Source: http://www.privacidadlogica.es/aproximacion-a-los-ficheros-de-morosos-desde-el-rgpd-y-la-lopd-2-0/?replytocom=16457
Timestamp: 2020-02-24 07:56:02+00:00

Document:
Ese artículo 20 de la LOPD 2.0 tampoco regula todos los aspectos desarrollados en los artículos antes citados del RDLOPD, así que podríamos preguntarnos cómo va a quedar el asunto entre unas cosas y otras.
¿Cuál es la causa legitimadora del tratamiento?
Ya saben ustedes que la legitimación del tratamiento de los datos de las deudas de los clientes de las entidades asociadas por el sistema de solvencia deberá fundamentarse en alguno de los seis supuestos legitimadores previstos en el artículo 6.1. del RGPD. En el caso que nos ocupa, la justificación del tratamiento se fundamentaría en el interés legítimo, letra f) del precepto citado:
Cuando el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o derechos y libertados fundamentales del interesado que requieran la protección de datos personales.
Que esa es la causa legitimadora del tratamiento que nos ocupa viene expresamente recogido en la exposición de motivos de la LOPD 2.0:
En el Título IV se recogen “Disposiciones aplicables a tratamientos concretos”, incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquéllos [entre los que están los ficheros de solvencia] respecto de los que el legislador establece una presunción iuris tantum de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo.
¿Y cuál sería en este caso ese interés legítimo?
En palabras de la propia Agencia Española de Protección de Datos (Resolución de 22 de enero de 2001),
Este tipo de ficheros contribuye, sin duda, a la salvaguarda del sistema financiero y de la economía en general por cuanto van a permitir a las entidades financieras, por un lado, el conocer la solvencia de sus clientes y quiénes de estos clientes o potenciales clientes han incurrido en morosidad y por qué cuantía y, por otro, proporcionar igual conocimiento a las empresas, sobre todo a las pequeñas y a las medianas a las que una situación de incumplimiento de sus clientes pudiera arrastrar a situaciones irreparables con grave quebranto, no sólo económico, sino también incluso social.
Ahora bien, para que el tratamiento sea lícito no es suficiente con la concurrencia de ese interés legítimo, sino que deben cumplirse los requisitos que exige la normativa, que iremos analizando brevemente a continuación.
¿Quién puede comunicar deudas al sistema de información?
De acuerdo con el artículo 20.1.a) de la LOPD 2.0, el acreedor o quien actúe por su cuenta o interés.
Es muy importante tener en cuenta que a él (a ellos) le corresponde garantizar que concurren los requisitos exigidos para la inclusión en el sistema de una deuda, respondiendo de su inexistencia o inexactitud.
En este sentido, Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, sección 1ª, de 20 de abril de 2006:
… aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos.
¿Y quién puede consultar la información del fichero?
De acuerdo con el apartado 1.e) del artículo 20 LOPD 2.0,
los datos referidos a un deudor determinado solamente puedan ser consultados en los supuestos previstos en la Ley 16/2011, de 24 de junio, de contratos de crédito al consumo, así como cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o éste le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica.
De la citada Ley 16/2011 trascribo sus artículos 1, 2, 14 y 15.
– 1º Presenta u ofrece contratos de crédito,
– 2º asiste a los consumidores en los trámites previos de los contratos de crédito, distintos de los indicados en el inciso 1º), o
– 3º celebra contratos de crédito con consumidores en nombre del prestamista.
El prestamista, antes de que se celebre el contrato de crédito, deberá evaluar la solvencia del consumidor, sobre la base de una información suficiente obtenida por los medios adecuados a tal fin, entre ellos, la información facilitada por el consumidor, a solicitud del prestamista o intermediario en la concesión de crédito. Con igual finalidad, podrá consultar los ficheros de solvencia patrimonial y crédito, a los que se refiere el art. 29 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en los términos y con los requisitos y garantías previstos en dicha Ley Orgánica y su normativa de desarrollo.
Si las partes acuerdan modificar el importe total del crédito tras la celebración del contrato de crédito, el prestamista deberá actualizar la información financiera de que disponga sobre el consumidor y evaluar su solvencia antes de aumentar significativamente el importe total del crédito.
