| Informe | 2016-0225 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD (N/REF: 209302/2016)
La Agencia Española de Protección de Datos (AEPD) analiza en este informe la propuesta de una entidad consultante de crear un sistema multisectorial de prevención del fraude, que permitiría el intercambio de información entre sectores como financiación de vehículos, consumo generalista y telecomunicaciones. El objetivo es detectar inconsistencias en los datos aportados por los consumidores (nombre, DNI, datos bancarios, teléfono, dirección, dirección IP, correo electrónico) para identificar posibles fraudes.
Marco legal y principios aplicables
La AEPD recuerda que el tratamiento de datos para prevención del fraude puede ampararse en el interés legítimo del responsable (art. 6.1.f RGPD y art. 7.f LOPDGDD), siempre que se realice un análisis de ponderación entre este interés y los derechos de los interesados. El considerando 47 del RGPD destaca que este interés puede justificarse cuando exista una relación pertinente con el afectado (ej: clientes).
La prevención del fraude se considera un interés legítimo por la AEPD, pero exige garantías para evitar que el intercambio de datos supere lo necesario. En informes anteriores (2013, 2014), la Agencia ya advirtió sobre los riesgos de un sistema multisectorial por la exposición a información no relevante para ciertos sectores.
Requisitos para la conformidad del sistema
Para que el proyecto sea conforme a la normativa, la AEPD establece los siguientes requisitos:
Limitación estricta de los datos compartidos:
Solo podrán cruzarse datos comunes a todos los sectores involucrados (ej: DNI, datos bancarios, teléfonos). Quedan excluidas informaciones sectoriales como el IMEI (telecomunicaciones) o el número de bastidor (vehículos).
Las alertas deben generarse exclusivamente por inconsistencias en estos datos compartidos.
Garantías adicionales:
Los responsables deben definir reglas claras que impidan que una entidad acceda a datos irrelevantes para su sector.
Cada entidad participante podrá configurar sus propias reglas de alerta, pero dentro del marco común establecido para el fichero multisectorial.
Plazos de histórico de datos:
La AEPD cuestiona si el plazo de 180 días para datos bancarios y DNI es proporcional en todos los sectores. Sugiere reducirlo o limitarlo a un mes, especialmente en telecomunicaciones.
Transparencia y deber de información:
Las cláusulas informativas deben actualizarse para incluir:
El carácter multisectorial del fichero.
Los sectores participantes.
La AEPD no evalúa la idoneidad de las cláusulas propuestas al no haber sido facilitadas.
Conclusión y recomendaciones
La AEPD considera que el sistema podría ser conforme si:
Se respetan las garantías ya establecidas en los sistemas sectoriales previos.
Se limita el intercambio y alerta a los datos comunes a todos los sectores.
Se ajusta el plazo de 180 días para datos bancarios/DNI.
Se modifica la cláusula informativa para reflejar el ámbito multisectorial.
En caso de implementarse, la entidad debe asegurarse de que el tratamiento cumpla con el principio de minimización de datos y respete los derechos de los interesados, evitando accesos innecesarios a información sectorial no relevante.
Palabras clave: Prevención del fraude, interés legítimo, intercambio de datos, ponderación de derechos, datos comunes, transparencia.