Capitalizar sin Poseer: Guía Empresarial y Jurisprudencial sobre la Verdadera Titularidad y Rentabilidad de los Datos. (Serie Protección de Datos I)

Última actualización: 20 de julio de 2026.

Respuesta rápida. En el ordenamiento español, los datos personales no son una mercancía que la empresa pueda poseer: el único titular del derecho es la persona física de la que se recogen. La compañía es “responsable del fichero” y decide su finalidad, pero no es dueña de la información. Solo los datos agregados y anonimizados generan un activo mercantil propio (derecho sui generis, art. 133 LPI). Esta guía reúne 10 claves con jurisprudencia del TC, el TS y resoluciones de la AEPD. (Actualizado a julio de 2026.)

Documento Estratégico: Los 10 Conocimientos Esenciales sobre la “Propiedad de los Datos” en la Empresa

Existe un error de concepto frecuente en el ámbito empresarial: creer que las bases de datos de clientes, empleados o usuarios “pertenecen” a la compañía. Para evitar riesgos legales y al mismo tiempo proteger sus inversiones tecnológicas, el empresario debe dominar los siguientes 10 conocimientos fundamentales sobre quién es el verdadero propietario de los datos, avalados por la legislación, la jurisprudencia y la Agencia Española de Protección de Datos (AEPD).

1. No existe la “propiedad comercial” sobre los datos personales

En el ordenamiento jurídico español, los datos personales no son una mercancía que pueda comprarse, venderse o poseerse de forma absoluta por una empresa. El titular y único “dueño” del derecho es siempre la persona física de la que se recogen los datos.

• Jurisprudencia: Tribunal Constitucional, Pleno, Sentencia núm. 292/2000, de 30 de noviembre de 2000.

2. La propiedad se traduce en un “poder de disposición y control”

La protección de datos es un derecho fundamental autónomo (distinto al de la intimidad) que no otorga un título de propiedad clásico, sino un poder de disposición y control sobre la propia información. Es el ciudadano, y no la empresa, quien conserva el poder absoluto de decidir qué se hace con sus datos, pudiendo oponerse a su uso o exigir su cese.

• Jurisprudencia: Tribunal Supremo, Sala Primera, Sentencia núm. 318/2022, de 20 de abril de 2022.
• Jurisprudencia: Tribunal Supremo, Sala Primera (Pleno), Sentencia núm. 383/2025, de 13 de marzo de 2025.

3. La empresa es “titular del fichero”, pero no dueña de la información

Existe una diferencia radical entre gestionar una base de datos y ser dueño de su contenido. La empresa se erige como la “propietaria del fichero” (en términos de gestión como Responsable del Tratamiento) y decide sobre su finalidad, pero el “poder de disposición” de los datos que alberga corresponde únicamente al afectado.

• AEPD: Resolución de Archivo E/00250/2012, del año 2012.

4. Omitir información usurpa la propiedad (el control) del usuario

El empresario no puede ejercer tratamientos sin informar al ciudadano, independientemente de que el origen de los datos sea una publicación oficial o pública. Omitir la información previa genera un “vicio del consentimiento” y frustra la facultad del interesado de controlar (ejercer su propiedad sobre) el destino de sus datos.

• AEPD: Resolución de Sanción R/01580/2010 (Expediente PS/00102/2010), de 26 de julio de 2010.
• AEPD: Resolución de Sanción R/01520/2010 (Expediente PS/00730/2009), de 7 de julio de 2010.

5. Estructurar datos ajenos implica asumir responsabilidad frente a su dueño

Incluso si una empresa recibe datos de otra entidad o de una fuente pública para prestar un servicio (como una farmacia que recibe datos de salud de geriátricos), si el empresario realiza actos propios de estructuración u organización, está provocando una “pérdida de control y disposición” del titular sobre su información. Por tanto, asume la responsabilidad directa frente al ciudadano.

