FAQ · Artículo 14 RGPD y datos obtenidos de fuentes distintas del interesado. (Serie Protección de Datos III).

Última actualización: 27 de julio de 2026.

Respuesta rápida. Cuando obtienes datos personales de una fuente distinta del propio interesado (un tercero, un registro público, un data broker), el artículo 14 del RGPD te obliga a informarle: quién eres, qué datos tratas, con qué fin, la base jurídica y de dónde los obtuviste. El plazo es de un mes como máximo (o antes si vas a comunicarlos o a contactar al interesado). Solo unas pocas excepciones tasadas eximen de este deber. Esta guía reúne más de 70 preguntas con la doctrina de la AEPD y el CEPD. (Actualizado a julio de 2026.)

Introducción

Enriquecimiento de datos, scoring, elaboración de perfiles y mercadotecnia: guía práctica de cumplimiento para responsables, DPO y asesores jurídicos 70 preguntas y respuestas sobre el artículo 14 RGPD para empresas que compran, cruzan y explotan datos Advertencia metodológica sobre las fuentes: Este FAQ se apoya en: (i) el texto del art. 14 RGPD y sus considerandos (60-62, y 47, 48 y 70), el art. 12 RGPD, la LOPDGDD (arts. 11, 20, 72.1.hy 74.a) y las Directrices de transparencia WP260 rev.01 del GT29/CEPD; (ii) las resoluciones sancionadoras de la AEPD analizadas — PS/00240/2019 ((***), SA, 1.000.000 €, con infracción expresa del art. 14), PS/00070/2019, PS/00477/2019; PS/00021/2021, PS/00587/2021 ((***), arts. 5.1.fy 32) y PS/00331/2022; y (iii) las tres resoluciones judiciales aportadas y leídas íntegramente: STS (Sala 3.ª) 1620/2020, de 26-11-2020, STS (Sala 1.ª) 333/2026, de 3-3-2026 y SAN de 28-4-2022, rec. 392/2021 (notificaciones electrónicas y firmeza). Se recuerda, por rigor, que las resoluciones PS/00021/2021, PS/00587/2021 y PS/00331/2022 no sancionan el art. 14: se utilizan aquí por su valor doctrinal en materias relacionadas (tratamientos originados sin contacto con el afectado, seguridad y diseño).

1. Bloque 1: Obligaciones generales de información y transparencia

(art. 14)

P1.1. ¿Cuándo se aplica el art. 14 en lugar del art. 13?

Siempre que los datos no se hayan obtenido del propio interesado: compra o alquiler de bases de datos, cesiones entre empresas, captación de boletines y registros, scraping, datos comunicados por un acreedor, datos aportados por otra persona (un familiar, un empleador, un suplantador) y, conforme al criterio de transparencia de WP260, datos inferidos o creados por el responsable (perfiles, scores). La regla práctica: si el interesado no presenta la recogida, rige el art. 14.

P1.2. ¿Qué información exige exactamente el art. 14 que no exige el art. 13?

Tres elementos diferenciales: las categorías de datos tratados (14.1.d — el afectado no sabe qué se recogió sobre él), la fuente de la que proceden y si es de acceso público (14.2.f), y —común con el 13 pero aquí crítica— la identificación de los intereses legítimos concretos cuando la base es el art. 6.1.f (14.2.b). La AEPD sancionó a XXX(PS/00070/2019) y YYY (PS/00477/2019) con 2 M€ a cada una, entre otras razones, por informar de estos extremos de forma genérica e imprecisa.

P1.3. ¿En qué plazo hay que informar?

Tres relojes corren a la vez y vence el primero (art. 14.3): (a) plazo razonable, máximo un mes desde la obtención; (b) si los datos se usarán para comunicarse con el interesado, a más tardar en la primera comunicación; (c) si está prevista su cesión, a más tardar en la primera comunicación a otro destinatario. En el caso EEE (PS/00240/2019) los datos del Fichero de Incidencias Judiciales fueron consultados por bancos sin que el afectado hubiera sido informado jamás: infracción consumada.

P1.4. ¿Cómo debe ser la información: basta con publicar una política de privacidad en la web?

No. El art. 12 exige información concisa, transparente, inteligible, de fácil acceso y en lenguaje claro, y el art. 14 exige facilitarla al interesado, no dejarla disponible por si la busca. La publicación en la web es una medida complementaria (y compensatoria en el supuesto excepcional del 14.5.b), no el cauce ordinario. El cauce ordinario es una comunicación dirigida (carta, correo electrónico, SMS con enlace a la información completa).

P1.5. ¿Es válida la información “por capas”?

Sí: primera capa con la información básica (identidad del responsable, finalidad, ejercicio de derechos, y —clave en art. 14— la fuente y las categorías de datos) y remisión a la información completa (art. 11 LOPDGDD y WP260). La capa uno no puede omitir nada esencial ni contradecir la capa dos: la heterogeneidad entre canales fue reprochada a la banca en las resoluciones citadas.

P1.6. Si varias empresas intervienen (cedente, cesionario, plataforma), ¿quién debe informar?