Los ficheros sobre solvencia patrimonial y crédito están sometidos a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de
Datos de Carácter Personal, a las normas que la desarrollan y a lo establecido en este artículo.
Si la denegación de una solicitud de crédito se basa en la consulta de un fichero, el prestamista deberá informar al consumidor
inmediata y gratuitamente de los resultados de dicha consulta y de los pormenores de la base de datos consultada.
La información a que se refiere el apartado anterior no se facilitará al consumidor en los supuestos en que una ley o una norma de la
Unión Europea de aplicación directa así lo prevea, o sea contrario a objetivos de orden público o de seguridad pública.
Los responsables de los ficheros a que se refiere este artículo deberán facilitar a los prestamistas de los demás Estados miembros de la
Unión Europea el acceso a las bases de datos para la evaluación de la solvencia de los consumidores, en condiciones no discriminatorias
respecto de los prestamistas españoles.
¿Qué tipo de deudas se pueden incluir?
Exclusivamente deudas derivadas de obligaciones dinerarias, financieras o de crédito (art. 20.1 LOPD 2.0.)
¿Debe superar la deuda un importe mínimo para ser incluida en el sistema de información?
Pues sí, y esta es una de las novedades que introduce la LOPD 2.0, cuya disposición adicional octava determina que
… no se incorporarán a los sistemas de información crediticia … deudas en que la cuantía del PRINCIPAL sea inferior a cincuenta euros.
Destaco en mayúsculas la palabra principal a fin de resaltar que no se puede llegar al importe mínimo sumando al principal otros conceptos, como gastos o intereses.
Interesante añadir que la misma D.A. prevé que ese importe mínimo podrá ser actualizado vía Real Decreto por el Gobierno.
En cualquier caso, me parece que, ya puestos a establecer un importe mínimo para ser incluida una deuda en estos ficheros, con las graves consecuencias que ello tiene para el deudor, cincuenta euros es una cantidad muy baja.
¿Qué condiciones debe reunir la deuda?
De acuerdo con el art. 20.1.b) LOPD 2.0 la deuda tiene que ser
NO DISCUTIDA
¿Y qué entiende la norma por deuda no discutida? Aquella cuya existencia o cuantía (ojo, novedad) no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas.
¿Qué antigüedad máxima puede tener una deuda para ser incluida en el fichero?
Hasta ahora, con la LOPD y el RDLOPD en la mano, no pueden incluirse deudas de antigüedad superior a seis años.
En la LOPD 2.0 la antigüedad no puede ser superior a cinco años, de acuerdo con el art. 20.1.d)
Ojo, que en ambos casos, la antigüedad no debe ser entendida como plazo de permanencia en el fichero desde su inclusión, sino que la antigüedad se computa desde la fecha de vencimiento de la obligación a incluir. El plazo máximo durante el que la deuda puede permanecer en el fichero de solvencia es la diferencia entre esos cinco años y el plazo que haya transcurrido entre el vencimiento y su notificación al fichero.
¿Qué pasa si la deuda es saldada antes de alcanzar el plazo por el que la misma puede permanecer en el fichero?
Que debe ser inmediatamente dada de baja, dado que el art.20.1.d) establece que la deuda puede mantenerse en el sistema sólo en tanto persista el incumplimiento.
¿Puede sustituirse en ese caso por una anotación tipo “saldo cero”?
Rotundamente no. Supondría un caso de información o dato no actualizado. En este sentido se ha pronunciado en distintas ocasiones la Audiencia Nacional. Sirva de ejemplo la Sentencia de la Sala de lo Contencioso-Administrativo, sección 1ª, de 10 de mayo de 2002:
La única finalidad que tiene el mantenimiento en un registro de solvencia patrimonial, a instancias de la entidad informante y ahora recurrente, de los datos de quien no tiene deudas, con el término “saldo 0”, es informar de su morosidad anterior, recordar sus deudas pasadas, lo que resulta incompatibles con la situación “actual” del afectado, que establece el artículo 4.3 de la Ley Orgánica.