• AEPD: Resoluciones de Sanción EXP202414356 (Expediente PS/00177/2025) y EXP202414366 (Expediente PS/00190/2025), ambas de 26 de marzo de 2025.

6. En datos de salud, el propietario exige “trazabilidad total”

Tratándose de bases de datos extremadamente sensibles (como historias clínicas), el “dueño” de los datos tiene un estándar de transparencia reforzado. El derecho de acceso se configura como un “poder de control personalísimo” mediante el cual el titular tiene derecho a conocer la trazabilidad exacta (identidad de los profesionales, fecha y motivos) de quiénes han consultado sus datos dentro del sistema de la empresa o administración.

• AEPD: Resolución PD-00068-2026 (Expediente EXP202518019), acuerdo de 10 de marzo de 2026.

7. Tecnologías invasivas (biometría): No se puede expropiar la identidad física

La empresa nunca adquiere el derecho a imponer o comerciar con las “plantillas matemáticas” de las huellas o rostros de sus clientes o empleados. Si se impone un sistema biométrico obligatorio sin alternativa tradicional, se anula por completo el control del usuario sobre sus datos más íntimos, constituyendo una infracción grave, ya que el ciudadano es el único dueño de su biometría.

• AEPD: Resolución de Sanción EXP202313347 (Expediente PS/00289/2024), de 20 de mayo de 2025

8. El derecho a la “calidad de los datos” como manifestación de propiedad

El control que ejerce el titular sobre sus datos exige que estos sean rigurosamente veraces. Si la empresa mantiene información inexacta (por ejemplo, identidades falsas en tarjetas prepago), está vulnerando el principio de calidad y perjudicando el dominio del ciudadano sobre su representación pública o su reputación financiera.

• AEPD: Resolución de Sanción R/03379/2015 (Expediente PS/00518/2015), sanción del año 2015.
• Jurisprudencia: Tribunal Supremo, Sala de lo Contencioso-Administrativo, Sentencias núm. 121/2019 de 5 de febrero de 2019, y núm. 1690/2019 de 10 de diciembre de 2019.

9. El Big Data y la agregación SÍ generan un derecho de propiedad mercantil

Aunque el dato individual pertenece a la persona física, cuando la empresa agrega de forma masiva miles de datos y los anonimiza (eliminando cualquier vínculo con el individuo), esa información “macro” queda excluida de la normativa de protección de datos. La inteligencia de negocio y las tendencias creadas generan un activo protegible a favor de la empresa que realizó la inversión técnica y financiera.

• Normativa: Ley de Propiedad Intelectual, Artículo 133 (Derecho Sui Generis sobre Bases de Datos).
• Fuente: Nota Jurídica “Tratamiento y Propiedad de los Datos” (ILP Abogados).

10. Los informes predictivos son “Secretos Empresariales” de la compañía

Como resultado de la propiedad sobre el Big Data, los algoritmos y los informes predictivos creados mediante el análisis masivo de datos de los usuarios (por ejemplo, en plataformas intermediarias) son propiedad de la plataforma creadora. Ni los usuarios individuales ni las entidades colaboradoras (franquicias, asociados) pueden reclamar derechos sobre la información global de la red.

• Normativa: Ley 1/2019, de 20 de febrero, de Secretos Empresariales.
• Fuente: Nota Jurídica “Tratamiento y Propiedad de los Datos” (ILP Abogados).

Trazar la frontera entre el poder de disposición del titular y el activo mercantil que la empresa sí puede capitalizar es exactamente el terreno en el que trabajamos desde nuestra práctica de protección de datos, y el hilo que recorre estas diez claves.

¿Estás monetizando datos que legalmente no te pertenecen? Te ayudamos a separar qué información puedes explotar como activo y qué sigue siendo del titular, y a construir la base jurídica para hacerlo sin riesgo. Escríbenos y lo vemos.

Preguntas frecuentes

Contacto
No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.