Morosidad y LOPD: Doctrina y recientes Contenido I. Articulación de los Servicios de Información sobre Solvencia Patrimonial y Crédito desde el punto de vista de la LOPD.... 2 II. Cómo se deben tratar por las empresas prestadoras de servicios de solvencia empresarial y de crédito los datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés?... 2 II.1.- Creación, notificación e inscripción registral de ficheros de datos de solvencia patrimonial y crédito y el cumplimiento de la normativa protectora de datos personales:... 2 II.2.- Inclusión de datos de deudores en tales ficheros, qué datos?, por quién?:... 3 II.2.1- Requisitos para la inclusión de los datos en tales ficheros de datos (art.38 RLOPD): 3 II.2.2.- Información, comunicaciones y notificaciones, previas y posteriores, a la inclusión (arts.29 LOPD y 39 RLOPD):... 4 II.3.- Conservación y cancelación de los datos (art.41 RLOPD):... 5 II.4.- Acceso por terceros a la información contenida en el fichero (art.42 RLOPD):... 5 II.5.- Responsabilidad (art.43 RLOPD):... 6 II.6.- Ejercicio de los derechos de acceso, rectificación, cancelación y oposición (art.44 RLOPD):... 6 1
I. Articulación de los Servicios de Información sobre Solvencia Patrimonial y Crédito desde el punto de vista de la LOPD. La prestación de servicios de información sobre solvencia patrimonial y crédito se encuentra regulada por el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre (en adelante, LOPD), que distingue dentro de los mismos, por razón del origen de los datos incluidos en ellos, aquéllos en que los datos proceden de fuentes accesibles al público o han sido facilitados por el propio interesado (artículo 29. 1 LOPD), de aquéllos otros en que los datos han sido facilitados por el acreedor o por quien actúa por su cuenta (artículo 29. 2). Así, según el art.29 de la LOPD, relativo a la prestación de servicios de información sobre solvencia patrimonial y crédito: ( ) 1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto, o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley. ( ). Luego, legalmente se perfilan dos posibles tipos de ficheros o tratamientos diferenciados de datos personales en este ámbito por el origen de los datos, de los cuales los segundos son los que, habitualmente, se conocen como ficheros de morosos, donde los datos incluidos no provienen del deudor, ni de fuentes accesibles al público, y se distinguen de los primeros en que se orientan más bien a actividades de información comercial o evaluación de la solvencia económica de personas físicas frente a terceros. 2 II. Cómo se deben tratar por las empresas prestadoras de servicios de solvencia empresarial y de crédito 1 los datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés? II.1.- Creación, notificación e inscripción registral de ficheros de datos de solvencia patrimonial y crédito y el cumplimiento de la normativa protectora de datos personales: En primer lugar, la empresa que presta servicios de información de solvencia patrimonial y crédito se encuentra obligada, con carácter previo a cualquier actuación, a la creación, notificación e inscripción registral del fichero de solvencia patrimonial y de crédito que corresponda, tal y como imponen los artículo 25 y 26 de la LOPD. Asimismo, viene obligada a cumplir con el resto de las obligaciones aplicables desde el punto de vista de la LOPD y el Reglamento que la desarrolla, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo que sigue, RLOPD) desde su creación, y a partir de este momento, al 1 Por ejemplo, EQUIFAX IBÉRICA, S.L., Experian Bureau de Crédito, S.A., entre otras.
