, acordándose con los clientes un precio conjunto por la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

82/184

totalidad del servicio. En estos supuestos, [la reclamada] no dispone de información
contable que permita determinar que imputación del precio satisfecho por los clientes
podría realizarse [sic] al FIJ.”. (El subrayado es nuestro)

Extremo del que se concluye que, necesariamente, la cifra es mucho mayor pues la
mayoría las entidades -podríamos afirmar que, al menos, todas las del sector
financiero- disponen de acceso a los dos ficheros cuyos servicios presta la reclamada.
Esto significa que, las cifras facilitadas no ofrecen una imagen real del resultado
económico referente al FIJ.

Por otra parte, la reclamada ha advertido que la información ofrecida no le permite
desglosar qué parte de esos ingresos directos obtenidos proceden del acceso a
información relativa a personas físicas y cuál del acceso a información relativa a
personas jurídicas, a las que no se le aplica la normativa de protección de datos, por lo
que, dice, las cifras que ha facilitado deberían considerarse minoradas. Precisa
también que la información económica que facilita se refiere al importe de los ingresos
directos obtenidos, sin tener en cuenta los costes, pues no tiene un sistema de
imputación de costes vinculado a cada uno de los ficheros que gestiona.

7.- La pregunta formulada en el punto 4.9. versó sobre el número de asociados “que
tiene y ha tenido la reclamada” con acceso a la información ofrecida por el FIJ.

La reclamada matiza de nuevo que existen supuestos de contratación directa del FIJ y
otros en los que el acceso al FIJ se produce como servicio complementario a los
contratados por los clientes. Indica que el número de entidades que han contratado el
acceso a la información del FIJ de manera directa es de 18 pero que otras 310
entidades pueden acceder al FIJ como servicio complementario a los contratados con
ella.

8.- La pregunta del apartado 4.10. versó sobre los documentos -a los que aludió en
sus alegaciones al acuerdo de inicio- en los que la AEPD, con su actuación, “había
concluido inequívocamente lícita la actuación de EQUIFAX”. Esto, sin perjuicio de las
resoluciones de Tutela de derechos a las que hacía referencia en el escrito de
alegaciones al acuerdo de inicio.

La reclamada responde que “Las actuaciones de la AEPD que a esta parte le consta
que han venido a ratificar tanto la legitimidad del tratamiento de datos realizado por mi
representada en el FIJ [...] y que se encuentran plasmadas en documentos concretos
son las resoluciones de los Tutelas de Derecho que han estimado y confirmado,
incluso con posterioridad a la entrada en vigor del RGPD y la LOPDGDD los criterios
seguidos por EQUIFAX para denegar la supresión solicitada en aquellos supuestos en
que el interesado no acreditaba el abono de la deuda que constaba inscrita en el FIJ. “

Añade que “[...] entiende respetuosamente que el comportamiento de la AEPD (a
través de resoluciones que incluso constan en el expediente administrativo) no hizo
sino poner de manifiesto la conclusión de que el tratamiento resultaba lícito y
amparado en la normativa de protección de datos. Es preciso a tal efecto poner de
manifiesto que si en un procedimiento en que un interesado invoca que un dato objeto
de tratamiento debe ser suprimido la Autoridad de Control concluye en la
improcedencia de llevar a cabo esa supresión, no hace otra cosa que validar la licitud
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

83/184

del tratamiento, toda vez que en caso contrario sí procedería esa supresión, conforme
a lo establecido en el artículo 17.1 d) del RGPD.

Si la AEPD consideraba el tratamiento ilícito, como parece derivarse del presente
expediente, debió en primer lugar acordar la supresión de los datos y, seguidamente,
requerir a EQUIFAX para que realizase las acciones necesarias para adecuar el
tratamiento a la legislación vigente en la materia. Sin embargo, la AEPD no tomó
ninguna de estas decisiones, sino que confirmó que los datos cuya supresión se
solicitaba debían permanecer en el FIJ. (El subrayado es nuestro)

De este modo, la conducta de la AEPD pone de manifiesto su parecer de que el
tratamiento llevado a cabo por EQUIFAX era completamente conforme a la normativa
de protección de datos (insistimos que también con posterioridad a la plena aplicación
del RGPD, tal y como consta en el expediente), por lo que tal resolución es una
manifestación inequívoca de la AEPD sobre el cumplimiento de la normativa de
protección de datos por EUIFAX, plasmada en un acto administrativo dotada de plena
ejecutividad.”

DUODÉCIMO: Fase de prueba. (I) Segunda solicitud de prueba a la reclamada. (II)
Petición de ampliación del plazo para responder (III) Respuesta de la reclamada a las
pruebas.

I. En escrito firmado por la instructora el 01/02/2021, cuya notificación electrónica
consta aceptada por la destinataria el 02/02/2021, se solicitan a la reclamada nuevas
pruebas (segundas pruebas o pruebas adicionales). Se requiere a la entidad para que,
en el plazo de diez días, facilite los documentos y/o explicaciones siguientes:

“1.-Que, respecto al Fichero de Incidencias Judiciales y Organismos Públicos
(FIJ), detalle el protocolo que EQUIFAX ha tenido implementado durante los seis
años precedentes encaminado a garantizar que los datos personales que
constan incorporados a dicho fichero se encontraban en todo momento
debidamente actualizados. Deberá aportar la documentación que acredite sus
manifestaciones.

2.- Habida cuenta de que EQUIFAX ha alegado que cuando los datos
personales son incorporados al FIJ dirige comunicaciones a los afectados a fin
de informarles de su inclusión en ese fichero, que detalle cuáles son los medios
que utiliza y ha venido utilizando durante los últimos seis años para llevar a cabo
las comunicaciones las que ha aludido. Deberá aportar la documentación que
acredite sus manifestaciones.

3.- Que detalle qué porcentaje de las incidencias incorporadas al FIJ durante
cada uno de los seis años precedentes fueron comunicadas por EQUIFAX a los
afectados. Deberá aportar la documentación que acredite sus manifestaciones.

4.- Respecto a las comunicaciones que EQUIFAX hubiera enviado a los
afectados notificándoles la inclusión de sus datos personales en el FIJ, que
detalle qué porcentaje de las enviadas fueron devueltas a EQUIFAX o resultaron
infructuosas por otros motivos. Deberá aportar la documentación que acredite
sus manifestaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

84/184

5.- Que remita una copia del documento que EQUIFAX pone a disposición de
sus asociados/clientes relativo al uso que éstos pueden hacer de los datos
personales a los que acceden a través del FIJ (exclusivamente aquella parte del
documento que se ocupe de tal cuestión). Deberá aportar el documento/s
facilitados durante los últimos seis años en caso de que hayan sido modificados
durante este periodo. De aportar varias versiones deberá especificar la fecha
durante la cual estuvo vigente cada una.”

II. En fecha 09/02/2021 se recibe en esta Agencia un escrito de la reclamada en el
que, además de pedir que, en virtud de lo dispuesto en el artículo 76 de la LPACAP, se
den por reproducidas a efectos de prueba las alegaciones complementarias que
presentó el 24/01/2021, solicita que se amplíe en cinco días el plazo fijado inicialmente
para responder a las pruebas adicionales. Se acuerda la ampliación de plazo
solicitada, hecho que se comunica a la reclamada en escrito de fecha 11/02/2021,
notificado electrónicamente en la misma fecha, que fue aceptado por la destinataria el
12/02/2021.

III. Respuesta de la reclamada a la segunda petición de prueba.

En fecha 23/02/2021 se recibe en la sede electrónica de este organismo la respuesta
de la reclamada a las pruebas complementarias solicitadas; escrito que lleva como
título “Contestación a la solicitud de información adicional realizada por la Agencia
Española de Protección de Datos. 23 de febrero de 2021” y que consta de 6 páginas.

Comienza su respuesta invocando la “confidencialidad y el secreto empresarial de los
documentos aportados junto con el presente escrito [...]” respecto a los que pide que
sean tratados sin difusión de los elementos que afectan a su configuración empresarial
ni al secreto de su actuación comercial.

Sin embargo, la reclamada no ha aportado anexo al escrito ningún documento ni
tampoco se ha recibido en esta Agencia en fecha posterior ningún documento con la
finalidad de acreditar la veracidad de lo afirmado en su respuesta a las pruebas
complementarias solicitadas. Extremo de relevancia por cuanto se le requirió
expresamente para que aportara la documentación que acreditara sus
manifestaciones. El acuse de recibo de GEISER de fecha 23/02/2021, acredita que la
reclamada presentó en esa fecha, a las 22:20:48 (Horario peninsular), exclusivamente,
el escrito de contestación a la segunda solicitud de prueba. Nada dice sobre supuestos
documentos anexos.

La respuesta de la reclamada a las pruebas complementarias solicitadas es la
siguiente:
1.-A la primera pregunta responde: “Para garantizar que los datos capturados en el FIJ
están actualizados, Equifax se basa principalmente en:

1) Limitación de las fuentes de las que se nutre el fichero FIJ: como ya se informó en
nuestros anteriores escritos, Equifax recaba la información que se registra en el FIJ de
los Boletines Oficiales publicados por el Estado, las Comunidades Autónomas las
Diputaciones Provinciales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

85/184

La utilización en exclusiva de esta fuente garantiza que toda la información que se
recaba tiene la consideración de oficial y auténtica tal y como señala el artículo 3.1 del
Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial <<Boletín
Oficial del Estado>>. Por tanto, la utilización de esta fuente es, en nuestra opinión una
garantía de que no existen dudas acerca de la actualización y veracidad de la
información incorporada al FIJ.
Los boletines se descargan el mismo día de su publicación, por lo que la información
del FIJ se actualiza de manera diaria con la información contenida en los Boletines.

2) Procesos automáticos de captura de información: la descarga de los boletines y el
posterior registro de los datos en el FIJ se realiza mediante procesos automatizados
evitando así posibles errores provenientes de procesos manuales. Para la lectura de
los datos de los boletines se utilizan procesos de lectura de OCR que garantizan la
correcta lectura y grabación de los datos que se publican en los boletines

3) Criterios de grabación: como hemos señalado en la contestación a la primera
solicitud de información de la AEPD, Equifax tiene implementados criterios de
grabación específicos y ya detallados previamente a esa AEPD, a fin de asegurar que
los titulares son inequívocamente identificados para que proceda su inclusión en el
FIJ. Estos criterios garantizan que sólo existan datos de titulares debidamente
identificados

4) Notificación de inclusión: esta parte viene realizando a los titulares cuyos datos han
sido recogidos desde el 25 de mayo de 2018, una notificación específica de su
inclusión en el FIJ, como medida para garantizar la actualización de los datos. Dichas
comunicaciones permiten a los interesados, de una manera gratuita y sencilla,
comprobar si efectivamente los datos que han sido publicados por los diferentes
boletines oficiales y que han sido recogidos por mi representada contienen algún error.

5) Atención de Ejercicio de derechos: mediante la atención de reclamaciones de los
titulares en el ejercicio de sus derechos, los interesados pueden, conforme a lo
previsto en la normativa de protección de datos, conocer qué datos están incluidos en
el FIJ, con qué finalidad se usan, y, en todo momento, rectificar, cancelar, oponerse y
limitar el tratamiento de sus datos personales”.

2.- A la segunda pregunta responde, en primer término, recordando que la Audiencia
Nacional reiteró a través de sus Sentencias -SSAN de 29/06/2001(Rec.1012/1999);
29/11/2001 (Rec.531/2000) y de 27/02/2008 (Rec. 358/2006)- que el régimen de
protección de datos contenido en la ya derogada LOPD no contemplaba una
obligación de notificar a los interesados la inclusión de sus datos personales en el FIJ.
Transcribe el siguiente fragmento de la SAN de 27/02/2008:

“[...], ha de concluirse que la notificación de la inclusión solo es exigible en el supuesto
en el que concurran dos notas: que los datos se refieran al cumplimiento o
incumplimiento de obligaciones dinerarias; y que los mismos sean facilitados por el
acreedor o quién actúe por su cuenta o interés. De lo que se infiere que, habiéndose
tomado los datos personales, en el supuesto ahora enjuiciado, del Boletín Oficial de la
Comunidad de Madrid, no existía obligación ninguna de notificar su inclusión en el
Fichero de Incidencias Judiciales al titular de los mismos.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

86/184

La reclamada reconoce que hasta la entrada en vigor del RGPD no realizaba
notificación alguna a los afectados; lo que justifica en que existía “un refrendo expreso
en este sentido por parte de la Audiencia Nacional”.

Indica que, tras la entrada en vigor del RGPD, “en el marco de sus obligaciones de
responsabilidad pro-activa establecidas [...] y aun cuando la doctrina [...] de la
Audiencia Nacional no se había visto afectada”, ha considerado procedente notificar la
inclusión a los afectados cuyos datos se registraban en el FIJ. Sin embargo, advierte a
continuación que “la cuestión de si procede o no llevar a cabo dicha notificación no ha
sido definitivamente adoptada en el marco de la relación existente entre esa AEPD y
ASEDÍE dentro del proceso de elaboración y aprobación del Código de Conducta al
que Equifax ya hizo reiterada referencia en su escrito de alegaciones al Acuerdo de
Inicio.”

Añade que las notificaciones a los interesados de la inclusión de sus datos en el FIJ se
efectúan a través de un tercero independiente, que las efectúa mediante un
procedimiento auditable.

3.- Responde a la tercera pregunta indicando que, en congruencia con lo expuesto,
sólo puede facilitar datos de las notificaciones desde el 25/05/2018, fecha en la que ha
considerado oportuno realizarlas. Afirma que en sus archivos informáticos consta que,
desde el 25/05/2018, han enviado un total de 509.470 notificaciones.

A partir de aquí, la reclamada desglosa por años el total de las notificaciones que dice
haber efectuado. Lo mismo hace al responder a la pregunta número 4. Se reproduce
seguidamente la información que ha ofrecido en su respuesta a las pruebas
complementarias solicitadas.

Desglose por años de las notificaciones enviadas: 2018: 339.436; 2019: 116.236;
2020: 47.3888; 2021: 6.407.

4.- Responde a la pregunta número 4 facilitando unos datos -sin soporte documental
alguno- sobre las notificaciones que resultaron infructuosas desglosados por años y
por motivos de devolución. Los motivos de devolución que considera son: 01, señas
incorrectas; 02, fallecido; 03, desconocido; 04, ausente; 05, rehusado; 06, otros; 07,
dirección insuficiente; 08, dirección incorrecta.

Facilita la siguiente información sobre las notificaciones infructuosas:
1. Año 2018.Total de reclamaciones infructuosas: 66.418. Motivo 01: 13.299; motivo
02: 312; motivo 03: 47.883; motivo 04: 1.563; motivo 05: 68; motivo 06: 3.293.

2. Año 2019.Total de reclamaciones infructuosas: 24.812. Motivo 01: 5.498; motivo 02:
139; motivo 03: 17.299; motivo 04: 462; motivo 05: 25; motivo 06: 1.229.

3.Año 2020.Total de reclamaciones infructuosas: 9.673. Motivo 01: 2.928; motivo 02:
24; motivo 03:5.945; motivo 04: 150; motivo 05: 23; motivo 06: 603.

4. Año 2021. Total de reclamaciones infructuosas: 1. Motivo 01: 1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

87/184

5.- La prueba que se requirió en el punto 5º del escrito de petición de prueba
complementaria tenía por objeto que la reclamada aportara la copia del documento
solicitado y sus modificaciones, si las hubiera. Sin embargo, la reclamada no ha
aportado ningún documento y se ha limitado a responder que las entidades pueden
acceder a la información registrada en el FIJ bien como un servicio contratado de
forma independiente o bien como un servicio complementario con otros servicios
prestados por EQUIFAX. A continuación, ha reproducido unos breves fragmentos que
supuestamente proceden del contrato de servicios que suscribe con las entidades que
acceden al FIJ, tanto del modelo de contrato que se celebraba antes de la entrada en
vigor del RGPD como del modelo usado después de la entrada en vigor del
Reglamento (UE) 2016/679.

Facilita a tal fin estos textos: Con la rúbrica “Apartado de estipulaciones/definiciones
del contrato”, reproduce un fragmento que corresponde a la identificación de la
reclamada como parte en el contrato. Entre ambos modelos de contrato el texto varía,
exclusivamente, en el domicilio y en la mención a la inscripción en el Registro de la
AEPD que se incluye únicamente en el modelo utilizado antes de la vigencia del
RGPD.

“EQUIFAX: EQUIFAX IBERICA S.L. con domicilio en [...], titular del Fichero de
Incidencias Judiciales y Reclamaciones de Organismos Públicos, cuya información
procede de fuentes accesibles al público [...] (en adelante EL FICHERO JUDICIAL),
siendo su finalidad la prestación de los servicios de información sobre solvencia
patrimonial y crédito...”

Facilita este otro fragmento con la rúbrica “Cláusula de obligaciones y
responsabilidad:” “Del cumplimiento de las obligaciones que les correspondan
conforme [se hace referencia según los casos al RGPD o a la LOPD según el modelo
de contrato] y en la normativa nacional que sea de aplicación.”
“De las responsabilidades que para cada uno se pudieran derivar ante la AGENCIA
ESPAÑOLA DE PROTECCIÓN DE DATOS (en adelante AEPD).”
“De las responsabilidades que a cada uno le pudieran ser exigidas por terceros
derivadas de sus incumplimientos del presente contrato.”.

DECIMOTERCERO: Fase de prueba. Petición de prueba a la Subdirección del
Registro General de Protección de Datos de la AEPD.

En escrito firmado por la instructora el 04/02/2021, notificado el 05/02/2021 que consta
recibido el 09/02/2021, se solicita al Subdirector General del Registro General de
Protección de Datos de la AEPD, las siguientes diligencias de prueba:

1.- Que informe si actualmente se encuentra aprobado por la AEPD el código de
conducta del Sector Infomediario que ASEDIE promueve. En caso afirmativo, se ruega
que nos facilite la fecha en la que fue aprobado y nos remita una copia del documento.
2. Si el citado código de conducta no hubiera sido aprobado, se ruega que aporte la
siguiente documentación e información:
2.1. La copia del proyecto de código de conducta que ASEDIE presentó ante la AEPD
en mayo de 2020.
2.2. Que informe si esa Subdirección ha remitido a ASEDIE alguna valoración o
informe referente al proyecto que presentó en mayo de 2020. En caso afirmativo, se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

88/184

ruega que aporte una copia de dicho informe y nos facilite la fecha en la que se
hubiera traslado a la Asociación -fecha de puesta a disposición- así como la fecha en
la que la ésta hubiere accedido a la notificación.

Mediante escrito firmado y notificado el 10/02/2021, el Subdirector General del
Registro General de la AEPD responde en los siguientes términos:
“1.- El proyecto de código de conducta presentado para su aprobación por la Agencia
Española de Protección de Datos por la Asociación Multisectorial de la Información
(ASEDIE), se encuentra en tramitación, actualmente pendiente del informe del
Gabinete Jurídico de esta Agencia.

2.-En la tramitación de los proyectos de códigos de conducta se presentan sucesivas
versiones, en las que se recogen las mejoras fruto de los contactos que se suelen
mantener con los promotores. En este caso en el mes de mayo de 2020 se aportó por
ASEDIE una versión del proyecto del código de conducta, cuya copia se adjunta, que
no ha sido la última.

3.- No se ha dado traslado a ASEDIE de ningún informe emitido sobre el proyecto de
código de conducta presentado por ASEDIE.”

DECIMOCUARTO: Propuesta de resolución.

En fecha 26/03/2021, por la instructora del expediente se formula propuesta de
resolución en los siguientes términos:

“PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
impongan a EQUIFAX IBÉRICA, S.L., con NIF B80855398, por una infracción del
artículo 6.1 RGPD, en relación con el artículo 5.1.a) del RGPD, tipificada en el artículo
83.5.a) del RGPD, las siguientes sanciones:
A tenor del artículo 58.2.i) del RGPD, una multa administrativa de 3.000.000 € (tres
millones de euros).
A tenor del artículo 58.2.f) del RGPD, la prohibición de que continúe el tratamiento de
datos personales que efectúa a través del Fichero de Reclamaciones Judiciales y
Organismos Públicos (FIJ) del que es titular.
A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que, asociados a presuntas deudas, son objeto de tratamiento a través del
del Fichero de Reclamaciones y Organismos Públicos ( FIJ) del que es titular.

SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se
impongan a EQUIFAX IBÉRICA, S.L., con NIF B80855398, por una infracción del
artículo 5.1.d) del RGPD, tipificada en el artículo 83.5.a) del RGPD, las siguientes
sanciones:
A tenor del artículo 58.2.i) del RGPD, una multa administrativa de 3.000.000 € (tres
millones de euros).
A tenor del artículo 58.2.f) RGPD, la prohibición de que continúe el tratamiento de
datos personales que efectúa a través del FIJ, del que es titular.
A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que, asociados a presuntas deudas, son objeto de tratamiento a través del
FIJ.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

89/184

TERCERO: Que por la Directora de la Agencia Española de Protección de Datos se
impongan a EQUIFAX IBÉRICA, S.L., con NIF B80855398, por una infracción del
artículo 5.1.b) del RGPD, tipificada en el artículo 83.5.a) del RGPD, las siguientes
sanciones:
A tenor del artículo 58.2.i) del RGPD, una multa administrativa de 1.000.000 € (un
millón de euros).
A tenor del artículo 58.2.f) del RGPD, la prohibición de que continúe el tratamiento de
datos personales que efectúa a través del Fichero de Reclamaciones Judiciales y
Organismos Públicos (FIJ) del que es titular.
A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que, asociados a presuntas deudas, son objeto de tratamiento a través del
Fichero de Reclamaciones Judiciales y Organismos Públicos (FIJ) del que es titular.

CUARTO: Que por la Directora de la Agencia Española de Protección de Datos se
impongan a EQUIFAX IBÉRICA, S.L., con NIF B80855398, por una infracción del
artículo 5.1.c) del RGPD, tipificada en el artículo 83.5.a) del RGPD, esta sanción:
A tenor del artículo 58.2.i) del RGPD, una multa administrativa de 1.000.000 € (un
millón de euros).

QUINTO: Que por la Directora de la Agencia Española de Protección de Datos se
impongan a EQUIFAX IBÉRICA, S.L., con NIF B80855398, por una infracción del
artículo 14 del RGPD, tipificada en el artículo 83.5.b) del RGPD, esta sanción:
A tenor del artículo 58.2.i) del RGPD, una multa administrativa de 1.000.000 € (un
millón de euros).”

La propuesta se notificó a la reclamada en la misma fecha de la firma -26/03/2021-,
que acepta la notificación el 29/03/2021, tal y como lo acredita el certificado de la
FNMT que obra en el expediente.

DECIMOQUINTO: Escritos dirigidos a EQUIFAX y envío de documentación a la
reclamada.

En escrito firmado por la instructora del expediente el 29/03/2021, notificado en la
misma fecha y cuya notificación se aceptó por la reclamada el 30/03/2021, se le
informa de que se va a proceder a remitirle la documentación relativa a las últimas
actuaciones practicadas en el procedimiento y se solicita que, si aprecia que se ha
incorporado al escrito de propuesta información reservada de carácter empresarial, lo
comunique a esta Agencia a efectos de proceder a anonimizar la información, toda vez
que la AEPD está obligada a hacer públicas sus resoluciones.

En escrito firmado por la Subdirectora de Inspección en fecha 29/03/2021, se
comunica a EQUIFAX que se procede a remitirle a través de mensajería postal un CD
cifrado con los documentos del expediente relativos a las últimas actuaciones
practicadas. Se le facilita también la clave de acceso y el Hash. La notificación del
escrito se practica y se acepta por la destinataria el 31/03/2021.

DECIMOSEXTO: Petición de ampliación del plazo para hacer alegaciones a la
propuesta de resolución. Respuesta de la AEPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

90/184

En fecha 30/03/2021 tiene entrada en el registro del organismo un escrito de la
reclamada en el que solicita que se acuerde la ampliación del plazo inicialmente fijado
para formular alegaciones a la propuesta por el máximo permitido legalmente.

La AEPD responde a la petición de ampliación en escrito de fecha 30/03/2021, cuya
notificación se acepta el 31/03/2021, en el que, al amparo del artículo 32.1 LPACAP, se
acuerda ampliar en un día hábil el plazo inicial fijado para formular alegaciones a la
propuesta de resolución.

DECIMOSÉPTIMO: Alegaciones de EQUIFAX a la propuesta de resolución:

En fecha 15/04/2021 tiene entrada en el registro electrónico de la AEPD el escrito,
remitido por EQUIFAX, mediante el que formula sus alegaciones a la propuesta de
resolución del PS/240/2019 que la entidad recibió el 29/03/2021.

La reclamada solicita que se dicte resolución declarando la nulidad de pleno derecho
del procedimiento o, en su caso, su caducidad, por los motivos que detalla en la
alegación tercera. Subsidiariamente, que se acuerde el archivo del procedimiento al no
constituir la conducta objeto de valoración infracción alguna de la normativa de
protección de datos personales. Subsidiariamente respecto a las anteriores peticiones
que se imponga una sanción de apercibimiento prevista en el artículo 58.2 b) del
RGPD o, en su defecto, una reducción significativa de la cuantía establecida en la
propuesta de resolución en atención a “las numerosas circunstancias concurrentes en
el supuesto de hecho enjuiciado, que supondrían una muy cualificada reducción de la
antijuridicidad y culpabilidad de Equifax.”

En apoyo de estas pretensiones invoca los siguientes argumentos:

1.En la alegación primera “ratifica y reitera” en su totalidad el contenido de las
alegaciones formuladas al acuerdo de inicio pues, en su opinión, la propuesta de
resolución no rebate de ningún modo lo señalado en dichas alegaciones.

2. La alegación segunda versa sobre la existencia de un “concurso medial entre la
totalidad de las infracciones a las que se refiere la propuesta de resolución que impide
acumular las potenciales sanciones”.

Manifiesta que la propuesta identifica una pluralidad de infracciones que,
supuestamente, habría cometido EQUIFAX “cuando en realidad se encuentran todas
ellas subsumidas y embebidas en otras infracciones por las que la AEPD desea
sancionar [la], dando todo ello lugar a diversos supuestos de concurso medial en los
términos previstos en el artículo 29.5. de la Ley 40/2015 [...]”

Afirma que la AEPD no puede sancionar a EQUIFAX por la totalidad de las
infracciones a las que se refiere la propuesta, pues son supuestos claros de concurso
medial, de modo que sólo puede imponerse una única sanción, en su opinión, la que
“sin acierto”, se imputa respecto del artículo 6.1.f), en relación con el artículo 5.1.a)
RGPD. Expone que, conforme al artículo 29.5 de la LRJSP, las infracciones deben
subsumirse en la más grave “entendemos que la que la AEPD imputa respecto del art.
6.1.f) (en relación con el artículo 5.1.a) RGPD”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

91/184

Considera que, a tenor de lo manifestado por la AEPD en la propuesta, las
infracciones que se atribuyen a EQUIFAX “[...]no pueden entenderse cometidas las
unas sin las otras, requiriendo entre ellas que unas sean ejecutadas para apreciar la
ejecución de las otras”, “[...] en la medida en que todas las infracciones presuntamente
cometidas guardan conexión directa y traen causa las unas de las otras, resulta
inadecuado y contrario a la ley considerarlas como infracciones independientes”.

A través de seis apartados detalla la existencia de seis casos de concurso medial que
justifica con referencias al escrito de propuesta de resolución del que reproduce varios
fragmentos. Estos supuestos son los siguientes:
a. Aprecia la existencia de un primer concurso medial entre las infracciones del art. 6.1
(en relación con el artículo 5.1.a) del RGPD, 5.1.b) y 5.1.d) del RGPD.

Dice a tal efecto: “De esta forma, la supuesta falta de compatibilidad de los fines junto
con la presunta infracción del principio de exactitud configuran la infracción del
principio de licitud del tratamiento, por la que también se pretende sancionar a
Equifax. Como se puede observar, ya se produce un primer concurso medial con
respecto a las infracciones del art. 6.1 (en relación con el artículo 5.1.a) del RGPD,
5.1.b) y 5.1.d) del RGPD.”

Argumenta que, “respecto de la supuesta vulneración del principio de limitación de la
finalidad, la AEPD considera, lo que se rebatirá posteriormente, que la finalidad del
tratamiento originario y la del tratamiento ulterior por Equifax son incompatibles”.

Que la AEPD, para determinar si el tratamiento ulterior es compatible con el
tratamiento original menciona, entre otros aspectos, “(i) que no existe entre los
reclamantes y Equifax ninguna relación vinculada al contexto, de manera que los
afectados no han podido tener ninguna expectativa razonable de que sus datos fueran
objeto de este tratamiento -quod non- (siendo la inexistencia de expectativa de
tratamiento uno de los criterios para determinar la supuesta vulneración del principio
de licitud); y que (ii) el Fichero de Incidencias Judiciales (“FIJ”) incumple el principio de
exactitud en su manifestación de actualización de los datos (quod non), lo cual, desde
el punto de vista de la AEPD, agrava las consecuencias adversas para los
reclamantes cuyos datos han sido incorporados al FIJ.”

Añade que, “Asimismo, la AEPD indica que no se cumple el juicio de idoneidad [...]
toda vez que, para que el tratamiento que realiza el FIJ pudiera realmente satisfacer
los intereses que invoca, sería imprescindible que la información sobre las supuestas
deudas atribuidas a los reclamantes estuviera actualizada -principio de exactitud-.”

b. Aprecia la existencia de “un segundo concurso medial de manual [...]” entre las
supuestas infracciones de los artículos 5.1.b), 5.1.c) 5.1.d) y 14 RGPD, de la que
deriva la supuesta infracción del artículo 6.1.f) del RGPD.

La reclamada transcribe estos párrafos de la propuesta de resolución que le llevan a
afirmar que la AEPD subsume dentro de la infracción del principio de licitud todas y
cada una de las demás infracciones que igualmente imputa:
“Como ha quedado expuesto en el fundamento precedente, resulta acreditado que el
tratamiento que EQUIFAX viene haciendo de los datos personales de los reclamantes
vulnera el principio de limitación de la finalidad previsto en el artículo 5.1.b) del RGPD.
Este incumplimiento tiene como consecuencia provocar que el interés legítimo invocado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

92/184

por EQUIFAX, sobre cuya pretendida prevalencia sustenta el fundamento jurídico del
tratamiento de datos que realiza (artículo 6.1.f, RGPD), no pueda cumplir el requisito de
licitud.
(…)
La ilicitud del interés perseguido por EQUIFAX se ve reforzada por el hecho de que el
tratamiento de datos que lleva a cabo el FIJ no sólo vulnera el principio de limitación de
la finalidad (artículo 5.1.b RGPD), sino que, como se expondrá más adelante, estimamos
que incumple otros preceptos del RGPD: el principio de exactitud de los datos (artículo
5.1.d); el artículo 14 del RGPD en relación con el artículo 5.1.a) y el principio de
minimización de datos (artículo 5.1.c)” (El subrayado es nuestro)
c. Aprecia la existencia de un tercer concurso medial entre las infracciones de los
artículos 6.1., en relación con el artículo 5.1.a) RGPD, 5.1.b) y 5.1.d) del RGPD.
Argumenta lo siguiente:
“En lo concerniente a la presunta vulneración del principio de exactitud, en opinión de
la AEPD, la supuesta disparidad e incompatibilidad entre la finalidad del tratamiento
originario y la que persigue el FIJ determina que la información que este fichero
recaba sea fragmentaria y, además, esté desconectada del devenir de la deuda.
Por otro lado, entre otras consideraciones, la Propuesta señala (punto de vista que no
compartimos) que el FIJ incumple el principio de exactitud también en lo que atañe a
la identificación de los titulares de las deudas y la conclusión que se puede extraer es
que difícilmente puede servir para el interés legítimo que quiere atender vinculado a la
prevención del fraude (lo cual, por si quedan dudas, estaría relacionado con la
supuesta vulneración del principio de licitud).” (El subrayado es nuestro)
d. En el punto 4 menciona la existencia dos nuevos concursos mediales: El cuarto,
entre los artículos 6.1, en relación con el artículo 5.1.a) RGPD, 5.1.b), 5.1.c) y 5.1.d)
RGPD. El quinto entre la infracción del artículo 5.1.c) y 14 del RGPD.
Refiere que “la AEPD considera” que “la supuesta vulneración del principio de
minimización no es sino la suma de las supuestas infracciones de los principios de
limitación de la finalidad, exactitud y licitud y, a su vez, deriva en el incumplimiento del
art. 14 del RGPD.”
Para fundamentar su alegato reproduce el siguiente fragmento del escrito de
propuesta:
“El cumplimiento de este principio por la reclamada, al igual que sucede con otros
principios ya examinados, como el de licitud o el de exactitud, está condicionado por la
infracción del principio de limitación de la finalidad en la que la entidad incurre con la
recogida de los datos procedentes de diarios y boletines oficiales que persiguen una
finalidad incompatible con la del FIJ.
A raíz del carácter ilícito de que adolece el tratamiento ulterior de los datos recabados
-esto es, el que la reclamada lleva a cabo a través del FIJ- se va evidenciando que la
responsable del tratamiento se encuentra en una situación de imposibilidad práctica de
respetar el resto de los principios que según el RGPD rigen el tratamiento. (…)
Como primer punto hay que indicar que, como se ha puesto de manifiesto al examinar
otros principios, particularmente el de exactitud, los datos que EQUIFAX obtiene a través
de boletines y diarios oficiales que nutren el FIJ no son adecuados para la finalidad que
persigue el fichero, por lo que vulneran el principio de minimización de datos. La razón
fundamental es que no permiten una actualización de la información referente a la
solvencia del deudor. Se añade a lo expuesto que, en tanto la publicación de los datos
no incluye el domicilio del titular de los datos, la reclamada no está en condiciones de
poder cumplir la obligación de información prevista en el artículo 14 RGPD”.

e. Alude a la existencia de un quinto concurso medial -que ya anunció en el apartado
precedente- entre el principio de minimización de datos y el artículo 14 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

93/184

Expone que a juicio de la AEPD “no es posible practicar la notificación informativa al
interesado al carecer del dato del domicilio y que el intento de vincular el número
identificativo de un interesado que se publica en un diario oficial con la información
que consta recogida en el FIJ, constituye a su vez una infracción del principio de
minimización de datos (lo que esta parte niega).”

En apoyo de esta conclusión transcribe este fragmento del escrito de propuesta de
resolución:
“Por otra parte, no cabe duda de que EQUIFAX está obligada informar a los interesados
en los términos del artículo 14 RGPD cada vez que incorpore al FIJ sus datos
personales.
Al hilo de esta obligación debemos reiterar lo que ya se expuso a propósito de la
vulneración de otras disposiciones del RGPD. En la conducta analizada partimos de un
tratamiento ilícito de datos personales, por cuanto se recogen datos que fueron tratados
inicialmente con una finalidad que es incompatible con la finalidad que persigue el
tratamiento ulterior, esto es, el FIJ, lo que condiciona, como no podía ser de otro modo,
el cumplimiento de las obligaciones que el RGPD impone al responsable del tratamiento
hasta el punto de que éstas resultan de imposible cumplimiento si no es infringiendo
para ello otras disposiciones del RGPD”.

f. La reclamada se limita a mencionar la existencia de un sexto concurso medial que
se produciría entre las infracciones de los artículos 5.1.b), 6.1. y 14 del RGPD.

Cabe añadir que la reclamada, cuando analiza en su escrito de alegaciones cada una
de las infracciones del RGPD que se le atribuyen, incide nuevamente en la existencia
de un concurso medial entre las distintas infracciones imputadas.

3. La alegación tercera del escrito de alegaciones a la propuesta de resolución lleva la
rúbrica “De los vicios de nulidad concurrentes en el presente procedimiento”.

La reclamada aprecia la existencia de las causas de nulidad absoluta previstas en los
apartados a) y e) del artículo 47.1 de la LPACAP. Afirma que estos vicios de nulidad le
han generado una indefensión material y real; que no estamos ante una vulneración
meramente formal, sino ante vicios de los que se deriva un efecto material de
indefensión y un menoscabo real y efectivo del derecho de defensa, con el
consiguiente perjuicio.

Las causas de nulidad invocadas se aprecian en relación con las siguientes
conductas:
a. La inclusión del importe de las sanciones en el acuerdo de inicio, lo que a su juicio
constituye un vicio de nulidad absoluta previsto en el artículo 47.1.a) LPACAP:

Reitera lo alegado en el acuerdo de inicio en el sentido de que la fijación en él del
importe de las sanciones que procedería imponer, sin haber oído previamente a la
parte presuntamente infractora, vulnera su derecho a la tutela judicial efectiva, le
genera una indefensión absoluta e implica una ruptura del principio de separación
entre las fases instructora y resolutoria del procedimiento, por lo que se incurre así en
el vicio de nulidad radical del artículo 47.1.a) LPACAP.

Rechaza la interpretación que la AEPD hace del artículo 85 LPACAP, conforme a la
cual “la determinación de la cuantía de la sanción y la consiguiente evaluación de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

94/184

circunstancias concurrentes en el caso deviene de [...] lo establecido en el artículo 85
LPACAP.” Considera que esta interpretación es contraria a la Constitución Española al
vulnerar la protección de los derechos fundamentales que a través de ella se otorga y
que la “eficiencia que podría perseguirse con la determinación del importe de la
sanción en el acuerdo de inicio nunca podría justificar el quebranto de los derechos
fundamentales del encartado que tal actuación conlleva”.

b. La conculcación por la AEPD de las normas que regulan el procedimiento
sancionador en materia de protección de datos personales y “la consiguiente
caducidad a limine del procedimiento”, lo que constituye un vicio de nulidad del artículo
47.1.e) LPACAP.

Afirma que la AEPD ha prescindido total y absolutamente del procedimiento
legalmente establecido en los artículos 64 y 67 de la LOPDGDD y ha incurrido en una
dejación en de las competencias que le atribuyen la LOPDGDD y el RGPD. Dejación
que le ha generado un perjuicio “por cuanto ha sido considerada por la AEPD como
circunstancia agravante del tipo el carácter continuado de la supuesta infracción
durante el periodo en el que esa AEPD declinó llevar a cabo ninguna infracción contra
Equifax”.

