| Informe | 2016-0205 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 183493/2016)
El informe aborda consultas de una empresa de recobros sobre la legalidad de actualizar datos de deudores, diferenciando entre su rol como responsable del tratamiento y como encargado del tratamiento para terceros. La Agencia Española de Protección de Datos (AEPD) remite a precedentes como los informes 178/2012 y 112/2012, así como a jurisprudencia del Tribunal de Justicia de la UE, el Tribunal Supremo y la Audiencia Nacional, para analizar la base legal del tratamiento.
Puntos clave del informe:
Legitimación del tratamiento:
El tratamiento de datos sin consentimiento es posible si se fundamenta en un interés legítimo (art. 7.f de la Directiva 95/46/CE y art. 10.2.a del RGPD), siempre que no prevalezcan los derechos del afectado (protección de datos, intimidad).
La ponderación entre el interés legítimo y los derechos del interesado dependerá del caso concreto, considerando la gravedad de la intromisión en derechos fundamentales (arts. 7 y 8 de la Carta de Derechos Fundamentales de la UE).
Actualización de datos desactualizados:
Si un deudor facilitó inicialmente un teléfono fijo que ya no es válido, la empresa no puede actualizarlo a un móvil sin consentimiento explícito o previo, ya que el nuevo dato (teléfono móvil) no fue autorizado en su momento. Se incumpliría el principio de calidad de datos (art. 4 LOPD).
La actualización debe limitarse a datos del mismo tipo que los recogidos originalmente (ej.: nuevo teléfono fijo), sin modificar el medio de contacto establecido contractualmente.
La LOPD (art. 4.4) exige cancelar o rectificar datos inexactos registrados, no añadir otros no facilitados (como un móvil).
Fuentes accesibles al público o internet:
La jurisprudencia (Sentencia AN 31/5/2012) permite usar datos obtenidos de fuentes accesibles al público o internet para actualizar información, siempre que:
Los datos sean necesarios para un interés legítimo (ej.: gestión de una deuda).
Se respeten los derechos del afectado (art. 7 f) Directiva).
Los datos no provengan de fuentes fraudulentas o ilícitas (art. 4.7 LOPD).
No se legitima la recopilación masiva de datos sin base legal (ej.: ficheros con millones de personas para su venta).
Uso de correos electrónicos o teléfonos de contacto facilitados por el deudor:
Sólo es legal si el deudor ha prestado consentimiento inequívoco y específico para usar esos medios en la relación con la empresa de recobros (ej.: al rellenar un formulario).
No es válido usar un teléfono o correo de un tercero (familiar, amigo) o un contacto ocasional sin autorización, ya que violaría el principio de calidad de datos (art. 4 LOPD) y requeriría consentimiento.
Tratamiento de datos en múltiples carteras:
Si la empresa actúa como responsable del tratamiento, puede asociar datos de un mismo deudor en diferentes carteras (adquiridas por ella) para gestionar todas las deudas de forma unificada.
No puede hacerlo si actúa como encargada del tratamiento para distintos acreedores, ya que su legitimación se limitaría a las tareas encomendadas por cada responsable.
Conclusión:
La AEPD concluye que:
La actualización de datos debe ceñirse a lo autorizado inicialmente (ej.: no sustituir un teléfono fijo por un móvil sin consentimiento).
Se permite usar datos públicos o internet para actualizar información, siempre con ponderación de intereses.
El tratamiento de nuevos datos (móvil, correo) requiere consentimiento específico o base legal (interés legítimo validado).
La asociación de datos en múltiples carteras solo es lícita si la empresa es responsable del tratamiento.
El informe refuerza la necesidad de evaluar cada caso con una ponderación rigurosa entre el interés legítimo (cobro de deudas) y los derechos del afectado (protección de datos, intimidad).