menos, durante todo el tiempo que actúe como tal empresa o entidad prestadora, con respeto indefinido, incluso, a aquellos deberes de secreto y confidencialidad que tengan dicha consideración. Resultan especialmente de interés, por su importancia en este ámbito, el cumplimiento por este tipo de empresas de los principios del deber de calidad o pertinencia de los datos (veracidad y actualidad de los datos), el deber de información y el deber de secreto y confidencialidad de la información contenida en este tipo de ficheros de datos personales (en principio, únicamente consultables por las entidades participantes del fichero común cuya responsabilidad y titularidad recae en la empresa que presta los servicios de información sobre solvencia empresarial y de crédito). II.2.- Inclusión de datos de deudores en tales ficheros, qué datos?, por quién?: Sólo se podrán registrar y, por consiguiente, ceder o comunicar a terceros, los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos (art.29.4 de la LOPD). No es admisible la inclusión en el fichero de los datos referentes a un cliente o persona que haya cumplido efectivamente su obligación y también se prohíbe la existencia de los denominados saldos cero, lo cual ha sido sancionado por la Sentencia de la Audiencia Nacional de 10 de mayo de 2002, que ratificando una resolución sancionadora de la Agencia de Protección de Datos, destaca que con el término saldo 0, se informa de la morosidad anterior de una persona, se recuerda la existencia de sus deudas pasadas, lo que resulta incompatible con la situación actual del afectado e incompatible con la ley y, en particular, con el principio de calidad o pertinencia de los datos. Cualquier persona, física o jurídica, que sea acreedora del deudor, o bien la persona física o jurídica que actúe por su cuenta o interés, podrá solicitar la inclusión de datos de los deudores en tales ficheros de datos. La persona solicitante de dicha inclusión deberá haber en todo caso requerido previamente de pago al deudor, como luego también se comentará. 3 La obligación cuyo incumplimiento haya generado la deuda ha de ser necesariamente de carácter dinerario, quedando excluida por tanto la posibilidad de incluir datos cuando la relación obligacional no tenga tal carácter. También se excluye la posibilidad de incluir otros datos relativos a solvencia patrimonial o crédito distintos a los relativos a aquellas obligaciones de carácter dinerario. No existe, por otro lado, importe mínimo establecido en la ley para la comunicación/inserción de los datos. En todo caso, será necesario el cumplimiento de una serie de requisitos, contenidos en el ya citado artículo 29 de la Ley Orgánica 15/1999, así como en los artículos 38 y 39 del Reglamento que desarrolla esta Ley para que sea legalmente posible la inserción de datos en los ficheros de solvencia patrimonial y crédito que se esbozan a continuación. II.2.1- Requisitos para la inclusión de los datos en tales ficheros de datos (art.38 RLOPD): Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado (ficheros de solvencia patrimonial), cuando: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los citados requisitos y del requerimiento previo. II.2.2.- Información, comunicaciones y notificaciones, previas y posteriores, a la inclusión (arts.29 LOPD y 39 RLOPD): * Información previa a la inclusión (sin necesidad de solicitud específica del interesado): El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento previo de pago al que se refiere el punto anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos con anterioridad, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Por lo tanto, esta información podrá realizarse por el acreedor en el contrato entre las partes pero, en todo caso, también deberá realizarse en el requerimiento previo de pago que debe concurrir como requisito previo a la inclusión. Esto es muy importante y su no observancia a determinado la imposición de cuantiosas sanciones a los infractores, véase, por ejemplo, esta reciente Resolución Sancionadora de la AEPD: http://www.agpd.es/portalwebagpd/resoluciones/procedimientos_sancionadores/ps_2011/com mon/pdfs/ps-00423-2010_resolucion-de-fecha-18-01-2011_art-ii-culo-4.3-lopd.pdf 4 * Información posterior a la inclusión (según el caso, con o sin solicitud específica del interesado): - Notificación/Información de inclusión, sin necesidad de solicitud específica del interesado (art.40 RLOPD): El responsable del fichero común, esto es, la empresa de servicios de información de solvencia patrimonial y crédito, deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. Ello lo hará sin necesidad de solicitud específica del interesado a estos efectos y, en la práctica, dicha notificación no suele agotar el plazo de los 30 días dispuestos por la ley, de hecho, suele producirse, de forma general, antes de la semana de la fecha de inclusión del dato en el fichero. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos (normalmente, mediante carta certificada) Luego, será necesario que el responsable del fichero, es decir, la empresa de servicios de información sobre solvencia patrimonial y crédito, pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario
haya rehusado recibir el envío. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato. De esta forma, se observa cómo se refuerza el principio de calidad o pertinencia de los datos. - Información posterior a la inclusión, a petición del interesado (art.29.3 LOPD): Con independencia del origen de los datos incluidos en el fichero de solvencia patrimonial y de crédito de que se trate, cuando el interesado lo solicite, la empresa de servicios de información de solvencia patrimonial y crédito le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos. II.3.- Conservación y cancelación de los datos (art.41 RLOPD): Sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto, de ahí que, algunas entidades en sus comunicaciones de inclusión de datos indiquen claramente al interesado que la información de esta operación se mantendrá actualizada de acuerdo con su evolución. El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma. Los datos deberán ser cancelados cuando se hubieran cumplido seis años contados a partir del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. II.4.- Acceso por terceros a la información contenida en el fichero (art.42 RLOPD): 5 Los datos contenidos en el fichero común (de la empresa de servicios de información sobre solvencia patrimonial y crédito) sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos: a. Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida. b. Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio. c. Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. Los terceros consultantes deberán informar por escrito a las personas o interesados en las que concurran los supuestos contemplados en las letras b) y c). En los supuestos de contratación telefónica de los productos o servicios, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar. Por lo tanto, la cesión de los datos contenidos en estos ficheros (ficheros de morosidad) se encuentra admitida por la Ley Orgánica siempre y cuando la finalidad de la cesión se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin, y exigiéndose que la cesión quede perfilada y delimitada por la finalidad a que se destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar (artículo 11.3 de la Ley Orgánica).