Respecto al procedimiento, transcribe los artículos 64.2 y 67 de la LOPDGDD y dice
que de estas disposiciones se desprende inequívocamente que la LOPDGDD, por
razones de seguridad jurídica para el administrado, ha establecido un procedimiento
reglado y con unos límites temporales claramente marcados”. Por ello, de acuerdo con
lo expuesto, considera que deberán sucederse sin solución de continuidad la admisión
a trámite de la reclamación en un plazo de tres meses; la realización potestativa de
actuaciones de investigación durante un plazo máximo de doce meses y la apertura de
un procedimiento sancionador. Afirma así que la admisión a trámite de una
reclamación por parte de la AEPD supone el reconocimiento de la existencia de
indicios de vulneración de la normativa de protección de datos y esto deberá implicar
-argumenta EQUIFAX- que se lleven a cabo actuaciones de investigación previa o, si
considera que la infracción es manifiesta, como parece suceder en el presente caso,
que se proceda de inmediato a la apertura del procedimiento sancionador.

A la vista de lo anterior, la reclamada llega a la “consecuencia palmaria” de que si la
primera reclamación fue admitida el 30 de mayo de 2019 y la AEPD decidió no llevar a
cabo actuaciones de investigación “el Acuerdo de inicio del presente procedimiento
debía ser de dicha fecha, por lo que, siendo la duración máxima del procedimiento de
nueve meses, la resolución [...] debería haberse dictado el 2 de marzo de 2020”. Y
añade: “De este modo, la AEPD dictó el Acuerdo de Inicio mucho tiempo después de
la fecha en que debió haber dictado resolución si hubiera cumplido las exigencias
establecidas en la normativa de protección de datos, con lo que todas las actuaciones
deberían reputarse caducadas.” (El subrayado es nuestro)

Se refiere también a la situación de “inactividad” en la que estima incurrió la AEPD en
relación con las reclamaciones que se presentaron contra EQUIFAX relativas al FIJ.
Apoya tal conclusión en que de las 97 reclamaciones admitidas frente a EQUIFAX sólo
se dio traslado al DPD de algunas de ellas; en que si bien todas fueron admitidas a
trámite algunas lo fueron “sin un mínimo razonamiento jurídico”; en que la primera
reclamación (reclamante 25) entró en la AEPD el 30/05/2019 y en que la AEPD no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

95/184

llevó a cabo actuaciones de investigación previa, por lo que, afirma, desde la admisión
a trámite de las reclamaciones hasta que la Agencia dicta el acuerdo de inicio del
procedimiento sancionador que nos ocupa, el 24/07/2020, no realizó ninguna otra
acción.

c. Menciona las “principales circunstancias” que se han producido durante la
tramitación del procedimiento cuya visión de conjunto demuestra que el procedimiento
se ha tramitado con un completo y reiterado menoscabo de los derechos que en el
marco del procedimiento administrativo sancionador le otorgan los apartados 1 y 2 del
artículo 53 de la LPACAP. Refiere las siguientes circunstancias:

1.No se efectuaron actuaciones de investigación con carácter previo a la apertura del
acuerdo de inicio del procedimiento sancionador.
2.Demora en la remisión de la copia del expediente administrativo: se recibe por la
entidad el penúltimo día del plazo ordinario concedido para alegar, si bien se concede
por la AEPD la ampliación del plazo por el máximo permitido legalmente, cinco días, y
en consecuencia lo recibe cuando restaban sólo seis días para emitir su escrito de
alegaciones. Recuerda que el expediente remitido tenía una extensión de 2.974 folios.
3.El 23/12/2020, la AEPD le remite un escrito en el que se indica que “se ha
constatado que, lamentablemente, una incidencia de carácter técnico cercenó parte
de la documentación que integraba el expediente administrativo”. Dice que en el citado
escrito no se le otorga plazo de alegaciones ya que se limitaba a indicar que la
instructora no procedería a la apertura de la fase de prueba hasta transcurridos al
menos diez días hábiles computados desde la fecha de notificación del escrito. Añade:
“Todo ello sin referencia alguna al principio de integridad del expediente administrativo
electrónico consagrado por el artículo 70.3 de la LPACAP”.
4.“El citado expediente resultó verse incrementado hasta los 4.319 (es decir, una
extensión superior en más de un 45% a la del expediente remitido originariamente), lo
que motivó que mi mandante solicitase expresamente la concesión de un plazo para la
emisión de alegaciones y que se ampliase el plazo para ello. La AEPD se limitó a
responder dicha solicitud indicando la fecha concreta en que acordaría la apertura del
período de prueba, pero sin conceder expresamente a mi mandante plazo alguno para
alegaciones.” (El subrayado es nuestro)
5.La fase de prueba no se inicia hasta el 20/01/2021, cuando habían transcurrido casi
seis meses desde la apertura del acuerdo de inicio.
6.La propuesta de resolución se notifica a EQUIFAX el 29/03/2021. En ella, las dos
imputaciones iniciales, contenidas en el acuerdo de inicio, se amplían con tres nuevas
infracciones “sin que ninguna de ellas haya resultado de la obtención de información
adicional alguna que pudiera haber justificado esa triple imputación”. Advierte que no
estamos ante una nueva calificación jurídica de las infracciones sino ante tres nuevas
infracciones añadidas por la AEPD “[...] en el último trámite del procedimiento, tres
nuevas imputaciones sobre una base jurídica que podría haber sido esgrimida en su
integridad en el momento de dictarse el Acuerdo de inicio”.
7.Que, a tenor de los cambios introducidos con la propuesta de resolución se solicitó,
al amparo del artículo 32.1 LPACAP, la ampliación del plazo de alegaciones por el
máximo permitido legalmente (cinco días). Sin embargo, “la AEPD limita dicha
ampliación al plazo de un solo día a la vista del evidente riesgo de caducidad del
procedimiento”. Afirma que “De este modo, parece negarse a mi mandante un derecho
que la ley le otorga como consecuencia de la demora en la tramitación del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

96/184

procedimiento únicamente imputable a la actuación de esa AEPD, que en ningún caso
debería redundar en perjuicio del Administrado.” (El subrayado es nuestro)

d. La inclusión de nuevas infracciones en la propuesta de resolución constituye otro de
los motivos que -a juicio de la reclamada- provocan la nulidad radical del
procedimiento al amparo del artículo 47.1.a) de la LPACAP.

Explica que las nuevas infracciones que se le imputan en la propuesta de resolución le
han generado una indudable indefensión al haberle privado del “derecho a conocer las
concretas imputaciones dirigidas a limine contra ella y de sus derechos de defensa y
aportación de medios de prueba pertinentes a su derecho, consagrado en el artículo
24.2 de la Constitución como manifestación del derecho a la tutela judicial efectiva.” (El
subrayado es nuestro)

En su opinión, la determinación en la propuesta de resolución de nuevas infracciones
no está amparada ni en la normativa reguladora del procedimiento administrativo en
general ni, en particular, en la del procedimiento en materia de protección de datos.
A tenor de los artículos 89.3 LPACAP y 90.2 que transcribe formula las siguientes
conclusiones:

(i) Que es el acuerdo de inicio el que establecerá los límites sobre los cuales podrá
llevarse a cabo la calificación definitiva en la propuesta de resolución.
(ii)Que la propuesta de resolución no puede realizar nuevas imputaciones. Puede
modificar la calificación inicial hecha en el acuerdo de inicio haciendo una imputación o
imponiendo una sanción más grave que la fijada en el acuerdo de apertura, todo ello
conforme al artículo 64 de la LPACAP. Indica que ni siquiera el Real Decreto
1398/1993, de 4 de agosto, por el que se aprobó el Reglamento del Procedimiento
para el Ejercicio de la Potestad Sancionadora (REPEPOS), derogado por la LPACAP,
preveía la realización de nuevas imputaciones sino, única y exclusivamente, la
modificación de la calificación de las infracciones que ya hubieran sido comunicadas al
encartado en el acuerdo de inicio.
(iii) Que la LPACAP no permite que la propuesta de resolución realice nuevas
imputaciones adicionales a las que se incluyen en el acuerdo de inicio pues con ello se
causaría un menoscabo irreparable de los derechos que se otorgan al encartado
(iv) Que las imputaciones adicionales exigirían la tramitación de un nuevo
procedimiento.
(v) Que cualquier actuación que no sea “la remisión del expediente al órgano
sancionador a fin de que resuelva acerca de la apertura del procedimiento
sancionador en caso de coincidir con la apreciación del instructor sobre la
concurrencia de nuevas infracciones” vulneraría los derechos de EQUIFAX al privarle
de las garantías que el administrado tiene reconocidas en el procedimiento
sancionador, en particular en el artículo 53.2 a) de la LPACAP(derecho a “ser
notificado de los hechos que se le imputen, de las infracciones que tales hechos
puedan constituir y de las sanciones que, en su caso, se les pudieran imponer, así
como de la identidad del instructor, de la autoridad competente para imponer la
sanción y de la norma que atribuya tal competencia”).

4. A través de su alegación cuarta, bajo la rúbrica “Sobre las valoraciones efectuadas
por la AEPD en el fundamento de derecho IV de la propuesta de resolución”, sostiene,
por una parte, que la AEPD ha vulnerado el principio de confianza legítima y por otra
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

97/184

que falta en este supuesto el elemento subjetivo de la infracción, de tal forma que no
cabría imponerle sanción alguna en virtud del principio de culpabilidad reconocido en
el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP)
El primer apartado de esta alegación cuarta hace referencia al régimen preexistente al
RGPD y sostiene que hasta la plena aplicación del RGPD, e incluso con posterioridad,
hasta la entrada en vigor de la LOPDGDD “existía una previsión legal expresa que
reconocía la licitud de sistemas de información que recabasen información obtenida
con el consentimiento del interesado o de fuentes accesibles al público con la finalidad
de evaluar la solvencia de los interesados”. (El subrayado es nuestro)

Menciona supuestas reflexiones vertidas en la propuesta de resolución, que en ningún
caso se hicieron, e indica que el artículo 29.1 de la LOPD no fue derogado ni total ni
parcialmente por las STJUE de 24/11/2011 ni por la STS de 08/02/2012 “ni las mismas
suponían una limitación a la aplicación del precepto que legitimaba el tratamiento de
los datos personales de los interesados que se encontrasen incorporados a fuentes
accesibles al público.” Dice que “Por este motivo, la afirmación contenida en la
Propuesta de Resolución, que pretende indicar que el tratamiento llevado a cabo por
Equifax en el FIJ no encontraba amparo en una presunción legal de prevalencia del
interés legítimo, falta sencillamente a la realidad de lo dispuesto en la jurisprudencia y
las normas citadas”.
Una vez más afirma, que la AEPD era plenamente consciente de la existencia y del
funcionamiento de estos sistemas de información; que, incluso con posterioridad a la
STJUE, ha considerado suficiente para valorar su licitud el hecho de que los datos
procedieran de las mencionadas fuentes accesibles al público y que pese a ello la
AEPD no dirigió ninguna actuación contra el FIJ para reprochar el incumplimiento de la
normativa de protección de datos.
En prueba de estas manifestaciones trae a colación las siguientes actuaciones de la
AEPD:
-La resolución dictada en el E/04639/2013, en la que -dice- el fundamento para
acordar el archivo fue que el fichero (de Axesor, Base de datos de incidencias
judiciales) se encontraba amparado en el artículo 29.1 y 4 de la LOPD.
-Las actuaciones inspectoras a las que hace mención la resolución dictada en el
PS/104/2004, dirigido contra una entidad financiera que afirmaba haber recogido los
datos del FIJ. El Fundamento de Derecho III de la resolución menciona la práctica de
una inspección exhaustiva en EQUIFAX “en la que se comprobó, examinando los
registros históricos del fichero de Incidencias Judiciales, que efectivamente sí hubo
anotaciones relativas al denunciante pero que no coinciden con las registradas en
Caja Madrid. Por lo tanto, no existen evidencias de vulneración a la normativa de
protección de datos por parte de Equifax Ibérica, S.L.”
- La SAN de 29/03/2012 (recurso 525/2010), interpuesto por EQUIFAX frente a la
resolución sancionadora de la AEPD de 05/05/2010, PS/368/2009, de cuyo
Fundamento de Derecho cuarto “se desprende la licitud del tratamiento llevado a cabo
por mi mandante”. El Fundamento de Derecho que se transcribe por la entidad es el
siguiente:
“En el escrito de conclusiones la parte recurrente detalla su razonamiento jurídico y
afirma que no se trata de que haya obtenido los datos del denunciante fuera de una
fuente de acceso público y que los haya tratado no teniendo su consentimiento, sino que
obteniendo los datos de una fuente licita (como son los Boletines) les ha añadido
información de los Boletines que no le correspondía.””

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

98/184

-Los numerosos procedimientos tramitados frente a EQUIFAX por el presunto
incumplimiento de la obligación de informar al afectado. Afirma al respecto que las
resoluciones sancionadoras fueron anuladas por la A.N. en su sentencia de
27/02/2008 (Recurso 358/2006).
-El informe interno de la Subdirección General del Registro General de Protección de
Datos emitido el 25/012019 que -afirma- “evidencia que existe un criterio formal
emanado de un órgano integrado en la AEPD [...] que se pronuncia de forma clara y
manifiesta en favor de la licitud de los sistemas de información similares al FIJ, que
recaban información relevante sobre la solvencia de los interesados de las fuentes
accesibles al público”. Explica que el informe, respecto a los sistemas de información
similares al FIJ, dice lo siguiente:
“Con carácter general, el código regula la recogida de los datos personales, en particular
cuando se realiza a través de páginas web, para lo que se establecen las obligaciones a
las que están sujetos los asociados (artículo 6), así como las fuentes públicas (artículo
8). Se realiza una consideración sobre las fuentes accesibles al público, de las que el
sector infomediario es un usuario tradicional, como aquellas que pueden ser consultadas
por cualquier persona sin restricción general de acceso a determinadas categorías de
usuarios, aun cuando se requiera una contraprestación (artículo 8), que está en línea
con la interpretación que se realiza de este tipo de fuentes, y se precisa el principio de
exactitud de los datos cuando se recogen de ellas, en línea igualmente con lo que se
recoge en el artículo 4 de Ia LOPDGDD. Además, en el Anexo III correspondiente a la
actividad de mercadotecnia, se incluye una relación enunciativa de las fuentes de acceso
público.”
Califica de “falaz” el siguiente argumento expuesto en la propuesta, puesto que la
AEPD no precisa de la denuncia de un afectado para llevar a cabo actuaciones de
investigación previa:
“Para que la AEPD se hubiera podido pronunciar sobre la licitud del tratamiento de datos
que realizaba el FIJ, tal y como sostiene la reclamada que ha hecho esta Agencia,
hubiera sido imprescindible que, previamente la Agencia hubiera efectuado un análisis
sobre los aspectos que se han indicado en el párrafo precedente. Y ese análisis sólo
podría haberse llevado a cabo bien en el marco de un procedimiento sancionador que
tuviera por objeto la presunta vulneración de los principios que a tenor de la LOPD
presidían el tratamiento de los datos a través del tratamiento realizado por el FIJ, o bien
en la respuesta a una consulta del Gabinete Jurídico que la entidad hubiera estimado
oportuno plantear acerca de la licitud del tratamiento que venía realizando.”

Y subraya la inexactitud de los comentarios hechos en la propuesta acerca de las TD
invocadas por EQUIFAX por cuanto resulta incorrecta la valoración que en ella se hace
sobre el alcance del procedimiento de tutela de derechos.

Concluye de la exposición precedente que quedan desvirtuados los argumentos
expuestos en el Fundamento de Derecho IV de la propuesta de resolución.

Concluye, asimismo, que el FIJ era plenamente conocido por la AEPD y que el
tratamiento se ha venido realizando bajo la vista, ciencia y paciencia de esta
Autoridad de control que en ningún momento decidió llevar a cabo actuaciones de
oficio ni adoptó ninguna decisión en términos semejantes a los que constan en la
propuesta de resolución. Por tanto, la AEPD, dice la reclamada, incumple los principios
de confianza legítima y seguridad jurídica en los términos descritos en la
jurisprudencia citada en las alegaciones al acuerdo de inicio.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

99/184

Partiendo de la consideración de que se ha producido una quiebra del principio de
confianza legítima con la tramitación del presente expediente sancionador, la
reclamada entiende que la conducta objeto de examen en este procedimiento está
ausente de culpa. Su actuación, dice, “se sitúa en un terreno ajeno al de la voluntad
infractora” y que “Su actuación venía siendo conocida y reconocida (si no consentida)
por la propia AEPD (y aun cuando esta última difiera de esta opinión, resulta innegable
que Equifax contaba con indicios razonables, que se han expuesto más arriba, para
considerar que así era).”

En consonancia con lo anterior, afirma que “todas las sanciones a las que se refiere la
Propuesta de resolución han de ser anuladas”.

5. La alegación quinta versa sobre el incumplimiento del principio de limitación de
finalidad.
Manifiesta que este principio no ha sufrido ninguna modificación en el RGPD, pues
reproduce casi íntegramente lo que establecía la Directiva 95/46/CE sobre él, y,
seguidamente, pasa a afirmar que “dentro del régimen de trasposición de la Directiva
a nuestro Derecho [...]” el artículo 29.1. de la LOPD “no apreciaba que [...] resultara
contrario al principio de limitación de finalidad consagrado por la Directiva 96/46/CE,”
el tratamiento de los datos personales llevado a cabo por quienes se dediquen a la
prestación de servicios de información sobre la solvencia patrimonial y el crédito
consistente en la recogida de datos de carácter personal obtenidos de los registros y
las fuentes accesibles al público establecidos al efecto.

Afirma también que “la base jurídica que justificaba la recogida de los datos objeto de
publicación [era] obtener información sobre la solvencia patrimonial y el crédito de los
interesados a partir de la información disponible relacionada con los mismos”, y que
“Esta base jurídica aparecía expresamente recogida en la LOPD, debiendo
interpretarse su artículo 29.1 en el sentido de que [...] el tratamiento estaba amparado
en el interés legítimo prevalente de quienes procedieran, como mi mandante, al
tratamiento de los datos, al existir una habilitación legal inequívoca para que dicho
tratamiento pudiera tener lugar”. (El subrayado es nuestro)
La reclamada finaliza su argumentación relativa al “incumplimiento del principio de
finalidad” con el párrafo que reproducimos:

“En resumidas cuentas, no se produce en este caso el tratamiento de los datos
contenidos en el FIJ para una finalidad distinta de la que motivó su recogida, dado que
ésta era precisamente la que justifica el mantenimiento de los datos en el sistema y su
acceso por las entidades que se encontrasen adheridas al FIJ con la finalidad de
conocer la solvencia patrimonial y el crédito de sus deudores o potenciales deudores,
sobre la base de un interés legítimo prevalente que, al menos hasta la entrada en
vigor de la LOPDGDD se encontraba expresamente habilitado por la normativa de
protección de datos personales.” (El subrayado es nuestro)

En la misma línea argumental dice que “esta compatibilidad (o ese carácter “no
distinto” de la finalidad) se apreciaba incluso con posterioridad a la entrada en vigor
del Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial «Boletín
Oficial del Estado» (en adelante, “RDBOE”), al que con tanta reiteración se refiere la
Propuesta”. También, después de la entrada en vigor de la Ley 37/2007, de 16 de
noviembre, sobre reutilización de la información del sector público y la Ley 19/2013, de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

100/184

9 de diciembre, de transparencia, acceso a la información y buen gobierno. (El
subrayado es nuestro)

Hace también otra afirmación igualmente sorprendente: “[...]debe recordarse que las
medidas adoptadas por RDBOE, que vendrían a reflejar las restricciones que
posteriormente, en lo que respecta a los datos abiertos puso de manifiesto el Grupo
de Trabajo del Artículo 29 (en adelante GT29) en su Dictamen 3/2013 sobre la
limitación de finalidad, [...], no se refieren a un tratamiento de datos como el llevado a
cabo por mi mandante a través del FIJ, en que el acceso a la información queda
limitado a acreedores o potenciales acreedores del interesado. Dichas medidas, por el
contrario, tratan de evitar no un acceso sujeto a la condición de acreedor, real o
potencial, sino un acceso indiscriminado a los datos objeto de publicación en los
diarios oficiales.” (El subrayado es nuestro)

Insistiendo en afirmaciones erróneas dice: “Si se tiene en cuenta que desde 2008, y
hasta 7 de diciembre de 2018, coexistía el RDBOE con el régimen contenido en el
artículo 29.1 de la LOPD, no cabe alcanzar otra conclusión que considerar que las
limitaciones a las que se refiere la norma primeramente citada no pueden ser
aplicables al supuesto previsto en la segunda, que goza de una base jurídica
específica y propia que lo legitima.” (El subrayado es nuestro)

6. La alegación sexta versa sobre “la licitud del tratamiento de datos en el FIJ y la
aplicación de la regla de ponderación del artículo 6.1.f) del RGPD.”

Afirma que ninguno de los argumentos recogidos en la propuesta de resolución es
suficiente para rebatir lo manifestado en sus alegaciones al acuerdo de inicio;
alegaciones que da por reproducidas y complementadas con lo que ahora expone:
Que EQUIFAX cuenta con una “evidente base jurídica, la concurrencia de un interés
legítimo prevalente, para el tratamiento de los datos en el FIJ.” Así, dice que “[...]
estos sistemas de información se encontraban expresamente dotados de una
presunción de prevalencia del citado interés legítimo”. (El subrayado es nuestro)

Más adelante añade:
“Evidentemente, el artículo 29.1 de la LOPD no regulaba los principios básicos ni las
bases jurídicas del tratamiento, pero determinaba que, sobre la base de principios y
bases jurídicas idénticas a las contenidas en el RGPD, el tratamiento de los datos
recogido en el mismo era lícito. Es decir, o bien el artículo 29.1 de la LOPD se
extralimitaba respecto del régimen contenido en la Directiva, habilitando nada menos
que un tratamiento que violentaba sus artículos 6 y 7 en los términos que asume la
Propuesta de Resolución, algo que ningún Tribunal ni las Instituciones de la Unión
Europea (y menos aún la propia AEPD) siquiera insinuó en ningún momento o,
permaneciendo inmutables los principios y las bases jurídicas, ese tratamiento es tan
acorde al RGPD como lo era a la Directiva. Este hecho resulta indubitado, por mucho
que se trate de forzar la argumentación en otro sentido.” (El subrayado es nuestro)

Manifiesta, por otra parte, que en sus anteriores alegaciones acreditó que, en el
presente caso, concurría el triple juicio -idoneidad, necesidad y proporcionalidad strictu
sensu- exigido por la jurisprudencia constitucional para que el tratamiento efectuado
por el FIJ resultara acorde al RGPD; ponderación que, afirma, resulta favorable al
interés legítimo que lo justifica. A propósito del triple juicio mencionado se limita a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

101/184

hacer diversas consideraciones en relación con lo argumentado en la propuesta de
resolución. Consideraciones que, en su gran mayoría, no se ajustan a la verdad o no
respetan el contexto en el que se hicieron. Reproducimos algunas de ellas:

“[...]la Propuesta de Resolución: [considera] que el interés legítimo que fundamenta el
tratamiento de los datos en el FIJ no es más que una mera “conveniencia” para
“perpetrar” lo que se denomina “intromisiones a la carta” en los derechos de los
interesados (las expresiones empleadas son de la Propuesta de Resolución, no de mi
representada).”
“[...] a juicio de la AEPD el [CIRBE es] el único sistema de información que coadyuva a
la finalidad perseguida por el tratamiento llevado a cabo por el FIJ.”

“[..] convirtiendo la AEPD el principio de expectativa razonable (derivado nada menos
del hecho de que estos sistemas existen en nuestro derecho y han sido expresamente
regulados por el mismo desde 1992 y de que el deudor debe razonablemente esperar
que se valorará su solvencia antes de obtener un crédito) en la “esperanza razonable”
del deudor moroso de que no se conozca su deuda y se conceda la financiación, aun
cuando ello perjudique los principios de crédito responsable consagrado por el
legislador”.

7. La alegación séptima se refiere al “cumplimiento por Equifax del principio de
exactitud”
Sitúa el punto de partida de su alegato en la necesaria aclaración de “cuál es la
finalidad del FIJ”, toda vez que “el artículo 5.1.d) del RGPD vincula “exactitud” con “los
fines para los que se tratan” los datos”.
Seguidamente afirma que la “finalidad del FIJ” es “reflejar la existencia de una deuda
según consta en el anuncio y en el momento de su publicación en la fuente oficial
correspondiente”. (El subrayado es nuestro)

De lo anterior, colige que la circunstancia de que el FIJ no pueda mostrar cuál es la
situación de la deuda en el momento de la consulta no permite calificar la información
de inexacta en los términos previstos en el artículo 5.1.d) RGPD. No es inexacta -dice
la reclamada- porque recoge correctamente la información que es necesaria para la
finalidad buscada por el FIJ, “ayudar a los clientes de Equifax a valorar la solvencia”.

Por ello, aclara, la información sería inexacta si, “contrariamente a lo que pretende el
fichero”, no reflejara correctamente la información que consta en el anuncio publicado.
Conjetura que la AEPD, con el objetivo de calificar de inexactos los datos contenidos
en el FIJ, ha procedido en la propuesta de resolución, de forma incorrecta, a asociar la
“evaluación de la solvencia de los afectados” con información acerca de la “situación
actual” en el momento de la consulta de la deuda de las personas.”

Pasa a referirse a la idoneidad de la información contenida en el FIJ para valorar la
solvencia de una persona; idoneidad que, afirma taxativamente, está fuera de toda
duda como lo han confirmado durante veinticinco años el “enorme numero de
entidades que han venido recurriendo al FIJ para valorar la solvencia” Advierte que un
juicio de idoneidad requiere un conocimiento profundo de la materia y que hasta donde
conoce la AEPD no es una entidad que en el día a día de su actividad realice análisis
de solvencia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

102/184

Expresa que el FIJ “cubre una necesidad innegable del mercado de acreedores y de la
lucha contra la morosidad y el fraude” y seguidamente afirma: “[...] resulta patente que
la información del FIJ constituye un complemento de los ficheros referidos a las
deudas contraídas con en el sector privado [...]. Es obvio que “en un mundo ideal”
sería preferible que el FIJ pudiera ser actualizado de forma tan completa como ocurre
con los sistemas de información crediticia del artículo 20 de la LOPDGDD.
Lamentablemente, ello no es posible dado que las Administraciones no publican
información al respecto, sin que tal circunstancia pueda ser considerada en ningún
caso como supuesto de “inexactitud” de la información, por las razones ya expuestas.”
(El subrayado es nuestro)

Argumenta también, como ya hiciera en el escrito de alegaciones al acuerdo de inicio,
que el articulo 4.2 d) LOPDGDD establece una presunción de exactitud que no puede
ser desvirtuada “por el resultado de la investigación de la AEPD, ni tan siquiera por la
aportación de prueba por parte del interesado” y “contiene un mandato imperativo de
exención de responsabilidad a quien ha recabado los datos al amparo de su
contenido”.
Indica que esa disposición - 4.2.d) LOPDGDD- ha de ponerse en conexión con la
normativa reguladora del BOE que “establece una presunción de veracidad y
autenticidad de la información contenida en el mismo, lo que garantiza el principio de
exactitud” y concluye que “la exactitud de la información referida a las notificaciones
incorporadas al FIJ [...] deriva directamente de dicha publicación [en el BOE] y la
LOPDGDD”.

Invoca por último dos argumentos más: Que hasta la derogación de la LOPD
EQUIFAX “se veía [...] amparada por la habilitación legal expresa contenida en el
artículo 29.1 LOPD y la actuación de la AEPD por la que se exigía documentación
acreditativa del pago para que procediera a su supresión”. Y, respecto a la exactitud de
los datos identificativos de los supuestos deudores, afirma que “acreditó durante el
periodo de prueba que únicamente procede al tratamiento de aquellos datos respecto
de los que cuenta con medios suficientes para garantizar la exactitud de la información
tratada.” Añade en este sentido que, como consecuencia de la entrada en vigor de la
LOPDGDD, adoptó medidas para que únicamente se incorporaran al FIJ los datos de
los interesados de los que se cuente con elementos suficientes para garantizar su
plena identificación lo que se ha reflejado en una disminución del número de
inclusiones en el fichero.

8. La alegación octava analiza el “cumplimiento por Equifax del principio de
minimización de datos.”
La reclamada manifiesta que la exposición que hace la propuesta de resolución en
relación con la infracción del principio de minimización de datos que se le imputa no le
permite discernir su vinculación con el citado principio. Añade que “en ningún lugar de
la Propuesta se indica que la recogida de los datos referidos al nombre, apellidos,
documento identificativo, domicilio y características de la deuda contraída no resulten
ajustados a la citada finalidad ni se lleva a cabo juicio o valoración de proporcionalidad
alguna al respecto.” Concluye que la citada infracción parece haberse incluido en la
resolución con “un mero ánimo de incrementar, [...] de un modo completamente
artificioso el reproche dirigido contra” EQUIFAX.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

103/184

Indica que, el razonamiento de la AEPD en la propuesta de resolución conduce a que,
cuando se considerase que un determinado tratamiento incumple el principio de
limitación de la finalidad (lo que la reclamada niega) “se incumpliría asimismo el
principio de minimización, dado que se llevaría a cabo el tratamiento de más datos de
los legalmente exigibles a juicio de la Agencia. Este argumento, por definición
resultaría inadmisible, [...]”

Por último, añade que, como consecuencia de la entrada en vigor de la LOPDGDD,
“ha puesto en práctica medidas encaminadas a que el tratamiento de los datos resulte
ajustado a los principios de exactitud y minimización y que sólo se lleve a cabo el
tratamiento en caso de que quede garantizado el cumplimiento de tales principios, por
lo que no alcanza a comprender el efecto que la entrada en vigor de dicha disposición
puede generar en la supuesta vulneración del principio de minimización.”

9. Alegación novena, relativa a la inexistencia de infracción del artículo 14 del RGPD.

A propósito de esta infracción la reclamada analiza tres escenarios distintos.
(i) El régimen anterior a la entrada en vigor de la LOPDGDD, en el que, afirma, se le
dispensaba de la obligación de informar a los interesados del tratamiento de sus datos
personales que llevaba a cabo en el FIJ como lo confirmó una “reiteradísima
jurisprudencia” que determinó que a partir de la SAN de 27/02/2008 la AEPD no
dictara ninguna resolución sancionadora por incumplimiento de la obligación de
notificar.

(ii) El régimen existente durante la vigencia de la LOPD, a partir de la fecha en que se
dicta la sentencia del TJUE de 24/11/2011. Considera que la situación era idéntica a la
anterior y que ha sido la propuesta de resolución la que “crea ex novo” una línea
argumental que entiende que el criterio anterior fue modificado a partir de la referida
STJUE. A juicio de la reclamada la propuesta elimina “la posibilidad de fundar la base
jurídica del FIJ en la previsión del artículo 29.1 LOPD”. Por ello, precisa que la
exclusión del deber de informar no derivaba de la naturaleza de las fuentes de las que
obtuvo la información, sino del artículo 29.1, en relación con el 29.4 y en relación con
el artículo 5.5. LOPD.

(iii) El sistema posterior a la aplicación efectiva del RGPD, en el que EQUIFAX ha
considerado “necesario dar cumplimiento al deber de informar”. Tras lo cual, añade
que, “pese a que podía haber considerado que las causas que le exoneraban de dicha
obligación al amparo de la LOPD que, no se olvide, siguió vigente hasta el 7 de
diciembre de 2018, le seguían amparando.” Este compromiso asumido a raíz de la
aplicación efectiva del RGPD se ha materializado en la “notificación a todos los
interesados de la inclusión de sus datos en el FIJ”, lo que constituye un “compromiso
adicional de la entidad con la garantía del derecho a la protección de datos”.
Afirma la reclamada que la propuesta considera que “este deber de información no se
ha cumplido respecto de los datos incluidos en el FIJ con anterioridad a la entrada en
vigor de la LOPDGDD, es decir, cuando existía una norma que excluía el deber de
información.”

Manifiesta también que tras la entrada en vigor de la LOPDGDD se podrían distinguir
“dos tipos de datos”:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

104/184

(i) Los introducidos con anterioridad a la entrada en vigor del RGPD, respecto a los
que dice que “[...] el principio de minimización y la interpretación citada del artículo 11
excluían la posibilidad de obtener información adicional con el solo amparo de dar
cumplimiento al deber de informar”. A propósito del artículo 11 RGPD señala que cabe
interpretar por analogía, en lo que afecta al tratamiento de datos adicionales a los
exigidos para el cumplimiento de la finalidad del tratamiento, lo dispuesto en ese
precepto, según el cual “[s]i los fines para los cuales un responsable trata datos
personales no requieren o ya no requieren la identificación de un interesado por el
responsable, este no estará obligado a mantener, obtener o tratar información
adicional con vistas a identificar al interesado con la única finalidad de cumplir el
presente Reglamento”. Considera por ello que cabría concluir que, si los fines del
tratamiento no justifican el tratamiento de datos adicionales, no podría escudarse en el
cumplimiento del RGPD para recabar tales datos.

(ii) Los incorporados al FIJ con posterioridad a dicha entrada en vigor, respecto de los
que Equifax optó, frente a las restantes entidades del sector, por dar cumplimiento al
artículo 14, procediendo a notificar a todos los interesados la incorporación de sus
datos al FIJ.

Concluye que ha cumplido plenamente el deber de información respecto de todos
aquellos tratamientos realizados desde la entrada en vigor del RGPD, pues, “Bajo la
normativa anterior (LOPD) estaba exenta del cumplimiento de esa obligación.” y tras
“la entrada en vigor del RGPD, resultaba aplicable a estos tratamientos lo dispuesto
en el artículo 14.5 a) del RGPD, al ser la información imposible o exigir esfuerzos
desproporcionados, algo que reconoce explícitamente la propia Propuesta.”

DECIMOCTAVO: Escrito de EQUIFAX en el que pide que se le remitan informes
internos de la SGRGPD y la suspensión del plazo para formular alegaciones a la
propuesta de resolución.

El 07/04/2021 se recibe en la AEPD un escrito de EQUIFAX dirigido a la Subdirección
de Inspección de la AEPD en el que expone que, a través del Informe del Gabinete
Jurídico 89/2020, ha tenido conocimiento de la existencia de dos informes emitidos por
la Subdirección General de Registro General de Protección de Datos de fechas
25/01/2019 y18/09/2020. Indica que, al resultar relevantes para la defensa de sus
derechos en el marco del PS/240/2019, solicita que por esta Subdirección se le remita
copia de ambos documentos. Solicita que “se acuerde igualmente la suspensión del
plazo para la emisión de las alegaciones a la Propuesta de Resolución durante el
plazo que medie entre la presente solicitud y la remisión a aquélla de los informes
solicitados.”

La Subdirectora General de Inspección se dirige al Subdirector del RGPD en escrito
firmado el 08/04/2021 y le da traslado del escrito remitido por EQUIFAX a los efectos
oportunos. El 09/04/2021 se recibe en la Subdirección de Inspección escrito del
Subdirector del RGPD informando que en esa fecha ha procedido a dar traslado a
EQUIFAX de los informes solicitados.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

105/184

HECHOS PROBADOS

PRIMERO: Obran en el expediente administrativo los documentos que los reclamantes
remitieron a esta Agencia con su reclamación o en un trámite posterior, que informan
de las anotaciones por deudas que constan en el FIJ en la fecha que figura en el
documento correspondiente, vinculadas a sus datos personales (nombre, apellidos y
NIF; nombre y apellidos; solo NIF o, en ocasiones, alguno de esos datos combinados
con el domicilio).

La información que ofrecen los documentos aportados por los reclamantes sobre las
anotaciones por deudas vinculadas a sus datos personales se ha recogido en el
Antecedente Segundo de esta propuesta. A dicho Antecedente Segundo se trasladó la
información de los documentos aportados, indicando la fecha que figura en el
documento informativo de EQUIFAX, los datos personales que identifican al
reclamante, la fecha de alta de cada anotación, la fuente de la que procede la
información, la Administración acreedora y, en su caso, el importe de la deuda y el
concepto del impago.

Por tanto, tal información recogida en el Antecedente segundo relativa a los
reclamantes constituye un hecho probado integrado en este Hecho Probado Primero
en el que se da por reproducida.

SEGUNDO: A tenor de los documentos que obran en el expediente administrativo
relativos al resultado del acceso al FIJ que los reclamantes aportaron a esta Agencia
se ha comprobado que, con posterioridad a la fecha de entrada en vigor de la
LOPDGDD, el 07/12/2018, siendo el origen de la información TEU -BOE, se dieron de
alta anotaciones por supuestas deudas. Entre estos casos se encuentran los de los
reclamantes 9; 10;15;31; 77; 83; 87 y 89.

TERCERO A tenor de los documentos que obran en el expediente administrativo se
evidencia que la identificación de los interesados que realiza el FIJ toma en
consideración el dato del domicilio por carecer de NIF. Nos remitimos a los supuestos
planteados por los reclamantes 18; 27; 27; 30 y 33, entre otros.

Asimismo, existen anotaciones por deudas en las que la fecha de alta de la anotación
-en la que EQUIFAX sitúa el término inicial para el cómputo del tiempo máximo de
permanencia de los datos en el fichero, que es de seis años- es posterior a la fecha
de vencimiento de la obligación. Es el caso del reclamante 18; 26; 29 entre otros.

CUARTO: Que, a tenor de la documentación que obra en el expediente, el FIJ
reflejaba deudas inexistentes respecto a los reclamantes identificados con los números
37;38; 40;41;42;48; 50;52;53;54;59;62; 75 y 95. Son muy numerosos los reclamantes
que sin aportar documentación que lo acredite niegan la existencia de la deuda que
consta en el FIJ.