Cada responsable de su propio tratamiento. El cedente informa (art. 13 o 14, según cómo obtuvo el dato) de la cesión y de los destinatarios; el cesionario debe informar por el art. 14 en sus propios plazos, sin poder descansar en que “ya informó el que me los vendieron”, salvo prueba de que el interesado ya dispone de toda la información exigible sobre el nuevo tratamiento (14.5.a). Si hay corresponsabilidad (art. 26), el acuerdo debe asignar quién informa, pero frente al interesado responden ambos.

P1.7. ¿Puedo delegar la obligación de informar en mi red comercial, en un encargado o en el proveedor del dato?

Puede delegar la ejecución material, nunca la responsabilidad. La doctrina de la no delegabilidad se aplicó con dureza en la línea del fraude de SIM: XXX respondió por los fallos de verificación de sus distribuidores (PS/00021/2021, 900.000 €). Traslade el estándar: si su proveedor de datos “se comprometió a informar” y no lo hizo, la sanción será para usted.

P1.8. ¿Cómo pruebo que informé?

La carga de la prueba le corresponde a usted (art. 5.2, responsabilidad proactiva). Conserve: censo de destinatarios, texto exacto de cada versión de la cláusula, canal, fecha de envío y evidencia de entrega. Sin ese registro, la defensa en un procedimiento sancionador es prácticamente inviable. A diferencia de la seguridad —donde el TS ha matizado que es obligación de medios—, informar es una obligación de resultado verificable. ⚠️Alto riesgo. No informar en absoluto es infracción muy grave (art. 72.1.h LOPDGDD, prescripción a los 3 años); informar de manera incompleta es leve (74.a), pero “leve” no significa barato: las multas de (***), SA y (***), SA por defectos de información fueron de 2.000.000 € cada una.

2. Bloque 2: Fuentes de obtención y su impacto en el deber de informar

P2.1. Los datos estaban en un boletín oficial o en un registro público: ¿tengo que informar igualmente?

Sí, siempre. La publicidad de la fuente no es ninguna de las cuatro excepciones del art. 14,5; al contrario, el 14.2.f obliga a declarar expresamente que el dato procede de una fuente de acceso público. Es la doctrina central de la resolución (***), SA (PS/00240/2019): multa de 1 M€, prohibición del tratamiento y orden de supresión del fichero. Bajo la LOPD 1999 existía un régimen más benigno para los ficheros de fuentes públicas (art. 29.1), que la STS 333/2026 se aplica todavía a inclusiones antiguas; Ese régimen no existe en el RGPD.

P2.2. ¿Y si el dato lo publicó una Administración con una finalidad concreta (una notificación edictal, una lista de deudores)?

Peor aún: además del deber de informar, su reutilización para otra finalidad (solvencia, marketing, inteligencia comercial) debe superar la prueba de compatibilidad del art. 6.4 y respetar la limitación de la finalidad (5.1.b). La AEPD demostró incompatible convertir publicaciones edictales —cuya finalidad es notificación garantizando la tutela judicial— en un fichero de solvencia, con el agravante de inexactitud (se anotaba “deuda” sin cuantía, origen ni estado, art. 5.1.d).

P2.3. ¿Puedo comprar “listas comerciales” o bases de datos de un data broker?

Solo con una diligencia debida documentada: origen lícito de cada registro, base jurídica del cedente, texto informativo que este facilitó (¿mencionaba la cesión a empresas como la suya, identificadas o por categorías?), fecha de recogida y canal para ejercer derechos. Y aún así, usted debe cumplir su propio art. 14: informar antes de un mes o del primer uso. Comprar la lista no compra el cumplimiento.

P2.4. ¿Puedo usar datos extraídos de redes sociales o de la web abierta (scraping)?

Que un perfil sea público no convierte los datos en libremente reutilizables: sigue necesitando base jurídica (un interés legítimo difícilmente prevalente para captación masiva), prueba de compatibilidad respecto de la finalidad con la que la persona publicada, y cumplimiento del art. 14 respecto de cada afectado. A escala, esto es casi siempre inviable: la excepción de esfuerzo desproporcionado no se concede por el mero volumen (P9.3).

P2.5. ¿Qué pasa con las cesiones dentro de mi grupo empresarial?

El considerando 48 reconoce un interés posible legítimo en la transmisión intragrupo con fines administrativos internos, pero no dispensa de nada: la entidad receptora obtiene datos “no del interesado” y debe cumplir el art. 14, y la cedente debía anunciar esoss destinatarios. La vision “cliente único de grupo” sin capa informativa que la explique es exactamente el patrón sancionado a la banca.

P2.6. Ejemplo sectorial — agregador de farmacias.

Una plataforma que recibe pedidos y los transmite a farmacias adheridas genera dos flujos de arte. 14: la farmacia recibe datos del cliente que no la reconoce (debe informar en la primera dispensación o comunicación) y el agregador puede recibir de las farmacias historiales de compra para análisis. Si el historial revela medicación, hay datos de salud (art. 9): la base no puede ser un simple interés legítimo, el enriquecimiento comercial está en principio vetado sin consentimiento explícito, y el estándar de seguridad exigible es el reforzado que recuerda PS/00587/2021 para datos sanitarios. Defina por contrato quién es responsable, corresponsable o encargado de cada flujo y quién informa de qué.