II.5.- Responsabilidad (art.43 RLOPD): Morosidad y LOPD: doctrina y recientes El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 del RLOPD en el momento de notificar los datos adversos al responsable del fichero común (empresa de servicios de información de solvencia patrimonial y de crédito titular del fichero común a estos efectos). El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre. II.6.- Ejercicio de los derechos de acceso, rectificación, cancelación y oposición (art.44 RLOPD): El ejercicio de los derechos de acceso, rectificación, cancelación y oposición se rige por lo dispuesto en los capítulos I a IV del título III del RLOPD. Cuando el interesado ejercite su derecho de acceso en relación con la inclusión de sus datos en un fichero regulado por el artículo 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas: 1. Si la solicitud se dirigiera al titular del fichero común, éste deberá comunicar al afectado todos los datos relativos al mismo que obren en el fichero. En este caso, el titular del fichero común deberá, además de dar cumplimiento a lo establecido en el RLOPD, facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los últimos seis meses y el nombre y dirección de los cesionarios. 2. Si la solicitud se dirigiera a cualquier otra entidad participante en el sistema, deberá comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, así como la identidad y dirección del titular del fichero común para que pueda completar el ejercicio de su derecho de acceso. 6 Cuando el interesado ejercite sus derechos de rectificación o cancelación en relación con la inclusión de sus datos en un fichero regulado por el artículo 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas: 1. Si la solicitud se dirige al titular del fichero común, éste tomará las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta la resuelva. En el caso de que el responsable del fichero común no haya recibido contestación por parte de la entidad en el plazo de siete días, procederá a la rectificación o cancelación cautelar de los mismos. 2. Si la solicitud se dirige a quien haya facilitado los datos al fichero común procederá a la rectificación o cancelación de los mismos en sus ficheros y a notificarlo al titular del fichero común en el plazo de diez días, dando asimismo respuesta al interesado en los términos previstos en el artículo 33 del RLOPD. 3. Si la solicitud se dirige a otra entidad participante en el sistema, que no hubiera facilitado al fichero común los datos, dicha entidad informará al afectado sobre este hecho en el plazo máximo de diez días, proporcionándole, además, la identidad y dirección del titular del fichero común para, que en su caso, puedan ejercitar sus derechos ante el mismo. Por aplicación de lo dispuesto en la LOPD y el RLOPD, en concreto, el art.24 del RLOPD, deberá concederse al interesado un medio sencillo y gratuito para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición. De hecho, el ejercicio por el afectado de sus derechos de acceso, rectificación, cancelación y oposición será gratuito y en ningún caso podrá suponer un ingreso adicional para el responsable del tratamiento ante el que se ejercitan.
De hecho, no se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el Reglamento que la desarrolla los supuestos en que el responsable del tratamiento establezca como medio para que el interesado pueda ejercitar sus derechos el envío de cartas certificadas o semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado (por ejemplo, el envío de SMS con coste para el interesado) o cualesquiera otros medios que impliquen un coste excesivo para el interesado. Este tipo de actuaciones podrán calificarse de infracción grave conforme el art.44.3 de la LOPD por impedir u obstaculizar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, pudiendo ser sancionadas con multa de 40.001 a 300.000 euros. 7