QUINTO: EQUIFAX afirma que el número de personas físicas de las que existieron en
el FIJ registros de datos activos durante los últimos seis años se muestra en las
siguientes dos tablas que aporta:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

106/184

-Una tabla con el “número medio” de personas físicas que, en el periodo 2016-2021,
figuraron en el FIJ:
Año 2016: 4.624.312; año 2017: 4.879.391; año 2018: 4.940.225; año 2019:
4.657.196; año 2020:4.183.445; año 2021: 3.826.436.

- Una tabla con el número de personas físicas que han sido incluidas en el FIJ desde
el 25/05/2018:
En el año 2018: 196.653; en el 2019: 62.113; en el 2020: 20.193 y en el año 2021:
2.358.

La entidad afirma que desde el 25/05/2018 se han incluido en el FIJ un total de
282.037 personas físicas y que la mayor parte de los registros que permanecen en el
fichero son anteriores a la entrada en vigor del RGPD.

SEXTO: EQUIFAX afirma, en respuesta a la prueba solicitada, que los criterios que
utiliza el FIJ para organizar los datos personales que son objeto de tratamiento con la
finalidad de que sus titulares se encuentren debidamente identificados, son los
siguientes:

a) Caso de que sólo se publique el NIF/NIE: entonces “se verifica si en la fecha de
publicación, el NIF/NIE en cuestión, se encuentra registrado en la información activa
del FIJ (excluyendo por tanto la que se encuentre bloqueada). En función del resultado
obtenido se llevan a cabo diferentes actuaciones:”
a´) Si el identificador ya está incluido en el FIJ asociado a un nombre y apellidos, se
registra en el FIJ la nueva información publicada.
a´´) Si ese identificador no está incluido en el FIJ, se descarta la grabación del registro.

b) En el caso de que se publique el nombre y apellidos y NIF/CIF incompleto: se
descarta la grabación del dato en el fichero FIJ

c) Supuestos en los que aparece publicado nombre + apellidos+ domicilio: Se procede
a la grabación del registro en el fichero FIJ, asociando ambos datos.

d) Supuestos en los que sólo aparezca publicado nombre + apellidos: En este
supuesto, se descarta la grabación del dato en el fichero FIJ.
(El subrayado es nuestro)
”
SÉPTIMO: EQUIFAX, en respuesta a la pregunta formulada respecto al protocolo que
ha tenido implementado durante los últimos seis años para garantizar que los datos
personales que incorporaba al FIJ se encontrasen actualizados debidamente, en todo
momento, afirma lo siguiente:

“Para garantizar que los datos capturados en el FIJ están actualizados, Equifax se
basa principalmente en:
1) Limitación de las fuentes de las que se nutre el fichero FIJ: como ya se informó en
nuestros anteriores escritos, Equifax recaba la información que se registra en el FIJ de
los Boletines Oficiales publicados por el Estado, las Comunidades Autónomas las
Diputaciones Provinciales.
La utilización en exclusiva de esta fuente garantiza que toda la información que se
recaba tiene la consideración de oficial y auténtica tal y como señala el artículo 3.1 del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

107/184

Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial <<Boletín
Oficial del Estado>>. Por tanto, la utilización de esta fuente es, en nuestra opinión una
garantía de que no existen dudas acerca de la actualización y veracidad de la
información incorporada al FIJ.
Los boletines se descargan el mismo día de su publicación, por lo que la información
del FIJ se actualiza de manera diaria con la información contenida en los Boletines.

2) Procesos automáticos de captura de información: la descarga de los boletines y el
posterior registro de los datos en el FIJ se realiza mediante procesos automatizados
evitando así posibles errores provenientes de procesos manuales. Para la lectura de
los datos de los boletines se utilizan procesos de lectura de OCR que garantizan la
correcta lectura y grabación de los datos que se publican en los boletines

3) Criterios de grabación: como hemos señalado en la contestación a la primera
solicitud de información de la AEPD, Equifax tiene implementados criterios de
grabación específicos y ya detallados previamente a esa AEPD, a fin de asegurar que
los titulares son inequívocamente identificados para que proceda su inclusión en el
FIJ. Estos criterios garantizan que sólo existan datos de titulares debidamente
identificados

4) Notificación de inclusión: esta parte viene realizando a los titulares cuyos datos han
sido recogidos desde el 25 de mayo de 2018, una notificación específica de su
inclusión en el FIJ, como medida para garantizar la actualización de los datos. Dichas
comunicaciones permiten a los interesados, de una manera gratuita y sencilla,
comprobar si efectivamente los datos que han sido publicados por los diferentes
boletines oficiales y que han sido recogidos por mi representada contienen algún error.

5) Atención de Ejercicio de derechos: mediante la atención de reclamaciones de los
titulares en el ejercicio de sus derechos, los interesados pueden, conforme a lo
previsto en la normativa de protección de datos, conocer qué datos están incluidos en
el FIJ, con qué finalidad se usan, y, en todo momento, rectificar, cancelar, oponerse y
limitar el tratamiento de sus datos personales.” (El subrayado es nuestro)

OCTAVO: EQUIFAX afirma que durante la vigencia de la LOPD no notificaba a los
afectados la inclusión de sus datos en el FIJ, conducta que justifica en la existencia de
“un refrendo expreso en este sentido por parte de la Audiencia Nacional” que en
numerosas sentencias -SSAN de 29/06/2001(Rec.1012/1999); 29/11/2001
(Rec.531/2000) y de 27/02/2008 (Rec. 358/2006)- declaró que el régimen de
protección de datos contenido en la LOPD, artículo 29.1., no le imponía una obligación
de notificar a los interesados la inclusión de sus datos personales en el FIJ.

NOVENO: EQUIFAX afirma que, tras la entrada en vigor del RGPD, ha considerado
procedente notificar la inclusión a los afectados cuyos datos se registraban en el FIJ.
Afirma también que, desde el 25/05/2018, consta en sus registros informáticos el envío
de un total de 509.470 notificaciones que desglosa de la siguiente forma
(año/notificaciones enviadas): 2018: 339.436; 2019: 116.236; 2020: 47.3888; 2021:
6.407.
No aporta documentación que acredite sus manifestaciones, pese a haberse solicitado
expresamente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

108/184

DÉCIMO: Respecto al total de notificaciones de inclusión que EQUIFAX afirma haber
enviado a los afectados, ha informado de las que resultaron infructuosas, desglosadas
por los motivos de devolución siguientes:
01, señas incorrectas; 02, fallecido; 03, desconocido; 04, ausente; 05, rehusado; 06,
otros; 07, dirección insuficiente; 08, dirección incorrecta.

Notificaciones infructuosas por años:
-. Año 2018.Total de reclamaciones infructuosas: 66.418. De ellas, por los motivos 01 y
03 un total de 61.182.
-. Año 2019.Total de reclamaciones infructuosas: 24.812. De ellas, por los motivos 01 y
03 un total de 22.797.
-. Año 2020.Total de reclamaciones infructuosas: 9.673. De ellas, por los motivos 01 y
03 un total de 8.873.
-. Año 2021.Total de reclamaciones infructuosas: 1. Motivo 01: 1.
Se constata que los motivos 01 y 03 representan más del 90% de las notificaciones
infructuosas.

UNDÉCIMO: En la versión final del RAT correspondiente al FIJ que EQUIFAX ha
facilitado, el punto 8, “Plazos de supresión de la información”, dice así:
“La información está accesible durante 3 meses y después se guarda en un directorio
Linux con la finalidad de poder trabajar posteriormente con los datos. Dicha
información, guardada en formato “PDF”, estará disponible durante un periodo de 10
años desde la fecha de publicación, y ello con el único fin de poder atender las
posibles reclamaciones y dar respuesta a las solicitudes de información por parte del
órgano administrativo competente, así como de los juzgados y tribunales.”

DUODÉCIMO: En el documento aportado por EQUIFAX relativo al análisis del interés
prevalente (LIA, fichero judicial, 2019), en el punto 7, y en el apartado dedicado a las
medidas que se propone implementar, concretamente respecto a las garantías de los
principios de protección de datos, consta lo siguiente:

“1.1 Principio de finalidad” “Por otra parte, el principio de finalidad incluye la limitación
de los usos posteriores de los datos, dado que el RGPD prohíbe en su artículo 5.1 a)
el tratamiento posterior de los datos para fines incompatibles con los que motivaron su
recogida, aunque exceptúa de esta limitación el uso de datos con fines de archivo de
interés público o de investigación científica o estadística.” (El subrayado es nuestro)

“1.4. Principio de exactitud” “En cumplimiento de este principio y dado que la
publicación edictal únicamente reconoce la existencia de la obligación de satisfacer lo
adeudado, pero no se dispone de información adicional que permita conocer
efectivamente si esa cantidad se adeuda en el momento de la notificación de
inclusión, una posible solución a este problema sería la limitación de plazos muy
breves referidos a las citadas comunicaciones, y en el sistema analizado esta
exigencia se cumple, al reducirse el plazo a las publicaciones acaecidas en los últimos
cinco meses. Sin embargo, esta reducción tampoco permite soslayar plenamente el
riesgo derivado del tratamiento de estos datos, pudiendo verse la calificación de un
interesado negativamente por el hecho de incorporarse una notificación edictal
referida a una deuda ya satisfecha del mismo modo que podría verse afectado
favorablemente el sujeto al que se le hubiera efectuado una notificación con una

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

109/184

antigüedad de más de cinco meses y no hubiera procedido al pago de la cantidad
adeudada.” (El subrayado es nuestro)

DECIMOTERCERO: El Subdirector General del Registro General de la AEPD, en el
escrito de respuesta a la prueba solicitada, de fecha 10/02/2021, manifiesta que, en
esa fecha, el proyecto de código de conducta presentado por ASEDIE para su
aprobación por la AEPD se encontraba en tramitación, pendiente del informe del
Gabinete Jurídico de la AEPD, y que no se había dado traslado a la citada Asociación
de ningún informe emitido sobre el proyecto de código de conducta.

DECIMOCUARTO: Obra en el expediente administrativo la respuesta de la Secretaría
General de AEBOE a la consulta de varios reclamantes (entre otros el reclamante 55)
acerca de si es lícito que se recojan sus datos personales, que aparecen en las
notificaciones insertadas en el Suplemento de notificaciones del BOE, para
incorporarlos a una base de datos con ánimo de lucro en la que concluye:

“De conformidad con lo anterior, esta Agencia Estatal considera que la reutilización de
datos de tipo personal como nombres, apellidos, DNI asociados a deudas, publicados
en el BOE, que vd. solicita, no sería un tratamiento lícito de datos de carácter personal
de los previstos en el art. 6 de RGPD y, por lo tanto, de acuerdo con lo regulado tanto
en el Reglamento (UE) 2016/679 como en el Ley orgánica 3/2018, de 5 de diciembre,
no deben ser objeto de reutilización por terceros.”

DECIMOQUINTO: La reclamada afirma que el importe neto de la cifra de negocio de
EQUIFAX IBÉRICA, a fecha 31/12/2019, ascendió a 42.259.655 €.

Respecto a los “ingresos directos en relación con el servicio de acceso al FIJ prestado
a los clientes de manera directa desde el año 2015” informa de estos importes:
316.204€ en el año 2015; 291.950 €, en 2016; 289.854 en 2017; 290.256 € en 2018;
269.415 en 2019 y1.734.763 € en el año 2020.

Hace tres matizaciones que inciden en los importes que ha facilitado. Que no puede
determinar qué parte del precio que satisfacen globalmente los clientes que contratan
otros servicios juntamente con el FIJ debería imputarse al FIJ. Que tampoco puede
desglosar de los ingresos directos obtenidos qué parte corresponde al acceso al FIJ
para obtener información de personas jurídicas. Y que la cifra de ingresos directos no
tiene en cuenta los costes, pues la entidad carece de un sistema de imputación de
costes vinculado a cada uno de los ficheros que gestiona.

FUNDAMENTOS DE DERECHO

I
Competencia

Es competente para resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el artículo 58.2 del RGPD
y en los artículos 47 y 48.1 de la LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

110/184

II
Disposiciones aplicables

El RGPD dedica su artículo 5 a los principios que presiden el tratamiento de los datos
personales, precepto que dispone:

“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente en relación con el interesado («licitud,
lealtad y transparencia»);
b) recogidos con fines determinados, explícitos y legítimos, y no serán tratados
ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89,
apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en
interés público, fines de investigación científica e histórica o fines estadísticos no se
considerará incompatible con los fines iniciales («limitación de la finalidad»);
c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados («minimización de datos»);
d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);
e)mantenidos de forma que se permita la identificación de los interesados durante no
más tiempo del necesario para los fines del tratamiento de los datos personales; los
datos personales podrán conservarse durante períodos más largos siempre que se
traten exclusivamente con fines de archivo en interés público, fines de investigación
científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1,
sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que
impone el presente Reglamento a fin de proteger los derechos y libertades del
interesado («limitación del plazo de conservación»);
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»).
El artículo 5 del RGPD añade en su apartado 2 que “El responsable del tratamiento
será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo («responsabilidad proactiva»)”

El artículo 6.1. del RGPD, bajo la rúbrica “Licitud del tratamiento”, concreta los
supuestos en los que el tratamiento de datos es considerado lícito:

“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

111/184

e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.
[....]
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas o infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización.”

III
De la pretendida nulidad de este procedimiento.

Procede examinar, en primer término, la cuestión relativa a la nulidad del
procedimiento sancionador que la reclamada ha invocado reiteradamente, tanto en sus
dos escritos de alegaciones al acuerdo de inicio –el de fecha 19/02/2018 o primeras
alegaciones al acuerdo de inicio y el de fecha 24/01/2021 o alegaciones
complementarias- como en el de alegaciones a la propuesta de resolución.

En particular, en el escrito de alegaciones a la propuesta de resolución esgrime la
concurrencia de las causas de nulidad absoluta previstas en los apartados a) y e) del
artículo 47.1 de la LPACAP y afirma que estos vicios de nulidad le han generado una
indefensión material y real puesto que además de no tratarse de una vulneración
meramente formal ha sufrido un menoscabo real y efectivo del derecho de defensa,
con el consiguiente perjuicio.

Las siguientes conductas que relaciona en el escrito sus alegaciones a la propuesta
habrían provocado, a su juicio, los vicios de nulidad que aduce:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

112/184

a. La inclusión del importe de las sanciones en el acuerdo de inicio, lo que constituye
un vicio de nulidad absoluta previsto en el artículo 47.1.a) LPACAP.

Reitera con ello sus alegaciones al acuerdo de apertura del procedimiento en las que
sostuvo que el procedimiento se encontraba viciado de nulidad por la indefensión
generada al haber fijado en él el importe de la sanción en lugar de expresar solo los
límites de la posible sanción. Que, por esta circunstancia, el acuerdo de inicio excedía
del contenido legalmente previsto, vulnerado el artículo 68 de la LOPDGDD, y se veía
afectada la imparcialidad del órgano instructor, que conocía antes de iniciar el
procedimiento el criterio del órgano al que deberá elevar el expediente, en clara
ruptura del principio de separación de la fase instructora y de sanción (artículo 63.1 de
la LPACAP).

Consideró también en esas alegaciones que las reglas del artículo 85 de la LPACAP
no eran aplicables al presente caso sino a los supuestos en los que la norma
sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se
había hecho de este precepto en el acuerdo de inicio no respetaba su tenor literal,
según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el
procedimiento sancionador”, por lo que, afirma, se estaría asimilando “el acto mismo
de iniciación con el hecho de que el procedimiento se encuentre iniciado”.

Como se expuso la propuesta de resolución, esta Agencia no puede compartir la
posición de la reclamada de que haber recogido en el acuerdo de inicio las sanciones
que pudiesen corresponder por las infracciones imputadas es determinante de
indefensión o supone una ruptura del principio de separación de las fases de
instrucción y resolución; por el contrario, con ello se da cumplimiento a las exigencias
previstas en los artículos 64.2 y 68 LPACAP.

No puede obviarse tampoco que el artículo 85 de la LPACAP -que contempla la
posibilidad de aplicar reducciones sobre el importe de la sanción para el caso de que
el infractor reconozca su responsabilidad y en caso de pago voluntario de la sanción-
obliga a determinar esas reducciones en la notificación del acuerdo de iniciación del
procedimiento, lo que implica, necesariamente, que deba fijarse en dicho acuerdo el
importe de la sanción correspondiente a los hechos imputados.

Por otra parte, frente a lo expresado por la reclamada, el artículo 85 de la LPACAP no
prevé que el importe de la sanción se determine una vez iniciado el procedimiento.
Más al contrario, es el reconocimiento de la responsabilidad y el pago voluntario de la
sanción lo que ha de producirse con posterioridad a ese momento y no la fijación de la
cuantía de la sanción.

EQUIFAX estima que esta interpretación de la AEPD -según la cual “la determinación
de la cuantía de la sanción y la consiguiente evaluación de las circunstancias concu-
rrentes en el caso deviene de [...] lo establecido en el artículo 85 LPACAP”- es contra-
ria a la Constitución Española toda vez que, dice, vulnera la protección de los dere-
chos fundamentales que a través de ella se otorga y que la “eficiencia que podría per-
seguirse con la determinación del importe de la sanción en el acuerdo de inicio nunca
podría justificar el quebranto de los derechos fundamentales del encartado que tal ac-
tuación conlleva”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

113/184

Se añade a lo ya expuesto en fase de propuesta que la AEPD entiende que la interpre-
tación literal del precepto que viene haciendo es congruente con lo dispuesto en los di-
ferentes apartados del artículo y que no le compete a este organismo pronunciarse so-
bre la pretendida inconstitucionalidad de esta disposición legal. Por otra parte, la Sala
de lo Contencioso administrativo de la Audiencia Nacional ha resuelto numerosos re-
cursos frente a resoluciones de la AEPD dictadas en procedimientos cuyo acuerdo de
inicio fijaba, como en éste, el importe de las sanciones, sin que se haya suscitado por
los recurrentes ni por el Tribunal la controversia sobre la interpretación y aplicación de
la norma que la reclamada plantea.

Sobre la pretendida ruptura del principio de separación de las fases de instrucción y
resolución derivada de haber fijado el órgano resolutorio en el acuerdo de inicio el im-
porte de la sanción, condicionando así la independencia del instructor, no parece que
en el supuesto que nos ocupa se haya producido el condicionamiento del órgano ins-
tructor al que se hace alusión por la reclamada.

b. La conculcación por la AEPD de las normas que regulan el procedimiento
sancionador en materia de protección de datos personales y “la consiguiente
caducidad a limine del procedimiento”, lo que entraña un vicio de nulidad del artículo
47.1.e) LPACAP.

EQUIFAX sostiene que la AEPD ha prescindido total y absolutamente del procedimien-
to legalmente establecido en los artículos 64 y 67 de la LOPDGDD y ha incurrido en
una dejación en de las competencias que le atribuyen la LOPDGDD y el RGPD. Deja-
ción que le ha generado un perjuicio “por cuanto ha sido considerada por la AEPD
como circunstancia agravante del tipo el carácter continuado de la supuesta infracción
durante el periodo en el que esa AEPD declinó llevar a cabo ninguna infracción contra
Equifax”.

Respecto al procedimiento, transcribe los artículos 64.2 y 67 de la LOPDGDD y dice
que de estas disposiciones se desprende inequívocamente que la LOPDGDD, por ra-
zones de seguridad jurídica para el administrado, ha establecido un procedimiento re-
glado y con unos límites temporales claramente marcados”. Considera, por tanto, que
deberán sucederse sin solución de continuidad la admisión a trámite de la reclamación
en un plazo de tres meses; la realización potestativa de actuaciones de investigación
durante un plazo máximo de doce meses y la apertura de un procedimiento sanciona-
dor. Afirma así que la admisión a trámite de una reclamación por parte de la AEPD su-
pone el reconocimiento de la existencia de indicios de vulneración de la normativa de
protección de datos y esto deberá implicar -argumenta EQUIFAX- que se lleven a cabo
actuaciones de investigación previa o, si considera que la infracción es manifiesta,
como parece suceder en el presente caso, que se proceda de inmediato a la apertura
del procedimiento sancionador.

A la vista de lo anterior, la reclamada extrae la “consecuencia palmaria” de que si la
primera reclamación fue admitida el 30 de mayo de 2019 y la AEPD decidió no llevar a
cabo actuaciones de investigación “el Acuerdo de inicio del presente procedimiento
debía ser de dicha fecha, por lo que, siendo la duración máxima del procedimiento de
nueve meses, la resolución [...] debería haberse dictado el 2 de marzo de 2020”. Y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

114/184

añade: “De este modo, la AEPD dictó el Acuerdo de Inicio mucho tiempo después de
la fecha en que debió haber dictado resolución si hubiera cumplido las exigencias es-
tablecidas en la normativa de protección de datos, con lo que todas las actuaciones
deberían reputarse caducadas.” (El subrayado es nuestro)

Se refiere también a la situación de “inactividad” en la que estima incurrió la AEPD en
relación con las reclamaciones que se presentaron contra EQUIFAX relativas al FIJ.
Apoya tal conclusión en que de las 97 reclamaciones (96, por estar repetidos los recla-
mantes 3 y 27) admitidas frente a EQUIFAX sólo se dio traslado al DPD de algunas de
ellas; en que si bien todas fueron admitidas a trámite algunas lo fueron “sin un mínimo
razonamiento jurídico”; en que la primera reclamación (reclamante 25) entró en la
AEPD el 30/05/2019 y en que la AEPD no llevó a cabo actuaciones de investigación
previa, por lo que, afirma, desde la admisión a trámite de las reclamaciones hasta que
la Agencia dicta el acuerdo de inicio del procedimiento sancionador que nos ocupa, el
24/07/2020, no realizó ninguna otra acción.

Los trámites realizados por esta Agencia a los que se refiere la reclamada tienen que
ver con el proceso de admisión de las reclamaciones recibidas, que incluyó para
algunas de ellas el traslado del escrito de reclamación al responsable previo al
acuerdo de la AEPD de su admisión a trámite.

De conformidad con lo establecido en el artículo 55 del RGPD, la AEPD es competente
para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de
hacer aplicar el Reglamento y promover la sensibilización de los responsables y los
encargados del tratamiento acerca de las obligaciones que les incumben, así como
tratar las reclamaciones presentadas por un interesado y hacer en su caso las
investigaciones pertinentes.

Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en
el desempeño de sus funciones. Para el caso de que éstos hayan designado un
delegado de protección de datos, el artículo 39 del RGPD le atribuye a él la función de
cooperar con dicha autoridad.

El artículo 65.4 de la LOPDGDD ha previsto un mecanismo previo a la admisión a
trámite de las reclamaciones que se formulen ante la AEPD que consiste en dar
traslado de ellas a los delegados de protección de datos designados por los
responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de
la citada norma, o a éstos cuando no los hubieren designado, para que procedan al
análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. Se trata
de un trámite potestativo, de modo que este traslado se lleva a cabo si la AEPD así lo
estima.

De conformidad con esta normativa, con carácter previo a la admisión a trámite de las
reclamaciones que dan lugar al presente procedimiento, se dio traslado a la reclamada
de algunas de las reclamaciones recibidas para que procediese a su análisis, diera
respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al
reclamante la respuesta debida.

El resultado de dicho traslado no fue satisfactorio, por lo que, a los efectos previstos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

115/184

en su artículo 64.2 de la LOPDGDD, se acordó admitir a trámite las reclamaciones
presentadas mediante acuerdos que fueron debidamente notificados a los reclamantes
y no a la reclamada, conforme a lo establecido en el artículo 65.5 de la LOPDGDD.

La reclamada afirmó en sus alegaciones al acuerdo de inicio que la fase previa de
investigación se mantuvo abierta durante más dieciséis meses sin realizar ninguna
actividad. A ese respecto hemos de subrayar que la apertura de una fase previa de
investigación tiene carácter potestativo conforme al artículo 67 de la LOPDGDD.

Ninguna consecuencia jurídica puede atribuirse al tiempo transcurrido entre la
admisión a trámite de las reclamaciones y la apertura del procedimiento, al no existir
ninguna norma que acote el tiempo de que dispone la Administración para iniciar este
tipo de procedimientos más allá de la regla de la prescripción y los efectos que se le
atribuyen.

La reclamada llama la atención sobre la inactividad de la AEPD que, a su entender, se
pone de manifiesto en el tiempo transcurrido entre la recepción de una reclamación y
la apertura del procedimiento sancionador. En relación con el reclamante 25, cuya
reclamación entró en la AEPD el 30/05/2019, considera que, puesto que se decidió no
darle traslado de la reclamación ni abrir actuaciones de investigación previa, debería
haberse dictado el acuerdo de apertura del expediente sancionador en esa misma
fecha, 30/05/2019, por lo que la resolución debería haber recaído el 02/03/2020, varios
meses antes de que la Agencia acordara la apertura del procedimiento sancionador
que nos ocupa.

EQUIFAX entiende que esta inactividad injustificada deviene en la caducidad del
presente procedimiento, dado que el plazo para resolver se encontraría vencido en la
misma fecha en que se dictó el acuerdo de inicio. En ese sentido considera que los
artículos 64.2 y 67 de la LOPDGDD establecen tres fases sucesivas sin solución de
continuidad (admisión a trámite, actuaciones previas de investigación y apertura del
procedimiento sancionador), cada una de ellas con unos límites temporales marcados,
de modo que, si se opta por no realizar actuaciones previas de investigación, una vez
admitida a trámite la reclamación deberá procederse de inmediato a la apertura del
procedimiento sancionador.

Este planteamiento de la reclamada no resulta admisible. Debe señalarse que no
existe ninguna norma aplicable al procedimiento sancionador en materia de protección
de datos personales que establezca un plazo preclusivo para acordar su apertura. Que
el plazo de caducidad de ese procedimiento, establecido en nueve meses, se computa
desde la fecha en que se acuerda su inicio, por lo que es improcedente añadir a ese
cómputo, a efectos de medir la duración del expediente administrativo, otro período, tal
como el tiempo de las actuaciones previas de investigación, en caso de que se
hubiese acordado su realización, o, en este caso, el tiempo correspondiente a la fase
de admisión a trámite de las reclamaciones presentadas.

Así lo ha declarado repetidamente nuestro Tribunal Supremo. En Sentencia de
21/10/2015 se cita la Sentencia de 26/12/2007 (recurso 1907/2005), que declara lo
siguiente:
“[…] el plazo del procedimiento […] se cuenta desde la incoación del expediente
sancionador, lo que obviamente excluye del cómputo el tiempo de la información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

116/184

reservada";" […] la mayor o menor duración de la fase preliminar no lleva aparejada la
caducidad del procedimiento ulterior".

También en Sentencia del Tribunal Supremo de 13/10/2011 (recurso 3987/2008) que
examina un motivo de casación relativo al cómputo del plazo de caducidad del
procedimiento, se declara lo siguiente:
“No podemos compartir el razonamiento que expone la Sala de instancia para fijar un
dies a quo diferente al establecido por la Ley, señalando como fecha inicial del
cómputo el día siguiente a la finalización de las diligencias previas informativas.
[…]
Pues bien, una vez realizadas esas actuaciones previas, el tiempo que tarde la
Administración en acordar la incoación del procedimiento […] podrá tener las
consecuencias que procedan en cuanto al cómputo de la prescripción (extinción del
derecho); pero no puede ser tomado en consideración a efectos de la caducidad, pues
esta figura lo que pretende es asegurar que una vez iniciado el procedimiento la
Administración no sobrepase el plazo de que dispone para resolver. En el fundamento
tercero de la sentencia recurrida la Sala de instancia realiza una interpretación de la
norma que no es acorde con la naturaleza de la institución de la caducidad, pues a
diferencia de la prescripción, que es causa de extinción del derecho o de la
responsabilidad de que se trate, la caducidad es un modo de terminación del
procedimiento por el transcurso del plazo fijado en la norma, por lo que su apreciación
no impide, si no ha transcurrido el plazo establecido para la prescripción de la acción
de restablecimiento de legalidad urbanística por parte de la Administración, la
iniciación de un nuevo procedimiento”.

Abundando en la invocada inactividad de la AEPD, ni siquiera puede considerarse que
ese período al que se refiere la reclamada, el que comprende el tiempo transcurrido
entre la admisión a trámite de la reclamación del reclamante 25 y la apertura del
procedimiento que nos ocupa, sea un período de inactividad de esta Agencia, dado
que durante ese tiempo se realizaron los trámites de admisión del resto de
reclamaciones.

c. Entre las conductas que habrían viciado de nulidad radical del procedimiento que
nos ocupa la reclamada menciona las “principales circunstancias” que se han
producido durante la tramitación cuya visión de conjunto demuestra que el
procedimiento se ha tramitado con un completo y reiterado menoscabo de los
derechos que en el marco del procedimiento administrativo sancionador le otorgan los
apartados 1 y 2 del artículo 53 de la LPACAP y a tal fin refiere las siguientes
circunstancias:

1.No se efectuaron actuaciones de investigación con carácter previo a la apertura del
acuerdo de inicio del procedimiento sancionador.
2.Demora en la remisión de la copia del expediente administrativo: se recibe por la en-
tidad el penúltimo día del plazo ordinario concedido para alegar, si bien se concede por
la AEPD la ampliación del plazo por el máximo permitido legalmente, cinco días, y en
consecuencia lo recibe cuando restaban sólo seis días para emitir su escrito de alega-
ciones. Recuerda que el expediente remitido tenía una extensión de 2.974 folios.
3.El 23/12/2020, la AEPD le remite un escrito en el que se indica que “se ha constata-
do que, lamentablemente, una incidencia de carácter técnico cercenó parte de la do-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

117/184

cumentación que integraba el expediente administrativo”. Dice que en el citado escrito
no se le otorga plazo de alegaciones ya que se limitaba a indicar que la instructora no
procedería a la apertura de la fase de prueba hasta transcurridos al menos diez días
hábiles computados desde la fecha de notificación del escrito. Añade: “Todo ello sin re-
ferencia alguna al principio de integridad del expediente administrativo electrónico con-
sagrado por el artículo 70.3 de la LPACAP”.
4.“El citado expediente resultó verse incrementado hasta los 4.319 (es decir, una ex-
tensión superior en más de un 45% a la del expediente remitido originariamente), lo
que motivó que mi mandante solicitase expresamente la concesión de un plazo para la
emisión de alegaciones y que se ampliase el plazo para ello. La AEPD se limitó a res-
ponder dicha solicitud indicando la fecha concreta en que acordaría la apertura del pe-
ríodo de prueba, pero sin conceder expresamente a mi mandante plazo alguno para
alegaciones.” (El subrayado es nuestro)
5.La fase de prueba no se inicia hasta el 20/01/2021, cuando habían transcurrido casi
seis meses desde la apertura del acuerdo de inicio.
6.La propuesta de resolución se notifica a EQUIFAX el 29/03/2021. En ella, las dos im-
putaciones iniciales, contenidas en el acuerdo de inicio, se amplían con tres nuevas in-
fracciones “sin que ninguna de ellas haya resultado de la obtención de información
adicional alguna que pudiera haber justificado esa triple imputación”. Advierte que no
estamos ante una nueva calificación jurídica de las infracciones sino ante tres nuevas
infracciones añadidas por la AEPD “[...] en el último trámite del procedimiento, tres
nuevas imputaciones sobre una base jurídica que podría haber sido esgrimida en su
integridad en el momento de dictarse el Acuerdo de inicio”.
7.Que, a tenor de los cambios introducidos con la propuesta de resolución se solicitó,
al amparo del artículo 32.1 LPACAP, la ampliación del plazo de alegaciones por el má-
ximo permitido legalmente (cinco días). Sin embargo, “la AEPD limita dicha ampliación
al plazo de un solo día a la vista del evidente riesgo de caducidad del procedimiento”.
Afirma que “De este modo, parece negarse a mi mandante un derecho que la ley le
otorga como consecuencia de la demora en la tramitación del procedimiento única-
mente imputable a la actuación de esa AEPD, que en ningún caso debería redundar
en perjuicio del Administrado.” (El subrayado es nuestro)

Respecto a lo señalado por la reclamada en el punto 1, nos remitimos a las
consideraciones efectuadas en el apartado b) precedente.

Respecto a la afirmación recogida en el punto 4, según la cual la documentación que
no se remitió a EQUIFAX el 12/08/2020 representaba “más del 45%” del expediente
cabe indicar que incurre en un error numérico, pues los folios que el expediente
electrónico no incorporó a la copia solicitada representaban algo menos del 33% de la
documentación que lo integraba.

Por lo demás, las circunstancias que la reclamada detalla en sus alegaciones a la
propuesta de resolución, en particular lo indicado en los puntos 2, 3 y 4, fueron
planteadas también en sus dos escritos de alegaciones al acuerdo de inicio. Invocó
entonces la indefensión padecida como consecuencia de haber visto limitada y
reducida ostensiblemente su capacidad para formular unas alegaciones “completas e
informadas” frente al acuerdo de inicio del expediente sancionador.

En su segundo escrito de alegaciones al acuerdo de apertura solicitó que se declarase
la nulidad de pleno derecho del procedimiento administrativo sancionador toda vez que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

118/184

la actuación de la AEPD conculcó su derecho de defensa. Expuso entonces que se
habían vulnerado los artículos 65.2.f) y 89.1 de la LPACAP pues “el trámite de
audiencia de los interesados y el derecho del encartado a la formulación de
alegaciones, a la vista del expediente administrativo, se configuran como una garantía
esencial del procedimiento, siendo el reflejo en el procedimiento administrativo
sancionador del derecho a la tutela judicial efectiva que asiste al encartado.”

La omisión del trámite de audiencia se habría materializado, a su juicio, en estas
conductas:
Por una parte, en que no pudo tener un conocimiento real del expediente salvo con el
alcance del que le fue notificado antes de que formulara sus alegaciones al acuerdo de
inicio. Que transcurridos cuatro meses desde que presentara sus alegaciones al
acuerdo de inicio la AEPD le remitió una copia íntegra del expediente que ponía de
manifiesto que en la primera copia recibida se había omitido más del 30 por 100 del
expediente, sin que existiera correlación entre los índices de las dos copias. Por otra,
la omisión del trámite de audiencia se concretaba a su entender en que la AEPD, en el
escrito que le notificó el 23/12/2020, no le otorgó un plazo para hacer alegaciones al
acuerdo de inicio sino, dice la entidad, “[...] la concesión o gracia consistente en
demorar la iniciación del período de prueba durante el plazo de diez días desde la
entrega del citado expediente “completado” o “suplementado”.

Sobre las cuestiones entonces planteadas por EQUIFAX se hicieron diversas
precisiones en la propuesta de resolución relativas a determinados elementos fácticos
a los que aludía la entidad cuando fundamentaba su petición de nulidad radical del
procedimiento administrativo.

Una de las precisiones versó sobre el expediente electrónico que la AEPD tiene
implementado, que garantiza la autenticidad e integridad de la documentación y que
refleja todas las actuaciones efectuadas en un determinado procedimiento y toda la
documentación que lo integra.

En el expediente electrónico el sistema informático ordena los documentos y los
trámites realizados siguiendo, exclusivamente, un criterio cronológico. Es el propio
sistema el que genera o confecciona la copia del expediente, de modo que esta
circunstancia, unida al extraordinario volumen del expediente, hizo que, en la copia
generada para responder al traslado solicitado por la reclamada el 03/08/2020, no se
hubiera detectado que no llegó a volcarse la totalidad de la documentación que lo
integraba. El hecho de que los 1.435 documentos omitidos en la primera copia
aparecieran en la copia trasladada a la reclamada en diciembre de 2020 intercalados
con los anteriores, con la consecuencia de que el índice inicialmente facilitado se veía
también alterado, fue fruto, exclusivamente, del criterio cronológico que sigue el
sistema informático para ordenar la documentación.

La segunda precisión estaba relacionada con la afirmación hecha por EQUIFAX de
que la AEPD no le concedió un plazo para formular alegaciones complementarias al
acuerdo de inicio una vez que ella tuvo acceso a la copia íntegra del expediente
administrativo. Nos remitimos en ese sentido a los Antecedentes Octavo, Noveno y
Décimo en los que se detalla el “iter” de los acontecimientos. El Antecedente Octavo
hace referencia al escrito que la instructora envió a la reclamada el 23/12/2020 en el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

119/184

que, además de informarle de que en esa fecha se le remitía un soporte CD, cifrado,
con la copia completa del expediente administrativo, le comunicaba lo siguiente:
“Con el fin de garantizar que EQUIFAX pueda, una vez que tenga a su disposición
toda la documentación que sirvió de base a esta Agencia para la adopción del acuerdo
de inicio del expediente sancionador PS/000240/2019, hacer las alegaciones y aportar
la documentación que estime pertinente, la instructora del expediente no procederá a
la apertura de la fase de prueba hasta transcurridos, al menos, diez días hábiles
computados desde la fecha de notificación del presente escrito, si la notificación fuese
posterior al 28 de diciembre de 2020. Si la notificación de esta comunicación fuera
anterior al 28 de diciembre, los diez días hábiles se computarán desde esa fecha, por
ser en esta fecha en la que, en último término, la empresa de mensajería ha
garantizado que hará entrega del envío que contiene el soporte CD con la
documentación aludida.” (El subrayado es nuestro)

El escrito de fecha 23/12/2020 que se notificó a la reclamada recalcaba que, una vez
que tuviera en su poder la copia completa del expediente administrativo, el trámite a
seguir era “hacer alegaciones y aportar la documentación que estime pertinente”, para
lo que resultaba necesario un periodo de tiempo en el que el procedimiento no
avanzara a la siguiente fase, la fase de prueba. Materialmente lo que se concedió a la
reclamada en el citado escrito era un plazo para alegar, con independencia de que la
expresión fuera formalmente inadecuada.