P2.7. Ejemplo sectorial — gimnasio con wearables.

El gimnasio que recibe del fabricante del dispositivo (o de su app) las métricas del cliente —pulsaciones, sueño, actividad— obtiene datos de un tercero (art. 14) y además de salud (art. 9): necesita consentimiento explícito para fines que exceden el servicio contratado, información específica sobre categorías de datos, fuente (el proveedor del wearable) y perfiles que elabora (“score de forma física”, riesgo de baja). Usar esas métricas para marketing de suplementos o para primas de seguros ajenas al contrato es un tratamiento ulterior que exige prueba de compatibilidad e información previa (14.4) — y probablemente nuevo consentimiento.

P2.8. Un tercero contrató un servicio dando los datos de otra persona (o suplantándola). ¿Qué régimen se aplica?

Es el reverso extremo del art. 14: la víctima nunca fue fuente ni fue informada. La AEPD sanciona estos casos por falta de base jurídica (art. 6.1) o por fallo de las medidas de verificación de identidad (art. 5.1.f): (***), SA, 900.000 € por duplicados de SIM emitidos sin verificación suficiente (PS/00021/2021), en una línea que incluye multas millonarias a otras operadoras. Implant verificación reforzada de identidad en contrataciones no presenciales y protocolos vinculantes con la red de distribución. Checklist de alta de una nueva fuente de datos Identificar la fuente y clasificarla (interesado / cedente privado / fuente pública / inferencia / grupo). Verificar base jurídica propia y del cedente; obtener por contrato evidencias de la información dada en origen. Ejecutar la prueba de compatibilidad (6.4) si la finalidad difiere de la original. Programar la comunicación del arte. 14 antes del primer uso o cesión y, en todo caso, antes de 30 días. Registrar la fuente en el Registro de Actividades y en la cláusula informativa (14.2.f).

3. Bloque 3: Enriquecimiento de datos y fusión de bases de datos

P3.1. ¿”Enriquecer” mi CRM con datos externos es un tratamiento nuevo?

Sí, y doblemente: es una recogida indirecta (art. 14) y, respecto de la finalidad con que la fuente reconoció el dato, un tratamiento ulterior (art. 6.4 + 14.4). Debe superar la prueba de compatibilidad, informarse antes de ejecutarlo, actualizar la cláusula informativa (nuevas categorías y nueva fuente) y verificar la exactitud del dato importado (5.1.d). P3.2. ¿Qué suele fallar en la práctica en los proyectos de enriquecimiento? Cuatro patrones sancionados: (i) darse cuenta por informado con la política genérica de la web (XXX); (ii) asumir que el dato público no exige nada (XXX); (iii) enriquecer primero e informar después “si alguien pregunta” (vulnera 14.3 y 14.4); (iv) perder el contexto del dato al importarlo (una “deuda” sin cuantía ni estado: inexactitud del 5.1.d, reprochada en PS/00240/2019 y determinante también en la discusión civil de la STS 333/2026).

P3.3. ¿Puedo fusionar la base de clientes de una empresa adquirida con la mía?

La operación social no transferirá el cumplimiento. Auditoría previa (qué se informó, con qué base, qué finalidades), comunicación de art. 14 de la nueva responsabilidad a todos los afectados antes de usar los datos, y prueba de compatibilidad si las finalidades cambian. Es además el momento de depurar consentimientos no acreditables: recuerde que la carga de probar el consentimiento es de quien trata (doctrina reiterada que recoge la STS 26-11-2020).

P3.4. ¿Y cruzar mis propias bases internas (clientes + web + app + tienda)?

Si todo se recogió del interesado con información que anunciaba la visión única de cliente, es art. 13 actualizado. Si algún flujo vino de terceros (p. ej., datos del wearable del gimnasio, pedidos vía agregador de farmacias), ese flujo arrastra el art. 14. El cruce que genere datos nuevos inferidos (hábitos, propensiones) debe declararse como categoría de datos y, si alimenta decisiones automatizadas, active el 14.2.g.

P3.5. ¿Qué debo exigir por contrato a mi proveedor de enriquecimiento?

Origen y licitud de cada campo; copia literal de las cláusulas informativas usadas en la recogida; garantía de que su empresa figuraba como destinatario (identificado o por categoría inequívoca); mecanismo de sincronización de supresiones y oposiciones (art. 19); indemnización. Y aun con todo firmado, planifique su propia comunicación del art. 14: el contrato le protege económicamente, no administrativamente. ⚠️Alto riesgo. El poder correctivo del art. 58.2.fyg permite a la AEPD prohibir el tratamiento y ordenar la supresión del dataset enriquecido, como hizo con el FIJ de (***), SA: la pérdida del activo suele costar más que la multa.

4. Bloque 4: Scoring y evaluación automatizada

P4.1. ¿El puntaje que calcula sobre una persona es un “dato personal” del que debe informar?

Sí: es un dato creado por usted, no obtenido del interesado, y debe aparecer entre las categorías de datos de su cláusula (14.1.d) junto con la existencia del perfilado y la lógica aplicada (14.2.g). Ocultar los datos inferidos fue uno de los defectos informativos apreciados a la banca.