¿Se debe informar al deudor de la posibilidad de ser incluido en ficheros de solvencia con carácter previo a hacerlo?
Sí, y aquí en mi opinión nos encontramos con importantes novedades en cuanto a la regulación vigente hasta ahora.
Así, el art. 39 RDLOPD reza de la siguiente manera:
El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y [conjunción copulativa], en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.
Por su parte, el art. 20.1c) LOPD 2.0 regula esta obligación informativa de la siguiente forma:
Que el acreedor haya informado al afectado en el contrato o [conjunción disyuntiva ] en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe.
A mi juicio, de la nueva regulación se desprende una menor exigencia en cuanto a cuándo informar, dado que se permite hacerlo alternativamente en el momento de concertar el contrato con el futuro deudor o bien en el momento de requerirle de pago una vez que se ha producido el impago, frente a la obligatoriedad actual de informar en los dos momentos.
Y, por otro lado, deja de ser válida una referencia genérica a la posibilidad de ser incluido en ficheros de solvencia, exigiéndose informar al deudor de aquellos concretos sistemas de información crediticia a los que esté adherido el acreedor y a los que comunicaría deuda. Es decir, habrá que hacer constar si está adherido a ASNEF, EXPERIAN…
¿Debe requerirse de pago al deudor con carácter previo a la inclusión de la deuda en el sistema?
Antes de proceder a comunicar la deuda al fichero de solvencia, el acreedor debe requerir de pago al deudor.
Esta obligación viene muy bien especificada en el RDLOPD.
Así, en su artículo 38.1 establece que
Y luego, el artículo 39 introduce la obligación de informar en ese requerimiento de la posibilidad de inclusión en los ficheros de solvencia patrimonial.
Sin embargo, en la nueva LOPD 2.0 se ha prescindido de esa claridad expositiva y la única referencia al requerimiento previo de pago aparece en el apartado 1.c) de su artículo 20 mezclada con el deber informativo:
Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago….
Vamos, que el artículo 20 es algo más chapucero, pero entiendo que sí se mantiene la obligación de practicar ese requerimiento previo de pago.
¿Cómo debe practicarse ese requerimiento?
La LOPD 2.0, al igual que la LOPD y el RDLOPD, no dice nada al respecto, así que debemos entender que se mantiene la libertad de forma, como hasta ahora, siempre y cuando el acreedor pueda acreditar debidamente su práctica y la santísima trinidad de las comunicaciones: emisión, recepción y contenido. Sobre esta cuestión en particular les recomiendo que se lean ustedes el artículo que Ignacio San Martín publicó en este mismo blog bajo el título “Cómo documentar el requerimiento previo de pago en los ficheros de morosos”, remitiéndome a su contenido sin más.
¿Se debe comunicar al deudor que la deuda ya ha sido incluida en el sistema?
De acuerdo con el apartado 1.c) del artículo 20 de la LOPD 2.0,
La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
De acuerdo con este precepto, los datos relativos a la deuda permanecerán bloqueados durante los 30 días siguientes a la notificación de la deuda al sistema. Es decir, o al menos creo yo, que durante ese plazo esa deuda no será visible para quienes puedan consultar el fichero.
Según establece la disposición adicional tercera de la LOPD 2.0, para el cómputo de ese plazo de 30 días deben tenerse solamente en cuenta los hábiles, excluyendo sábados, domingos y festivos. Entiendo que estos últimos, los festivos, en función de dónde radique el fichero común, porque caso contrario sería para volverse tarumba entre festivos autonómicos y locales.
Nada dice el precepto acerca de la forma en la que debe realizarse esa notificación; o de lo que sucede en los casos de devolución o rechazo de la misma; o de cómo y ante quien, ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD, aspectos profusamente regulados en los artículos 40 y 44 del RDLOPD:
Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores.
La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos.
En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.
Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato.
El ejercicio de los derechos de acceso, rectificación, cancelación y oposición se rige por lo dispuesto en los capítulos I a IV del título III de este reglamento, sin perjuicio de lo señalado en el presente artículo.