La misma convicción de respeto al derecho de la reclamada a formular alegaciones, se
reflejaba en la respuesta a su petición para que se demorara en cinco días más la
apertura de la fase de prueba del procedimiento sancionador. En el escrito de la
instructora de respuesta a su solicitud de ampliación del plazo para alegar, de fecha
13/01/2021, recibido por la reclamada el 14/01/2021, se indicaba:
“Sin perjuicio de lo prevenido en el artículo 76.1 de la Ley 39/2015, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP), con el mismo
propósito de garantizar el legítimo derecho de defensa de EQUIFAX que inspiró el
escrito que le fue remitido a esa entidad por la instructora del expediente el
23/12/2020, se le informa que no se procederá a la apertura de la fase probatoria del
procedimiento hasta vencido el día 15/01/2021.” (El subrayado es nuestro)

Se recordó también -nos remitimos al Antecedente Décimo, apartado I - que, habida
cuenta de que el acuse de GEISER, relativo a la presentación por EQUIFAX en la
sede electrónica de la AEPD en fecha 20/01/2021 de un documento de alegaciones
complementarias al acuerdo de inicio PS 240/2019, indicaba que no se había
incorporado ni ese documento ni ningún otro, se realizaron diversas gestiones para
alertar a la reclamada de lo sucedido e impedir que se frustrara la presentación de sus
alegaciones complementarias al acuerdo de inicio, hasta que finalmente, en fecha
24/01/2021, quedó constancia en el acuse de presentación de GEISER de que la
reclamada anexaba el referido escrito de alegaciones.

El efecto jurídico que la reclamada atribuyó entonces (en sus alegaciones al acuerdo
de inicio) y continúa atribuyendo a los hechos expuestos, es la nulidad absoluta del
procedimiento administrativo, al amparo del artículo 47.1. LPACAP, precepto que
dispone:
“Los actos de las Administraciones Públicas son nulos de pleno derecho en los casos
siguientes: [...]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

120/184

a) Los que lesionen derechos y libertades susceptibles de amparo constitucional
[...]
e) Los dictados prescindiendo total y absolutamente del procedimiento legalmente
establecido o de las normas que contienen las reglas esenciales para la formación de
la voluntad de los órganos colegiados.”

Como se expuso en el escrito de propuesta, tomando en consideración los trámites
seguidos en el procedimiento, tramites descritos en los Antecedentes y, en particular,
por lo que aquí interesa, en los Antecedentes Quinto a Décimo, es obligado rechazar
la tesis de la reclamada de que se hubiera producido una omisión “total” y “absoluta”
de las normas de procedimiento.

Si existió una demora de la AEPD en la entrega de la copia del expediente que, en
palabras de la reclamada, supuso que el plazo de alegaciones quedara reducido a seis
días hábiles, fue debido al volumen del expediente que impidió realizar una notificación
electrónica; pero esta circunstancia no puede hacer olvidar que la entidad dejó
transcurrir un día hábil desde que se le notificó el acuerdo de inicio, el 30/07/2020, y
hasta que solicitó a la Agencia, el 03/08/2020, la remisión de la copia del expediente.
Tampoco puede olvidarse que tanto respecto a sus alegaciones iniciales, de
19/08/2020, como a las alegaciones complementarias la Agencia ha acordado siempre
la ampliación de plazo solicitada. Por otra parte, aunque la entidad aduce que, como
consecuencia de la reducción del tiempo disponible, ha visto limitada ostensiblemente
su capacidad para formular unas alegaciones “completas e informadas” frente al
acuerdo de inicio del expediente sancionador, nada le impedía haber completado sus
alegaciones en lo que estimara oportuno después de que venciera tal plazo, conforme
a lo prevenido en el artículo 76 LPCAP, lo que no hizo.

Se añadió que EQUIFAX podría haber formulado en el segundo escrito de alegaciones
al acuerdo de inicio, de fecha 24/01/2021, esas alegaciones “completas e informadas”
de las que, dice, se vio obligada a prescindir por falta de tiempo, máxime cuando ella
misma había reconocido que no había diferencias sustanciales entre las
reclamaciones que integraban la copia del expediente remitida inicialmente y las 42
reclamaciones omitidas a cuya documentación pudo acceder en fecha 24/12/2020 -si
nos atenemos a lo indicado en el acuse de recibo de la empresa MRV que obra en el
expediente- o en fecha 28/12/2020 -según una de las versiones de la entidad- o en
fecha 26/12/2020 -según otra de sus versiones-.

Como se indicó entonces, bastaba acudir al escrito de alegaciones complementarias
de EQUIFAX para comprobar que en él la entidad se limitaba a ratificar sus
alegaciones al acuerdo de inicio presentadas el 19/08/2020; a hacer un análisis de las
42 reclamaciones omitidas en base a las mismas categorías que había diferenciado en
su primer escrito de alegaciones y, principalmente, a argumentar su pretensión de que
se declarara la nulidad del procedimiento por estar viciado de nulidad absoluta.

En definitiva, no cabe aceptar la pretensión de la reclamada de que se había
producido una omisión total y absoluta del procedimiento legalmente establecido -que
es el presupuesto de la norma del artículo 47.1.e) LPACAP cuya aplicación invoca- ni
por consiguiente que el procedimiento estuviera viciado de nulidad radical.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

121/184

Se respondió por esta Agencia con una mención a la SAN, Sala de lo Contencioso
Administrativo, Sección 1ª, de 08/03/2019 (recurso 20/2018), F.J. Cuarto, que refleja la
posición que sobre la cuestión mantiene el Tribunal Supremo:

“[...] Cuando se ha omitido un trámite procedimental, pero no se ha prescindido total y
absolutamente del procedimiento legalmente previsto, nos encontramos con la
posibilidad de que el acto pueda ser anulable de conformidad con el art. 48.2 de la Ley
39/2015, de 1 de octubre, aunque en este supuesto sólo procederá la declaración de
anulabilidad si el acto carece de los requisitos formales indispensables para alcanzar
su fin o si ha producido indefensión a los interesados, como ya se apuntó.
Ahora bien, no se produce indefensión a estos efectos, tal y como declara la
Sentencia del Tribunal Supremo de 11 de octubre de 2012 -recurso nº. 408/2010 -, " si
el interesado ha podido alegar y probar en el expediente cuanto ha considerado
oportuno en defensa de sus derechos y postura asumida, como también recurrir en
reposición, doctrina que se basa en el artículo 24.1 CE, si hizo dentro del expediente
las alegaciones que estimó oportunas" (S.T.S. 27 de febrero de 1991), "si ejercitó, en
fin, todos los recursos procedentes, tanto el administrativo como el jurisdiccional"
(S.TS. de 20 de julio de 1992). (El subrayado es nuestro)

Por ello, "si el interesado en vía de recurso administrativo o contencioso-administrativo
ha tenido la oportunidad de defenderse y hacer valer sus puntos de vista, puede
entenderse que se ha subsanado la omisión y deviene intrascendente para los
intereses reales del recurrente y para la objetividad del control de la Administración,
compatibilizando la prohibición constitucional de indefensión con las ventajas del
principio de economía procesal que complementa al primero sin oponerse en absoluto
al mismo y que excluye actuaciones procesales inútiles a los fines del procedimiento"
(SS.TS. de 6 de julio de 1988 y 17 de junio de 1991 ).

Además, declara también la Sentencia del Alto Tribunal de 11 de octubre de 2012, que
"si a pesar de la omisión procedimental, el Tribunal enjuiciador cuenta con los
elementos de juicio suficientes para formarse una convicción que sirva para decidir
correctamente la contienda, debe pasar a analizar y enjuiciar el fondo del asunto"; y
ello es así "porque la teoría de la nulidad de los actos administrativos ha de aplicarse
con parsimonia, siendo necesario ponderar siempre el efecto que produjo la causa
determinante de la invalidez y las consecuencias que se hubieran seguido del correcto
procedimiento rector de las actuaciones que se declaran nulas" ( S.TS. de 20 de julio
de 1992 ), pues "es evidente que si la garantía del administrado se consigue
efectivamente, no es necesario decretar nulidades si éstas sólo han de servir para
dilatar la resolución de la cuestión de fondo" ( SS.TS. de 14 de junio de 1985 , 3 de
julio y 16 de noviembre de 1987 y 22 de julio de 1988).

En síntesis, concluye el Tribunal Supremo, que "el vicio de forma o procedimiento no
es invalidante de por sí, sino en cuanto concurran los supuestos de que el acto
carezca de los requisitos indispensables para alcanzar su fin o dé lugar a la
indefensión de los interesados [...]”.

En lo que concierne a la pretensión de que se declare la nulidad del procedimiento al
amparo del artículo 47.1.a) LPACAP, por vulneración del derecho del derecho de
defensa y de las garantías procesales que la jurisprudencia enmarca en el artículo
24.2 de la Constitución, partiendo de las precisiones fácticas que se han hecho frente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

122/184

a lo invocado por EQUIFAX, debemos atenernos al criterio marcado por la
jurisprudencia al interpretar el alcance de la disposición de la LPACAP precitada.

La doctrina jurisprudencial sobre la materia exige que, en todo caso, se haya
producido una lesión efectiva y real del derecho cuya vulneración se invoca.

Si bien la reclamada afirma que ha sufrido un menoscabo real y efectivo en su derecho
de defensa, lo cierto es que esa lesión no queda acreditada toda vez que ha podido
ejercitar su derecho de defensa formulando sus escritos de alegaciones dentro de los
plazos otorgados a tal fin. Nos remitimos sobre la cuestión a la STC 78/1999, de 26 de
abril, en cuyo Fundamento Jurídico 2, señala:
“Así pues, según reiterada doctrina constitucional que se sintetiza en el fundamento
jurídico 3º de la STC 62/1998, "la estimación de un recurso de amparo por la
existencia de infracciones de las normas procesales 'no resulta simplemente de la
apreciación de la eventual vulneración del derecho por la existencia de un defecto
procesal más o menos grave, sino que es necesario acreditar la efectiva concurrencia
de un estado de indefensión material o real' (STC 126/1991, fundamento jurídico 5º;
STC 290/1993, fundamento jurídico 4º). Para que pueda estimarse una indefensión
con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de
alegar y defender en el proceso sus derechos, no basta con una vulneración
meramente formal, siendo necesario que de esa infracción formal se derive un efecto
material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC
149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los
interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989,
fundamento jurídico 2º)". (El subrayado es nuestro)

Resta por último responder a las dos conductas reseñadas por la reclamada en los
puntos 6 y 7 como determinantes de la nulidad del procedimiento.

La primera de ellas, la ampliación del objeto del procedimiento sancionador en fase de
propuesta de resolución -toda vez que se imputaron a la reclamada tres nuevas
infracciones, de los artículos 5.1. b), 5.1.c) y 14 del RGPD, que se sumaban a las dos
previstas en el acuerdo de apertura, artículo 6.1., en relación con el 5.1.a, RGPD y del
5.1.d) RGPD- que será objeto de un análisis independiente en el siguiente apartado.

Respecto a la conducta descrita en el punto 7 se indica lo siguiente. La reclamada ha
manifestado que, a tenor de los cambios introducidos con la propuesta de resolución,
solicitó, al amparo del artículo 32.1 LPACAP, la ampliación del plazo de alegaciones
por el máximo permitido legalmente (cinco días) pero la Agencia limitó dicha amplia-
ción al plazo de un solo día, a la vista del evidente riesgo de caducidad del procedi-
miento, por lo que “De este modo, parece negarse a mi mandante un derecho que la
ley le otorga como consecuencia de la demora en la tramitación del procedimiento úni-
camente imputable a la actuación de esa AEPD, que en ningún caso debería redundar
en perjuicio del Administrado.” (El subrayado es nuestro).

El artículo 32 LPACAP dispone que “1. La Administración, salvo precepto en contrario,
podrá conceder de oficio o a petición de los interesados, una ampliación de los plazos
establecidos, que no exceda de la mitad de los mismos, si las circunstancias lo
aconsejan y con ello no se perjudican derechos de tercero. El acuerdo de ampliación
deberá ser notificado a los interesados.” (El subrayado es nuestro).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

123/184

Esta Agencia estima que, en tanto el artículo 32 LPACAP precisa el carácter potestati-
vo que para la Administración tiene acordar la ampliación de los plazos procesales, el
no haber otorgado a EQUIFAX la ampliación de plazo solicitada, habida cuenta de que
se respondió a su solicitud, denegándola, antes de finalizar el plazo para formular ale-
gaciones otorgado inicialmente, no puede entrañar ni una lesión del derecho de defen-
sa de la reclamada ni un infracción de las normas del procedimiento administrativo,
menos aún puede implicar que con esta decisión se hubiera prescindido de forma total
y absoluta (artículo 47.1.e) de las normas que regulan el procedimiento.

d. El cuarto motivo que a juicio de la reclamada vicia de nulidad radical el
procedimiento sancionador es la indefensión que le ha generado el verse privada del
“derecho a conocer las concretas imputaciones dirigidas a limine contra ella y de sus
derechos de defensa y aportación de medios de prueba pertinentes a su derecho,
consagrado en el artículo 24.2 de la Constitución como manifestación del derecho a la
tutela judicial efectiva.”

Vicio de nulidad que sería consecuencia de que la propuesta de resolución amplió el
objeto del procedimiento y en ella se imputaron a la reclamada, además de las dos in-
fracciones del RGPD fijadas en el acuerdo de inicio (artículos 6.1 y 5.1.d) tres nuevas
infracciones, de los artículos 5.1. b), 5.1.c) y 14 del RGPD.

En su opinión, tal conducta no está amparada ni en la normativa reguladora del proce-
dimiento administrativo en general ni, en particular, en la del procedimiento en materia
de protección de datos.

Considera que, a la luz de los artículos 89.3 y 90.2 LPACAP, se concluye que es exclu-
sivamente el acuerdo de inicio el que establece los límites sobre los que podrá llevarse
a cabo la calificación definitiva en la propuesta de resolución. Que la propuesta de re-
solución no puede realizar nuevas imputaciones, sino sólo modificar la calificación ini-
cial hecha en el acuerdo de inicio, haciendo una imputación o imponiendo una sanción
más grave que la fijada en el acuerdo de apertura. Y que las imputaciones adicionales
exigirían la tramitación de un nuevo procedimiento.

En el asunto que nos ocupa los hechos enjuiciados fueron calificados en el acuerdo de
inicio del expediente sancionador como constitutivos de sendas infracciones de los
artículos 6.1, en relación con el 5.1.a) del RGPD y 5.1.d) RGPD, infracciones
tipificadas ambas en el artículo 83.5 RGPD y calificadas por la LOPDGDD, a efectos
de prescripción, de infracciones muy graves.

En fase de propuesta de resolución, se consideró necesario ampliar el objeto del
procedimiento sobre la base de los hechos que se habían detallado en el acuerdo de
apertura e imputar a EQUIFAX, además de las infracciones del Reglamento fijadas en
dicho acuerdo, sendas infracciones de los artículos 5.1.b) RGPD, 5.1.c) RGPD y 14
RGPD, tipificadas todas ellas en el artículo 83.5 del Reglamento y calificadas por la
LOPDGDD, a efectos de prescripción, de infracciones muy graves.

Respecto a si es o no procedente ampliar en fase de propuesta la calificación jurídica
de los hechos expuestos en el acuerdo de Inicio y a la incidencia que tal cambio puede
tener en el derecho de defensa de la entidad denunciada, conviene señalar que nada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

124/184

impide efectuar esta modificación siempre y cuando, como ahora sucede, permanez-
can invariables los hechos en los que se funda la imputación formulada.

El primero de los derechos que el artículo 53.2 de la LPACAP reconoce a favor del pre-
sunto responsable en el procedimiento sancionador es el que le notifiquen los hechos
que se le imputan; las infracciones que tales hechos puedan constituir y las sanciones
que, en su caso, se les pudiera imponer.

El Tribunal Constitucional ha venido señalando que “el contenido esencial del derecho
constitucional a ser informado de la acusación se refiere a los hechos considerados
punibles que se imputan al acusado” (STC 95/1995). A diferencia de lo que acontece
con los hechos, el Tribunal Constitucional (TC) en Sentencia 145/1993 advierte que la
comunicación al presunto infractor de la calificación jurídica y de la eventual sanción a
imponer no integra el contenido esencial del derecho a ser informado de la acusación.

Hasta tal punto es importante la puesta en conocimiento de los hechos constitutivos de
la infracción administrativa, que el T.C. ha declarado que las exigencias del artículo
24.2 de la CE se satisfacen fundamentalmente con la sola comunicación de los hechos
imputados para poder defenderse sobre los mismos (STC 2/1987 y 190/1987). En esta
línea el Tribunal Supremo, Sentencia de 3 de marzo de 2004, señala que “la finalidad
primordial del acuerdo de inicio es informar sobre los hechos imputados y no sobre la
calificación jurídica, de lo que se encargará la propuesta de resolución”. (El subrayado
es de la AEPD).

La reclamada considera legalmente inadmisible que en la propuesta de resolución
pudiera ampliarse el objeto del procedimiento y afirma que esta posibilidad está
proscrita en la LPACAP y que ni siquiera se permitía durante la vigencia del REPEPOS
que tan solo admitía cambiar en el trámite de propuesta de resolución la calificación
jurídica de los hechos.

A estos efectos hemos de traer a colación la SAN de 12/03/2016 (recurso 312/2014).
El Fundamento de Derecho segundo comienza reflejando las cuestiones suscitadas
por la parte actora que afectan al procedimiento sancionador, entre las que alega “la
infracción de los principios informadores del derecho sancionador y, concretamente del
principio de "reformatio in peius", en alusión a que si bien el procedimiento se incoó
con ocasión de una infracción del art. 5.1 de la LOPD , calificada como leve, y otra del
art. 6 de dicha norma , considerada como grave, la propuesta de resolución alteró la
calificación jurídica, apreciándose dos infracciones del art. 6 de la LOPD , calificadas
como graves, y una infracción del art. 5.4 de la indicada norma, calificada también
como grave. [...]”

La SAN responde a la cuestión planteada por la actora en los términos siguientes:

“A raíz de lo suscitado por la parte actora, resulta conveniente reflejar la doctrina cons-
titucional y la jurisprudencia sobre el alcance del derecho de los sancionados a ser in-
formados de la acusación durante la tramitación del procedimiento administrativo san-
cionador y los límites que ha de respetar el órgano sancionador en el ejercicio de su
potestad sancionadora salvaguardar el derecho de defensa de aquel.
Los principios inspiradores del orden penal, son de aplicación, con ciertos matices, al
Derecho Administrativo sancionador, dado que ambos son manifestaciones del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

125/184

ordenamiento punitivo del Estado, tal y como refleja propia Constitución, una reiterada
jurisprudencia de nuestro Tribunal Supremo y la doctrina del Tribunal Constitucional
(en este sentido, Sentencias del Tribunal Supremo de 28 de abril de 2014 -recurso nº.
364/2013 -, y de 9 de abril de 2014 -recurso nº. 212/2013 -, entre otras)

[... Por su parte el Tribunal Supremo también ha establecido que unas de las garantías
aplicables al procedimiento administrativo sancionador derivado del derecho de
defensa reconocido en el art. 24 de la Constitución es la de ser informado de la
acusación para poder defenderse adecuadamente, tal y como establece la Sentencia
del Tribunal Supremo de 3 de noviembre de 2003 -recurso nº. 4.896/2000 -, cuya
doctrina es reiterada en las Sentencias de dicho Tribunal de 21 de mayo de 2014
-recurso n. 492/2013 -, y de 30 de octubre de 2013 -recurso nº. 2.184/2012-, en los
siguientes términos: " Pues bien, de la doctrina del Tribunal Constitucional y de la
jurisprudencia de esta Sala deben resaltarse los siguientes principios:

a) [...] En relación con esa operación de traslación de las garantías del art. 24 CE al
procedimiento administrativo sancionador [...], se ha ido elaborando progresivamente
en numerosas resoluciones una consolidada doctrina constitucional, en la que se citan
como aplicables, sin ánimo de exhaustividad, el derecho de defensa, que proscribe
cualquier indefensión; el derecho a ser informado de la acusación, con la ineludible
consecuencia de la inalterabilidad de los hechos imputados; el derecho a la
presunción de inocencia, [...]

b) Entre las garantías aplicables al procedimiento administrativo sancionador se
encuentra, desde luego, la de ser informado de la acusación para poder defenderse
adecuadamente; y tal información comprende los hechos atribuidos, la calificación
jurídica de los mismos y la sanción que se propone. Ahora bien, la estricta correlación
entre acusación y decisión se refiere a los hechos y no tanto a la calificación jurídica,
por cuanto manteniéndose inalterados los hechos objeto de cargo, la propuesta de
resolución y, en definitiva, la decisión sancionadora puede utilizar otro título de
condena con dos límites: la imposibilidad de que se incluya en dicha resolución del
procedimiento una calificación jurídica de mayor gravedad que la reflejada en la
comunicación de cargos dirigida a quien se ve sometido al expediente sancionador, y
la imposibilidad de apreciar en la resolución una calificación jurídica distinta de la
comunicada si existe heterogeneidad en los bienes jurídicos protegidos o si la
infracción definitivamente considerada incorpora algún elemento del tipo que no
corresponde a aquella que fue notificada y sobre la que el sancionado no ha tenido, en
consecuencia, oportunidad de defensa. Y no hay variación de los hechos entre el
pliego de cargos, la propuesta de resolución y la decisión sancionadora cuando,
aunque los términos empleados no sean exactamente iguales sí son similares y lo que
hay es una diferente valoración técnico-jurídica de los mismos (Cfr. SSTC 98/1989 y
145/1993).” (El subrayado es de la AEPD)

Este mismo criterio se ha mantenido por la A.N. tras la entrada en vigor de la LPACAP.
Así lo confirma la SAN de 07/02/2020 (recurso 915/2018) en la que la resolución de la
AEPD impugnada se había dictado durante la vigencia de esa norma de
procedimiento.

Finalmente, al hilo de lo afirmado por la reclamada que manifiesta que la ampliación
del objeto del procedimiento en fase de propuesta ha menoscabado su derecho de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

126/184

defensa, al haberse visto privada de la posibilidad de aportar las pruebas que
considerase procedentes para el legítimo ejercicio de su derecho, cabe recordar que el
artículo 82 LPACAP, que regula el trámite de audiencia, dispone en su apartado 2:
“Los interesados, en un plazo no inferior a diez días ni superior a quince, podrán
alegar y presentar los documentos y justificaciones que estimen pertinentes.”

Por tanto, en atención a lo que se ha expuesto a través de los apartados a) a d)
precedentes, en los que se han examinados los motivos que a juicio de la reclamada
determinarían la nulidad radical del presente procedimiento por concurrir las
circunstancias del artículo 47.1.a) y e) LPACAP, estimamos que tal pretensión debe de
ser rechazada.

IV

Del presunto reconocimiento por la AEPD de la licitud del FIJ durante la vigencia del
régimen jurídico anterior al RGPD y de los efectos jurídicos que a juicio de la
reclamada se derivan de él.

1. Referencia al régimen jurídico anterior al RGPD.

La Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos personales
(LOPD), que traspuso al ordenamiento interno español la Directiva 95/46/CE, del
Parlamento Europeo y del Consejo, de 24/10/1995, establecía en su artículo 6:
“1. El tratamiento de los datos de carácter personal requerirá el consentimiento
inequívoco del afectado, salvo que la ley disponga otra cosa.
2. No será preciso el consentimiento cuando los datos de carácter personal se recojan
para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito
de sus competencias; [...] o cuando los datos figuren en fuentes accesibles al público y
su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el
responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre
que no se vulneren los derechos y libertades fundamentales del interesado.”

A su vez, el artículo 3 de la LOPD definía así las fuentes de acceso público:
“j) Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada,
por cualquier persona, no impedida por una norma limitativa o sin más exigencia que,
en su caso, el abono de una contraprestación.”

La sentencia del Tribunal de Justicia de la Unión Europea de 24/11/2011 (asuntos
acumulados C-468/10 y C-469/10), que resolvió la cuestión prejudicial planteada por el
Tribunal Supremo y cuyo pronunciamiento se recogió en la STS de 08/02/2012
(recurso 25/2008) manifiesta (párrafo 36) que los Estados miembros no pueden
introducir, al amparo de lo dispuesto en el artículo 5 de la Directiva 95/46, principios
relativos a la legitimación de los tratamientos de datos personales distintos a los
enunciados en el artículo 7 de esa Directiva ni modificar, mediante exigencias
adicionales, el alcance de los seis principios establecidos en dicho artículo 7.

Añadió en los párrafos 38 y 39 que el artículo 7, letra f), establece dos requisitos
acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una
parte, que ese tratamiento de datos personales sea necesario para la satisfacción del
interés legítimo perseguido por el responsable del tratamiento o por el tercero o
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

127/184

terceros a los que se comuniquen los datos, y, por otra, que no prevalezcan los
derechos y libertades fundamentales del interesado. Y concluyó que, de ello se sigue
que, en lo que respecta al tratamiento de datos personales, el artículo 7, letra f), de la
Directiva 95/46 se opone a toda normativa nacional que, en el caso de que no exista
consentimiento del interesado, imponga exigencias adicionales que se sumen a los
dos requisitos acumulativos mencionados en el apartado anterior.

Dada la incorrecta trasposición que se hizo en la ley nacional de dicho precepto, la
STJUE (párrafos 51 y 55) reconoce el efecto directo del artículo 7.f) de la Directiva
95/46 con la consecuencia de que desde entonces debía entenderse desplazada (que
no anulada) la norma del artículo 6.2 LOPD en favor del citado precepto.

Hasta la publicación de las sentencias del TJUE y del TS la AEPD y los Tribunales de
justicia aplicaron el artículo 6.2. LOPD en conexión con el artículo 3.j) y concluyeron
sin más preámbulos que el tratamiento de datos obtenidos de esas fuentes de acceso
público se reputaba lícito.

A raíz de las sentencias del TJUE y del TS, la circunstancia de que los datos
personales se hubieran obtenido de una fuente de acceso público definida en el
artículo 3. j) LOPD no podía ya, por ese mero hecho, constituir el fundamento jurídico
de un tratamiento de datos personales.

La relevancia que a partir de entonces se podía atribuir a la circunstancia de que los
datos objeto de tratamiento procedieran de fuentes de tal naturaleza es la mencionada
en el párrafo 44 de la STJUE que indica que en lo que respecta a la ponderación
requerida por el artículo 7,f) de la Directiva 95/46 “cabe tomar en consideración el
hecho de que la gravedad de la lesión de los derechos fundamentales de la persona
afectada por dicho tratamiento puede variar en función de que los datos figuren ya, o
no, en fuentes accesibles al público.”

Con posterioridad a la STJE la Audiencia Nacional, en sentencia de 31/05/2012,
estimó el recurso contencioso interpuesto contra la resolución dictada por la AEPD que
sancionaba por infracción del articulo 6.1 LOPD, como consecuencia del tratamiento
de los datos de los afectados sin su consentimiento a los que les remitió correos
electrónicos publicitando su candidatura en las elecciones de un Colegio profesional.
La resolución sancionadora había rechazado el interés legítimo invocado por el
sancionado como fundamento del tratamiento sobre la premisa de que los datos
tratados no procedían de fuentes de acceso público. La sentencia de la Audiencia
Nacional dice:
“[...] Es posible, en definitiva, y conforme a dicha Jurisprudencia comunitaria, que
existan tratamientos de datos personales que no figuren en una de las que nuestra
legislación interna denomina "fuentes de acceso público" (artículo 3.f) LOPD y articulo
7 RLOPD) pero que, sin embargo, no requieran el consentimiento de los titulares de
tales datos porque su tratamiento sea necesario para satisfacer un interés legítimo del
responsable
de los mismos, o del cesionario, siempre que se respeten los derechos y libertades del
interesado [...]” Y añade: “[...]Ponderación de intereses en conflicto [...] dependerá de
las circunstancias concretas de cada caso y en la que, no obstante, sí puede tomarse
en consideración, a efectos de determinar la posible lesión de los derechos
fundamentales del afectado, el hecho de que los datos figuren ya, o no, en fuentes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

128/184

accesibles al público. Más ello, simplemente, como un elemento más de ponderación.”
(El subrayado es nuestro)

En el marco normativo del RGPD la posición de la AEPD acerca de las llamadas
fuentes de acceso público se refleja en el Informe 136/2018, que recuerda:

“[...] ya en la 10ª sesión anual se expuso que con el RGPD no puede hablarse de un
concepto legal de fuente de acceso público como la existente con la anterior LOPD. El
artículo 14.1 f) del RGPD tan sólo menciona dicho concepto para establecer la
obligación del responsable del tratamiento de facilitar al interesado la información de si
sus datos personales proceden de fuentes de acceso público, pero sin definir estas”.

En idéntico sentido, el Informe de 03/10/2019, (Registro de entrada 045824/2019)
señaló que “[...] a partir de la entrada en vigor del RGPD no puede hablarse de un
concepto legal de “fuentes accesibles al público” como el que existía en la anterior Ley
Orgánica 15/1993 [...] El RGPD sólo habla de fuentes de acceso público al regular el
derecho a la información si los datos no se han recogido del interesado”.

2. En el escrito de alegaciones a la propuesta de resolución, a través de su alegación
cuarta -“Sobre las valoraciones efectuadas por la AEPD en el fundamento de derecho
IV de la propuesta de resolución”- la reclamada aduce, como lo hiciera en sus
alegaciones al acuerdo de inicio, que la AEPD ha vulnerado el principio de confianza
legítima y que por ello no concurre en la actuación de EQUIFAX el elemento subjetivo
de la infracción, de tal forma que no cabría imponerle sanción alguna en virtud del
principio de culpabilidad reconocido en el artículo 28 de la Ley 40/2015, de 1 de
octubre, de Régimen Jurídico del Sector Público (LRJSP)

La alegación primera del escrito de alegaciones a la propuesta ratifica en su totalidad
las alegaciones que la reclamada formuló frente al acuerdo de apertura del
procedimiento.

Como se reflejó en la propuesta de resolución la reclamada alegó que, en el presente
caso, concurrían todos los elementos exigibles para apreciar que la Agencia había
vulnerado el principio de confianza legítima y mencionó a tal fin la STS de 22/02/2016
(recurso 1354/2014) a tenor de la cual la quiebra de este principio requeriría la
concurrencia de estos elementos:
(i) que se base en signos innegables y externos; (ii) que las expectativas generadas en
el administrado habrán de ser legitimas; (iii) que la conducta final de la Administración
resulte contradictoria con los actos anteriores, sea sorprendente e incoherente.

A juicio de EQUIFAX esta quiebra de la confianza legítima de la AEPD obligaría al
archivo del procedimiento por ausencia del elemento culpabilístico de la infracción.
Invocó en ese sentido, en defensa de su tesis de que la AEPD había quebrantado el
principio de confianza legítima, la SAN de 04/02/2009 (recurso 304/2007) que declara
que la ruptura de ese principio debe abocar a la nulidad de la resolución sancionadora
objeto del recurso.

La sentencia señala que es cierto que la motivación de las resoluciones
administrativas a la que obligaba el artículo 54 de la Ley 30/1992 debe permitir el
cambio de criterio en la toma de decisiones “pero este cambio de criterio no puede
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

129/184

tener efectos retroactivos, sobre todo en asuntos en los que se habían producido
pronunciamientos previos exculpatorios ante idénticas conductas.” Esta SAN cita, a su
vez, otra del mismo Tribunal de 13/06/2008 (recurso 55/2005) en la que indica que “En
materia sancionadora, los nuevos criterios, por muy razonables que estos sean, [...]
han de desplegar sus efectos hacia el futuro, pero nunca proyectarse hacia
actuaciones pasadas que se acomodaran a los criterios existentes”.

A su vez, en las alegaciones que EQUIFAX hizo al acuerdo de apertura, entre otras
muchas consideraciones, afirmó taxativamente que el marco jurídico existente antes
de la aplicación efectiva del RGPD y con posterioridad a la STJUE de 24/11/2011, no
se había visto alterado sino reiterado, tanto en lo relativo al principio de licitud como al
principio de exactitud (recordemos que el acuerdo de apertura atribuyó a la reclamada
la infracción de ambos principios). Así, en el folio 18 del escrito de alegaciones al
acuerdo de apertura se dice lo siguiente:
“Ello conduce igualmente a la conclusión de que el supuesto tratamiento llevado a
cabo por mi mandante [...] no sólo no resultaba contrario, sino expresamente
amparado en el marco normativo vigente anterior a la entrada en vigor del RGPD,
siendo además necesario añadir que dicho marco no se ha visto alterado, sino por el
contrario reiterado con dicha entrada en vigor, tanto en lo que afecta al principio de
licitud (que también se recogía en el artículo 6.1.a) de la Directiva como en lo que
atañe al principio de exactitud [...]” (El subrayado es nuestro)

En el folio 22 de las alegaciones al acuerdo de apertura la reclamada subrayaba que
no se había modificado el tenor de las normas supuestamente vulneradas. Dice en ese
sentido:
“Todo lo que ha venido indicándose no cabe duda que implica la existencia de un
manifiesto cambio de criterio jurídico por parte de esa AEPD, que ahora considera
radicalmente ilícito el tratamiento que venía entendiendo lícito (sin que se haya
modificado el tenor de las normas supuestamente vulneradas [...]”

Paralelamente, la reclamada expuso en sus alegaciones al acuerdo de apertura (que
recordemos ha reiterado expresamente en sus alegaciones a la propuesta) que el
acuerdo de inicio del PS/240/2019 representaba un cambio de criterio jurídico, de
forma que la Agencia quebrantaba el principio de confianza legítima y seguridad
jurídica, principios que deben presidir la actuación de las Administraciones Públicas
conforme al artículo 3.1.e, de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del
Sector Público, (LRJSP).
Si efectivamente la AEPD hubiera vulnerado los principios de confianza legítima y
seguridad jurídica -lo que evidentemente no ha sucedido- la consecuencia podría ser
el archivo del expediente por ausencia del elemento culpabilístico de la infracción.

Ahora bien, para que se aprecie un quebranto del principio de confianza legítima el
cambio de criterio jurídico debe ser arbitrario y, por tanto, no puede venir motivado por
un cambio normativo.

Llegados a este punto se ha de advertir que, en el supuesto que analizamos, ese
cambio normativo existe, de forma que en ningún caso es posible concluir, como
pretende la reclamada, que la AEPD ha modificado su criterio arbitrariamente
quebrantando con ello el principio de confianza legítima. El cambio normativo se
concreta en la derogación por la LOPDGDD del artículo 29.1 de la LOPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

130/184

EQUIFAX, da a entender reiteradamente que, en la medida en que las normas que
regulan los principios de licitud y exactitud en el RGPD y en la Directiva 95/46 no han
variado en esencia, no existe ningún otro cambio normativo que justifique el criterio
seguido en el presente procedimiento tramitado frente a ella.

Lo cierto es, sin embargo, que EQUIFAX esgrime en sus diversos escritos de
alegaciones, como fundamento jurídico del tratamiento de datos realizado por el FIJ,
una “previsión legal expresa” que, dice esa entidad, reconocía la licitud de sistemas
como el FIJ: el artículo 29.1 LOPD.

La controversia se plantea por tanto en torno al marco jurídico vigente antes de la
aplicación efectiva del RGPD y después de la STJUE tantas veces citada y a si dicho
marco jurídico consideraba o no acorde a la normativa reguladora del derecho a la
protección de datos personales el tratamiento que el FIJ llevaba a cabo.

En el escrito de alegaciones al acuerdo de inicio la reclamada trató de corroborar su
particular concepción del alcance del artículo 29.1 LOPD con lo indicado en el acuerdo
de apertura del procedimiento. Así, en la propuesta de resolución se decía lo siguiente:
“La alegación tercera del escrito de alegaciones al acuerdo de apertura del
procedimiento está dedicada a la “[...] la normativa preexistente al RGPD y la
actuación de la AEPD en relación con el Fichero de Incidencias Judiciales”.
Alegaciones que la reclamada reiteró expresamente en su segundo escrito de
alegaciones al acuerdo de apertura o alegaciones complementarias.
La entidad manifestó en esa alegación tercera de su escrito que “[..] tal y como
reconoce el propio Acuerdo, las normas materiales cuya vulneración se imputa a mi
mandante no han variado en cuanto a su contenido como consecuencia de la reforma
operada por el RGPD.”
“[..] partiendo de la similitud, cuando no identidad, entre la normativa anteriormente
vigente y la recogida en el texto del RGPD, es preciso tener en cuenta que los
sistemas como el FIJ aparecían reconocidos expresamente en el artículo 29.1 de la”
LOPD. Y que, a la luz de la jurisprudencia emanada del TJUE, se llega a la conclusión
de “que el tratamiento de datos llevado a cabo por el FIJ se encontraba fundado en lo
dispuesto en el artículo 7 f) de la Directiva [...]”. (El subrayado es nuestro)

Añadió “[...] que el supuesto tratamiento llevado a cabo por mi mandante [...] no sólo
no resultaba contrario, sino expresamente amparado en el marco normativo vigente
anterior a la entrada en vigor del RGPD [...]” Y que dicho marco no se ha visto
alterado, sino por el contrario reiterado con dicha entrada en vigor, tanto en lo que
afecta al principio de licitud como en lo que atañe al principio de exactitud. (El
subrayado es nuestro)

Estas consideraciones de EQUIFAX obligaron a que se advirtiera en la propuesta de
resolución que “el acuerdo de apertura se refirió, única y exclusivamente, a la similitud
que existe entre el artículo 6.1.f) del RGPD y el artículo 7.f) de la Directiva 95/46. Las
manifestaciones de la reclamada pueden dar a entender que la referencia al artículo
7.f) de la Directiva 95/46 que se hizo en el acuerdo de inicio es igual que la referencia
que ella hace al régimen previsto en la normativa anterior, en la que queda incluido,
entre otras disposiciones, el artículo 29.1 de la LOPD. Cuestión que carecería de toda
importancia si no fuera porque después de establecer tal equivalencia la reclamada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

131/184

pasa a afirmar que el FIJ estaba reconocido en el artículo 29.1 de la LOPD y de ahí a
afirmar que el “tratamiento de datos” efectuado a través del FIJ en el régimen jurídico
anterior al RGPD era lícito.”

Pues bien, en el escrito de alegaciones a la propuesta de resolución la reclamada -en
su alegación cuarta, que lleva por rúbrica “Sobre las valoraciones efectuadas por la
AEPD en el fundamento de derecho IV de la propuesta de resolución”- continúa
afirmando que, hasta la plena aplicación del RGPD, e incluso con posterioridad, hasta
la entrada en vigor de la LOPDGDD “existía una previsión legal expresa que reconocía
la licitud de sistemas de información que recabasen información obtenida con el
consentimiento del interesado o de fuentes accesibles al público con la finalidad de
evaluar la solvencia de los interesados”. (El subrayado es nuestro)

La reclamada expresa la tesis que defiende con mayor nitidez no en esta alegación
cuarta del escrito de alegaciones a la propuesta sino en la alegación sexta relativa al
principio de licitud.