P4.2. ¿Cuándo un scoring es una “decisión automatizada” del art. 22?

Tras la STJUE de 7-12-2023 (SCHUFA, C-634/21), cuando el puntaje se comunica a un tercero que lo sigue de forma determinante (conceder o no el crédito, el contrato, la política), la elaboración misma del puntaje es la decisión: exige base cualificada (22.2), información significativa sobre la lógica, importancia y consecuencias, y derecho a intervención humana.

P4.3. ¿Qué exige además el Derecho español al scoring de solvencia negativa?

El arte. 20 LOPDGDD: deuda cierta, vencida y exigible no controvertida, requerimiento previo de pago, información al afectado de la posible inclusión en la recogida y comunicación de la inclusión en 30 días, y máximo cinco años de conservación. Ojo al régimen temporal: para inclusiones anteriores a 2018 la Sala Primera aplica la LOPD 1999 y distingue los ficheros de acreedores (29.2, con todos esos requisitos) de los de fuentes públicas (29.1, sin ellos) — STS 434/2023 y STS 333/2026. Para inclusiones actuales, el estándar es el del RGPD + art. 20 LOPDGDD, sin la vía de escape del 29.1.

P4.4. ¿Puedo construir evaluaciones comerciales (propensión de compra, riesgo de baja) sobre datos enriquecidos?

Solo si: la fuente externa era compatible (6.4), informado de su empresa como destinataria, usted cumplió el art. 14 antes de puntuar, la cláusula declara el perfilado y su lógica, y el interesado puede oponerse con un clic (art. 21; si el puntaje alimenta mercadotecnia, oposición incondicionada, P6.2). Ejemplo gimnasio: un “índice de abandono” calculado con datos del wearable añade la capa art. 9 — consentimiento explícito.

P4.5. ¿Qué significa “información significativa sobre la lógica aplicada”?

No la fórmula ni el código, pero sí: variables principales utilizadas, su procedencia, el sentido de su influencia, el rango del puntaje y las consecuencias prácticas (qué decisiones condicionan). “Utilizamos algoritmos avanzados” es exactamente el tipo de vaguedad sancionada como defecto de transparencia.

5. Bloque 5: Elaboración de perfiles y decisiones automatizadas

P5.1. ¿Todo perfilado está sometido al art. 22?

No. Perfilar (art. 4.4) es lícito con base jurídica, transparencia y derechos; el arte. 22 solo se aplica a decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativos. Pero todo perfilado, esté o no en el 22, debe declararse (14.2.g primera parte) y soportar el derecho de oposición del 21.1 con ponderación, o del 21.2 sin ella si sirve a mercadotecnia.

P5.2. ¿La “intervención humana” me saca del art. 22?

Solo si es real: alguien con competencia y autoridad para cambiar el resultado, que valora más elementos que el propio puntaje. Un empleado que pulsa “aceptar” sobre la recomendación del sistema no es intervención humana; y tras SCHUFA, si su puntuación externa determina de facto la decisión del cliente final, la responsabilidad del 22 alcanza a quien lo elabora.

P5.3. ¿Cuándo necesito una DPIA para perfilado?

Siempre que haya evaluación sistemática y exhaustiva con efectos significativos, observación a gran escala, datos sensibles o cruce de fuentes (art. 35.3 y lista de la AEPD): el enriquecimiento masivo + scoring entra casi siempre. La DPIA debe examinar expresamente cómo se cumplirá el art. 14 (cauce, plazo, prueba); su ausencia agrava la culpabilidad en un expediente.

P5.4. Ejemplo — farmacia/agregador.

Un perfil de “adherencia al tratamiento” o de “cliente crónico” construido con historiales de dispensación es perfilado con datos de salud: consentimiento explícito (9.2.a), información reforzada, DPIA obligatoria y prohibición práctica de su uso publicitario sin ese consentimiento. La sanción a la (***) (PS/00587/2021) recuerda el estándar de protección que los datos sanitarios exigen incluso frente a accesos indebidos.

6. Bloque 6: Mercadotecnia directa, publicidad y segmentación

P6.1. ¿Puedo hacer mercadotecnia directa basándome en el interés legítimo, sin consentimiento?

Depende del canal y del cumplimiento informativo. El TS (STS 1620/2020, asunto (***), SL) fijó la doctrina: el considerando 47 no crea una presunción de licitud; el interés legítimo exige evaluación meticulosa caso a caso atenta a las expectativas razonables del interesado, y solo funciona si el responsable prueba que comunicó los intereses legítimos concretos y el derecho de oposición de forma explícita, clara y separada (considerando 70, arts. 13/14 y 21). Sin esa prueba, el tratamiento es ilícito — así se confirma la multa de 60.000 € a (***), SL y se rechaza la retroactividad favorable del RGPD.

P6.2. ¿Qué particularidad tiene la oposición en marketing?

Es incondicionada: ejercida la oposición, cesa el tratamiento con multas de mercadotecnia sin ponderación posible (21.2-21.3), incluido el perfilado asociado. Debe ofrecerse gratuitamente, en cualquier momento, y comunicarse al margen de cualquier otra información. Conservar los datos mínimos para respetar la exclusión (lista de supresión interna).

