| Informe | 2016-0082 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (Expediente 2016-0082)
La Agencia Española de Protección de Datos (AEPD) analiza en este informe si cierta empresa puede comunicar datos personales a un órgano autonómico de consumo que, presuntamente, actúa en nombre de afectados. La consulta gira en torno a si la empresa actúa conforme a la Ley Orgánica 15/1999 (LOPD) y su Reglamento (Real Decreto 1726/2007) al responder directamente a los interesados en lugar de al órgano requirente cuando este invoca derechos de protección de datos (acceso, rectificación, cancelación y oposición).
Contexto y planteamiento
La empresa consultante recibe solicitudes de órganos autonómicos de consumo que alegan ejercer derechos de protección de datos en nombre de los afectados. Sin embargo, la empresa responde directamente a los interesados, comunicando esta actuación al órgano administrativo. Este último, en respuesta, invoca el artículo 6.2 de la LOPD para exigir que la empresa remita información sobre la deuda reclamada y las alegaciones pertinentes, lo que sugiere que la Administración busca resolver una reclamación de consumo, no ejercer derechos de protección de datos.
Marco legal aplicable
El artículo 23 del Reglamento de la LOPD establece que los derechos ARCO (acceso, rectificación, cancelación y oposición) son personalísimos y solo pueden ejercerse:
Directamente por el afectado.
Por su representante legal (si hay incapacidad o minoría de edad).
Por un representante voluntario, debidamente acreditado.
Los derechos deben denegarse si la solicitud no proviene del afectado ni de un representante válidamente acreditado (artículo 20.3 del Reglamento).
Análisis de la AEPD
La AEPD concluye que el órgano autonómico de consumo no está ejerciendo derechos ARCO en nombre de los afectados, sino que parece estar gestionando una reclamación de consumo sobre una supuesta deuda. Por ello, no se trataría de una solicitud amparada en la LOPD, sino en la normativa de protección al consumidor.
Si la reclamación busca cancelar datos relacionados con una deuda, la competencia para resolverla correspondería a la AEPD tras una reclamación del interesado, no al órgano de consumo.
Si la reclamación se refiere a la existencia de la deuda, el órgano de consumo debería dirigirse directamente al acreedor (empresa que informó la deuda al fichero) para que este aporte pruebas o alegaciones, ya que el fichero de solvencia (artículo 38.1 del Reglamento LOPD) es responsabilidad del acreedor informante.
Conclusiones y recomendaciones
La empresa actuó correctamente al responder directamente a los afectados, pues el órgano de consumo no acreditó que actuara como representante para ejercer derechos ARCO.
No existe una base legal clara para que el órgano de consumo acceda a los datos personales directamente, salvo que una norma con rango de ley le atribuya específicamente esta competencia (lo que no se ha probado en el expediente).
Recomendación de la AEPD: Si la reclamación persiste, el órgano de consumo debería contactar con el acreedor informante (la empresa) para resolver la controversia, sin intermediación en los datos personales de los afectados.
En definitiva, la AEPD recuerda que los derechos ARCO son estrictamente personales y no pueden ser ejercidos por terceros (incluidas administraciones) sin la debida representación. La empresa consultante no violó la LOPD al responder directamente a los interesados, ya que el órgano requirente no demostró estar legitimado para gestionar esos datos en su nombre.