Sin perjuicio de que volvamos sobre la cuestión con ocasión de analizar la infracción
del artículo 6.1 RGPD, adelantamos que la reclamada afirma, después de decir que
cuenta con una “evidente base jurídica, la concurrencia de un interés legítimo
prevalente, para el tratamiento de los datos en el FIJ.” Añade que “Evidentemente, el
artículo 29.1 de la LOPD no regulaba los principios básicos ni las bases jurídicas del
tratamiento, pero determinaba que, sobre la base de principios y bases jurídicas
idénticas a las contenidas en el RGPD, el tratamiento de los datos recogido en el
mismo era lícito. Es decir, o bien el artículo 29.1 de la LOPD se extralimitaba respecto
del régimen contenido en la Directiva, habilitando nada menos que un tratamiento que
violentaba sus artículos 6 y 7 en los términos que asume la Propuesta de Resolución,
algo que ningún Tribunal ni las Instituciones de la Unión Europea (y menos aún la
propia AEPD) siquiera insinuó en ningún momento o, permaneciendo inmutables los
principios y las bases jurídicas, ese tratamiento es tan acorde al RGPD como lo era a
la Directiva. Este hecho resulta indubitado, por mucho que se trate de forzar la
argumentación en otro sentido.” (El subrayado es nuestro

Ante las continuas referencias de EQUIFAX en sus alegaciones al acuerdo de inicio
que pretendían amparar el tratamiento efectuado por el FIJ en el artículo 29.1 LOPD,
en la propuesta de resolución se advirtió que el citado fichero tendría cabida en la
categoría o sistema de ficheros previstos en ese precepto siempre y cuando respetara
los principios que regían la normativa de protección de datos previstos en el artículo 4
de la LOPD, calidad de los datos, y, en particular, el principio de limitación de la
finalidad del tratamiento. Y que, siendo el FIJ un sistema de información crediticia que
no obtiene los datos de la información que le facilita el interesado, ni éste presta su
consentimiento al tratamiento, sino que obtiene los datos de “registros y fuentes
accesibles al público”, la base jurídica de ese tratamiento podría ser, únicamente, la
prevista en el artículo 7.f) de la Directiva.
Cabe recordar, a tal efecto, que el artículo 37.1 del RLOPD establecía que “El
tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito,
previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de
diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y
en el presente reglamento.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

132/184

El cambio de criterio jurídico de la AEPD que en opinión de EQUIFAX representa el
procedimiento seguido frente a ella no se suscita -como quiere dar a entender la
reclamada- respecto a las bases jurídicas del tratamiento de los datos o los principios
rectores de éste previstos, respectivamente, en la Directiva y el RGPD.

Por el contrario, el cambio en el criterio atribuido a la AEPD y que, supuestamente, se
refleja en el procedimiento que nos ocupa gira en torno al artículo 29.1 LOPD. Más
exactamente, el pretendido cambio de criterio no es sino la interpretación dispar de la
norma, de su sentido y alcance, que hacen, respectivamente, esta Agencia y
EQUIFAX.

En cualquier caso, el articulo 29.1 LOPD no está vigente. Fue derogado por la
LOPDGDD, que entró en vigor el 07/12/2018, y, ni en el RGPD ni en la LOPDGDD
existe una norma equivalente.

Por las razones expuestas no puede prosperar la tesis de que la AEPD ha vulnerado el
principio de confianza legítima. El procedimiento dirigido contra EQUIFAX es
congruente como se ha venido indicando con el sentido de la STJUE y con la
derogación del artículo 29.1 LOPD en el que esa entidad pretende amparar el
tratamiento efectuado a través del FIJ.

V
De la infracción del principio de limitación de la finalidad

1. Las conductas que son objeto de valoración en este procedimiento sancionador
están relacionadas con el tratamiento efectuado por la reclamada a través del FIJ de
datos personales de los afectados que obtuvo, en su gran mayoría, del BOE, más
exactamente del Tablón Edictal Único del BOE (TEU-BOE); de los diarios oficiales de
las Comunidades Autónomas; de los Boletines Provinciales (BOP) y a través de la
sede electrónica o física de organismos o entidades de Derecho Público. Así lo
acreditan los documentos que obran en el expediente relativos a la respuesta al
acceso al FIJ solicitado por los afectados. A la luz de estos documentos existen en el
FIJ anotaciones de presuntas deudas atribuidas a los reclamantes que se dieron de
alta en el fichero en fechas muy distintas, algunas de ellas en el año 2013.

El RGPD dedica a los principios que presiden el tratamiento de datos de carácter
personal el artículo 5. Entre ellos, se refiere al de limitación de la finalidad en el artículo
5.1.b) conforme al cual los datos personales serán “recogidos con fines determinados,
explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con
dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los
datos personales con fines de archivo en interés público, fines de investigación
científica e histórica o fines estadísticos no se considerará incompatible con los fines
iniciales” (El subrayado es nuestro)

El considerando 50 del RGPD contribuye a esclarecer el alcance de este principio y
dice:
“El tratamiento de datos personales con fines distintos de aquellos para los que hayan
sido recogidos inicialmente solo debe permitirse cuando sea compatible con los fines
de su recogida inicial. En tal caso, no se requiere una base jurídica aparte, distinta de
la que permitió la obtención de los datos personales. Si el tratamiento es necesario
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

133/184

para el cumplimiento de una misión realizada en interés público o en el ejercicio de
poderes públicos conferidos al responsable del tratamiento, los cometidos y los fines
para los cuales se debe considerar compatible y lícito el tratamiento ulterior se pueden
determinar y especificar de acuerdo con el Derecho de la Unión o de los Estados
miembros. Las operaciones de tratamiento ulterior con fines de archivo en interés
público, fines de investigación científica e histórica o fines estadísticos deben
considerarse operaciones de tratamiento lícitas compatibles. La base jurídica
establecida en el Derecho de la Unión o de los Estados miembros para el tratamiento
de datos personales también puede servir de base jurídica para el tratamiento ulterior.
Con objeto de determinar si el fin del tratamiento ulterior es compatible con el fin de la
recogida inicial de los datos personales, el responsable del tratamiento, tras haber
cumplido todos los requisitos para la licitud del tratamiento original, debe tener en
cuenta, entre otras cosas, cualquier relación entre estos fines y los fines del
tratamiento ulterior previsto, el contexto en el que se recogieron los datos, en
particular las expectativas razonables del interesado basadas en su relación con el
responsable en cuanto a su uso posterior, la naturaleza de los datos personales, las
consecuencias para los interesados del tratamiento ulterior previsto y la existencia de
garantías adecuadas tanto en la operación de tratamiento original como en la
operación de tratamiento ulterior prevista. Si el interesado dio su consentimiento o el
tratamiento se basa en el Derecho de la Unión o de los Estados miembros que
constituye una medida necesaria y proporcionada en una sociedad democrática para
salvaguardar, en particular, objetivos importantes de interés público general, el
responsable debe estar facultado para el tratamiento ulterior de los datos personales,
con independencia de la compatibilidad de los fines. En todo caso, se debe garantizar
la aplicación de los principios establecidos por el presente Reglamento y, en particular,
la información del interesado sobre esos otros fines y sobre sus derechos, incluido el
derecho de oposición. La indicación de posibles actos delictivos o amenazas para la
seguridad pública por parte del responsable del tratamiento y la transmisión a la
autoridad competente de los datos respecto de casos individuales o casos diversos
relacionados con un mismo acto delictivo o amenaza para la seguridad pública debe
considerarse que es en interés legítimo del responsable. Con todo, debe prohibirse
esa transmisión en interés legítimo del responsable o el tratamiento ulterior de datos
personales si el tratamiento no es compatible con una obligación de secreto legal,
profesional o vinculante por otro concepto.”

El principio de limitación de la finalidad impide que pueda realizarse un tratamiento
ulterior de datos personales si los fines de este tratamiento y los perseguidos por el
tratamiento originario no son compatibles. El artículo 6 RGPD, relativo a la “Licitud del
tratamiento”, dedica su apartado 4 a enumerar los elementos que permiten determinar
si un tratamiento con otro fin es compatible con el fin inicial para el que se recogieron
los datos:
“Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

134/184

a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización”

2. Con el propósito de determinar si el tratamiento de los datos de los reclamantes que
ha efectuado EQUIFAX a través del FIJ es o no respetuoso con el principio previsto en
el artículo 5.1.b) RGPD, el punto de partida ha de ser el origen de los datos tratados.

Como ya se ha indicado los datos de los reclamantes se obtuvieron, en su gran
mayoría, del BOE, más exactamente del Tablón Edictal Único del BOE (TEU-BOE); de
los diarios oficiales de las Comunidades Autónomas; de los Boletines Provinciales
(BOP) y a través de la sede electrónica o física de organismos o entidades de Derecho
Público. El hecho de que los datos de los reclamantes procedan de fuentes públicas,
básicamente de diarios y boletines oficiales, evidencia que éstos habían sido objeto de
un tratamiento anterior con una finalidad determinada.

El artículo 44 de la LPACAP bajo la rúbrica “Notificación infructuosa” señala:
“Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar
de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación
se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado».

Asimismo, previamente y con carácter facultativo, las Administraciones podrán
publicar un anuncio en el boletín oficial de la Comunidad Autónoma o de la Provincia,
en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del
Consulado o Sección Consular de la Embajada correspondiente.

Las Administraciones Públicas podrán establecer otras formas de notificación
complementarias a través de los restantes medios de difusión, que no excluirán la
obligación de publicar el correspondiente anuncio en el «Boletín Oficial del Estado.”

El artículo 45 de la LPACAP, “Publicación”, dispone:
“1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las
normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés
público apreciadas por el órgano competente.

En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los
efectos de la notificación, en los siguientes casos:
a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o
cuando la Administración estime que la notificación efectuada a un solo interesado es
insuficiente para garantizar la notificación a todos, siendo, en este último caso,
adicional a la individualmente realizada.
b) Cuando se trate de actos integrantes de un procedimiento selectivo o de
concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

135/184

procedimiento deberá indicar el medio donde se efectuarán las sucesivas
publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.

2. La publicación de un acto deberá contener los mismos elementos que el artículo
40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo
establecido en el apartado 3 del mismo artículo.
En los supuestos de publicaciones de actos que contengan elementos comunes,
podrán publicarse de forma conjunta los aspectos coincidentes, especificándose
solamente los aspectos individuales de cada acto.

3. La publicación de los actos se realizará en el diario oficial que corresponda, según
cual sea la Administración de la que proceda el acto a notificar.

4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y
comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón
de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial
correspondiente.”

En estos preceptos se detallan los supuestos en los que las Administraciones
Públicas, en cumplimiento de una obligación impuesta por la LPACAP, publican en
boletines y diarios oficiales actos y resoluciones administrativas.

La notificación, en palabras del Tribunal Supremo (STS 07/03/1997) “consiste en una
comunicación formal del acto administrativo de que se trate.” La doctrina explica que
es el mecanismo a través del cual se da traslado al interesado del contenido de un
acto. Por otra parte, la notificación de actos y resoluciones es obligatoria para las
Administraciones Públicas y un requisito al que se supedita su eficacia (artículo 39 de
la LPACAP) Así pues, la notificación constituye una garantía para el administrado ya
que a través de ella conoce los actos de la Administración que afectan a sus derechos
e intereses legítimos por lo es un instrumento que garantiza el derecho a la tutela
judicial efectiva (artículo 24.1 de la C.E.)

A través de la publicación se pretende la misma finalidad que la notificación, que el
contenido del acto administrativo llegue a conocimiento de quienes son interesados en
un procedimiento administrativo.

La LPACAP se refiere a la publicación tanto en el artículo 44 como en el artículo 45.

El artículo 44 recoge los supuestos que Gamero Casado denomina “publicación
supletoria de la notificación”. El artículo 44 LPACAP establece que deberá procederse
a la publicación en el BOE cuando la notificación hubiera resultado infructuosa, o los
interesados en el procedimiento sean desconocidos o se ignora su paradero.

Además de la publicación a través del BOE, el artículo 44 LPACAP faculta a las
Administraciones para que, previamente, publiquen anuncios en el boletín oficial de la
Comunidad Autónoma o de la Provincia, en el tablón de edictos del Ayuntamiento del
último domicilio del interesado o del Consulado o Sección Consular de la Embajada
correspondiente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

136/184

Asimismo, se acudirá a la publicación de actos y resoluciones en los supuestos del
artículo 45 LPACAP. Supuestos que, siguiendo el criterio de Gamero Casado,
podemos agrupar del siguiente modo:
(i) Publicaciones sustitutorias de la notificación (esto es, cuando los actos se publican
en lugar de notificarse), lo que procede cuando el acto tiene como destinatario una
pluralidad indeterminada de personas o cuando se trate de actos que integran un
procedimiento selectivo o de concurrencia competitiva.
(ii) Publicación complementaria de la notificación (además de la notificación es
preceptiva la publicación), lo que sucede cuando lo aconsejan razones de interés
público; en los procedimientos en los que existen varios interesados, cuando se
notifique a uno solo y se tema que es insuficiente para garantizar el conocimiento del
acto por todos ellos y cuando las normas reguladoras de un procedimiento específico
así lo establezcan.

Con la excepción de las “publicaciones sustitutorias de la notificación” previstas en el
artículo 44 LPACAP, en las que, como se ha indicado, es preceptiva la publicación en
el BOE, en el resto de los supuestos la publicación se efectúa en el diario oficial
correspondiente a la Administración Pública de la que procede. La LPACAP, artículo
45.4 hablita a que mediante disposiciones legales o reglamentarias específicas pueda
imponerse la publicación de actos y comunicaciones en tablones de anuncios o
edictos, aunque añade que esta obligación se entenderá cumplida con la publicación
en el diario oficial correspondiente.

En términos similares al artículo 44 de la LPACAP se pronuncia el artículo 112 de la
Ley 58/2003, de 17 de diciembre, General Tributaria, que prevé la citación, para ser
notificados por comparecencia, por medio de anuncios publicados en el BOE. También
el artículo 29.2 del Texto Refundido de la Ley del Catastro Inmobiliario, aprobada por el
Real Decreto Legislativo 1/2004, de 5 de marzo, prevé que se practique la notificación
con carácter obligatorio mediante anuncio en el BOE. El Texto Refundido de la Ley
General de la Seguridad Social, aprobada por el Real Decreto Legislativo 8/2015, de
30 de octubre, dispone en el artículo 132.4 que las notificaciones que no hayan podido
realizarse en la sede electrónica de la Seguridad Social o en el domicilio del
interesado, se practicarán exclusivamente por medio de un anuncio publicado en el
Boletín Oficial del Estado de acuerdo con la disposición adicional tercera de la Ley
39/2015.

3. La publicación que las Administraciones Públicas efectúan de actos o resoluciones
administrativas que incluyen datos personales, implica para los administrados una
restricción al derecho fundamental que tienen reconocido en el artículo 18.4 de la C.E.

A través de la publicación de un acto o resolución administrativa -a la que, como se ha
indicado, el artículo 39 de la LPACAP supedita su eficacia- se quiere garantizar a los
interesados el ejercicio de su derecho de defensa -lo que a su vez conecta con el
derecho a la tutela judicial efectiva reconocido en el artículo 24.1 de la C.E.- y permite
a las Administraciones Públicas el ejercicio de sus potestades. De tal manera que la
finalidad perseguida con esta evidente limitación al derecho a la protección de datos
está directamente conectada con un interés público.

La publicación de los datos personales de los afectados en estos casos es, por tanto,
ajena a su voluntad. La establece una norma con rango de ley y se justifica por el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

137/184

interés público que persigue. Pues bien, son precisamente estos datos personales,
que han sido objeto de publicación en boletines y diarios oficiales sin el concurso de la
voluntad de sus titulares en cumplimiento de una obligación legal y con la finalidad de
satisfacer un interés público, los datos de los que se nutre el FIJ. Evidentemente
cuando su contenido esté relacionado con situaciones de incumplimiento de
obligaciones dinerarias.

El tratamiento ulterior de esos datos que EQUIFAX efectúa persigue una finalidad
claramente distinta al interés público que justificó su publicación. Si no atenemos a los
intereses legítimos que EQUIFAX busca satisfacer a través del FIJ, resulta evidente
que se trata de fines distintos. Mientras el tratamiento de los datos de los
administrados por las Administraciones Públicas a través de la publicación de actos
administrativos en los diarios y boletines oficiales busca satisfacer un interés público,
el tratamiento ulterior que EQUIFAX hace de esos datos a través del FIJ -según ha
declarado la reclamada en el escrito de alegaciones al acuerdo de inicio- está
vinculada a la evaluación de la solvencia de los afectados y a la prevención del fraude.

El artículo 6.4 RGPD facilita algunos criterios para determinar si el tratamiento ulterior
de los datos de los reclamantes a través del FIJ es compatible con el tratamiento
originario. A ellos se suman las indicaciones ofrecidas en el Considerando 50 del
RGPD.
En el presente caso, a la luz de las pautas que ambos ofrecen, se puede afirmar que
la finalidad del tratamiento originario y la del tratamiento ulterior por EQUIFAX son
claramente incompatibles: No hay ninguna relación entre la finalidad del tratamiento
efectuado a través de las publicaciones en boletines y diarios oficiales que incluyen
datos personales de los afectados -el interés público conectado con el derecho a la
tutela judicial efectiva de los administrados y el ejercicio efectivo por las
Administraciones Públicas de las potestades que tienen atribuidas- y el fin para el que
EQUIFAX trata los datos, que ella ha concretado en la evaluación de la solvencia y en
la prevención del fraude.

Tampoco existe entre los reclamantes y el responsable del tratamiento ninguna
relación vinculada al contexto en el que se recogieron los datos, de manera que los
afectados no han podido tener ninguna expectativa razonable de que sus datos fueran
objeto de este tratamiento. Las consecuencias que derivan para los reclamantes cuyos
datos se han incluido en el FIJ son claramente adversas, puesto que estamos ante un
fichero negativo de solvencia patrimonial que los identifica como deudores ante
cualquiera que realice una consulta a ese fichero, con la agravante añadida de que el
FIJ incumple claramente el principio de exactitud en su manifestación de actualización
de los datos. Y, obviamente, EQUIFAX no ha establecido garantías adicionales para
que el tratamiento no afecte al derecho fundamental a la protección de datos puesto
que la finalidad que el FIJ busca satisfacer exige disponer de los datos de identidad de
los afectados.

El principio de responsabilidad proactiva del artículo 5.2 RGPD obliga al responsable
del tratamiento a estar en condiciones de acreditar que cumple los principios que
presiden el tratamiento de los datos; por lo que aquí interesa el principio de limitación
de la finalidad. Por otra parte, tanto el artículo 6.4 RGPD como el Considerando 50 se
refieren al responsable del tratamiento como el sujeto que deberá determinar si la
finalidad del tratamiento ulterior que pretende realizar es compatible con la finalidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

138/184

para la que inicialmente se recogieron los datos, lo que es coherente con el principio
de responsabilidad proactiva que ha de regir la actuación del responsable del
tratamiento.

Parece obvio que EQUIFAX ha sido plenamente consciente de que el tratamiento de
datos que lleva a cabo a través del FIJ vulnera el artículo 5.1.b) RGPD.

En ese sentido, por su clara relevancia sobre el elemento de la culpabilidad, pasamos
a reproducir este fragmento del documento número 8 de los aportados en respuesta a
las diligencias de prueba -“LIA Fichero Judicial. Análisis legal. Diciembre 2019”-,
documento que la reclamada aportó previamente a la AEPD anexo al escrito de
alegaciones al acuerdo de inicio. El documento, tal y como señala en su punto 1, tiene
por objeto demostrar la existencia de un interés jurídico prevalente en el tratamiento
que realiza el FIJ frente a los derechos, libertades e intereses de los titulares de los
datos. Pues bien, el punto 7 del documento –“Funcionamiento de los ficheros de
EQUIFAX con información obtenida de fuentes de acceso público”- dedica un apartado
a analizar las garantías que pretende implementar el fichero y en el punto 1.1., bajo la
rúbrica “Principio de finalidad”, manifiesta lo siguiente:
“Por otra parte, el principio de finalidad incluye la limitación de los usos posteriores de
los datos, dado que el RGPD prohíbe en su artículo 5.1 a) el tratamiento posterior de
los datos para fines incompatibles con los que motivaron su recogida, aunque
exceptúa de esta limitación el uso de datos con fines de archivo de interés público o
de investigación científica o estadística. [...].” (El subrayado es nuestro)

Llama la atención que la reclamada haya invocado en su escrito de alegaciones al
acuerdo de inicio que, a propósito de las implicaciones derivadas de la normativa de
reutilización de la información del sector público, “[...] las fuentes de las que se han
recabado los datos a los que se refieren las reclamaciones formuladas y en general
los datos incorporados al FIJ habilitan expresamente para la reutilización de dicha
información, por lo que sin perjuicio de la aplicación del artículo 4.6 de la LRISP, la
referencia a dicha norma no resultará relevante como obstáculo que permita la
recogida de los datos por parte de aquella.” (El subrayado es nuestro) Y,
seguidamente, se remita a las condiciones generales de reutilización de la página web
del Boletín Oficial del Estado.

Sorprende que invoque la información de la página web del BOE cuando la norma que
resulta aplicable en lo que a reutilización de la información del sector público se refiere
es el artículo 4.6 de la Ley 37/2007, de 16 de noviembre, sobre “reutilización de la
información del sector público”, a tenor de la cual cuando los documentos contengan
datos de carácter personal el régimen jurídico aplicable es el de la normativa de
protección de datos y, por consiguiente, es obligado el respeto al principio de limitación
de la finalidad previsto en el artículo 5.1.b) RGPD.

Recordemos también que obra en el expediente la respuesta de la AEBOE a la
consulta que le formularon los reclamantes 35 y 55 acerca de si resultaba lícito que
sus datos personales incluidos en los anuncios de notificaciones pudieran ser tratados
con la finalidad de integrar una base de datos con ánimo de lucro. La AEBOE
respondió:
“[...] De conformidad con lo anterior, esta Agencia Estatal considera que la reutilización
de datos de tipo personal como nombres, apellidos, DNI asociados a deudas,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

139/184

publicados en el BOE, que vd. solicita, no sería un tratamiento lícito de datos de
carácter personal de los previstos en el art. 6 de RGPD y, por lo tanto, de acuerdo con
lo regulado tanto en el Reglamento (UE) 2016/679 como en el Ley orgánica 3/2018, de
5 de diciembre, no deben ser objeto de reutilización por terceros.”

4. El legislador ha establecido diversas medidas que contribuyen a respetar el principio
de limitación de la finalidad y que buscan disminuir el impacto en el derecho a la
protección de datos de los administrados que pudiera derivarse de la obligación que
tienen las Administraciones Públicas de publicar a través de diarios y boletines
oficiales actos administrativos que contienen datos personales.

En ese sentido cabe mencionar, por una parte, los articulo 40.5 y 46 de la LPACAP.
Por otra parte, hemos de referirnos a que la Ley 15/2014, de 16 de septiembre, de
racionalización del Sector Público y otras medidas de reforma administrativa, introdujo
la Disposición Adicional vigésima primera de la Ley 30/1992, de Régimen Jurídico de
las Administraciones Públicas (LPAC) de la que derivó la puesta en marcha el
01/06/2015 del Tablón Edictal Único, donde se publican actos de todas las
Administraciones Públicas.

Los anuncios de notificaciones que se publican a través del BOE están integrados en
un documento “de carácter independiente”, denominado “Suplemento de
notificaciones”. El Real Decreto 181/2008, de 8 de febrero, de ordenación del diario
oficial Boletín Oficial del Estado, modificado a raíz de la Ley 15/2014, configura para el
Suplemento de notificaciones un régimen distinto del que prevé para el BOE. Entre
otras especialidades, el citado Real Decreto, restringe a tres meses desde su
publicación el periodo de tiempo durante el cual el Suplemento de notificaciones será
accesible al público.

Conforme al Real Decreto 181/2008 el diario oficial se estructura en (i) “El contenido
del "Boletín Oficial del Estado”, que comprende las secciones I a V y la “Sección del
Tribunal Constitucional”, y en (ii) “un Suplemento de notificaciones de carácter
independiente” en el que se insertarán los anuncios de notificaciones.

El artículo 11 de este Real Decreto precisa que “La Agencia Estatal Boletín Oficial del
Estado garantizará, a través de redes abiertas de telecomunicación, el acceso
universal y gratuito a la edición electrónica del diario oficial del Estado, sin perjuicio de
lo previsto en el artículo 14.4.” Y el artículo 14.4 dice:
“4. No obstante lo previsto en los apartados anteriores, el Suplemento de
notificaciones permanecerá libremente accesible en la sede electrónica de la Agencia
Estatal Boletín Oficial del Estado durante un plazo de tres meses desde su
publicación, transcurrido el cual se requerirá el código de verificación del
correspondiente anuncio de notificación, que tendrá carácter único y no previsible.

Dicho código solamente podrá ser conservado, almacenado y tratado por el interesado
o su representante, así como por los órganos y Administraciones que puedan
precisarlo para el ejercicio de las competencias que les corresponden.

La Agencia Estatal Boletín Oficial del Estado adoptará medidas orientadas a evitar la
indexación y recuperación automática de los códigos de verificación por sujetos
distintos a los contemplados en el párrafo anterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

140/184

Sin perjuicio de lo previsto en la disposición adicional primera, una vez transcurrido el
plazo de tres meses establecido en el párrafo primero, la Agencia Estatal Boletín
Oficial del Estado facilitará, previa solicitud, la información contenida en el anuncio de
notificación únicamente al interesado o su representante, al Ministerio Fiscal, al
Defensor del Pueblo, y a los Jueces y Tribunales.” (El subrayado es nuestro)

En idéntico sentido el artículo 11 del Real Decreto precisa que “La Agencia Estatal
Boletín Oficial del Estado garantizará, a través de redes abiertas de telecomunicación,
el acceso universal y gratuito a la edición electrónica del diario oficial del Estado, sin
perjuicio de lo previsto en el artículo 14.4.”

Las cautelas que el Real Decreto 181/2008 adopta a propósito del Suplemento de
notificaciones, cuyo contenido son los anuncios de notificaciones, no se agotan aquí.
El artículo 13 restringe la edición impresa del Suplemento de notificaciones a que se
den las circunstancias descritas en el apartado 1.a). Y el artículo 17, que dispone que
la Agencia Estatal Boletín Oficial del Estado (en lo sucesivo AEBOE) ofrecerá en su
sede electrónica, con carácter diferenciado a la edición electrónica del BOE “una base
de datos gratuita que permita la búsqueda, recuperación e impresión de las
disposiciones, actos y anuncios publicados en el «Boletín Oficial del Estado», añade:
“No obstante, la búsqueda, recuperación e impresión, a través del servicio de base de
datos, de los anuncios de notificación publicados en el Suplemento de notificaciones,
únicamente será posible durante el plazo de tres meses previsto en el artículo 14.4.”(El
subrayado es nuestro)

Cualquier ciudadano que desee hacer una búsqueda del Suplemento de notificaciones
publicado en un BOE tres meses después de su publicación no lo encontrará. En su
lugar la página web del BOE ofrece este mensaje: “De conformidad con el artículo 14
del Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial "Boletín
Oficial del Estado", el Suplemento de notificaciones correspondiente a esta fecha ha
dejado de estar libremente accesible. Más info”

Pues bien, mientras que conforme al artículo 14.4 de la norma reglamentaria,
transcurrido el plazo de tres meses, únicamente podrán acceder a la información
contenida en un anuncio, previa autorización de AEBOE, el interesado o su
representante, el Ministerio Fiscal, el Defensor del Pueblo y los Jueces y Tribunales,
nos encontramos con la paradójica situación de que EQUIFAX tiene esa información
en el FIJ, accesible a sus asociados durante un plazo de seis años a tenor de la
documentación que obra en el expediente.

La reclamada, consciente del límite temporal impuesto por el artículo 14.4 del Real
Decreto 181/2008, ha adoptado las medidas técnicas para almacenar la información y
disponer de ella más allá de los tres meses siguientes a la publicación.

El RAT del FIJ, tanto la versión final como el documento 4 de la primera versión, que
EQUIFAX ha aportado en respuesta a la prueba practicada, así lo demuestra. El
apartado 8 del RAT, bajo la rúbrica “Plazos de supresión de la información”, dice:
“La información está accesible durante 3 meses y después se guarda en un directorio
Linux con la finalidad de poder trabajar posteriormente con los datos. Dicha
información, guardada en formato “PDF”, estará disponible durante un periodo de 10
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

141/184

años desde la fecha de publicación, y ello con el único fin de poder atender las
posibles reclamaciones y dar respuesta a las solicitudes de información por parte del
órgano administrativo competente, así como de los juzgados y tribunales.” (El
subrayado es nuestro)

5. En sus alegaciones a la propuesta de resolución EQUIFAX manifiesta que este
principio no ha sufrido ninguna modificación en el RGPD, pues reproduce casi
íntegramente lo que establecía la Directiva 95/46/CE sobre él, y, seguidamente, pasa a
afirmar que “dentro del régimen de trasposición de la Directiva a nuestro Derecho [...]”
el artículo 29.1. de la LOPD “no apreciaba que [...] resultara contrario al principio de
limitación de finalidad consagrado por la Directiva 96/46/CE,” el tratamiento de los
datos personales llevado a cabo por quienes se dediquen a la prestación de servicios
de información sobre la solvencia patrimonial y el crédito consistente en la recogida de
datos de carácter personal obtenidos de los registros y las fuentes accesibles al
público establecidos al efecto.
Afirma también que “la base jurídica que justificaba la recogida de los datos objeto de
publicación [era] obtener información sobre la solvencia patrimonial y el crédito de los
interesados a partir de la información disponible relacionada con los mismos”, y que
“Esta base jurídica aparecía expresamente recogida en la LOPD, debiendo
interpretarse su artículo 29.1 en el sentido de que [...] el tratamiento estaba amparado
en el interés legítimo prevalente de quienes procedieran, como mi mandante, al
tratamiento de los datos, al existir una habilitación legal inequívoca para que dicho
tratamiento pudiera tener lugar”. (El subrayado es nuestro)
La reclamada finaliza su argumentación relativa al “incumplimiento del principio de
finalidad” con el párrafo que reproducimos:

“En resumidas cuentas, no se produce en este caso el tratamiento de los datos
contenidos en el FIJ para una finalidad distinta de la que motivó su recogida, dado que
ésta era precisamente la que justifica el mantenimiento de los datos en el sistema y su
acceso por las entidades que se encontrasen adheridas al FIJ con la finalidad de
conocer la solvencia patrimonial y el crédito de sus deudores o potenciales deudores,
sobre la base de un interés legítimo prevalente que, al menos hasta la entrada en
vigor de la LOPDGDD se encontraba expresamente habilitado por la normativa de
protección de datos personales.” (El subrayado es nuestro)

En la misma línea argumental dice que “esta compatibilidad (o ese carácter “no
distinto” de la finalidad) se apreciaba incluso con posterioridad a la entrada en vigor
del Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial «Boletín
Oficial del Estado» (en adelante, “RDBOE”), al que con tanta reiteración se refiere la
Propuesta”. También, después de la entrada en vigor de la Ley 37/2007, de 16 de
noviembre, sobre reutilización de la información del sector público y la Ley 19/2013, de
9 de diciembre, de transparencia, acceso a la información y buen gobierno. (El
subrayado es nuestro)

Hace también otra afirmación igualmente sorprendente: “[...]debe recordarse que las
medidas adoptadas por RDBOE, que vendrían a reflejar las restricciones que
posteriormente, en lo que respecta a los datos abiertos puso de manifiesto el Grupo
de Trabajo del Artículo 29 (en adelante GT29) en su Dictamen 3/2013 sobre la
limitación de finalidad, [...], no se refieren a un tratamiento de datos como el llevado a
cabo por mi mandante a través del FIJ, en que el acceso a la información queda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

142/184

limitado a acreedores o potenciales acreedores del interesado. Dichas medidas, por el
contrario, tratan de evitar no un acceso sujeto a la condición de acreedor, real o
potencial, sino un acceso indiscriminado a los datos objeto de publicación en los
diarios oficiales.” (El subrayado es nuestro)

Efectivamente, la regulación del principio de limitación de la finalidad contenida en la
Directiva 95/46/CE es prácticamente igual que la del texto del artículo 5.1.b) del
RGPD. Es en este punto en lo único que podemos coincidir con lo alegado por la
reclamada en su defensa frente a la infracción del principio de limitación de finalidad
que se le atribuye.

La reclamada niega la vulneración del artículo 5.1.b) RGPD y afirma que la propuesta
ha hecho una interpretación forzada del Considerando 50 del RGPD. Curiosamente, la
explicación ofrecida es, ciertamente, una interpretación forzada. Así, expone que el
tratamiento de los datos contenidos en el FIJ no tiene una finalidad distinta de aquella
que ha motivado su recogida ya que, precisamente esa finalidad -la que motivó la
recogida de los datos- es la que justifica que se mantengan en el sistema y que
accedan a ellos las entidades adheridas.

Esta afirmación se apoya en la consideración de que la finalidad que dio lugar a lo que
denomina “la recogida” de los datos se identifica con la recogida que EQUIFAX hace
de los datos publicados en diarios y boletines oficiales y no con la recogida de datos
para el tratamiento originario, que es a la que el RGPD, al igual que la Directiva, se
está refiriendo. Afirmación que se sustenta, a su vez, en que la norma del artículo 29.1
LOPD estableció la prevalencia de un interés legítimo de los responsables de los
sistemas de información de solvencia patrimonial como el FIJ “al existir una
habilitación legal inequívoca para que dicho tratamiento pudiera tener lugar”

Sobre este particular deben de precisarse dos cuestiones: la primera que la norma del
artículo 29.1 de la LOPD fue derogada por la LOPDGDD que entró en vigor el
07/12/2018. La segunda, que la interpretación del artículo 29.1. LOPD que defiende
supondría que al amparo de ese precepto se eximía al responsable del tratamiento de
un sistema de información como el FIJ del cumplimiento de las obligaciones que le
imponía la LOPD, como las previstas en el artículo 4.2 LOPD.

Pues bien, el artículo 37 del RLOPD, “Régimen general”, enmarcado en el título IV -
disposiciones aplicables a determinados ficheros de titularidad privada- capítulo I
-ficheros de información sobre solvencia patrimonial y crédito-, establecía:

“El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito,
previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de
diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y
en el presente reglamento.”

En definitiva, a un mismo tiempo aduce que el principio de limitación de la finalidad no
ha variado su regulación en la Directiva y el RGPD -afirmación que busca apoyar su
tesis de que no ha habido un cambio normativo entre el régimen jurídico existente
durante la vigencia de la LOPD y el previsto en el RGPD, por lo que habiendo ajustado
su comportamiento a un mismo régimen jurídico es la AEPD quien, ante la identidad
de normas, está adoptando soluciones distintas- y afirma que no vulnera el principio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

143/184

de limitación de la finalidad previsto en la Directiva -que se trasladó a nuestro Derecho
interno en el artículo 4.2 LOPD – porque una norma de Derecho interno, que no tiene
correlato en la Directiva 95/46/CE, el artículo 29.1. LOPD, le exime de cumplir dicho
principio. Y esto, apoyado en su manifestación de que el artículo 29.1 LOPD “no
aprecio que el tratamiento al que se refería fuera contrario al principio de limitación de
la finalidad.

Así pues, a través de la interpretación que hace del articulo 29.1 LOPD esta
disposición tiene el alcance establecer una presunción legal de prevalencia del interés
legítimo de las entidades responsables de ficheros como el FIJ y de dispensarles del
cumplimiento de las obligaciones impuestas por la LOPD, en particular por lo que aquí
interesa del artículo 4.2. LOPD.

Por otra parte, la reclamada, trae a colación en varias ocasiones el Real Decreto
181/2008, de ordenación del diario oficial Boletín Oficial del Estado (RDBOE). Unas
veces para afirmar que “esta compatibilidad (o ese carácter “no distinto” de la
finalidad) se apreciaba incluso con posterioridad a la entrada en vigor” del RDBOE y
otras para hacer consideraciones inadmisibles, como que las medidas adoptadas por
RDBOE, “no se refieren a un tratamiento de datos como el llevado a cabo por mi
mandante a través del FIJ, en que el acceso a la información queda limitado a
acreedores o potenciales acreedores del interesado.”

6. De la exposición precedente se concluye que EQUIFAX ha venido tratando los
datos personales de los reclamantes a través del FIJ infringiendo el principio de la
limitación de la finalidad previsto en el artículo 5.1.b) del RGPD.

Esta infracción se encuentra tipificada en el artículo 83.5.a) del RGPD, que establece:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]”

Por otra parte, a efectos de prescripción, la LOPDGDD califica en su artículo 72.1.a)
la vulneración del artículo 5.1.b) de infracción muy grave.

VI
De la infracción del principio de licitud

1.El RGPD se ocupa en el artículo 5 de los principios que presiden el tratamiento de
datos de carácter personal y en el apartado 1.a) dispone que los datos personales
serán tratados de manera “lícita, leal y transparente en relación con el interesado”. En
idéntico sentido el Considerando 39 dice que “Todo tratamiento de datos personales
debe ser lícito [...]”

Conforme al artículo 6.1 del RGPD para que el tratamiento de datos personales sea
lícito deberá estar fundado en, al menos, una de las circunstancias que este precepto
relaciona. La letra f) del artículo 6.1. dispone que el tratamiento de datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

144/184

será lícito cuando “el tratamiento es necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.”