P6.3. ¿Y las listas de exclusión publicitaria (tipo “Robinson”)?

El arte. 23 LOPDGDD obliga a consultar los sistemas de exclusión antes de cada campaña a no-clientes. No consultarlos destruye por sí solo la ponderación del interés legítimo.

P6.4. Email y SMS: ¿basta el RGPD?

No: se suma el art. 21 LSSI — las comunicaciones comerciales electrónicas exigen consentimiento previo, salvo a clientes propios respecto de productos similares a los ya contratados, siempre con opción de baja en cada envío. Una lista comprada para emailing masivo incumple simultáneamente LSSI, art. 6 años arte. 14: triple frente sancionador.

P6.5. Contraté a una agencia para la campaña: ¿quién responde?

Quien fija los parámetros de segmentación del público objetivo es responsable del tratamiento; el anunciante que encarga la campaña debe además asegurarse de que la base usada se recabó lícitamente. En (***), SL, la AN y el TS confirmaron —vía prueba de indicios— que la supuesta “encargada” era en realidad responsable, levantando el velo de un entramado de sociedades. Los contratos no re-etiquetan la realidad.

P6.6. ¿Puedo subir mi base de clientes a una red social para crear audiencias personalizadas o similares?

Solo si su cláusula informativa anunció esa comunicación de datos a la plataforma (destinatario identificado), con base jurídica adecuada (para emparejamiento con emails, consentimiento como estándar prudente) y acuerdo de corresponsabilidad con la plataforma. Las “audiencias similares” implican además perfilado sobre terceros que nunca le dieron datos: exíjale a la plataforma la cobertura del arte. 14 y documente el reparto.

P6.7. Ejemplo — gimnasio.

Enviar a antiguos socios una oferta de reingreso: interés legítimo defendible (relación previa, expectativa razonable) si al recogerse los datos se informados del uso comercial, se respeta la LSSI (eran clientes; producto similar), se consulta la lista de exclusión y cada envío lleva baja inmediata. Enviarles ofertas de una aseguradora “partner” usando su índice de actividad del wearable: cesión + dato de salud + finalidad nueva = consentimiento explícito o nada.

7. Bloque 7: Legitimación y su relación con la transparencia

P7.1. ¿Qué relación hay entre base jurídica (art. 6) y deber de informar (art. 14)?

Son obligaciones autónomas y acumulativas: la AEPD sancionó por separado la base inadecuada (art. 6) y la información deficiente (arts. 13-14) a XXX (3 M€ + 2 M€) y ZZZ (4 M€ + 2 M€). Cumplir una no subsana la otra; incumplir la de informar, además, destruye el interés legítimo (P7.2).

P7.2. ¿Por qué se dice que el interés legítimo es una base “autoliquidable”?

Porque su validez depende de que el interesado pueda oponerse, y solo puede oponerse si fue informado. Es el razonamiento nuclear de la STS 26-11-2020: el 6.1.f leído con los considerandos 47 y 70 impone comunicar los intereses legítimos concretos y el derecho de oposición; sin esa comunicación probada, la ponderación cae y el tratamiento deviene ilícito.

P7.3. ¿Puedo apoyarme en el consentimiento que el interesado dio a mi proveedor de datos?

Solo si ese consentimiento fue informado respecto de usted: la cláusula de origen debía identificar a los cesionarios o categorías inequívocas que le incluyen, y usted debe conservar la evidencia (texto, fecha, mecanismo). Un consentimiento genérico “a terceros colaboradores” no le cubre. Y en todo caso, su art. 14 sigue pendiente.

P7.4. ¿Sirve el interés legítimo para tratar datos de fuentes públicas en solvencia o inteligencia comercial?

La STJUE ASNEF (C-468/10 y C-469/10) impide al legislador exigir categóricamente que el dato figura en fuentes públicas para admitir el interés legítimo — pero eso no convierte la fuente pública en salvoconducto: bajo el RGPD la ponderación es caso a caso, la finalidad original limita (P2.2) y la transparencia condicionada (P7.2). El resultado combinado (***), SA (administrativo) / STS 333/2026 (civil, régimen antiguo) marca la frontera temporal: lo que el 29.1 LOPD toleraba, el RGPD lo somete a información y compatibilidad plenas.

8. Bloque 8: Ejercicio de derechos en estos contextos

P8.1. ¿Qué debo responder a un acceso (art. 15) sobre datos que compré?

Todo lo del 15.1, incluida la letra g): la información disponible sobre el origen de los datos. “No consta la fuente” equivale a confesar el incumplimiento del 14.2.fy del registro de actividades. Incluya también los datos inferidos (partituras, segmentos) — son datos personales del solicitante.

P8.2. ¿Cómo gestiono la oposición o la supresión cuando el dato vino de un broker y fue cedido a otros?

Cese el tratamiento (inmediato si es marketing, 21.2), suprima si procede (17) y comunique la rectificación o supresión a cada destinatario al que cedió los datos (art. 19), informando al interesado de esos destinatarios si lo pide. Pacte con el proveedor la propagación bidireccional de bajas: es lo primero que la inspección comprueba.

P8.3. ¿El afectado puede reclamar daños además de denunciar ante la AEPD?