Cuando el interesado ejercite su derecho de acceso en relación con la inclusión de sus datos en un fichero regulado por el art. 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas:
1ª Si la solicitud se dirigiera al titular del fichero común, éste deberá comunicar al afectado todos los datos relativos al mismo que obren en el fichero.
2ª Si la solicitud se dirigiera a cualquier otra entidad participante en el sistema, deberá comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, así como la identidad y dirección del titular del fichero común para que pueda completar el ejercicio de su derecho de acceso.
Cuando el interesado ejercite sus derechos de rectificación o cancelación en relación con la inclusión de sus datos en un fichero regulado por el art. 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas:
1ª Si la solicitud se dirige al titular del fichero común, éste tomará las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta la resuelva. En el caso de que el responsable del fichero común no haya recibido contestación por parte de la entidad en el plazo de siete días, procederá a la rectificación o cancelación cautelar de los mismos.
2ª Si la solicitud se dirige a quien haya facilitado los datos al fichero común procederá a la rectificación o cancelación de los mismos en sus ficheros y a notificarlo al titular del fichero común en el plazo de diez días, dando asimismo respuesta al interesado en los términos previstos en el art. 33 de este reglamento.
3ª Si la solicitud se dirige a otra entidad participante en el sistema, que no hubiera facilitado al fichero común los datos, dicha entidad informará al afectado sobre este hecho en el plazo máximo de diez días, proporcionándole, además, la identidad y dirección del titular del fichero común para, que en su caso, puedan ejercitar sus derechos ante el mismo.
Los artículos 15 a 22 del RGPD regulan el contenido de los derechos de los interesados reconocidos en esa norma (acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición), pero con independencia de determinar si todos sería ejercitables en relación con ficheros de solvencia, que yo creo que no, en esos preceptos no se ofrece respuesta a la posibilidad de ejercicio, como ocurre en la normativa española vigente a fecha de hoy, ante el acreedor que incluyó la deuda en el sistema, ante otra persona asociada al mismo o bien frente al responsable del propio sistema de información.
¿Y dónde encontraremos la respuesta esa cuestión? Pues parece ser que en la autorregulación de los implicado, entidades acreedoras y responsable del sistema de información. Veamos el porqué de esta afirmación.
El apartado 2º del artículo 20 LOPD 2.0, que nos dice que
Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la consideración de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido en el artículo 26 del Reglamento (UE) 2016/679.
Y en ese artículo 26 RGPD se establece lo siguiente
1.Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados.
2.El acuerdo indicado en el apartado 1 reflejará debidamente las funciones y relaciones respectivas de los corresponsables en relación con los interesados. Se pondrán a disposición del interesado los aspectos esenciales del acuerdo.
Sentado lo anterior, cabe argumentar que eso está muy bien, pero que en España hay más de un fichero de solvencia patrimonial y crédito, lo que podría suponer que, aunque las entidades asociadas a éstos pudieran ser los mismas en cada sistema, el contenido de esa autorregulación puede pactarse en términos diferentes con cada responsable del sistema de información, con lo que, por mucho que esos acuerdos se hagan públicos, puede suponer un serio quebradero de cabeza para los afectados, frente a la seguridad de la fijación de las mismas reglas del juego actualmente en el RDLOPD.
Esa circunstancia se podría solventar, y entiendo que así se hará, por una de las dos siguientes vías:
-a) Haciendo una regulación expresa de estas cuestiones en la LOPD 2.0, modificando su contenido durante su tramitación parlamentaria.
-b) Mediante la elaboración de un código de conducta previsto en el artículo 40 del RGPD por parte de los titulares de ficheros de solvencia que unifique procedimientos y protocolos.
