| Informe | 2016-0225 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (2016-0225)
La Agencia Española de Protección de Datos (AEPD) analiza en este informe jurídico la creación de un sistema multisectorial de prevención del fraude que permitiría el intercambio de información entre los sectores de financiación de vehículos, financiación al consumo generalista y telecomunicaciones, siempre que los datos compartidos sean comunes a todos ellos (como nombre, documento identificativo, datos bancarios, dirección, etc.), sin que las entidades de un sector accedan a información exclusiva de otro (ej. IMEI o número de bastidor).
Base legal y ponderación de intereses
La AEPD reconoce que la prevención del fraude puede considerarse un interés legítimo según el artículo 7.f) de la LOPD (Ley Orgánica 15/1999), equivalente al artículo 6.1.f) del RGPD, que permite el tratamiento de datos si supera un test de ponderación entre intereses legítimos y derechos del interesado. Para ello, se deben garantizar:
Expectativas razonables del interesado: Que no se acceda a datos inesperados.
Minimización de datos: Solo se podrán comparar los datos comunes a todos los sectores implicados.
No acceso a datos sectoriales específicos: Se evitará que un operador de telecomunicaciones acceda a información exclusiva de un concesionario de vehículos.
La AEPD había emitido informes previos (2013, 2014) en los que ya advirtió que los sistemas multisectoriales podían implicar acciones más intrusivas, por lo que exigía garantías adicionales para evitar revelaciones innecesarias.
Requisitos clave para el sistema propuesto
Limitación de datos compartidos: Solo se generarán alertas si hay inconsistencias en datos comunes a los tres sectores (ej. mismo DNI o cuenta bancaria en 180 días), evitando comparaciones irregulares (ej. IMEI en telecomunicaciones).
Reglas de alerta estrictas: Las alertas solo se activarán si hay patrones consistentes y verificados, sin que una previsión excesiva (como el plazo de 180 días, cuestionado en telecomunicaciones) dé lugar a falsas sospechas.
Transparencia y deber de información: Las cláusulas informativas actuales deben actualizarse para reflejar el ámbito multisectorial, incluyendo los sectores participantes. La AEPD no puede validar las cláusulas sin ver el texto exacto.
Pruebas clave no aportadas
Prueba de la cláusula informativa: La AEPD no emite juicio sobre su adecuación al no haberla incluido la consultante.
Justificación del plazo de 180 días: Sugiere evaluar si este período es proporcional para el sector de telecomunicaciones, donde podría ser excesivo.
Conclusión
El sistema podría considerarse conforme a la LOPD si se garantiza:
Acceso restringido a datos mínimos comunes.
2.isiones de alerta basadas en inconsistencias comprobadas.
Actualización de la información al interesado sobre el carácter multisectorial del fichero.
Sin embargo, la AEPD subraya la necesidad de ajustar detalles procedimentales (plazos, transparencia) para evitar vulneraciones de derechos. Se remite a los informes previos que ya establecían las salvaguardas necesarias y enfatiza que la ponderación de intereses debe ser estricta, especialmente en un contexto multisectorial donde la intrusión en datos personales es mayor.
(Resumen: ~490 palabras)