Sí: la vía civil por intromisión en el honor (LO 1/1982) es independiente y frecuentísima en ficheros de solvencia (indemnizaciones por daño moral). La STS 333/2026 la delimita para el régimen LOPD 1999 (fichero de fuentes públicas: sin obligación de notificación la inclusión y con presunción de veracidad de la publicación oficial — allí (***), SA ganó), pero para inclusiones bajo RGPD el parámetro civil beberá del estándar estricto (información, calidad, art. 20 LOPDGDD): la doble exposición multa + indemnizaciones en serie es real.

P8.4. ¿Qué plazos y forma rigen la respuesta a derechos?

Un mes, prorrogable dos más por complejidad (art. 12.3), gratuitamente, por medios accesibles, con identificación proporcionada del solicitante. La no reiterada atención abre un expediente casi automático: los derechos son la vía por la que los incumplimientos del 14 afloran.

9. Bloque 9: Excepciones al deber de informar y límites prácticos

P9.1. “El interesado ya dispone de la información” (14.5.a): ¿cuándo puedo invocarla?

Solo si puede probar que dispone de toda la información exigible sobre su tratamiento (responsable, multas, categorías, fuente, plazos, derechos). Que el cedente informara de su recogida no implica que informara del tratamiento de usted.

P9.2. ¿La imposibilidad o el esfuerzo desproporcionado (14.5.b) me sirven si tengo millones de registros?

Casi nunca. La excepción se pensó sobre todo para archivo, investigación y estadística (89.1); exige una ponderación documentada entre el esfuerzo y el impacto en el interesado; no concurre si dispone —o puede obtener del cedente— datos de contacto; y aun concurriendo obliga a medidas compensatorias, señaladamente hacer pública la información. (***), SA la invocó y la AEPD la rechazar: el coste de informar a gran escala es un coste del modelo de negocio.

P9.3. ¿Qué es una “ponderación documentada” del 14.5.b?

Un documento anterior, fechado, que cuantifique: nº de afectados, datos de contacto disponibles, coste real por canal, impacto del silencio en los derechos (¿podrán enterarse por otra vía?, ¿hay decisiones que les afecta?), compensatorias adoptadas y revisión periódica. Sin ese papel, la excepción es una ocurrencia defensiva, no una excepción.

P9.4. ¿Y las excepciones de previsión legal (14.5.c) y secreto profesional (14.5.d)?

La c) cubre obtenciones o comunicaciones expresamente establecidas por norma con garantías (comunicaciones a la CIRBE, obligaciones tributarias o de prevención de blanqueo — el contexto de la documentación PBC/FT que estaba detrás de la sanción a OOO, PS/00331/2022, aunque allí lo sancionado fue el diseño inseguro del canal). La d) protege el secreto profesional normativamente regulado (abogados, sanitarios): la farmacia no puede usarla para llamar sus tratamientos comerciales, solo para no revelar lo cubierto por su deber de sigilo.

P9.5. ¿Existe la excepción de “dato de fuente pública”?

No. Insistimos porque es el error más caro del mercado: no está en el 14.5 y su invocación ha costado un millón de euros y un fichero entero (PS/00240/2019).

10. Bloque 10: Documentación, registros, EIPD y medidas de cumplimiento

Nota: Una DPIA (por sus siglas en inglés, Data Protection Impact Assessment), conocida en español como EIPD(Evaluación de Impacto en la Protección de Datos), es un proceso preventivo diseñado para identificar, evaluar y minimizar los riesgos que un proyecto o tratamiento de datos puede causar a la privacidad de las personas. Está contemplada en el Artículo 35 del RGPD (Reglamento General de Protección de Datos) y su objetivo principal no es evaluar los riesgos para la empresa, sino los riesgos para los derechos, libertades y la intimidad de los titulares de los datos.

P10.1. ¿Qué debe reflejar mi Registro de Actividades (art. 30) en tratamientos de fuente externa?

Por cada actividad: la fuente (con nombre), categorías de datos —incluidas las inferidas—, base jurídica por finalidad, destinatarios, plazos, y referencia a la cláusula informativa vigente y al mecanismo de entrega. La incoherencia entre RAT, cláusulas y realidad operativa es el hilo del que tira la inspección.

P10.2. ¿Qué documentación adicional exige el interés legítimo?

El test de ponderación (LIA) por tratamiento: interés concreto, necesidad, equilibrio con derechos y expectativas, salvaguardas (transparencia reforzada, oposición fácil). La STS 26-11-2020 convierte la “evaluación meticulosa” del considerando 47 en requisito operativo; sin LIA escrito, la base se presume no evaluada.

P10.3. ¿Cuándo es obligatoria la DPIA y qué debe decir sobre el art. 14?

Ante perfilado con efectos significativos, gran escala, datos sensibles o combinación de fuentes (art. 35 y lista AEPD). Debe incluir el plan de información: cauce por colectivo, plazos (matriz 14.3), texto de las capas, prueba de entrega, tratamiento de rebotados y excepciones invocadas con su ponderación.

P10.4. ¿Qué papel juega la privacidad desde el diseño (art. 25)?