¿Y mientras tanto? Pues entiendo que en tanto no se apruebe y entre en vigor la LOPD 2.0 continuará vigente la Ley Orgánica 15/1999 y su Reglamento de Desarrollo en aquello que no sea contrario al RGPD, de forma que el ejercicio de derechos en relación con un sistema de información del solvencia se conducirá por cómo esta previsto en el RDLOPD hoy en dia, si bien habrá que hacer encaje de bolillos, porque, por ejemplo, los plazos de atención no son los mismos en el RGPD, y hay nuevos derechos que atender. Es cierto que de no optarse por -a) para poder elaborar un código de conducta y someterlo a futura aprobación por la AGPD habría que saber cuál es el contenido final de la LOPD 2.0 y, en consecuencia, esperar a su definitiva aprobación, pero su entrada en vigor implicaría que la normativa española actual quedará derogada (salvo que expresamente se salve alguna parte), lo que supondría que no podrían aplicarse las soluciones del RDLOPD en tanto se aprobara definitivamente el código, pero si se han desarrollado los acuerdos previstos en el artículo 26 del RGPD por cada sistema se evitaría ese vacío.
¿Y si hay códigos tipo vigentes a fecha de entrada en vigor de la LOPD 2.0?
Ese es el caso de ASNEF (Asociación Nacional de Establecimientos Financieros de Crédito), que aprobó su código tipo en 2014. En este caso, la disposición transitoria segunda de la LOPD 2.0 los mantiene vigentes durante un año a contar desde la entrada en vigor de la nueva ley, siempre y cuando dentro de ese período se adapte su contenido al artículo 40 del RGPD, bajo advertencia de cancelar la inscripción de no hacerlo.
Y hasta aquí llego, agradeciendo el interés de los valientes que han aguantado hasta el final y rogando que deje su comentario y opinión, ya que, como siempre, lo más valioso de este blog son las aportaciones de sus seguidores.
www.alfonsopachecocifuentes.es
a.pacheco@icaib.org
Foto: “Two Euros”, de MTSOfan.
« ¿Quieres robar en tu empresa, pero tiene cámaras de videovigilancia? Hazlo en gayumbos y viva el derecho a la intimidad.	» Las enmiendas de los Grupos Parlamentarios a la LOPD 2.0
17 de abril de 2018	@ 10:00
Magnífico artículo sobre el tema, Alfonso, realmente brillante. A mí me preocupa mucho el hecho de que se pueda mantener la redacción con relación a que la deuda sea “no discutida”. Gracias
Blog de Jorge Garcia VIDEOVIGILANCIA Y RGPD (II) CONTROL LABORAL - Blog de Jorge Garcia
23 de abril de 2018	@ 07:54
[…] Asumo la misma humilde postura que el notable Alfonso Pacheco en su blog Privacidad Lógica, cuando se hace preguntas sobre cómo quedará el nuev…. […]
6 de mayo de 2018	@ 01:55
El enlace “como documentar el requerimiento previo de pago..”, responde:
12 de mayo de 2018	@ 16:48
El código tipo de ASNEF, corresponde a su fichero ASNEF PROTECCIÓN, distinto del fichero ASNEF de “morosos”.
4 de junio de 2018	@ 01:23
Gracias por el profuso artículo. Entiende usted, pues, que si la deuda está siendo combatida en los tribunales podría ser motivo suficiente para solicitar la baja en el fichero de morosidad?
14 de junio de 2018	@ 11:29
Adjunto enlace a reciente sentencia que quizás resulte de su interés
http://www.poderjudicial.es/search/contenidos.action?action=contentpdf&databasematch=TS&reference=8337053&links=%223166%2F2017%22%20%22174%2F2018%22&optimize=20180403&publicinterface=true
21 de junio de 2018	@ 11:19
Soberbio, ligero y fácil de entender. Me ha resuelto muchas dudas. Se agradece la existencia de estos post.
20 de julio de 2019	@ 14:22
Y que sucede con las listas que Hacienda hace públicas con los deudores, ahí publican datos personales, es eso legal dentro de la regulación europea del RGDP? Muchas gracias saludos.
Responder a Xavier Queron Cancelar

References: artículo 20
 artículo 6
 artículo 20
 artículo 20
 Real Decreto 
 resolución 
 artículo 4
 artículo 38
 artículo 39
 artículo 20
 artículo 20
 artículo 20
 artículo 20
 artículo 26
 artículo 26
 artículo 40
 artículo 26
 artículo 40