La STJUE de 24/11/2011, tantas veces citada, que declaró el efecto directo de la
disposición del artículo 7.f) de la Directa 95/46, relativo a la base jurídica de la
prevalencia del interés legítimo, señaló que el citado precepto establece dos requisitos
acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una
parte, que ese tratamiento de datos personales sea necesario para la satisfacción del
interés legítimo perseguido por el responsable del tratamiento o por el tercero o
terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los
derechos y libertades fundamentales del interesado (epígrafe 38). Añade también, a
propósito de la ponderación, que dependerá, en principio, de las circunstancias
concretas del caso particular de que se trate y en cuyo marco la persona o institución
que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que
los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea
confieren al interesado (epígrafe 40).

El considerando 47 del Reglamento (UE) 2016/679 contribuyen a la tarea de precisar
el contenido y alcance de la circunstancia legitimadora del artículo 6.1.f) RGPD. El
Dictamen 6/2014 elaborado por el Grupo de Trabajo del Artículo 29 (en adelante,
GT29) relativo al “Concepto de interés legítimo del responsable del tratamiento de los
datos en virtud del artículo 7 de la Directiva 95/46/CE”, de fecha 09/04/2014, facilita la
interpretación del artículo 7.1.f) de la Directiva y ofrece directrices para la preceptiva
ponderación de los intereses y derechos enfrentados.

La aplicación del artículo 6.1.f) RGP requiere que exista un interés legítimo del
responsable del tratamiento o del tercero; que el tratamiento sea necesario para la
satisfacción del interés legítimo perseguido; y que en la ponderación del interés
legítimo del responsable del tratamiento o de terceros por una parte y del impacto que
sobre los intereses, los derechos fundamentales y libertades del interesado provoca el
tratamiento de datos que se pretende efectuar, por otra, prevalezca el primero.

Ahora bien, para poder concluir que un determinado tratamiento de datos personales
se funda en la prevalencia del interés legítimo del responsable o de los terceros frente
a los intereses o derechos fundamentales de los titulares de los datos -tal y como
aduce EQUIFAX respecto al FIJ- , siguiendo las pautas del Dictamen del GT29 6/2014,
el análisis debe comenzar examinando si el interés legítimo invocado (i) es lícito, es
decir, conforme con la legislación nacional y de la U.E. aplicable; (ii) suficientemente
específico, esto es, está articulado con la suficiente claridad para permitir que la
prueba de sopesamiento se lleve a cabo en contraposición a los intereses y los
derechos fundamentales del interesado y (iii) representar un interés real y actual, no
especulativo.

Por tanto, el primer elemento a examinar es la licitud del interés legítimo invocado;
esto es, si el tratamiento necesario para satisfacer tal interés se adecúa a la legislación
nacional y de la U.E. El Dictamen 6/2014 del GT29 dice que un interés puede
considerarse legítimo “siempre que el responsable del tratamiento pueda perseguir
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

145/184

este interés de conformidad con las leyes relativas a la protección de datos y con el
resto de la legislación”.” (El subrayado es nuestro)

La reclamada ha concretado en su escrito de alegaciones al acuerdo de inicio cuál es
el interés legítimo que busca satisfacer con el tratamiento de datos que efectúa el FIJ y
manifiesta que se trata de un doble interés:
(i) Un interés vinculado a la evaluación de la solvencia de los afectados y (ii) un interés
vinculado a la prevención del fraude. Respecto al primero -vinculado con la evaluación
de la solvencia- considera que lo ostentan ella misma, EQUIFAX; los terceros que
consultan la información contenida en el fichero y los prestatarios y consumidores.

Justifica el interés vinculado a la evaluación de la solvencia del que ella es titular en
que los sistemas de información relacionados con la información sobre la solvencia
son una herramienta necesaria para conocer el riesgo en el que pueden incurrir los
prestatarios en sus operaciones y, afirma, que el legislador reconoce implícitamente
esa función de los sistemas de información relacionados con la información sobre
solvencia al haber articulado en el artículo 20 de la LOPDGDD una presunción iuris
tantum de licitud del tratamiento en relación con los ficheros a los que se refiere ese
precepto. También invoca la STJUE DE 18/12/2014 (asunto C-449/13) que reconoce la
posibilidad de que el prestamista acuda a estas fuentes para evaluar la solvencia del
consumidor.

Sobre el interés vinculado con la evaluación de la solvencia que ostentarían los
terceros que consultan la información contenida en el FIJ explica que, a través del
fichero, obtienen una información completa de las circunstancias que concurren en el
potencial prestatario al unirse a la que la entidad de crédito obtiene de los sistemas de
información regulados en el artículo 20 de la LOPDGDD. A su juicio el reconocimiento
de este interés legítimo de los terceros se refleja en el Preámbulo de la Circular
1/2013, de 24 de mayo, del Banco de España, sobre la Central de Información de
Riesgos y en las obligaciones que, para hacer efectivo el principio de concesión del
crédito responsable, imponen la Ley 16/2011, de 24 de junio, de contratos de crédito al
consumo y la Ley 5/2019, de 15 de marzo, reguladora de los contratos de crédito
inmobiliario.

También predica un interés legítimo relacionado con la evaluación de la solvencia de
los prestatarios y consumidores, que justifica en que una más correcta valoración del
riesgo en la concesión del crédito permitirá unas mejores condiciones en su concesión
y beneficiará a todos los consumidores, lo que le lleva a concluir que por ello “el
interés legítimo perseguido por el tratamiento tiene también una dimensión de interés
social”.

Respecto al interés legítimo vinculado a la prevención del fraude, dice que por medio
del tratamiento de datos que realiza a través del FIJ facilita a las entidades prestatarias
información que les permite verificar si la información de que disponen y que asocian a
determinados datos resulta consistente o inconsistente con la que figura en boletines y
diarios oficiales y añade que la AEPD puso de manifiesto la existencia de un interés
legítimo en los sistemas comunes de prevención del fraude que se refleja en los
informes del Gabinete Jurídico 318/2013, 105/14, 106/14, 103/16 y 256/16.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

146/184

2. Así pues, el interés del responsable del tratamiento será legítimo si es “lícito”, es
decir, si el tratamiento necesario para satisfacerlo es respetuoso con la legislación
nacional y de la U.E. que resulte aplicable. Por ello, desde el punto de vista del RGPD
habrá que determinar si el tratamiento de datos que la reclamada lleva a cabo a través
del FIJ cumple las normas que regulan el derecho fundamental a la protección de
datos y, en particular, los principios que presiden el tratamiento.

Como ha quedado expuesto en el fundamento precedente, resulta acreditado que el
tratamiento que EQUIFAX viene haciendo de los datos personales de los reclamantes
vulnera el principio de limitación de la finalidad previsto en el artículo 5.1.b) del RGPD.
Este incumplimiento tiene como consecuencia provocar que el interés legítimo
invocado por EQUIFAX, sobre cuya pretendida prevalencia sustenta el fundamento
jurídico del tratamiento de datos que realiza (artículo 6.1.f, RGPD), no pueda cumplir el
requisito de licitud.

En definitiva, el interés que defiende la reclamada es incompatible con el cumplimiento
de la ley que regula y garantiza el derecho fundamental a la protección de datos
personales. Ese interés requiere para su satisfacción un tratamiento de datos que
vulnera claramente el RGPD y, como se dice en el Dictamen 6/2014, “[...]el
responsable del tratamiento […] puede perseguir cualquier interés, siempre que no
sea ilegítimo.”
La ilicitud del interés perseguido por EQUIFAX se ve reforzada por el hecho de que el
tratamiento de datos que lleva a cabo el FIJ no sólo vulnera el principio de limitación
de la finalidad (artículo 5.1.b RGPD), sino que, como se expondrá más adelante,
estimamos que incumple otros preceptos del RGPD: el principio de exactitud de los
datos (artículo 5.1.d); el artículo 14 del RGPD en relación con el artículo 5.1.a) y el
principio de minimización de datos (artículo 5.1.c).

Partiendo de esa circunstancia, no sería necesario a llevar a cabo la prueba de
sopesamiento o ponderación entre el interés invocado por EQUIFAX y el impacto que
el tratamiento supone sobre el derecho fundamental de los administrados, por la
sencilla razón de que no se cumple la primera de las condiciones para aplicar el
fundamento jurídico del artículo 6.1.f) RGPD siguiendo la sistemática que ofrece el
Dictamen 6/2014 del GT29.

No obstante, pasamos a hacer tal ponderación entre el interés defendido por EQUIFAX
y los derechos e intereses de los afectados.

En primer término, el artículo 6.1.f) exige que el tratamiento sea “necesario”, en el
sentido en que el concepto de necesidad se interpreta por el Tribunal Europeo de
Derechos Humanos (TEDH). Sin perjuicio de que el tratamiento de los datos de los
reclamantes sea “útil”, “deseable” o “razonable”, como precisó el TEDH en su
Sentencia de 25/3/1983 el término “necesario” no tiene la flexibilidad que está implícita
en esas expresiones. Lo que EQUIFAX califica de interés jurídico perseguido a través
del tratamiento de datos personales incorporados al FIJ –conocer las deudas y
reclamaciones de las personas físicas para dar “seguridad al tráfico mercantil”,
“prevenir la morosidad” y “valorar la solvencia patrimonial” de esas personas- se puede
obtener mediante otros instrumentos que no supongan un ataque tan rotundo al
derecho fundamental protegido por el RGPD. Deberá acudirse por ello a medios
menos invasivos para servir al mismo fin.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

147/184

En este punto nos remitimos al informe del Gabinete Jurídico de la AEPD 372/2016
que, con ocasión de la valoración de un tratamiento de datos personales obtenidos de
fuentes públicas con el propósito de analizar la solvencia de sus titulares, señaló que
“No cabe confundir necesidad con conveniencia. El enjuiciamiento de la solvencia
económica podría considerarse, de conformidad con los términos de la consulta,
conveniente, pero en ningún caso necesario [...]. El riesgo de crédito o de solvencia
económica del deudor es un riesgo que en absoluto es privativo de una compañía de
seguros, sino propio de cualquier relación comercial o financiera.” (El subrayado es
nuestro)

Centrados en la ponderación de los intereses y derechos enfrentados hemos de acudir
al criterio reiteradamente seguido por el Tribunal Constitucional sobre la
constitucionalidad de una medida restrictiva de un derecho fundamental (SSTC
66/1995, de 8 de mayo, FJ 5; 55/1996, de 28 de marzo, FFJJ 6, 7, 8 y 9; 207/1996, de
16 de diciembre, FJ 4 e), y 37/1998, de 17 de febrero, FJ 8)

Para comprobar si una medida restrictiva de un derecho fundamental supera el juicio
de proporcionalidad será preciso constatar que cumple los tres requisitos o
condiciones siguientes: si esa medida es susceptible de conseguir el objetivo
propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no
exista otra medida más moderada para la consecución de tal propósito con igual
eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada,
por derivarse de ella más beneficios o ventajas para el interés general que perjuicios
sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido
estricto).

En el presente caso no puede admitirse que se cumpla el juicio de necesidad, por lo ya
indicado y porque existen otras alternativas para obtener la información sobre la
solvencia económica.

Tampoco se cumple el juicio de idoneidad, toda vez que, para que el tratamiento que
realiza el FIJ pudiera realmente satisfacer los intereses que invoca -vinculados a la
información de la solvencia patrimonial y a la prevención del fraude-, sería
imprescindible que la información sobre las supuestas deudas atribuidas a los
reclamantes estuviera actualizada -principio el de exactitud que incumple el FIJ- y,
además, disponer de datos de los afectados que los identificara plenamente. A raíz de
la entrada en vigor de la LOPDGDD y en virtud de la previsión de su disposición
adicional séptima, tratándose de publicaciones de actos administrativos -en los que no
figurará el dato del DNI /NIF completo- resultará imposible la identificación inequívoca
de los titulares de los datos. Se añade a propósito de la idoneidad que la información
que se proporciona representa a una mínima parte de las personas que tienen deudas
pendientes con las Administraciones Públicas, únicamente al grupo reducido que no
ha podido ser notificado personalmente y ha obligado a la Administración a realizar la
pertinente notificación mediante la publicación de anuncios o edictos.

Y, por último y fundamental, tampoco se aprecia un equilibrio entre los intereses que
EQUIFAX persigue a través del FIJ y los perjuicios sufridos por los titulares de los
datos. A la absoluta inexistencia de una expectativa del titular de los datos a que se
produzca un tratamiento de ellos, recabados de un diario oficial, por parte una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

148/184

empresa privada que elabora y explota un fichero con información de solvencia
negativa, se añade el evidente impacto negativo que este tratamiento produce en el
titular de los datos.

En el asunto que examinamos, el derecho fundamental que faculta a su titular a
disponer de los datos personales que les competen debe de prevalecer sobre lo que
EQUIFAX considera su interés legítimo.

La evidente conveniencia que puede representar para un determinado sector de la
actividad mercantil ver disminuido el riesgo inherente a su actividad no es proporcional
a la clara vulneración del derecho fundamental reconocido en la C.E. (artículo 18.4) y
en la Carta de derechos fundamentales de la U.E. (artículo 8) que se perpetra con el
tratamiento de datos que el FIJ lleva a cabo. Siguiendo ese mismo criterio habría que
permitir en el futuro intromisiones “a la carta” cuando otros sectores de la actividad
mercantil lo considerasen también muy conveniente para sus intereses. Con total
claridad se ha pronunciado sobre esta cuestión la STS de 20/06/2020 (R. casación
1074/2019), cuyo Fundamento Jurídico sexto dice, a propósito de una de las
cuestiones de interés casacional planteada en el Auto de admisión del recurso, que
“Los intereses comerciales de una empresa responsable de un fichero de datos han
de ceder ante el interés legítimo del titular de los datos a la protección de los mismos”.

Tampoco es admisible justificar esta intromisión en el derecho fundamental en la
función que la reclamada se atribuye: la de ser una herramienta necesaria para
conocer el riesgo en el que pueden incurrir los prestatarios en sus operaciones que
repercute en el correcto funcionamiento de la actividad económica relacionada con la
solvencia del crédito.

Por otra parte, las diferentes normas legales que hacen referencia a la consulta a los
sistemas de información de solvencia para dar cumplimiento al principio del crédito
responsable -citadas con todo detalle por la reclamada en su escrito de alegaciones-
hacen siempre una precisión muy clara: que los sistemas de información sobre
solvencia y las medidas que se adopten deberán respetar plenamente la normativa de
protección de datos de carácter personal.

Como complemento a lo señalado, otro elemento a valorar en esta ponderación pero
no relacionado con el derecho fundamental garantizado en el artículo 18.4 C.E., es el
relativo a los “intereses” de los afectados por este tratamiento; intereses (sin el adjetivo
de “legítimos”) que el artículo 6.1 f) del RGPD también toma en consideración en la
confrontación con el interés legítimo del responsable del tratamiento o de los terceros
a los que se comunican los datos. Así, cabría apreciar -siguiendo el informe del
Gabinete Jurídico 372/2016- un interés a favor de los reclamantes en conocer y dar su
consentimiento para que se efectúe un tratamiento de sus datos personales que
influya en sus relaciones futuras con las entidades de crédito.

En definitiva, la conclusión del juicio de sopesamiento no podría en ningún caso ser
favorable a la prevalencia del interés que EQUIFAX pretende satisfacer a través del
FIJ.

Esta conclusión no se ve alterada a la luz de los argumentos que EQUIFAX ha
esgrimido en su escrito de alegaciones al acuerdo de inicio a favor de la prevalencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

149/184

del interés legítimo que invoca. Por el contrario, los argumentos que aduce
–“evidencias” en la terminología empleada- vienen a confirmar la ilicitud del
tratamiento de datos que lleva a cabo el FIJ, toda vez que las circunstancias que alega
deben de rechazarse por razones obvias que derivan de lo argumentado hasta el
momento. No obstante, pasamos a analizar los argumentos o “evidencias” alegados
en favor de la prevalencia del “interés legítimo de Equifax, sus compañías usuarias y
la propia sociedad” sobre los derechos e intereses de los titulares de los datos:

a. El reconocimiento que la LOPD hacía, por medio del artículo 29.1, de la prevalencia
del interés legítimo que ella invoca. Añade que la normativa aplicable actualmente no
ha cambiado sustancialmente respecto a la anterior, sino que “las bases jurídicas y los
principios aplicables al tratamiento permanecen inalterables como consecuencia de la
entrada en vigor del RGPD”.
b. El hecho de que la LOPDGDD, artículo 20, establezca una presunción iuris tantum
de prevalencia del interés legítimo de los sistemas de información crediticia. Afirma
que, puesto que “el interés legítimo que justifica el tratamiento [de los sistemas de
información crediticia del artículo 20 LOPDGDD] es idéntico al perseguido por el FIJ” y
que “el impacto sobre los derechos e intereses de los interesados como consecuencia
del tratamiento de sus datos en el FIJ sea [es] sustancialmente similar al que genera
el tratamiento de sus datos en los sistemas de información crediticia”, el artículo 20
LOPDGDD constituye un indicio evidente de la prevalencia del interés legítimo que el
FIJ pretende satisfacer.
c. La referencia a la jurisprudencia del TJUE, que concreta en la ya citada STJUE de
24/11/2011.
d. La actitud de la AEPD que, en su opinión ha venido “reconociendo hasta ahora la
licitud de estos sistemas sin haber llevado a cabo requerimiento, advertencia o
apercibimiento alguno dirigido a mi mandante, tal y como se ha analizado en la
alegación tercera de este escrito.” A lo que añadía el conocimiento que la AEPD había
tenido de que el proyecto de Código de Conducta de ASEDIE incluía un examen de la
prevalencia del interés legítimo de las entidades que gestionan estos sistemas de
información sin que haya hecho ninguna manifestación contraria a tal cuestión.

Pues bien, todos los elementos, consideraciones o evidencias -en palabras de la
reclamada- favorables a la prevalencia del interés legítimo que EQUIFAX busca
satisfacer a través del FIJ deben de rechazarse.

Respecto al primer factor que aduce, cabe hacer esta aclaración:
Por más que el artículo 29.1 LOPD supuestamente estableciera una presunción iuris
tantum de prevalencia del interés legítimo defendido a favor los sistemas de
información de solvencia patrimonial y el crédito caracterizados únicamente, por lo que
aquí interesa, por la fuente u origen de la que obtenían la información, a raíz de la
STJUE tantas veces citada, que declara el efecto directo del artículo 7.f) de la Directiva
95/46, no cabía desconocer que también esos sistemas de información sobre
solvencia patrimonial a los que se refería el artículo 29.1 LOPD estaban obligados a
cumplir los principios que presidían el tratamiento de los datos en la LOPD, el principio
de calidad de los datos y concretamente el de limitación de la finalidad o el de
exactitud (artículos 4.2. y 4.3 LOPD), con las consecuencias que esto entrañaba
respecto a la licitud del tratamiento realizado por EQUIFAX a través del FIJ. Negar
esta realidad objetiva con el argumento de que “las bases jurídicas y los principios
aplicables al tratamiento permanecen inalterables como consecuencia de la entrada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

150/184

en vigor del RGPD”, es mezclar interesadamente lo que es comparable con lo que no.
Han permanecido inalterables en esencia los principios que presiden el tratamiento de
los datos y las bases jurídicas del tratamiento, pero el artículo 29.1 LOPD no era ni
una cosa ni la otra.

Se debe rechazar igualmente la pretensión de hacer extensiva la presunción iuris
tantum que la LOPDGDD ha establecido en favor de los sistemas de información
crediticia del artículo 20 con sistemas de información como el FIJ. Ello, por la razón
fundamental de que, en el sistema que diseña el artículo 20 LOPDGDD, es el propio
acreedor, que obviamente mantiene una relación con el deudor, el que comunica los
datos personales al fichero, por lo que no se infringe el principio de limitación de la
finalidad y, desde ese punto de vista, el tratamiento necesario para satisfacer ese
interés es respetuoso con el principio de limitación de la finalidad.

Segundo, porque estos ficheros se rodean de garantías para cumplir el principio de
exactitud. En ellos es el acreedor, con carácter general, quien comunica la deuda al
fichero. Nada que ver con la información que se recoge de un anuncio publicado en un
diario oficial.

Por otra parte, los titulares de ficheros de solvencia patrimonial, con el propósito de
respetar el principio de exactitud, articulan motu propio mecanismos rigurosos y
eficaces para la actualización de los datos y evitar así incurrir en una infracción de la
normativa de protección de datos. Así, en este tipo de ficheros los asociados que
informan de una deuda impagada deben de confirmar con cierta periodicidad la
información informada al fichero. De modo que las incidencias informadas no se
mantienen en estos sistemas sine die, sino que su permanencia queda supeditada a la
confirmación al sistema. Al reiterarse por el acreedor la información éste ha debido de
verificar que la situación de impago continúa -lo que perfectamente puede hacer ya
que es él quien conoce de primera mano si la deuda se ha extinguido o no- y
paralelamente, si el acreedor no reitera la comunicación de la deuda el sistema de
información crediticia, automáticamente, procede a dar de baja esa anotación. Por si
ello fuera poco, el legislador de la LOPDGDD atribuye al acreedor informante la
obligación de garantizar la exactitud de la deuda, ello sin perjuicio de que el RGPD,
artículo 26, otorga al acreedor informante la condición de corresponsable junto con la
entidad que mantiene el sistema de información crediticia.

Tercero, por las restantes garantías que se establecen en favor de los titulares de los
datos: garantías de transparencia y de limitación del tiempo durante el que la
información estará disponible. La inclusión de los datos de un deudor en uno de estos
sistemas previstos en el artículo 20 LOPDGDD ha estado precedida de la información
sobre las consecuencias adversas que se derivarían para él de no atender el pago de
la deuda. Además, la LOPDGDD en el artículo 20 ha reforzado doblemente las
garantías en favor del deudor respecto al sistema previsto en el artículo 29.2 LOPD y
38 y siguientes del RLOPD: se ha reducido a 5 años el tiempo máximo de inclusión
desde el vencimiento de la obligación (artículo 20.1.d, LOPDGDD) y la entidad
responsable del sistema de información está obligada a mantener bloqueados los
datos del afectado durante los treinta días siguientes a la notificación de la deuda al
sistema (artículo 20.1.c, LOPDGDD)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

151/184

Los dos restantes factores citados por la reclamada para sustentar la prevalencia del
interés que defiende son igualmente inaceptables y respecto a ellos, nos remitimos a
las consideraciones hechas en otros epígrafes de esta propuesta de resolución.

3. El principio de responsabilidad proactiva obliga al responsable del tratamiento a
estar en condiciones de demostrar que el tratamiento que lleva a cabo está amparado
en el fundamento jurídico que invoca.

A propósito del análisis que la reclamada debía de haber efectuado antes de la
aplicación efectiva del RGPD para verificar la existencia de un interés legítimo
prevalente al amparo del artículo 6.1.f) que, según ha venido manifestando, constituye
el fundamento jurídico del tratamiento de los datos que llevaba a cabo a través del FIJ,
es digno de mención, por su obvia trascendencia en la valoración del elemento
culpabilistico de la infracción, la afirmación que ha hecho de que con la aplicación
efectiva del RGPD no consideró necesario realizar un análisis de que efectivamente
prevalecía frente al derecho de los titulares de los datos el interés legítimo que
defiende. Ha manifestado en su escrito de alegaciones en ese sentido que las
“evidencias citadas unidas al hecho de que se cumplían a su entender los requisitos
que establece el GT29 en su Dictamen 6/2014” acreditaban suficientemente el interés
legítimo cuya prevalencia defiende.

Así, afirma que consideró innecesario realizar un análisis del interés legítimo
específico para el FIJ ya que “[...]la propia normativa al realizar la ponderación de
intereses aplicables al tratamiento regulado en el artículo 20 de la LOPDGDD ya
resultaba suficiente para suplir la adopción de esta medida”

Cabe añadir que el documento sobre el análisis del interés jurídico prevalente
elaborado en diciembre de 2019 que ha aportado tanto en fase de prueba como anexo
a su escrito de alegaciones al acuerdo de inicio, (LIA Fichero Judicial, Análisis Legal,
Diciembre 2019), al que hemos hecho referencia en el Fundamento Jurídico
precedente y se hará en el Fundamento Jurídico siguiente, pone de manifiesto su
perfecto conocimiento de que el tratamiento realizado vulneraba principios del
tratamiento previstos en el RGPD y que, por tanto, no cabía invocar la aplicación del
artículo 6.1.f) RGPD como fundamento jurídico del tratamiento.

4. La reclamada manifiesta en sus alegaciones a la propuesta de resolución que
recogidos en la propuesta es suficiente para rebatir lo manifestado en sus alegaciones
al acuerdo de inicio; alegaciones que da por reproducidas y complementadas con lo
que ahora expone:

Que EQUIFAX cuenta con una “evidente base jurídica, la concurrencia de un interés
legítimo prevalente, para el tratamiento de los datos en el FIJ.” Así, dice que “[...]
estos sistemas de información se encontraban expresamente dotados de una
presunción de prevalencia del citado interés legítimo”. (El subrayado es nuestro)

Más adelante añade:
“Evidentemente, el artículo 29.1 de la LOPD no regulaba los principios básicos ni las
bases jurídicas del tratamiento, pero determinaba que, sobre la base de principios y
bases jurídicas idénticas a las contenidas en el RGPD, el tratamiento de los datos
recogido en el mismo era lícito. Es decir, o bien el artículo 29.1 de la LOPD se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

152/184

extralimitaba respecto del régimen contenido en la Directiva, habilitando nada menos
que un tratamiento que violentaba sus artículos 6 y 7 en los términos que asume la
Propuesta de Resolución, algo que ningún Tribunal ni las Instituciones de la Unión
Europea (y menos aún la propia AEPD) siquiera insinuó en ningún momento o,
permaneciendo inmutables los principios y las bases jurídicas, ese tratamiento es tan
acorde al RGPD como lo era a la Directiva. Este hecho resulta indubitado, por mucho
que se trate de forzar la argumentación en otro sentido.” (El subrayado es nuestro)

Manifiesta, por otra parte, que en sus anteriores alegaciones acreditó que, en el
presente caso, concurría el triple juicio -idoneidad, necesidad y proporcionalidad strictu
sensu- exigido por la jurisprudencia constitucional para que el tratamiento efectuado
por el FIJ resultara acorde al RGPD; ponderación que, afirma, resulta favorable al
interés legítimo que lo justifica. A propósito del triple juicio mencionado se limita a
hacer diversas consideraciones en relación con lo argumentado en la propuesta de
resolución. Consideraciones que, en su gran mayoría, no se ajustan a la verdad o no
respetan el contexto en el que se hicieron. Reproducimos algunas de ellas:

“[...]la Propuesta de Resolución: [considera] que el interés legítimo que fundamenta el
tratamiento de los datos en el FIJ no es más que una mera “conveniencia” para
“perpetrar” lo que se denomina “intromisiones a la carta” en los derechos de los
interesados (las expresiones empleadas son de la Propuesta de Resolución, no de mi
representada).”
“[...] a juicio de la AEPD el [CIRBE es] el único sistema de información que coadyuva a
la finalidad perseguida por el tratamiento llevado a cabo por el FIJ.”

“[..] convirtiendo la AEPD el principio de expectativa razonable (derivado nada menos
del hecho de que estos sistemas existen en nuestro derecho y han sido expresamente
regulados por el mismo desde 1992 y de que el deudor debe razonablemente esperar
que se valorará su solvencia antes de obtener un crédito) en la “esperanza razonable”
del deudor moroso de que no se conozca su deuda y se conceda la financiación, aun
cuando ello perjudique los principios de crédito responsable consagrado por el
legislador”.

De lo alegado por la reclamada en ese escrito en defensa de la pretendida inexistencia
de la infracción del artículo 6.1. RGPD se extraen dos conclusiones relevantes:
La primera, que, a juicio de la entidad, la base jurídica del tratamiento de datos
personales efectuado por el FIJ durante la vigencia de la LOPD y después de la
STJUE de 24/11/2011 se apoyaba en una presunción de prevalencia del interés
legítimo establecida en el artículo 29.1 LOPD. Precepto que, por lo demás, no
contenía ninguna garantía o salvaguarda a favor de los titulares de los datos. Esto
pese a que esa interpretación del artículo 29.1 LOPD defendida por EQUIFAX entraba
en contradicción con el principio de limitación de la finalidad que recogía el artículo 4.2.
LOPD.
La segunda consecuencia es que, en la medida en que la reclamada construye el
fundamento del tratamiento de datos efectuado por el FIJ durante la vigencia de la
LOPD en una norma de Derecho interno, a saber, en el artículo 29.1 de la LOPD -pues
es sobre este artículo sobre el que basa la dispensa de respetar la obligación impuesta
por el artículo 4.2. LOPD- no puede continuar manteniendo que no ha habido un
cambio sustancial entre el régimen jurídico establecido por la LOPD y el régimen
jurídico introducido por el RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

153/184

La consecuencia directa de su alegato acerca de la inexistencia de infracción del
artículo 6.1 RGPD es que invalida su propia argumentación acerca de que la AEPD,
con la apertura del presente expediente sancionador, ha vulnerado el principio de
confianza legítima.
A tenor de la pretendida vulneración del principio de confianza legítima que atribuye a
la AEPD ha venido sosteniendo que, según doctrina de la Sala de lo Contencioso
Administrativo de la Audiencia Nacional, habida cuenta de que no es admisible
introducir un cambio de criterio en un procedimiento sancionador y de que en el
presente caso el cambio de criterio no podría ampararse en la existencia de un cambio
normativo entre la Directiva y el RGPD toda vez que los principios y las bases jurídicas
del RGPD son en esencia las que estableció la Directiva, se debería proceder al
archivo del expediente y además no concurriría en su conducta el elemento de la
culpabilidad, lo que igualmente conduciría al archivo del procedimiento por ausencia
de responsabilidad sancionadora
Estas afirmaciones de la reclamada, que son objeto de examen en los Fundamentos
Jurídicos precedentes, parten de una premisa expuesta por esa entidad con
reiteración: que no ha existido un cambio normativo entre la Directiva y el RGPD que
pudiera amparar el cambio de postura de la AEPD ya que los principios y las bases
jurídicas del RGPD son casi idénticos a los que estableció la Directiva
A la luz de la exposición que la reclamada hace para negar la infracción del principio
de licitud que se le imputa así como de lo manifestado para negar la infracción del
principio de limitación de la finalidad, es obvio que el fundamento de su alegato no son
las normas de la Directiva (esto es, los principios y las bases jurídicas que en ella se
establecen) sino la referencia a una norma de Derecho interno, el artículo 29.1 LOPD,
que ni está vigente en la actualidad, ni se deriva de la transposición de la Directiva
95/46/CE, ni existe tampoco en el RGPD.
En definitiva, como ya se advirtió en la propuesta de resolución, la reclamada aduce
que no es posible justificar el cambio de criterio de la AEPD -materializado en el
expediente sancionador que nos ocupa- en un pretendido cambio normativo toda vez
que dicho cambio normativo no ha entrañado un cambio en las bases jurídicas del
tratamiento y de los principios que presiden dicho tratamiento, fijando los términos de
la comparación en la Directiva y el RGPD. Y al mismo tiempo, de forma paralela, la
reclamada arguye como fundamento del tratamiento que venía efectuando durante el
régimen de la LOPD el artículo 29.1 LOPD, disposición que, como se indicó en la
propuesta, ni contiene una base jurídica del tratamiento ni un principio rector del
tratamiento previsto en la Directiva 95/46/CE y que, además, no es consecuencia de la
trasposición de la Directiva 95/46/CE al Derecho español.

5.De la exposición precedente y de la documentación que obra en el expediente
relativa a los reclamantes, resulta acreditado que EQUIFAX ha venido tratando los
datos personales de los afectados incluidos en el FIJ infringiendo el principio de licitud,
pues el tratamiento no estaba fundado en ninguna de las bases jurídicas que relaciona
el artículo 6.1 RGPD.

Las conductas en las que se habría materializado el tratamiento de datos realizado por
la reclamada vulnerando el artículo 6.1 RGPD, en relación con el artículo 5.1.a) de la
misma norma, consistieron en la recogida de los datos publicados en boletines y
diarios oficiales y, también en ocasiones, en tablones edictales o sede electrónica de
entidades de Derecho Público; en el almacenamiento de esa información y en la
eventual cesión de esos datos a terceros, asociados o clientes de EQUIFAX.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

154/184

La infracción del artículo 6.1 RGPD está tipificada en el artículo 83.5.a) RGPD que
establece:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]”

Por otra parte, a efectos de prescripción, la LOPDGDD califica en su artículo 72.1.
como infracción muy grave “b) El tratamiento de datos personales sin que concurra
alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679”.

VII
De la infracción del principio de exactitud

1. El artículo 5.1.d) del RGPD, relativo al principio de exactitud, dispone que los datos
personales objeto de tratamiento serán “exactos y, si fuera necesario, actualizados; se
adoptarán todas las medidas razonables para que se supriman o rectifiquen sin
dilación los datos personales que sean inexactos con respecto a los fines para los que
se tratan («exactitud»)”

El Considerando 39 añade que deben tomarse todas las medidas razonables para
garantizar que se rectifiquen o supriman los datos personales que sean inexactos

El principio de exactitud implica que el responsable del tratamiento que disponga de
información personal no utilizará dicha información sin adoptar medidas que
garanticen, con una certeza razonable, que los datos son exactos y están
actualizados. A su vez, la obligación de garantizar la exactitud de los datos debe
considerarse en el contexto de la finalidad del tratamiento. El RGPD impone al
responsable del tratamiento la obligación de mantener actualizados los datos pues
dice que los datos serán exactos “y, si fuera necesario, actualizados”; necesidad que
está conectada con la finalidad del tratamiento.

EQUIFAX ha manifestado que la finalidad del tratamiento que lleva a cabo a través del
FIJ está vinculada con la “evaluación de la solvencia de los afectados”. Por tanto, solo
si los datos incluidos en el fichero reflejan la situación actual serán idóneos para la
finalidad pretendida de evaluar la solvencia de los prestatarios.

Las fuentes de las que se nutre el FIJ son los diarios y boletines oficiales. La
información que en ellos se contiene, y a la que accede el FIJ, es la pertinente para
que la Administración Pública pueda cumplir el fin que busca satisfacer y que ha
justificado que se hicieran públicos datos personales de los administrados. Sin
embargo, esa información no es la adecuada para la finalidad de un fichero como el
FIJ. La disparidad e incompatibilidad entre la finalidad del tratamiento originario y la
que persigue el FIJ determina que la información que este fichero recaba sea
fragmentaria -dispone sólo de parte de la información relativa a la deuda y en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

155/184

ocasiones sólo de una parte de los datos identificativos de los supuestos deudores- y
además esté desconectada del devenir de la deuda.

La deuda se vincula a una persona física en un acto de notificación que ve la luz
pública en un momento puntual. Los avatares que a partir de ese momento pueden
afectar a la existencia de la deuda y a su vinculación al supuesto deudor son
innumerables. Entre ellos, por mencionar algunos, el pago por el deudor o la ejecución
forzosa de la deuda por parte de la Administración, de la que EQUIFAX no tendrá
noticia si la notificación de los actos del procedimiento de ejecución se realiza
personalmente y no es necesario acudir a la notificación mediante la publicación de
edictos.

De este modo, la información recabada por el FIJ se mantiene sin actualizar,
inalterable en el fichero durante un plazo máximo de seis años computados desde la
fecha de la publicación, salvo que el afectado ejercite el derecho de supresión o
rectificación. En el presente asunto, respecto a los reclamantes, constan anotaciones
de impago publicadas en el año 2013, si bien la gran mayoría de los anuncios se
publicaron entre 2016 y 2019.

La respuesta que EQUIFAX ha dado a la pregunta formulada en fase de prueba
acerca de los mecanismos de actualización de la información incorporada al FIJ es un
reconocimiento implícito de que carece de medios para verificar su exactitud. Para que
la información que el FIJ recaba estuviera actualizada, y poder así garantizar el
principio de exactitud, necesitaría contar con la colaboración de los titulares de los
datos o de la Administración acreedora, lo que evidentemente no sucede.

Basta recordar de qué forma las entidades que mantienen sistemas de información
crediticia previstos en el artículo 20 de la LOPDGDD actúan para dar cumplimiento al
principio de exactitud para poder apreciar el despropósito que supone mantener en un
fichero hasta seis años deudas que un día fueron publicadas en un diario oficial y de
las que no se sabe nada más desde esa fecha. Es conocida la mecánica de
funcionamiento interna de tales sistemas que sus responsables han diseñado con el
propósito de cumplir el principio de exactitud de los datos.

Una prueba de que el FIJ no puede garantizar la exactitud de la información que
ofrece es que más del 25% de los reclamantes, antes de acudir a la AEPD, ya habían
aportado a EQUIFAX documentos que demostraban que en el FIJ se estaba
publicando información inexacta asociada a sus datos. En el fichero se estaban
vinculando a sus datos personales deudas extinguidas. Nos remitimos a los
documentos de los reclamantes identificados con los números 19,22,27,30,
37,38,40,41,42,50,52,53,54,59,61,62,72,73,75,77,80,83 y 87.

La vulneración del principio de exactitud en el que incurre el FIJ tiene otra
manifestación, la que concierne a la identidad de los presuntos deudores. Las
publicaciones de las que el FIJ recaba la información no siempre permiten identificar
de modo indubitado al supuesto titular de la deuda. Como lo demuestra la
documentación que obra en el expediente los presuntos titulares de las deudas que se
registran en el FIJ frecuentemente están identificados no por el NIF, sino por nombre y
dos apellidos combinados con un domicilio. Cabe indicar sobre el particular que la gran
mayoría de las incidencias que constan en el FIJ asociadas a los reclamantes son
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

156/184

anteriores a 2018 y que, a partir del 07/12/2018 (fecha de entrada en vigor de la
LOPDGDD) conforme a lo prevenido en la Disposición Adicional séptima de la
LOPDGDD no se incluye el dato del domicilio en las notificaciones por medio de
anuncios y publicaciones de actos administrativos que efectúe cualquier
Administración Pública.