Es obligación autónoma —independiente de la seguridad del 32, como subrayó la resolución XXX (PS/00331/2022, 2,5 M€)—: los flujos de enriquecimiento deben nacer con la capa informativa, la trazabilidad y la propagación de derechos construidas antes de encender el sistema, no parcheadas después.

P10.5. ¿Qué contratos necesito?

Con encargados, el art. 28 completos (instrucciones, seguridad, subencargos, auditoría). Con cedentes de datos, un contrato de cesión que documenta licitud de origen, cláusulas informativas de origen, inclusión de su empresa como destinatario, sincronización de derechos e indemnidades. Con corresponsables (plataformas, agregadores), el acuerdo del art. 26 con asignación expresa del deber de informar.

P10.6. ¿Cómo me afecta el frente procesal si llega un expediente?

Vigile el buzón electrónico: las personas jurídicas (y entes sin personalidad, como comunidades) están obligadas a relacionarse electrónicamente; la notificación no accedida en diez días vale como rechazada, los plazos corren, la resolución deviene firme y ya no se discute el fondo, solo queda la vía de apremio (SAN 28-4-2022). Muchos casos se pierden en el calendario, no en el art. 14.

11. Bloque 11: Sanciones, casos reales y lecciones aprendidas

P11.1. ¿Qué marco sancionador se aplica al incumplimiento del art. 14?

Arte. 83.5.b RGPD (hasta 20 M€ o 4 % del volumen de negocio mundial total anual, la mayor). La LOPDGDD gradúa: omisión del deber de informar = muy grave (72.1.h); información incompleta = leve (74.a). Se suman los poderes del 58.2: requerimiento, limitación, prohibición del tratamiento y supresión de los datos.

P11.2. Los casos que hay que conocer.

Caso	Infracción y medida	Lección
PS/00240/2019 (26-4-2021)	Letras. 5.1.ad, 6.1 y 14; 1.000.000 € + prohibición del FIJ + supresión	La fuente pública no exime de informar; la finalidad de la publicación limita; el activo de datos puede desaparecer.
PS/00070/2019 (11-12-2020)	Art. 6 (3 M€) + arts. 13-14 (2 M€)	La genérica informativa es infracción autónoma; declarar categorías, fuentes, intereses y perfiles.
PS/00477/2019 (13-1-2021)	Art. 6 (4 M€) + arts. 13-14 (2 M€)	Coherencia entre canales y concreción por finalidad/base.
PS/00047/2016, confirmada por STS 1620/2020	Art. 6 LOPD; 60.000 €	El interés legítimo no ampara marketing sin información y oposición probadas; los indicios bastan para señalar al verdadero responsable.
PS/00021/2021 (1-2-2022)	Art. 5.1.f; 900.000 €	Tratamientos nacidos de suplantación: verificación de identidad no delegable en la red comercial.
PS/00587/2021 (18-11-2022)	Arts. 5.1.fy 32	Estándar reforzado para datos de salud (relevante para farmacias, agregadores y wearables).
PS/00331/2022 (28-7-2023)	Arts. 25 y 32; 2.500.000 €	El diseño del flujo de datos es obligación autónoma: privacidad desde el diseño antes de operar.
STS 333/2026	Estima el recurso de XXX (régimen LOPD 1999, fichero 29.1)	La vía civil existe y es masiva; su resultado depende del régimen temporal y del tipo de fichero.
SAN 28-4-2022	Confirma vía de apremio tras firmeza	La gestión de notificaciones electrónicas es parte del cumplimiento.

P11.3. ¿Qué agrava o atenúa la multa?

Arte. 83.2: naturaleza, gravedad y duración; intencionalidad o negligencia; medidas paliativas; grado de cooperación; categorías de datos afectados; forma en que la autoridad tuvo conocimiento; beneficios obtenidos. En la práctica de los casos citados pesaron la duración, el carácter estructural (afecta a toda la operativa, no a un error puntual), el volumen de afectados y el vínculo del tratamiento con el núcleo del negocio.

P11.4. ¿Cuál es la “lección de las lecciones”?

Que el regulador no persigue la errata sino el modelo: cuando la opacidad es el presupuesto del negocio (nadie informado = nadie opuesto), la respuesta combina multa máxima, prohibición y supresión. La transparencia no es un costo del modelo: es su condición de existencia.

12. Bloque 12: Buenas prácticas, redacción y listas de verificación

P12.1. Matriz de plazos (art. 14.3) — péguela en la pared del proyecto

Hito	Debe de informar
Recepción del dataset	Como máximo, 30 días después
Primer contacto previsto con el afectado (email, SMS, carta, llamada)	En ese mismo contacto, a más tardar
Primera cesión o consulta por un tercero	Antes de esa cesión/consulta
Cambio de finalidad (nuevo uso, nueva partitura)	Antes de iniciar el nuevo tratamiento (14.4)

 

P12.2. Ejemplo de primera capa informativa (comunicación inicial a afectado no cliente)

Protección de datos. Le informamos de que [RESPONSABLE, NIF, dirección, contacto DPD] trata sus datos identificativos y de contacto obtenidos de [FUENTE concreta; indicar si es de acceso público] con la finalidad de [FINALIDAD concreta], sobre la base de [BASE JURÍDICA; si es interés legítimo: “nuestro interés legítimo en…, que puede consultar y frente al que puede oponerse”]. Sus datos [no] serán comunicados a [DESTINATARIOS]. Los conservaremos durante [PLAZO/criterio]. Puede acceder, rectificar, suprimir sus datos, oponerse —en particular, y en todo caso, al uso con fines comerciales— y ejercer los demás derechos en [CANAL sencillo], así como reclamar ante la AEPD (www.aepd.es). Información completa: [URL/anexo].