La gravedad de este hecho es patente cuando el asociado de EQUIFAX tiene acceso
a una información que no identifica inequívocamente a la persona a la que se refiere
su consulta y trata entonces de identificarlo “por aproximación”; esto es, una vez que
hace la búsqueda en el FIJ por los datos que identifican a la persona que quiere
contratar con él, si el FIJ no tiene registrado el NIF de esa persona le proporcionará al
asociado de EQUIFAX la información disponible de personas que tienen nombre y
apellidos coincidentes para que el asociado, sobre la base de verificar si alguno de los
domicilios coincide con el de la persona que desea contratar, pueda determinar si ésta
reúne las condiciones de solvencia requeridas. Situación que da lugar a que, cuando
el supuesto deudor ejercita el acceso ante EQUIFAX -toda vez que la reclamada no
tiene su NIF incluido en el FIJ- le requiera, a efectos de identificación, los domicilios
que ha tenido a lo largo de los años como vía para poder determinar si es él o no el
deudor. Esta absoluta indeterminación de la persona del deudor, en otras palabras,
inexactitud de los datos, no ha sido un obstáculo para que, previamente, el asociado
de EQUIFAX haya comprobado que en el FIJ hay una o varias personas con nombre y
apellido coincidente con el de quien pretende contratar con él y, ante la duda de si es o
no él a quien se refiere el FIJ, le otorgué la presunción inicial de insolvencia. Situación
que se refleja con claridad en el caso de los reclamantes 18, 26, 27, 32,36 y 94.

Así pues, el fichero del que es titular la reclamada incumple el principio de exactitud
también en lo que atañe a la identificación de los titulares de las deudas. La conclusión
que podemos extraer es que difícilmente puede servir para el interés legítimo que
quiere atender vinculado a “la prevención del fraude”.

Por otra parte, a la vista de las particulares circunstancias que determinan que la
Administración se vea obligada a notificar a un administrado mediante la publicación
de anuncios (supuestos del articulo 44 LPACAP), una aplicación rigurosa del principio
de exactitud debería conducir a no admitir, sin más comprobaciones, como un dato
exacto la información relativa al domicilio que hasta la entrada en vigor de la
LOPDGDD aparecía publicada en el diario o boletín oficial. Esto, pese a ser cierto que
el motivo de la notificación mediante la publicación de anuncios no es en todos los
casos que el domicilio sea erróneo o el interesado sea desconocido. Si se analiza la
información facilitada por EQUIFAX en fase de prueba referente a las notificaciones
practicadas, del total de las que resultaron infructuosas algo más del 90% lo fueron
porque el domicilio resultaba incorrecto o el destinatario era desconocido. (Hecho
probado décimo)

2. La posición mantenida por la reclamada tanto en su respuesta a las pruebas como
en las alegaciones al acuerdo de inicio es, obviamente la contraria.

En primer término, a propósito de la infracción del principio de exactitud, la reclamada
ha manifestado en sus alegaciones que el RGPD no ha introducido modificaciones ni
en la enunciación del principio ni en sus consecuencias, en comparación con lo que
establecía la Directiva, por lo cual, entiende que a través del acuerdo de inicio la AEPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

157/184

ha adoptado un “nuevo criterio” que vulnera los principios de seguridad jurídica y
confianza legítima. Sobre tal cuestión nos limitamos a hacer una remisión a lo
expuesto en el correspondiente Fundamento Jurídico IV de esta resolución.

La reclamada afirma que el FIJ respeta plenamente el principio de exactitud. Que los
datos publicados gozan de la presunción de exactitud que le reconoce el artículo 4.2.d)
de la LOPDGDD, por lo que no es ella la responsable de las inexactitudes de las que
pudieran adolecer. Expone que ha puesto a disposición de los afectados los
mecanismos para corregir o suprimir los datos inexactos o incompletos, respetando en
todo caso los requisitos previstos en la LOPDGDD y el RGPD, como es aportar la
documentación que acredite la inexactitud de un dato cuya supresión se solicita. Por
ello, entiende que no existe inversión de la carga de la prueba cuando se exige a los
reclamantes que solicitan la supresión de sus datos del FIJ que aporten los
documentos acreditativos del pago de la deuda sino únicamente el cumplimiento de
los requisitos previstos en la normativa vigente (artículo 14 LOPDGDD)

Sobre la presunción de exactitud que contempla el artículo 4.2.d) LOPDGDD hay que
indicar que el artículo 4 comienza remitiendo en su apartado 1 al principio de exactitud
del artículo 5.1.d) RGPD, que dice, entre otras cosas, que los datos deberán estar
actualizados cuando sea necesario para los fines del tratamiento. Hay situaciones en
las que resulta absolutamente necesario comprobar e incluso actualizar
periódicamente la exactitud de los datos debido al daño que podría ocasionarse al
interesado si los datos fueran inexactos.

De modo que el punto de partida es una situación en la que la reclamada recaba una
información que sabe que no puede actualizar, y ello, pese a ser la actualización de la
información un requisito para que el FIJ pueda cumplir su finalidad. EQUIFAX conoce
perfectamente este hecho y opta libremente por recabar esa información, por lo que
deberá asumir ella la responsabilidad derivada de la inexactitud de los datos que trata.
Por otra parte, respecto al artículo 4.2.d) LOPDGDD, la presunción que invoca -si
fuera aplicable al caso, extremo que no se comparte- podría operar exclusivamente
respecto a la información que proceda del Registro Público Concursal. En ningún caso
de los diarios y boletines oficiales que no tienen la condición de registro público.

En cuanto a los mecanismos que la reclamada afirma que pone a disposición de los
afectados para que rectifiquen o supriman sus datos, basta señalar que no hace sino
cumplir una obligación impuesta por el RGPD. El capítulo III “Derechos del interesado”
regula estos derechos en los artículos 16 a 19 y el artículo 14 LOPDGDD prevé que,
cuando sea preciso, el afectado aporte la documentación acreditativa de la inexactitud.

En respuesta a la pregunta que se hizo en fase de prueba acerca de cuál era el
protocolo que había tenido durante los últimos seis años para garantizar que los datos
personales que incorporaba al FIJ se encontrasen actualizados debidamente, en todo
momento, EQUIFAX respondió que el protocolo se basa, principalmente, en la
“Limitación de las fuentes de las que se nutre el fichero FIJ”, la información que se
obtiene de los Boletines Oficiales publicados por el Estado, las Comunidades
Autónomas y las Diputaciones Provinciales. Lo cual, en su opinión, garantiza que toda
la información que se recaba tenga la consideración de “oficial y auténtica” conforme al
artículo 3.1 del Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial
Boletín Oficial del Estado. Considera que esto es “una garantía de que no existen
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

158/184

dudas acerca de la actualización y veracidad de la información incorporada al FIJ.” Y
añade que “los boletines se descargan el mismo día de su publicación, por lo que la
información del FIJ se actualiza de manera diaria con la información contenida en los
Boletines.”

A propósito de la respuesta de la reclamada cabe indicar que, efectivamente, la
información publicada en el Suplemento de notificaciones y en el BOE tiene garantía
de “autenticidad”, esto es, la garantía de que procede efectivamente de la autoridad
que firma el acto o disposición.

El comentario de la reclamada relativo a que “la información del FIJ se actualiza de
manera diaria con la información contenida en los Boletines” es absolutamente cierto
si por actualizar entendemos “enriquecer”. Efectivamente el FIJ se enriquece cada día
con la información nueva que recaba de los boletines; pero eso nada tiene que ver con
la actualización o puesta al día de las anotaciones por deudas que ya constan en el
fichero vinculadas a personas físicas.

La reclamada se ha referido también en su respuesta a las preguntas formuladas en la
fase de prueba a los “Procesos automáticos de captura de información: la descarga de
los boletines y el posterior registro de los datos en el FIJ” y dice que tiene
implementados criterios de grabación específicos “a fin de asegurar que los titulares
son inequívocamente identificados para que proceda su inclusión en el FIJ”, de lo que
concluye sin más que “Estos criterios garantizan que sólo existan datos de titulares
debidamente identificados”.

No se pone en duda que la información referente a los datos personales que constan
en los boletines y diarios se traslade al FIJ con exactitud. Pero, como sobradamente
sabe la reclamada, no es esa la cuestión a la que se refiere la vulneración del principio
de exactitud por lo que, en tal sentido, no responde a la verdad su afirmación de que
“Estos criterios garantizan que sólo existan datos de titulares debidamente
identificados”

La reclamada se refirió en su respuesta a una nueva medida implementada que, en su
opinión, garantizaría la exactitud y actualización de los datos: “4) Notificación de
inclusión: esta parte viene realizando a los titulares cuyos datos han sido recogidos
desde el 25 de mayo de 2018, una notificación específica de su inclusión en el FIJ,
como medida para garantizar la actualización de los datos. Dichas comunicaciones
permiten a los interesados, de una manera gratuita y sencilla, comprobar si
efectivamente los datos que han sido publicados por los diferentes boletines oficiales y
que han sido recogidos por mi representada contienen algún error.” Cuestión a la que
nos referiremos en otro Fundamento Jurídico de la resolución.

3. En sus alegaciones a la propuesta de resolución EQUIFAX sitúa el punto de partida
de su alegato en la necesaria aclaración de “cuál es la finalidad del FIJ”, toda vez que
“el artículo 5.1.d) del RGPD vincula “exactitud” con “los fines para los que se tratan”
los datos”. Afirma a continuación que la “finalidad del FIJ” es “reflejar la existencia de
una deuda según consta en el anuncio y en el momento de su publicación en la fuente
oficial correspondiente”. (El subrayado es nuestro)

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

159/184

De lo anterior, colige que la circunstancia de que el FIJ no pueda mostrar cuál es la
situación de la deuda en el momento de la consulta no permite calificar la información
de inexacta en los términos previstos en el artículo 5.1.d) RGPD. No es inexacta -dice
la reclamada- porque recoge correctamente la información que es necesaria para la
finalidad buscada por el FIJ, “ayudar a los clientes de Equifax a valorar la solvencia”.
Por ello, aclara, la información sería inexacta si, “contrariamente a lo que pretende el
fichero”, no reflejara correctamente la información que consta en el anuncio publicado.
Conjetura que la AEPD, con el objetivo de calificar de inexactos los datos contenidos
en el FIJ, ha procedido en la propuesta de resolución, de forma incorrecta, a asociar la
“evaluación de la solvencia de los afectados” con información acerca de la “situación
actual” en el momento de la consulta de la deuda de las personas.”
Pasa a referirse a la idoneidad de la información contenida en el FIJ para valorar la
solvencia de una persona; idoneidad que, afirma taxativamente, está fuera de toda
duda como lo han confirmado durante veinticinco años el “enorme número de
entidades que han venido recurriendo al FIJ para valorar la solvencia” Advierte que un
juicio de idoneidad requiere un conocimiento profundo de la materia y que hasta donde
conoce la AEPD no es una entidad que en el día a día de su actividad realice análisis
de solvencia.
Expresa que el FIJ “cubre una necesidad innegable del mercado de acreedores y de la
lucha contra la morosidad y el fraude” y seguidamente afirma: “[...] resulta patente que
la información del FIJ constituye un complemento de los ficheros referidos a las
deudas contraídas con en el sector privado [...]. Es obvio que “en un mundo ideal”
sería preferible que el FIJ pudiera ser actualizado de forma tan completa como ocurre
con los sistemas de información crediticia del artículo 20 de la LOPDGDD.
Lamentablemente, ello no es posible dado que las Administraciones no publican
información al respecto, sin que tal circunstancia pueda ser considerada en ningún
caso como supuesto de “inexactitud” de la información, por las razones ya expuestas.”
(El subrayado es nuestro)
Argumenta también, como ya hiciera en el escrito de alegaciones al acuerdo de inicio,
que el articulo 4.2 d) LOPDGDD establece una presunción de exactitud que no puede
ser desvirtuada “por el resultado de la investigación de la AEPD, ni tan siquiera por la
aportación de prueba por parte del interesado” y “contiene un mandato imperativo de
exención de responsabilidad a quien ha recabado los datos al amparo de su
contenido”.
Indica que esa disposición - 4.2.d) LOPDGDD- ha de ponerse en conexión con la
normativa reguladora del BOE que “establece una presunción de veracidad y
autenticidad de la información contenida en el mismo, lo que garantiza el principio de
exactitud” y concluye que “la exactitud de la información referida a las notificaciones
incorporadas al FIJ [...] deriva directamente de dicha publicación [en el BOE] y la
LOPDGDD”.
Invoca por último dos argumentos más: Que hasta la derogación de la LOPD
EQUIFAX “se veía [...] amparada por la habilitación legal expresa contenida en el
artículo 29.1 LOPD y la actuación de la AEPD por la que se exigía documentación
acreditativa del pago para que procediera a su supresión”. Y, respecto a la exactitud de
los datos identificativos de los supuestos deudores, afirma que “acreditó durante el
periodo de prueba que únicamente procede al tratamiento de aquellos datos respecto
de los que cuenta con medios suficientes para garantizar la exactitud de la información
tratada.”
Afirma también que, como consecuencia de la entrada en vigor de la LOPDGDD, ha
adoptado medidas para que únicamente se incorporaren al FIJ los datos de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

160/184

interesados de los que se cuente con elementos suficientes para garantizar su plena
identificación, lo que se ha reflejado en una disminución del número de inclusiones en
el fichero.
A la vista de lo alegado por la reclamada parece estéril debatir sobre el novedoso
concepto de exactitud de los datos destinados a informar sobre la solvencia del
afectado. Más aún cuando la propia entidad reconoce que “sería preferible que el FIJ
pudiera ser actualizado de forma tan completa como ocurre con los sistemas de
información crediticia del artículo 20 de la LOPDGDD.”
4.El artículo 5.2, en conexión con el 5.1.d) RGPD evidencia que incumbe al
responsable del tratamiento la carga de probar la exactitud de los datos que son objeto
de tratamiento; por lo que aquí interesa incumbe a EQUIFAX la carga de acreditar la
exactitud de las deudas incluidas en el FIJ asociadas a datos personales exactos de
los presuntos deudores.

La obligación impuesta por el artículo 5.2. RGPD implica que el responsable del
tratamiento deberá disponer, durante todo el tiempo en el que se mantenga el
tratamiento de los datos, de mecanismos que garanticen que la información que trata
-las deudas que vincula a datos personales- se encuentra en todo momento
actualizada.

La reclamada carece por completo de medios para cumplir esta obligación. Y ante esta
carencia, pretende que se reconozca como un instrumento hábil para el cumplimiento
de la obligación que a ella le incumbe lo que no es sino un requisito exigido por la ley
el titular de los datos que ejercita los derechos que le otorga el RGPD. En definitiva, la
reclamada pretende que se valore como un medio de cumplimiento de la obligación de
exactitud que le impone el artículo 5.2 RGDP en relación con el artículo 5.1.d), la
documentación que los reclamantes deben de aportar con el fin de acreditar la
inexactitud de los datos que les conciernen cuando ejerciten ante ella el derecho de
rectificación (artículo 14 RGPD).

Por otra parte, la reclamada es perfectamente consciente de que no dispone de
medios para mantener actualizada la información tratada en el FIJ. Prueba de ello es
el texto que reproducimos, procedente del documento 8 de los que remitió en la fase
de prueba, denominado “LIA Fichero Judicial. Análisis Legal. Diciembre 2019”, en cuyo
punto 7, “Funcionamiento de los ficheros de Equifax con información obtenida de
fuentes de acceso público”, se dedica un apartado a las garantías que pretende
implementar en el futuro relativas al principio de exactitud:

“1.4. Principio de exactitud” “En cumplimiento de este principio y dado que la
publicación edictal únicamente reconoce la existencia de la obligación de satisfacer lo
adeudado, pero no se dispone de información adicional que permita conocer
efectivamente si esa cantidad se adeuda en el momento de la notificación de
inclusión, una posible solución a este problema sería la limitación de plazos muy
breves referidos a las citadas comunicaciones, y en el sistema analizado esta
exigencia se cumple, al reducirse el plazo a las publicaciones acaecidas en los últimos
cinco meses. Sin embargo, esta reducción tampoco permite soslayar plenamente el
riesgo derivado del tratamiento de estos datos, pudiendo verse la calificación de un
interesado negativamente por el hecho de incorporarse una notificación edictal
referida a una deuda ya satisfecha del mismo modo que podría verse afectado
favorablemente el sujeto al que se le hubiera efectuado una notificación con una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

161/184

antigüedad de más de cinco meses y no hubiera procedido al pago de la cantidad
adeudada.” (El subrayado es nuestro)

5. De conformidad con lo expuesto y la documentación que obra en el expediente, se
estima que la reclamada ha vulnerado el principio de exactitud previsto en el artículo
5.1.c) RGPD.
La infracción del artículo 5.1.c) RGPD que se atribuye a EQUIFAX está tipificada en el
artículo 83.5. RGPD que señala: “Las infracciones de las disposiciones siguientes se
sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000
Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4%
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, optándose por la de mayor cuantía:
b) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

El artículo 72 de la LOPDGDD califica de muy graves -siendo el plazo de prescripción,
en este caso, de tres años - las infracciones que supongan una vulneración sustancial
de los artículos mencionados en el artículo 83.5 RGPD y en particular:
“a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679.”

VIII
De la infracción del principio de minimización de datos

El RGPD establece en su artículo 5.1.c) que los datos personales serán “adecuados,
pertinentes y limitados a lo necesario en relación con los fines para los que son
tratados (<<minimización de datos>>)”

Por tanto, únicamente se tratarán los datos que sean adecuados, pertinentes y no
excesivos en relación con el fin para el que se obtienen o tratan. Esto implica, por una
parte, que las categorías de datos seleccionados para su tratamiento deben ser
necesarias para lograr el objetivo de las operaciones tratamiento y que el responsable
del tratamiento deberá limitar estrictamente la recogida de datos a aquella información
que esté directamente relacionada con el fin específico que persiga el tratamiento.

Por otra, el RGPD exige que los datos sean pertinentes, lo que implica que los datos
tratados sean idóneos y proporcionales al fin legítimo perseguido. También, que los
datos personales que sean adecuados y pertinentes, pero constituyan una injerencia
desproporcionada en los derechos y libertades fundamentales en juego, deberán
considerarse excesivos.

El cumplimiento de este principio por la reclamada, al igual que sucede con otros
principios ya examinados, como el de licitud o el de exactitud, está condicionado por la
infracción del principio de limitación de la finalidad en la que la entidad incurre con la
recogida de los datos procedentes de diarios y boletines oficiales que persiguen una
finalidad incompatible con la del FIJ.

A raíz del carácter ilícito del tratamiento ulterior de los datos recabados -esto es, el que
la reclamada lleva a cabo a través del FIJ- se va evidenciando que la responsable del
tratamiento se encuentra en una situación de imposibilidad práctica de respetar el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

162/184

resto de los principios que según el RGPD rigen el tratamiento. Tal es el grado de
irregularidad que algunas de las acciones con las que EQUIFAX pretende cumplir las
obligaciones que le impone el respeto a los principios que presiden el tratamiento se
convierten en la práctica en una vulneración adicional de la normativa de protección de
datos.

Como primer punto hay que indicar que, como se ha puesto de manifiesto al examinar
otros principios, particularmente el de exactitud, los datos que EQUIFAX obtiene a
través de boletines y diarios oficiales que nutren el FIJ no son adecuados para la
finalidad que persigue el fichero, por lo que vulneran el principio de minimización de
datos. La razón fundamental es que no permiten una actualización de la información
referente a la solvencia del deudor. Se añade a lo expuesto que, en tanto la
publicación de los datos no incluye el domicilio del titular de los datos, la reclamada no
está en condiciones de poder cumplir la obligación de información prevista en el
artículo 14 RGPD.

Por otra parte, es preciso referirse a la Disposición Adicional 7ª de la LOPDGDD que,
bajo la rúbrica “Identificación de los interesados en las notificaciones por medio de
anuncios y publicaciones de actos administrativos.” establece:
“1. Cuando sea necesaria la publicación de un acto administrativo que contuviese
datos personales del afectado, se identificará al mismo mediante su nombre y
apellidos, añadiendo cuatro cifras numéricas aleatorias del documento nacional de
identidad, número de identidad de extranjero, pasaporte o documento equivalente.
Cuando la publicación se refiera a una pluralidad de afectados estas cifras aleatorias
deberán alternarse.
Cuando se trate de la notificación por medio de anuncios, particularmente en los
supuestos a los que se refiere el artículo 44 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, se identificará
al afectado exclusivamente mediante el número completo de su documento nacional
de identidad, número de identidad de extranjero, pasaporte o documento equivalente.
Cuando el afectado careciera de cualquiera de los documentos mencionados en los
dos párrafos anteriores, se identificará al afectado únicamente mediante su nombre y
apellidos. En ningún caso debe publicarse el nombre y apellidos de manera conjunta
con el número completo del documento nacional de identidad, número de identidad de
extranjero, pasaporte o documento equivalente.”

De conformidad con la disposición transcrita, en las publicaciones y notificaciones por
medio de anuncios previstas en los artículos 45 y 44 LPACP nunca se publicará el
domicilio de los interesados, ni conjuntamente el nombre y apellidos y el número
completo del documento de identidad. Además, tratándose de notificaciones de
anuncios del artículo 44 LPACAP, la identificación se hará por el número completo del
documento de identidad, prescindiendo de la referencia al nombre y apellidos salvo
que el titular carezca de ese dato, en cuyo caso se incluirá el nombre y apellidos. Y en
las publicaciones de actos administrativos que contengan datos personales se incluirá
el nombre y apellidos y cuatro cifras aleatorias del documento de identidad.

Esta disposición legal persigue minimizar el impacto causado en el derecho
fundamental a la protección de datos de los administrados derivado de la publicación
de sus datos en diarios o boletines oficiales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

163/184

EQUIFAX respondió a la pregunta realizada en fase de prueba relativa a los criterios
que utiliza el FIJ para organizar los datos personales que son objeto de tratamiento
con la finalidad de que sus titulares se encuentren debidamente identificados, (Hecho
probado sexto) en los términos siguientes:

a) Caso de que sólo se publique el NIF/NIE: entonces “se verifica si en la fecha de
publicación, el NIF/NIE en cuestión, se encuentra registrado en la información activa
del FIJ (excluyendo por tanto la que se encuentre bloqueada). En función del resultado
obtenido se llevan a cabo diferentes actuaciones:”
a´) Si el identificador ya está incluido en el FIJ asociado a un nombre y apellidos, se
registra en el FIJ la nueva información publicada.
a´´) Si ese identificador no está incluido en el FIJ, se descarta la grabación del registro.

b) En el caso de que se publique el nombre y apellidos y NIF/CIF incompleto: se
descarta la grabación del dato en el fichero FIJ
c) Supuestos en los que aparece publicado nombre + apellidos+ domicilio: Se procede
a la grabación del registro en el fichero FIJ, asociando ambos datos.
d) Supuestos en los que sólo aparezca publicado nombre + apellidos: En este
supuesto, se descarta la grabación del dato en el fichero FIJ.
(El subrayado es nuestro)

Así pues, pese a las limitaciones que representan para el tratamiento de los datos los
criterios fijados en la Disposición Adicional séptima de la LOPDGDD, la reclamada se
apoya en la información que consta activa en el FIJ en la fecha de publicación de la
información; combina ambas informaciones y procede a registrar en su fichero la
nueva información publicada siempre que el identificador -único dato que conforme a
la Disposición Adicional séptima de la LOPDGDD se puede hacer público- ya esté
incluido en el FIJ asociado a un nombre y apellido.

Estimamos que esta conducta invalida las medias previstas por el legislador para
proteger el derecho de los titulares de los datos que son publicados por razones de
interés público en boletines y diarios oficiales.

En el supuesto que nos ocupa queda acreditado que son numerosos los reclamantes
que, con posterioridad al 07/12/2018, fecha de entrada en vigor de la LOPDGDD,
tienen anotaciones en el FIJ. Lo que significa que, si bien la publicación de la
información no contenía sus nombres y apellidos sino exclusivamente el NIF,
EQUIFAX, actuando tal y como ha explicado, verificó que este identificador estaba
activo en su fichero y, además, asociado a un nombre y apellidos, y procedió a dar de
alta la anotación. En este sentido consta acreditado que se incluyeron en el FIJ, con
posterioridad al 07/12/2018, anotaciones vinculadas a los siguientes reclamantes que
en el citado fichero aparecen identificados por su nombre, dos apellidos y NIF: los
números 2,6,7,9,13,14,15,21,32,43,48,49,58,59,71,74,79,82,83 y 89.

3. En su escrito de alegaciones a la propuesta de resolución la reclamada manifiesta
que la exposición que hace la propuesta de resolución en relación sobre la infracción
del principio de minimización de datos que se le imputa no le permite discernir su
vinculación con el citado principio. Añade que “en ningún lugar de la Propuesta se
indica que la recogida de los datos referidos al nombre, apellidos, documento
identificativo, domicilio y características de la deuda contraída no resulten ajustados a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

164/184

la citada finalidad ni se lleva a cabo juicio o valoración de proporcionalidad alguna al
respecto.” Concluye que la citada infracción parece haberse incluido en la resolución
con “un mero ánimo de incrementar, [...] de un modo completamente artificioso el
reproche dirigido contra” EQUIFAX.

Indica que, el razonamiento de la AEPD en la propuesta de resolución conduce a que,
cuando se considerase que un determinado tratamiento incumple el principio de
limitación de la finalidad (lo que la reclamada niega) “se incumpliría asimismo el
principio de minimización, dado que se llevaría a cabo el tratamiento de más datos de
los legalmente exigibles a juicio de la Agencia. Este argumento, por definición
resultaría inadmisible, [...]”

Por último, añade que, como consecuencia de la entrada en vigor de la LOPDGDD,
“ha puesto en práctica medidas encaminadas a que el tratamiento de los datos resulte
ajustado a los principios de exactitud y minimización y que sólo se lleve a cabo el
tratamiento en caso de que quede garantizado el cumplimiento de tales principios, por
lo que no alcanza a comprender el efecto que la entrada en vigor de dicha disposición
puede generar en la supuesta vulneración del principio de minimización.”

4.A tenor de lo expuesto y de la documentación que obra en el expediente, estimamos
que la conducta de la reclamada vulnera el principio de minimización de datos previsto
en el artículo 5.1.c) RGPD.

La infracción del artículo 5.1.c) RGPD está tipificada en el artículo 83.5.a) RGPD que
establece:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; [...]”

Por otra parte, a efectos de prescripción, la LOPDGDD califica en su artículo 72.1.
como infracción muy grave “a) El tratamiento de datos personales vulnerando los
principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”.

IX
De la infracción de la obligación impuesta en el artículo 14 RGPD

1. El RGPD dedica el capítulo III a los derechos de los interesados (artículos 12 a 23).
El artículo 14, bajo la rúbrica “Información que deberá facilitarse cuando los datos
personales no se hayan obtenido del interesado” establece lo siguiente:

“1. Cuando los datos personales no se hayan obtenido del interesado, el responsable
del tratamiento le facilitará la siguiente información:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

165/184

c) los fines del tratamiento a que se destinan los datos personales, así como la base
jurídica del tratamiento;
d) las categorías de datos personales de que se trate;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un
destinatario en un tercer país u organización internacional y la existencia o ausencia
de una decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener una
copia de ellas o al hecho de que se hayan prestado.

2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado la siguiente información necesaria para garantizar
un tratamiento de datos leal y transparente respecto del interesado:
a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;
b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable del tratamiento o de un tercero;
c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el
consentimiento antes de su retirada;
e) el derecho a presentar una reclamación ante una autoridad de control;
f) la fuente de la que proceden los datos personales y, en su caso, si proceden de
fuentes de acceso público;
g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y
2:
a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más
tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que
se traten dichos datos;
b) si los datos personales han de utilizarse para comunicación con el interesado, a
más tardar en el momento de la primera comunicación a dicho interesado,o
c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en
que los datos personales sean comunicados por primera vez.

4.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos
personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al
interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y
cualquier otra información pertinente indicada en el apartado 2.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

166/184

5.Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida
en que:
a) el interesado ya disponga de la información;
b) la comunicación de dicha información resulte imposible o suponga un esfuerzo
desproporcionado, en particular para el tratamiento con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, a reserva de
las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en
que la obligación mencionada en el apartado 1 del presente artículo pueda
imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En
tales casos, el responsable adoptará medidas adecuadas para proteger los derechos,
libertades e intereses legítimos del interesado, inclusive haciendo pública la
información;
c) la obtención o la comunicación esté expresamente establecida por el Derecho de la
Unión o de los Estados miembros que se aplique al responsable del tratamiento y que
establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la
base de una obligación de secreto profesional regulada por el Derecho de la Unión o
de los Estados miembros, incluida una obligación de secreto de naturaleza
estatutaria.”

El Considerando 39 se refiere también al derecho de los interesados a ser informados
del tratamiento de sus datos, en los términos siguientes:
“[...]Para las personas físicas debe quedar totalmente claro que se están recogiendo,
utilizando, consultando o tratando de otra manera datos personales que les
conciernen, así como la medida en que dichos datos son o serán tratados. El principio
de transparencia exige que toda información y comunicación relativa al tratamiento de
dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje
sencillo y claro. Dicho principio se refiere en particular a la información de los
interesados sobre la identidad del responsable del tratamiento y los fines del mismo y
a la información añadida para garantizar un tratamiento leal y transparente con
respecto a las personas físicas afectadas y a su derecho a obtener confirmación y
comunicación de los datos personales que les conciernan que sean objeto de
tratamiento. [...]”

Desde la fecha de aplicación efectiva del RGPD (25/05/2018) la reclamada estaba
obligada a informar, en los términos del artículo 14 RGPD, a todos los interesados
cuyos datos personales estuvieran siendo objeto de tratamiento a través del FIJ en
ese momento. Esto, porque el nuevo régimen en materia de transparencia introducido
por el RGPD afectaba a todos los tratamientos que se mantuvieran en esa fecha, con
independencia de cuál fuera el régimen vigente cuando los datos se recogieron, ya lo
estableciera una norma o el criterio de la Sala de lo Contencioso Administrativo de la
Audiencia Nacional.

Obligación, por otra parte, era perfectamente conocida por todos los responsables de
tratamientos que durante los dos años previos a la aplicación efectiva del RGPD
estuvieron preparando la adecuación a la nueva legislación de los tratamientos de
datos personales que realizaban.

Parece obvio que EQUIFAX no cumplió la obligación que le impone el artículo 14
RGPD de notificar a los titulares de los datos que en esa fecha constaban en el FIJ.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

167/184

Basta para ello comparar las cifras proporcionadas: en 2018 las personas cuyos datos
eran objeto de tratamiento por el FIJ superaban los cuatro millones y, sin embargo, el
número de notificaciones efectuadas ese año no llega a trescientas cuarenta mil. En
tal sentido, se aprecia ya una infracción del artículo 14 RGPD en relación con el
artículo 5.1.a) RGPD.

Por otra parte, no cabe duda de que EQUIFAX está obligada informar a los
interesados en los términos del artículo 14 RGPD cada vez que incorpore al FIJ sus
datos personales.

Al hilo de esta obligación debemos reiterar lo que ya se expuso a propósito de la
vulneración de otras disposiciones del RGPD. En la conducta analizada partimos de
un tratamiento ilícito de datos personales, por cuanto se recogen datos que fueron
tratados inicialmente con una finalidad que es incompatible con la finalidad que
persigue el tratamiento ulterior, esto es, el FIJ, lo que condiciona, como no podía ser
de otro modo, el cumplimiento de las obligaciones que el RGPD impone al
responsable del tratamiento hasta el punto de que éstas resultan de imposible
cumplimiento si no es infringiendo para ello otras disposiciones del RGPD.

Como ha reconocido reiteradamente EQUIFAX, la información que el FIJ recaba
procede básicamente de los diarios y boletines oficiales. Ya se ha indicado que, a raíz
de la entrada en vigor de la LOPDGDD y la aplicación de la Disposición Adicional 7ª,
no se incluirá el dato del domicilio de los administrados cuyos datos personales son
objeto de publicación a tenor de los artículos 44 y 45 LPACAP.

Resulta, por tanto, que teniendo EQUIFAX la obligación de informar a los interesados
cuyos datos se incluyan en el fichero carece por completo de la posibilidad de cumplir
respecto a las nuevas altas tal obligación, en la medida de que los anuncios
publicados no le facilitarán el dato del domicilio que le permita informarle en los
términos que indica el artículo 14 RGPD. Circunstancia que, evidentemente no es
óbice para que se aprecie la infracción del artículo 14 RGPD, particularmente respecto
a las anotaciones que en la fecha de entrada en vigor del RGPD ya constaban en el
FIJ, sino para poner de manifiesto, una vez más, la absoluta irregularidad del FIJ.

2. EQUIFAX ha manifestado en sus alegaciones al acuerdo de inicio que “viene
realizando a los titulares cuyos datos han sido recogidos desde el 25 de mayo de
2018, una notificación específica de su inclusión en el FIJ, como medida para
garantizar la actualización de los datos. Dichas comunicaciones permiten a los
interesados, de una manera gratuita y sencilla, comprobar si efectivamente los datos
que han sido publicados por los diferentes boletines oficiales y que han sido recogidos
por mi representada contienen algún error.”

Tal y como se ha señalado, la notificación que anuncia no será posible, al menos con
la sola información que ofrecen los diarios y boletines en los que los datos se publican.

A propósito de esta nueva medida que la reclamada nos anuncia, debemos aclarar
que no estamos ante una actuación proactiva de la entidad, tal y como ella ha
declarado, sino ante una obligación impuesta por el RGPD. Por otra parte, se reitera lo
ya indicado acerca de la imposibilidad de practicar esa notificación informativa al
interesado al carecer del dato del domicilio y que el intento de vincular el número
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

168/184

identificativo de un interesado que se publica en un diario oficial con la información que
consta recogida en el FIJ, por lo que aquí interesa el dato del domicilio, constituye a su
vez una infracción del principio de minimización de datos.

Por último, no puede obviarse el comentario reiterado de la entidad sobre la
inexistencia de una obligación de informar al titular de los datos objeto de tratamiento
tal y como establecía el artículo 5 de la LOPD. La reclamada ha afirmado que existía
un refrendo expreso de la Audiencia Nacional acerca de que no resultaba exigible el
cumplimiento de tal obligación por estar comprendida su actuación en el régimen del
artículo 29.1 LOPD y ha citado a tal fin las SSAN de 29/06/2001(Rec.1012/1999);
29/11/2001 (Rec.531/2000) y de 27/02/2008 (Rec. 358/2006) Sin embargo, las citadas
sentencias parecen evidenciar que el régimen al que se refiere está conectado con el
criterio imperante en esa época de que un tratamiento de datos que se hubieran
obtenido de las fuentes públicas definidas por el artículo 3.j LOPD resultaba lícito
conforme al artículo 6.2 LOPD. Por ello, entendemos, que tras la publicación de las
sentencias tantas veces citadas del TJUE y del T.S. no había razón para que EQUIFAX
no cumpliera la obligación que establecía el artículo 5 LOPD.

3. En sus alegaciones a la propuesta de resolución, a propósito de esta infracción, la
reclamada analiza tres escenarios distintos.
(i) El régimen anterior a la entrada en vigor de la LOPDGDD, en el que, afirma, se le
dispensaba de la obligación de informar a los interesados del tratamiento de sus datos
personales que llevaba a cabo en el FIJ como lo confirmó una “reiteradísima
jurisprudencia” que determinó que a partir de la SAN de 27/02/2008 la AEPD no
dictara ninguna resolución sancionadora por incumplimiento de la obligación de
notificar.
(ii) El régimen existente durante la vigencia de la LOPD, a partir de la fecha en que se
dicta la sentencia del TJUE de 24/11/2011. Considera que la situación era idéntica a la
anterior y que ha sido la propuesta de resolución la que “crea ex novo” una línea
argumental que entiende que el criterio anterior fue modificado a partir de la referida
STJUE. A juicio de la reclamada la propuesta elimina “la posibilidad de fundar la base
jurídica del FIJ en la previsión del artículo 29.1 LOPD”. Por ello, precisa que la
exclusión del deber de informar no derivaba de la naturaleza de las fuentes de las que
obtuvo la información, sino del artículo 29.1, en relación con el 29.4 y en relación con
el artículo 5.5. LOPD.
(iii) El sistema posterior a la aplicación efectiva del RGPD, en el que EQUIFAX ha
considerado “necesario dar cumplimiento al deber de informar”. Tras lo cual, añade
que, “pese a que podía haber considerado que las causas que le exoneraban de dicha
obligación al amparo de la LOPD que, no se olvide, siguió vigente hasta el 7 de
diciembre de 2018, le seguían amparando.” Este compromiso asumido a raíz de la
aplicación efectiva del RGPD se ha materializado en la “notificación a todos los
interesados de la inclusión de sus datos en el FIJ”, lo que constituye un “compromiso
adicional de la entidad con la garantía del derecho a la protección de datos”.
Afirma la reclamada que la propuesta considera que “este deber de información no se
ha cumplido respecto de los datos incluidos en el FIJ con anterioridad a la entrada en
vigor de la LOPDGDD, es decir, cuando existía una norma que excluía el deber de
información.” Manifiesta también que tras la entrada en vigor de la LOPDGDD se
podrían distinguir “dos tipos de datos”: (i) Los introducidos con anterioridad a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

169/184

entrada en vigor del RGPD, respecto a los que dice que “[...] el principio de
minimización y la interpretación citada del artículo 11 excluían la posibilidad de obtener
información adicional con el solo amparo de dar cumplimiento al deber de informar”. A
propósito del artículo 11 RGPD señala que cabe interpretar por analogía, en lo que
afecta al tratamiento de datos adicionales a los exigidos para el cumplimiento de la
finalidad del tratamiento, lo dispuesto en ese precepto, según el cual “[s]i los fines para
los cuales un responsable trata datos personales no requieren o ya no requieren la
identificación de un interesado por el responsable, este no estará obligado a mantener,
obtener o tratar información adicional con vistas a identificar al interesado con la única
finalidad de cumplir el presente Reglamento”. Considera por ello que cabría concluir
que, si los fines del tratamiento no justifican el tratamiento de datos adicionales, no
podría escudarse en el cumplimiento del RGPD para recabar tales datos.
(ii) Los incorporados al FIJ con posterioridad a dicha entrada en vigor, respecto de los
que Equifax optó, frente a las restantes entidades del sector, por dar cumplimiento al
artículo 14, procediendo a notificar a todos los interesados la incorporación de sus
datos al FIJ.