P12.3. Ejemplo de cláusula de perfilado y scoring (capa 2)

Elaboramos un perfil sobre usted que puede incluir [segmento comercial / puntuación de…], calculado a partir de [variables principales y su procedencia]. Este perfil [no] se utiliza para tomar decisiones automatizadas con efectos significativos; [si sí:] puede solicitar intervención humana, expresar su punto de vista e impugnar la decisión. Puede oponerse al perfilado en cualquier momento en [CANAL].

P12.4. Lista de verificación de campaña de mercadotecnia sobre datos de terceros

• Evidencia del origen y de la cláusula informativa de la fuente, con su empresa como destinotaria.
• LIA documentado (o consentimiento verificable si el canal lo exige — LSSI para correo electrónico/SMS a no clientes).
• Consulta previa de listas de exclusión (art. 23 LOPDGDD) con evidencia fechada.
• Comunicación del arte. 14 incorporado al primer envío, con oposición de un clic.
• Registro de entregas, bajas y su propagación al cedente y cesionarios (art. 19).

P12.5. Lista de verificación de proyecto de enriquecimiento/fusión

• Prueba de compatibilidad 6.4 firmada antes de la carga.
• Actualización del RAT, de la DPIA y de las cláusulas (nuevas categorías + fuente).
• Plan de información: colectivos, canal, calendario según la matriz 14.3, texto aprobado, prueba de entrega.
• Control de exactitud contra fuente (muestreo documentado) y contexto completo del dato (cuantía, estado, antigüedad).
• Mecanismo de supresión total del dataset si la AEPD lo ordena (aprenda de (***), SA: diseñe el “botón rojo”).

P12.6. Programa mínimo de auditoría anual

• Inventario de fuentes externas vivas y contratos asociados.
• Muestreo de afectados: ¿consta cuándo y cómo se les informa?
• Prueba de derechos: acceso simulado (¿aparece la fuente y el score?), oposición simulada (¿se propaga?).
• Revisión de excepciones 14.5 invocadas y de sus ponderaciones.
• Verificación del buzón de notificaciones electrónicas y de los apoderamientos (lección SAN 28-4-2022).

P12.7. Los cinco errores que más sanciones explican

1. Confundir “dato accesible” con “dato utilizable”.
2. Informar en genérico y solo en la web.
3. Ejecutar primero, informar después (14.3/14.4).
4. Tratar el interés legítimo como casilla y no como prueba + transparencia (STS 26-11- 2020).
5. Delegar sin controlar: proveedores, distribuidores, plataformas (art. 46 RLOPD ayer, arts. 26-28 hoy).

Glosario

ARTÍCULO 14 RGPD:

Obligación de informar que se aplica siempre que los datos no se hayan obtenido de la propia interesada, como ocurre en la compra de bases de datos, cesiones o captaciones en la web. Exige comunicar qué categorías de datos se tratan y cuál es la fuente de la que proceden.

DPIA (EVALUACIÓN DE IMPACTO EN LA PROTECCIÓN DE DATOS):

Proceso preventivo diseñado para identificar, evaluar y minimizar los riesgos que un proyecto puede causar a la privacidad y las libertades de las personas. Es obligatorio ante perfilados con efectos significativos, observación a gran escala, uso de datos sensibles o cruce de fuentes.

ENRIQUECIMIENTO DE DATOS:

Proceso consistente en agregar datos externos a sistemas propios (como un CRM). Constituye una recogida indirecta sometida a la obligación de informar y un tratamiento ulterior respecto a la finalidad con la que la fuente original recopiló la información.

INTERÉS LEGÍTIMO:

Base jurídica considerada autoliquidable, ya que su validez depende enteramente de que se haya informado de forma explícita a la interesada para que esta pueda ejercer su derecho a oponerse. Exige realizar y documentar una evaluación meticulosa o test de ponderación (LIA).

PERFILADO:

Tratamiento de datos que debe declararse en la primera capa informativa para que la interesada lo conozca. Debe soportar siempre el derecho de oposición incondicionada si se utiliza para multas de mercadotecnia.

REGISTRO DE ACTIVIDADES (RAT):

Documento interno que debe reflejar por cada actividad la fuente de los datos, las categorías tratadas (incluidas las inferidas), la base jurídica aplicable, los destinatarios, los plazos de conservación y la referencia a la cláusula informativa vigente

¿Tratas datos personales que no obtuviste directamente de las personas? El artículo 14 te obliga a informarles, y no hacerlo es sancionable. Revisamos tus procesos de captación y tus avisos de privacidad. Escríbenos y lo vemos.

Preguntas frecuentes

Contacto
No te quedes con la duda, contacta con nosotros. Estaremos encantados de atenderte y de ofrecerte soluciones.