Concluye la entidad que ha cumplido plenamente el deber de información respecto de
todos aquellos tratamientos realizados desde la entrada en vigor del RGPD, pues,
“Bajo la normativa anterior (LOPD) estaba exenta del cumplimiento de esa obligación.”
y tras “la entrada en vigor del RGPD, resultaba aplicable a estos tratamientos lo
dispuesto en el artículo 14.5 a) del RGPD, al ser la información imposible o exigir
esfuerzos desproporcionados, algo que reconoce explícitamente la propia Propuesta.”

Afirma la reclamada que la propuesta considera que “este deber de información no se
ha cumplido respecto de los datos incluidos en el FIJ con anterioridad a la entrada en
vigor de la LOPDGDD, es decir, cuando existía una norma que excluía el deber de
información.” Sin embargo, lo que dice la propuesta es que una vez que entró en vigor
el RGPD, debería cumplirse la obligación impuesta por el artículo 14 RGPD en
relación con los datos incluidos en el FIJ con anterioridad, cuyo tratamiento se
mantenía. Olvida la reclamada que el RGPD, una vez que es de aplicación efectiva,
resulta aplicable en su integridad y que, por tanto, EQUIFAX tenía la obligación desde
esa fecha de informar en los términos del artículo 14 RGPD a los titulares de los datos
cuyo tratamiento continuaba realizando a través del FIJ, por más que los datos se
hubieran incluido en el fichero bajo la vigencia de otras normas. Debe recordarse,
además, que la conducta a la que se alude como constitutiva de una infracción del
principio de minimización de datos es la que la entidad dice efectuar, a raíz de la
entrada en vigor de la LOPDGDD, toda vez que a tenor de la disposición adicional
séptima los anuncios de notificaciones no incluyen el dato del domicilio: un cruce de
datos entre la información que ya obra en el FIJ, en la que, como se infiere de lo
manifestado, sí figura el dato del domicilio, con la que se publica en los anuncios
insertados en boletines y diarios oficiales.

Por tanto, frente a lo que aduce EQUIFAX, no estaba exenta de la obligación de
notificar a los titulares de los datos que continuaban en el FIJ a la fecha de aplicación
del RGPD. No cabe tampoco dispensarle de cumplir esa obligación sobre la base de
aplicar el artículo 11 RGPD ni con el pretexto de evitar incumplir el principio de
minimización de datos, pues respecto a los datos ya incluidos en el FIJ no se practica
ningún cruce de datos. Y el incumplimiento es patente. Basta para ello comparar el
número de personas que figuraban incluidas en el FIJ en la fecha de aplicación del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

170/184

RGPD y el número de notificaciones que en ese año y en los sucesivos practicó
EQUIFAX.

4. El artículo 14 RGPD impone a la reclamada una obligación de informar a los
interesados cuando los datos tratados no se hubieran recogidos de ellos, que es
consecuencia del principio de transparencia que preside el tratamiento de datos
personales conforme al artículo 5.1.a) RGPD.

Constituye un hecho probado que EQUIFAX no notificó a los interesados cuyos datos
venía tratando a través del FIJ a raíz de la aplicación efectiva del RGPD, el
25/05/2018, esto, pese a que los interesados nunca fueron informados del tratamiento
al que se sometían sus datos personales al amparo de una interpretación de la LOPD
que la Audiencia Nacional había hecho antes de las sentencias del TJUE de
24/11/2011 y del T.S. de 25/02/2012.

Por lo que respecta a los reclamantes, se constata, como ya se ha indicado, que
existen numerosas inclusiones posteriores a la fecha de entrada en vigor de la
LOPDGDD. Se trata en todos los casos de interesados de los que existían inclusiones
previas en el FIJ. Sin embargo, no de todos ellos consta en el FIJ, entre los datos que
les conciernen, el dato del domicilio.

4. A tenor de lo expuesto y de la documentación que obra en el expediente, estimamos
que la conducta de la reclamada vulnera la obligación que le impone el artículo 14
RGPD, en relación con el artículo 5.1.a) RGPD.

La infracción del artículo 14 RGPD está tipificada en el artículo 83.5 RGPD que
establece:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) [...]
b) los derechos de los interesados a tenor de los artículos 12 a 22;”

A efectos de prescripción, la LOPDGDD califica en su artículo 72.1. como infracción
muy grave “h) La omisión del deber de informar al afectado acerca del tratamiento de
sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
(UE) 2016/679 y 12 de esta ley orgánica”.

X

La reclamada puso de manifiesto en su escrito de alegaciones la inexistente
vinculación entre las reclamaciones formuladas por los reclamantes y el objeto del
procedimiento sancionador dirigido contra ella. Incide en ese sentido en que las
reclamaciones formuladas versan exclusivamente sobre el ejercicio de los derechos
que el RGPD reconoce en los artículos 16 a 22 y que a mayor abundamiento esa
entidad atendió, en gran parte de los supuestos la petición formulada por los
afectados. Considera por ello que este extremo, la inexistente vinculación entre las

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

171/184

reclamaciones formuladas y el expresado objeto del procedimiento, obligaría al archivo
del procedimiento.

Al margen de que en algunas de las reclamaciones los reclamantes se refieren
expresamente a que la inclusión de sus datos en el FIJ (caso de los reclamantes 35,
39, 46 o 55) esta alegación debe ser desestimada, por cuanto los hechos puestos de
manifiesto en las reclamaciones están estrechamente vinculados con el objeto del
procedimiento. Además, del examen de dichas reclamaciones, resulta que la actuación
de la entidad responsable trasciende de las reclamaciones presentadas.

El RGPD ha establecido un régimen propio y específico respecto de los
procedimientos ante las autoridades de control en materia de protección de datos. El
Capítulo VIII del RGPD lleva por título “Recursos, responsabilidad y sanciones”, y el
primero de los artículos de dicho Capítulo VIII, el artículo 77, establece el derecho a
presentar una reclamación ante una autoridad de control. Art. 77.1: “Sin perjuicio de
cualquier otro recurso administrativo o acción judicial, todo interesado tendrá derecho
a presentar una reclamación ante una autoridad de control, en particular en el Estado
miembro en el que tenga su residencia habitual, lugar de trabajo o lugar de la
supuesta infracción, si considera que el tratamiento de datos personales que le
conciernen infringe el presente Reglamento.” A su vez, el art. 79 RGPD establece que
“[s]in perjuicio de los recursos administrativos o extrajudiciales disponibles, incluido el
derecho a presentar una reclamación ante una autoridad de control en virtud del
artículo 77, todo interesado tendrá derecho a la tutela judicial efectiva cuando
considere que sus derechos en virtud del presente Reglamento han sido vulnerados
como consecuencia de un tratamiento de sus datos personales.”

Vemos por lo tanto que una “reclamación” de un particular puede dar lugar a dos tipos
de procedimientos, uno de ellos relativo a infracciones del RGPD, con carácter
general, y otro por vulneración de sus derechos.

En la LOPDGDD dicha distinción se ha plasmado en el Título VIII, que regula
conjuntamente los procedimientos en caso de posible vulneración de la normativa de
protección de datos. Así, su art. 63.1, Régimen jurídico, incluye (a) los procedimientos
en caso de infracción del RGPD y la propia LOPDGDD y (b) los derivados de una
posible vulneración de los derechos de los interesados. No prevé la LOPDGDD ningún
tipo adicional de procedimiento en caso de posible vulneración de la normativa de
protección de datos, de manera que todas las funciones y poderes que el RGPD
otorga a las autoridades de control en los arts. 57 y 58 RGPD habrán de ejercitarse a
través de dichos procedimientos en caso de posible vulneración de la normativa de
protección de datos. No existen otros.

De ello se desprende, teniendo en cuenta igualmente el art. 64 LOPDGDD, que
cuando el procedimiento se dirija exclusivamente a la falta de atención de una solicitud
de los derechos los artículos 15 a 22 RGPD será necesaria una reclamación, pero que
(art. 64.2 LOPDGDD) [c]uando el procedimiento tenga por objeto la determinación de
la posible existencia de una infracción de lo dispuesto en el Reglamento (UE)
2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio
adoptado por propia iniciativa o como consecuencia de reclamación. Es decir, tanto el
RGPD como la LOPDGDD consideran que una reclamación de un afectado puede ser
la vía o el medio de llevar a conocimiento de la autoridad de control una posible
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

172/184

infracción de la normativa de protección de datos, pero en ningún caso restringe la
actuación de la autoridad de control a la específica y concreta queja de los afectados.
Y ello por mucha razones, entre las que destaca, como puede ser el caso en el
presente procedimiento, que de la confluencia de varias reclamaciones de personas
individuales afectadas se ponga de manifiesto una actuación del responsable que con
carácter general (esto es, no sólo en los casos concretos presentados por los
reclamantes) de la que resulte que dichos casos concretos son el reflejo de una pauta
o política común aplicada a todas aquellas personas afectadas que estén en el mismo
caso que los interesados.

Lo contrario sería inconsistente con la finalidad y la voluntad del legislador comunitario,
plasmada expresamente en el RGPD de que las autoridades de control controlen y
hagan aplicar el RGPD, y con lo previsto en el RGPD de que puedan ponerse de
manifiesto “infracciones” de la normativa de protección de datos a través de
“reclamaciones” que pueden trascender de las propias reclamaciones individuales
formuladas.

En consecuencia, la AEPD, ha decidido analizar la repercusión de los tratamientos que
se realizan, resultando que las deficiencias advertidas respecto de la normativa de
protección de datos tienen un alcance general, de modo que se ven afectados todos
los titulares de los datos personales registrados en el mismo, y no sólo los
reclamantes, de lo que resultaría, conforme se ha expuesto, que la infracción no se
produce exclusivamente respecto de éstos, sino con carácter general.

No puede decirse, por tanto, que no existe vinculación entre el objeto del
procedimiento y las reclamaciones.

En cualquier caso, ninguna norma impide que el órgano que ejerce la potestad
sancionadora, cuando determina la apertura de un procedimiento sancionador,
siempre de oficio (art. 63.1 ley 39/2015, de 1 de octubre), determine su alcance
conforme a las circunstancias puestas de manifiesto, aunque las mismas no se ajusten
estrictamente a las manifestaciones y pretensiones del denunciante. Es decir, el
acuerdo de inicio del procedimiento sancionador no está constreñido por la denuncia
(la “reclamación”) presentada por el particular. No ocurre así en el caso de
procedimientos tramitados a solicitud del interesado, en los que el artículo 88.2 de la
LPACAP exige que la resolución sea congruente con las peticiones formuladas por
éste. Incluso, en este caso, queda a salvo la potestad de la Administración de incoar
de oficio un nuevo procedimiento.

Este mismo artículo 88 de la LPACAP, referido al contenido de la resolución, en su
apartado 1 establece la obligación de decidir todas las cuestiones planteadas por los
interesados y aquellas otras que deriven del procedimiento, incluidas cuestiones
conexas no planteadas por los interesados. Este artículo establece expresamente lo
siguiente:

“1. La resolución que ponga fin al procedimiento decidirá todas las cuestiones
planteadas por los interesados y aquellas otras derivadas del mismo.
Cuando se trate de cuestiones conexas que no hubieran sido planteadas por los
interesados, el órgano competente podrá pronunciarse sobre las mismas, poniéndolo
antes de manifiesto a aquéllos por un plazo no superior a quince días, para que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

173/184

formulen las alegaciones que estimen pertinentes y aporten, en su caso, los medios
de prueba”.

En el procedimiento sancionador, incluso, se tendrán en cuenta los hechos que se
pongan de manifiesto durante su instrucción, los cuales se determinarán en la
propuesta de resolución, y podrán motivar la modificación de las imputaciones
contenidas en el acuerdo de inicio del procedimiento o su calificación jurídica.

En este sentido, al referirse a las especialidades de la resolución en los
procedimientos sancionadores, el artículo 90 de la LPACAP establece:

“2. En la resolución no se podrán aceptar hechos distintos de los determinados en el
curso del procedimiento, con independencia de su diferente valoración jurídica…”.

XI
Del concurso medial de infracciones

El artículo 29.5 de la Ley 40/2015, de 1 de octubre, del Régimen Jurídico del Sector
Público (LRSP) dispone:
“Cuando la comisión de una infracción derive necesariamente de la comisión de otra u
otras, se deberá imponer únicamente la sanción correspondiente a la infracción más
grave cometida”.

A juicio de esta Agencia, tal y como se expone en los Fundamentos precedentes, la
conducta de EQUIFAX en relación con el tratamiento de datos que efectúa a través del
FIJ, constituye una infracción de los artículos 5.1.b) RGPD; 6.1, en relación con el
artículo 5.1.a RGPD; 5.1.d) RGPD; 5.1.c) RGPD y 14 del RGPD.

El supuesto analizado ofrece perfiles inusuales. Partiendo de una infracción inicial del
RGPD, la vulneración del principio de limitación de la finalidad previsto en el artículo
5.1.b) RGPD, las conductas en las que se materializan las restantes infracciones del
Reglamento de las que se responsabiliza a la entidad se presentan como una
necesaria consecuencia de la primera, sin duda la infracción de mayor gravedad.

Si bien las cinco infracciones imputadas a EQUIFAX son infracciones muy graves con
arreglo a la LOPDGDD y todas ellas están tipificadas en el artículo 83.5. del RGPD, la
infracción más grave cometida es la vulneración del principio de limitación de la
finalidad en la medida que ha conducido, en este supuesto específico, a la luz de las
particulares características que revisten los hechos analizados, a que la reclamada
incurra en las restantes cuatro infracciones del RGPD de las que se le responsabiliza.

Tomando en consideración la conexión existente entre las cinco infracciones del
RGPD cometidas por EQUIFAX en relación con el FIJ y la extraordinaria singularidad
del caso, en el que la infracción más grave, la vulneración del principio de limitación de
la finalidad previsto en el artículo 5.1.b), conlleva la comisión de las restantes cuatro
infracciones, esta Agencia considera que en el específico caso que nos ocupa,
atendiendo a las particularidades que reviste, existe un concurso medial entre la
infracción del artículo 5.1.b) RGPD, por una parte, y las infracciones de los artículos
6.1, en relación con el 5.1.a; 5.1.d), 5.1.c) y 14 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

174/184

XII
De las sanciones y medidas correctivas impuestas a la reclamada

1. Los poderes que el RGPD atribuye a las autoridades de control se detallan en el
artículo 58 cuyo apartado 2 se refiere, en particular, a los denominados poderes
“correctivos”. El precepto establece:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(...)
f) imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
g) ordenar la rectificación o supresión de datos personales o la limitación del
tratamiento con arreglo a los artículos 16, 17 y18 y la notificación de dichas medidas a
los destinatarios a quienes se hayan comunicado datos personales con arreglo al
artículo 17, apartado 2, y al artículo 19;
(...)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;
(...)”

2. La reclamada manifestó en sus alegaciones al acuerdo de inicio su total desacuerdo
con las medidas correctivas y las multas que constaban en el acuerdo de apertura del
expediente indicando que la imposición de una sanción en la cuantía fijada en el citado
acuerdo implicaría que la empresa saliera del mercado “en beneficio de otras
empresas competidoras que manejan la misma información”. Llama la atención sobre
el hecho de que la AEPD haya decidido “adoptar las medidas de mayor gravedad
previstas en la normativa de protección de datos” cuando el RGPD ofrece a las
autoridades de control una amplia gama de medidas correctoras (artículo 58) y que el
artículo 83 RGPD prevé expresamente, ante un incumplimiento normativo, la
posibilidad de no imponer una multa administrativa y sancionar con alguna otra las
medidas correctivas del artículo 58 RGPD.

En sus alegaciones a la propuesta de resolución incide nuevamente en el carácter
desproporcionado de las multas administrativas propuesta y solicita que se aprecien
las siguientes atenuantes que reflejan una cualificada reducción de su culpabilidad en
el tratamiento de sus datos en el FIJ:
Que viene implantando, desde la aprobación del RGPD y la LOPDGDD, distintas
medidas encaminadas a minimizar aún más el impacto que el tratamiento de los datos
llevado a cabo por el FIJ pudiera producir en la esfera privada de los interesados. Que
jamás ha recibido sanción alguna de esta AEPD en relación con el tratamiento llevado
a cabo por el FIJ. Que Equifax ha atendido reiteradamente cualquier requerimiento o
solicitud de información relacionada con el FIJ y la falta de negligencia o culpabilidad,
tal y como se ha indicado en el apartado 3 de esta alegación (artículo 83.2 b) del
RGPD).

Circunstancias que deben rechazarse.

3. En el presente caso, se estima conveniente, atendidas las circunstancias que
concurren, imponer a la reclamada las medidas correctivas descritas en los apartados

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

175/184

f) y g) del artículo 58.2 RGPD. Ello, sin perjuicio de las multas administrativas previstas
en la letra i) del precepto, de conformidad con la previsión del artículo 83.5 RGPD.

Como precisa el Considerando 129 del RGPD, “En particular, toda medida debe ser
adecuada, necesaria y proporcionada con vistas a garantizar el cumplimiento del
presente Reglamento, teniendo en cuenta las circunstancias de cada caso concreto...”

Sobre las razones que justifican la adopción de estas medidas debemos señalar que,
como ha quedado acreditado en la resolución, EQUIFAX incorpora al fichero FIJ, a
través del cual persigue, primordialmente, una finalidad vinculada a la evaluación de la
solvencia de las personas físicas, información con datos personales de los
administrados que obtiene de anuncios de notificación y de publicaciones de actos
administrativos que son objeto de publicación en boletines y diarios oficiales para
cumplir un fin relacionado con el interés público. La finalidad perseguida por el FIJ es
distinta e incompatible con la que justifica el tratamiento realizado por las
Administraciones Públicas, de forma que cualquier tratamiento ulterior de los datos con
la finalidad que persigue el FIJ vulnera el RGPD. El tratamiento de datos que el FIJ
efectúa vulnera el principio de limitación de la finalidad (artículo 5.1.b, RGPD). A partir
de aquí, incurre en una infracción del principio de licitud (artículo 6.1 en relación con el
5.1.a). Se añade a lo expuesto que, estando destinada la información que figura en el
FIJ a informar sobre la solvencia, la reclamada no dispone de mecanismos para
actualizar y mantener al día esa información ni para identificar indubitadamente a los
supuestos deudores. Para llevar a cabo este tratamiento el FIJ vulnera otros principios
del RGPD que está obligado a respetar, tales como el de exactitud y minimización de
datos (artículos 5.1.d, y 5.1.c) y, el responsable del tratamiento no está en condiciones
(por no disponer de la información relativa al domicilio de todos los titulares cuyos
datos son objeto de tratamiento) de cumplir obligaciones que constituyen un derecho
esencial de los afectados para garantizar la transparencia del tratamiento (artículo 14
RGPD).

Estas infracciones del RGPD responden al modus operandi del FIJ y no son
vulneraciones puntuales de la normativa vigente relacionadas exclusivamente con los
reclamantes de este expediente.

La mecánica de funcionamiento del fichero es incompatible con el respeto al RGPD.
Son estas las razones que aconsejan adoptar las únicas medidas que pueden
garantizar el cumplimiento de la normativa reguladora del derecho fundamental que
esta Agencia debe tutelar y restituir a todas las personas físicas que estén sufriendo el
tratamiento ilícito de sus datos personales a través del FIJ en la plena disposición del
derecho fundamental que la Constitución reconoce en el artículo 18.4.

Por ello, de conformidad con el artículo 58.2 RGPD, se acuerda adoptar las siguientes
medidas correctivas:

(i) A tenor de su apartado f) prohibir con carácter definitivo a EQUIFAX que
continúe con el tratamiento de datos personales que lleva a cabo a través
del FIJ, habida cuenta de que el tratamiento resulta incompatible con el
cumplimiento del RGPD.
(ii) A tenor de su apartado g) ordenar a la responsable del FIJ que proceda a
la supresión de todos los datos personales que son objeto de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

176/184

en el referido fichero vinculados a presuntas deudas, de conformidad con lo
previsto en el artículo 17.1.d) del RGPD.

La medida correctiva consistente en prohibir con carácter definitivo que EQUIFAX siga
llevando a cabo el tratamiento de datos que realiza por medio del FIJ es proporcionada
a la situación de incumplimiento de la normativa vigente y además necesaria. También
resulta necesaria la supresión de todos los datos personales de los afectados pues
siendo el tratamiento realizado ilícito sólo así puede restituirse a las personas
afectadas por ese tratamiento en el disfrute de su derecho fundamental.

4. Multas administrativas.

A fin de determinar el importe de las multas administrativa que es procedente imponer
por cada una de las infracciones del RGPD de las que se responsabiliza a EQUIFAX,
se debe estar a las disposiciones de los articulo 83.1 y 83.2 del RGPD que establecen,
respectivamente:
“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”

“Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

177/184

Con relación al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
Las infracciones del RGPD de las que se responsabiliza a EQUIFAX en este acuerdo
de inicio están tipificadas en el artículo 83.5., precepto que fija el importe máximo de la
sanción a imponer en 20.000.000 de euros o, tratándose de una empresa, de una
cuantía equivalente al 4%, como máximo, del volumen de negocio total anual global
del ejercicio financiero anterior, optándose por la de mayor cuantía.”

Determinación de las circunstancias modificativas de la responsabilidad:

4.1. Infracción del artículo 5.1.b) RGPD:
Se aprecia la concurrencia en calidad de agravantes de los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la reclamada.

1.-La circunstancia descrita en el artículo 83.2.a) RGPD, que valora la gravedad de la
infracción teniendo en cuenta el “alcance o propósito” de la operación de tratamiento.
No estamos ante una conducta infractora aislada o fruto de una irregularidad puntual.
Se trata de un modus operandi articulado perfectamente al margen de la ley que
aprovechando las publicaciones oficiales que contienen datos personales busca
obtener un beneficio económico prestando un servicio a terceros relacionado con la
información sobre la solvencia de los afectados. El alcance de esta operación de
tratamiento trasciende a los reclamantes afectados y se extiende a todas las personas
cuyos datos se hubieran incluido en publicaciones oficiales en el pasado o que puedan
ser incluidos en el futuro. Estamos ante un negocio estructurado sobre el
incumplimiento de la normativa que garantiza el derecho fundamental reconocido en el
artículo 18.4 de la C.E. Por otra parte, los datos de los afectados están llamados a
comunicarse a terceros, pese a que su tratamiento vulnere claramente el RGPD. El
alcance de los perjuicios que pueden derivarse de este tratamiento es impredecible.
2.-La circunstancia descrita en el artículo 83.2.b) RGPD que valora “la intencionalidad
o negligencia de la infracción”. La reclamada no ha ignorado que su conducta entraña
una vulneración del RGPD. Estamos ante una muy grave falta de diligencia de
EQUIFAX que, pese a tener conciencia en todo momento de que su actuación

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

178/184

vulneraba un derecho fundamental de las personas afectadas ha mantenido el
tratamiento de datos que lleva a cabo a través del FIJ.
3.- La circunstancia descrita en el artículo 83.2.a) RGPD referente al número de
interesados afectados. Las reclamaciones que han dado lugar a la apertura de este
expediente sancionador afectan a 96 personas. No obstante, no puede ignorarse el
desmedido número de personas potencialmente afectadas por la actuación de
EQUIFAX que vulnera el RGPD, a tenor de la información facilitada supera los cuatro
millones de afectados.
4.- La circunstancia descrita en el artículo 83.2.a) RGPD referente a los perjuicios
sufridos por los afectados. Se valora a tal efecto que, con arreglo a la doctrina sentada
por la A.N., Sala de lo Contencioso Administrativo, la inclusión de una persona en un
fichero de solvencia patrimonial tiene unas evidentes consecuencias adversas para los
afectados.
5.- La circunstancia descrita en el artículo 76.2.b) LOPDGDD en relación con el
artículo 83.2.k) RGPD: La total y absoluta vinculación entre la actividad empresarial
que EQUIFAX desarrolla a través del FIJ y el tratamiento de datos personales.
6.- La circunstancia descrita en el artículo 76.2.c) LOPDGDD en relación con el
artículo 83.2.k) RGPD. Los beneficios obtenidos como consecuencia de la comisión de
la infracción.
En atención a las circunstancias que concurren se estima que el importe de la multa
administrativa que procede imponer por la infracción del artículo 5.1.b) RGPD es de un
millón de euros (1.000.000 €).
Asimismo, se impondrá, a tenor del artículo 58.2.f) del RGPD, la prohibición de que
continúe el tratamiento de los datos personales que realiza a través del Fichero de
Reclamaciones Judiciales y organismos Públicos (FIJ) del que es titular.
A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que son objeto de tratamiento a través del FIJ asociados a presuntas
deudas y que fueron obtenidos por la reclamada de la publicación de anuncios de
notificación insertados en el Tablón Edictal Único del Boletín Oficial del Estado, de
boletines y diarios oficiales o de las sedes electrónicas de organismos y entidades de
Derecho Público

4.2. Infracción del artículo 6.1, en relación con el 5.1.a) RGPD:

Se aprecia la concurrencia, en calidad de agravantes, de los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la reclamada en
los términos que se detallan para la infracción del artículo 5.1.b) RGPD.

1.-La circunstancia descrita en el artículo 83.2.a) RGPD.
2.-La circunstancia descrita en el artículo 83.2.b) RGPD.
3.- La circunstancia descrita en el artículo 83.2.a) RGPD referente al número de
interesados afectados.
4.- La circunstancia descrita en el artículo 83.2.a) RGPD referente a los perjuicios
sufridos por los afectados.
5.- La circunstancia descrita en el artículo 76.2.b) LOPDGDD en relación con el
artículo 83.2.k) RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

179/184

6.- La circunstancia descrita en el artículo 76.2.c) LOPDGDD en relación con el
artículo 83.2.k) RGPD. Los beneficios obtenidos.
En atención a las circunstancias que concurren, valoradas detenidamente, se estima
que, a diferencia de lo previsto en la propuesta de resolución, el importe de la multa
administrativa que procede imponer por la infracción del artículo 6.1, en relación con el
5.1.a) RGPD es de un millón de euros (1.000.000 €).

Asimismo, se impondrá a tenor del artículo 58.2.f) del RGPD, la prohibición de que
continúe el tratamiento de los datos personales que realiza a través del Fichero de
Reclamaciones Judiciales y organismos Públicos (FIJ) del que es titular.
A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que son objeto de tratamiento a través del FIJ asociados a presuntas
deudas y que fueron obtenidos por la reclamada de la publicación de anuncios de
notificación insertados en el Tablón Edictal Único del Boletín Oficial del Estado, de
boletines y diarios oficiales o de las sedes electrónicas de organismos y entidades de
Derecho Público.

4.3. Infracción del artículo 5.1.d) RGPD:

Se aprecia la concurrencia, en calidad de agravantes, de los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la reclamada,
todos ellos en los términos que se detallan para la infracción del artículo 5.1.b) RGPD.
1.-La circunstancia descrita en el artículo 83.2.a) RGPD.
2.-La circunstancia descrita en el artículo 83.2.b) RGPD.
3.- La circunstancia descrita en el artículo 83.2.a) RGPD referente al número de
interesados afectados.
4.- La circunstancia descrita en el artículo 83.2.a) RGPD referente a los perjuicios
sufridos por los afectados.
5.- La circunstancia descrita en el artículo 76.2.b) LOPDGDD en relación con el
artículo 83.2.k) RGPD.
6.- La circunstancia descrita en el artículo 76.2.c) LOPDGDD en relación con el
artículo 83.2.k) RGPD. Los beneficios obtenidos.
En atención a las circunstancias que concurren, valoradas detenidamente, se estima
que, a diferencia de lo previsto en la propuesta de resolución, el importe de la multa
administrativa que procede imponer por la infracción del artículo 5.1.d) RGPD es de un
millón de euros (1.000.000 €).

Asimismo, se impondrá, a tenor del artículo 58.2.f) del RGPD, la prohibición de que
continúe el tratamiento de los datos personales que realiza a través del Fichero de
Reclamaciones Judiciales y organismos Públicos (FIJ) del que es titular.
A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que son objeto de tratamiento a través del FIJ asociados a presuntas
deudas y que fueron obtenidos por la reclamada de la publicación de anuncios de
notificación insertados en el Tablón Edictal Único del Boletín Oficial del Estado, de
boletines y diarios oficiales o de las sedes electrónicas de organismos y entidades de
Derecho Público.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

180/184

4.4. Infracción del artículo 5.1.c) RGPD

Se aprecia la concurrencia, en calidad de agravantes, de los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la reclamada,
todos ellos en los términos que se detallan para la infracción del artículo 5.1.b) RGPD.
1.-La circunstancia descrita en el artículo 83.2.a) RGPD.
2.-La circunstancia descrita en el artículo 83.2.b) RGPD.
3.- La circunstancia descrita en el artículo 83.2.a) RGPD referente al número de
interesados afectados.
4.- La circunstancia descrita en el artículo 83.2.a) RGPD referente a los perjuicios
sufridos por los afectados.
5.- La circunstancia descrita en el artículo 76.2.b) LOPDGDD en relación con el
artículo 83.2.k) RGPD.
6.- La circunstancia descrita en el artículo 76.2.c) LOPDGDD en relación con el
artículo 83.2.k) RGPD. Los beneficios obtenidos.
En atención a las circunstancias que concurren se estima que el importe de la multa
administrativa que procede imponer por la infracción del artículo 5.1.c) RGPD es de un
millón de euros (1.000.000 €).

4.5. Infracción del artículo 14 RGPD

Se aprecia la concurrencia, en calidad de agravantes, de los siguientes factores que
revelan una mayor antijuridicidad y/o culpabilidad en la conducta de la reclamada,
todos ellos en los términos que se detallan para la infracción del artículo 5.1.b) RGPD.
1.-La circunstancia descrita en el artículo 83.2.a) RGPD.
2.-La circunstancia descrita en el artículo 83.2.b) RGPD.
3.- La circunstancia descrita en el artículo 83.2.a) RGPD referente al número de
interesados afectados.
4.- La circunstancia descrita en el artículo 83.2.a) RGPD referente a los perjuicios
sufridos por los afectados.
5.- La circunstancia descrita en el artículo 76.2.b) LOPDGDD en relación con el
artículo 83.2.k) RGPD.
6.- La circunstancia descrita en el artículo 76.2.c) LOPDGDD en relación con el
artículo 83.2.k) RGPD. Los beneficios obtenidos.
En atención a las circunstancias que concurren se estima que el importe de la multa
administrativa que procede imponer por la infracción del artículo 14 RGPD es de un
millón de euros (1.000.000 €).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

181/184

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Directora de la Agencia Española de Protección de Datos,

RESUELVE:

PRIMERO: IMPONER a EQUIFAX IBÉRICA, S.L., con NIF B80855398, por una
infracción del Artículo 5.1.b) del RGPD, tipificada en el artículo 83.5 del RGPD, en
concurso medial, conforme a lo previsto en el artículo 29.5 de la Ley 40/2015, con las
infracciones de los artículos 6.1., en relación con el artículo 5.1.a) RGPD; 5.1.d)
RGPD; 5.1.c) RGPD y 14 del RGPD, las siguientes sanciones:

A tenor del artículo 58.2.i) del RGPD, una multa administrativa de un millón de euros
(1.000.000 €).

A tenor del artículo 58.2.f) del RGPD, la prohibición de que continúe el tratamiento de
los datos personales que realiza a través del Fichero de Reclamaciones Judiciales y
organismos Públicos (FIJ) del que es titular.

A tenor del artículo 58.2.g) RGPD, que proceda a la supresión de todos los datos
personales que son objeto de tratamiento a través del FIJ asociados a presuntas
deudas y que fueron obtenidos por la reclamada de la publicación de anuncios de
notificación insertados en el Tablón Edictal Único del Boletín Oficial del Estado, de
boletines y diarios oficiales o de las sedes electrónicas de organismos y entidades de
Derecho Público.

SEGUNDO: NOTIFICAR la presente resolución a EQUIFAX IBÉRICA, S.L..

TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

182/184

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos

ANEXO I

Los reclamantes se identifican por un número. En este Anexo se facilitan los
datos personales - nombre, apellidos y NIF- de cada reclamante y la referencia del
expediente abierto por la AEPD a cada una de las reclamaciones presentadas.

Reclamante 1: E/104/2020, (…).
Reclamante 2: E/59/2020, (…).
Reclamante 3: E/36/2019, (…).
Reclamante 4: E/ 727/2020, (…).
Reclamante 5: E/728/2020, (…).
Reclamante 6: E/736/2020, (…) Representado por Inzertia Consultores Financieros,
S.L., CIF B87960472.
Reclamante 7: E/743/2020, (…).
Reclamante 8: E/745/2020, (…).
Reclamante 9: E/954/2020, (…) ,Representado por Inzertia Consultores Financieros,
S.L.
Reclamante 10: E/957/2020, (…).Representado por Inzertia Consultores Financieros,
S.L.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

183/184

Reclamante 11: E/1206/2020, (…). Representado por Inzertia Consultores Financieros,
S.L.
Reclamante 12: E/1207/2020, (…). Representado por Inzertia Consultores
Financieros, S.L.
Reclamante 13: E/1209/2020, (…). Representado por Inzertia Consultores
Financieros, S.L.
Reclamante 14: E/1210/2020, (…). Representado por Inzertia Consultores
Financieros, S.L.
Reclamante 15: E/1211/2020. (…). Representada por Inzertia Consultores Financieros,
S.L.
Reclamante 16: E/1262/2020, (…). Representado por Inzertia Consultores
Financieros, S.L.
Reclamante 17: E/ 3321/2019, (…).
Reclamante 18: E/3633/2019, (…).
Reclamante 19: E/3912/2019, (…).
Reclamante 20: E/4367/2019, (…).
Reclamante 21: E/2021/2020, (…), representado por (…).
Reclamante 22: E/2031/2020, (…).
Reclamante 23: E/2035/2020, (…), representado por INZERTIA Consultores
Financieros, S.L.
Reclamante 24: E/2038/2020, (…), representado por Inzertia Consultores Financieros,
S.L.
Reclamante 25: E/04391/2019, (…).
Reclamante 26: E/04392/2019, (…)
Reclamante 27: E/04839/2019, (…).
Reclamante 28: E/04967/2019, (…).
Reclamante 29:E/04978/2019, (…).
Reclamante 30: E/04992/2019, (…).
Reclamante 31: E/05109/2019, (…).
Reclamante 32: E/05447/2019, (…).
Reclamante 33: E/05471/2019, (…)
Reclamante 34: E/06161/2019, (…).
Reclamante 35: E/06172/2019, (…).
Reclamante 36: E/06174/2019, (…)
Reclamante 37: E/06186/2019, (…).
Reclamante 38: E/06187/2019, (…)
Reclamante 39: E/06848/2019, (…).
Reclamante 40: E/06852/2019, (…)
Reclamante 41: E/06853/2019, (…).
Reclamante 42: E/07145/2019, (…)
Reclamante 43: E/11624/2019, (…).
Reclamante 44: E/11629/2019, (…).
Reclamante 45: E/11638/2019, (…).
Reclamante 46: E/2047/2020, (…). Representada por Inzertia Consultores
Financieros, S.L.
Reclamante 47: E/2048/2020, (…). Representada por Inzertia Consultores
Financieros, S.L.
Reclamante 48: E/2050/2020, (…).
Reclamante 49: E/7159/2019, (…).
Reclamante 50: E/07162/2019. (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

184/184

Reclamante 51: E/07823/2019. (…).
Reclamante 52: E/07825/2019. (…).
Reclamante 53: E/08006/2019. (…)
Reclamante 54: E/08008/2019. (…).
Reclamante 55: E/08668/2019. (…). Representado por (…)
Reclamante 56: E/09912/2019. (…).
Reclamante 57: E/10232/2019. (…).
Reclamante 58: E/10236/2019 (…).
Reclamante 59: E/10367/2019. (…)
Reclamante 60: E/10997/2019 y E/03977/2020. (…).
Reclamante 61: E/11032/2019. (…)
Reclamante 62: E/11619/2019. (…)
Reclamante 63: E/11623/2019. (…)
Reclamante 64: E/03261/2020. (…). Representado por INZERTIA.
Reclamante 65: E/03262/2020. (…)
Reclamante 66: E/03265/2020 (…). Representado por INZERTIA.
Reclamante 67: E/03267/2020 (…)
Reclamante 68: E/03257/2020. (…). Representada por INZERTIA.
Reclamante 69: E/03269/2020. (…). Representado por INZERTIA.
Reclamante 70: E/03272/2020. (…). Representado por INZERTIA.
Reclamante 71: E/03274/2020. (…). Representada por INZERTIA.
Reclamante 72: E/03279/2020. (…).
Reclamante 73: E/03283/2020. (…).
Reclamante 74: E/03349/2020. (…). Representado por INZERTIA.
Reclamante 75: E/03550/2020. (…).
Reclamante 76: E/03516/2020. (…).
Reclamante 77: E/03517/2020. (…).
Reclamante 78: E/03547/2020. (…).
Reclamante 79: E/03617/2020. (…). Representada por INZERTIA.
Reclamante 80 E/01366/2019. (…)
Reclamante 81: E/03604/2020. (…). Representado por INZERTIA.
Reclamante 82: E/03610/2020. (…). Representado por INZERTIA.
Reclamante 83: E/03613/2020. (…). Representado por INZERTIA
Reclamante 84: E/03618/2020. (…).
Reclamante 85: E/03649/2020. (…).
Reclamante 86: E/03729/2020. (…). Representado por (…).
Reclamante 87: E/03888/2020. (…)
Reclamante 88: E/03852/2020. (…).
Reclamante 89: E/04760/2020. (…). Representado por (…).
Reclamante 90: E/05250/2020. (…)
Reclamante 91: E/05048/2020. (…)
Reclamante 92: E/05045/2020. (…).
Reclamante 93: E/05254/2020. (…).
Reclamante 94: E/04999/2020. (…).
Reclamante 95: E/5454/2019. (…)
Reclamante 96: E/5459/2019. (…).
Reclamante 97: E/9910/2019. (…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es