El artículo 14 del RGPD ante los jueces y las autoridades de control (Serie Protección de Datos IV)

1.     Introducción: por qué existe el artículo 14 y qué problema resuelve

El sistema europeo de protección de datos descansa sobre una premisa: la persona solo puede controlar sus datos si sabe que alguien los está tratando. Cuando una empresa recoge los datos directamente del interesado (un formulario, un contrato, una app), esa consciencia existe de forma natural y basta con completarla (artículo 13). Pero la economía del dato funciona en gran medida a espaldas del interesado: bases de datos que se compran y se venden, ficheros de solvencia que se nutren de acreedores o de boletines oficiales, cesiones entre empresas de un mismo grupo, perfiles y puntuaciones que se calculan y se comunican a terceros, contrataciones realizadas por suplantadores con los datos de la víctima. En todos esos escenarios el afectado ignora que sus datos circulan, y esa ignorancia le impide ejercer cualquier derecho: no puede oponerse a lo que no conoce, ni rectificar el dato inexacto que nunca vio, ni reclamar ante la autoridad por un tratamiento del que no tiene noticia.

El artículo 14 RGPD es la respuesta a ese punto ciego. Impone al responsable que obtiene datos de una fuente distinta del propio interesado la obligación de buscarle y contárselo: quién es, qué datos tiene, de dónde los sacó, para qué los usará, a quién se los pasará y qué derechos puede ejercer. Es, por tanto, la pieza que convierte la transparencia en un deber activo y no en una mera cortesía, y la que determina si un modelo de negocio basado en datos de terceros (enriquecimiento, scoring, inteligencia comercial) es jurídicamente viable o no. No es casual que las mayores sanciones españolas por transparencia ((SSS), S.A., (TTT), S.A., (VVV), S.A.) y una línea entera de litigación civil por derecho al honor giren en torno a este precepto y a sus concordantes.

La consecuencia práctica del incumplimiento es triple: sanción administrativa (hasta 20 millones de euros o el 4 % del volumen de negocio mundial), poderes correctivos que pueden llegar a la prohibición del tratamiento y la supresión del fichero —la destrucción del activo de datos, como ocurrió con el Fichero de Incidencias Judiciales de (SSS), S.A.—, y responsabilidad civil por intromisión en el honor cuando el dato no informado es, además, lesivo (típicamente, la inclusión en un registro de morosidad).

2.    Texto literal del artículo 14 RGPD

1.    Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:

• La identidad y los datos de contacto del responsable y, en su caso, de su representante;
• Los datos de contacto del delegado de protección de datos, en su caso;
• Los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
• Las categorías de datos personales de que se trate;
• Los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
• En su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado.

2.     Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

• El plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
• Cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
• La existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
• Cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
• El derecho a presentar una reclamación ante una autoridad de control;
• La fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
• La existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 4

3.   El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:

• Dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
• Si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
• Si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.

4.     Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2.

5.  Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

• • El interesado ya disponga de la información;
  • La comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
  • La obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
  • Cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza
  • Claves de lectura rápida. El apartado 1 es el contenido básico; el apartado 2 añade la información de “lealtad” (destacan tres letras que no existen o son más débiles en el art. 13: la b, intereses legítimos concretos; la f, la fuente de los datos; y la g, la lógica de las decisiones automatizadas). El apartado 3 fija tres relojes alternativos y gana el que antes El apartado 4 obliga a reinformar antes de cambiar de finalidad. El apartado   5   contiene   las   cuatro   únicas   excepciones,                 todas             de   interpretación restrictiva.

3.    Normas concordantes y concomitantes: qué regula cada una y cómo se conecta con el art. 14

 3.1.   Dentro del propio RGPD

 Considerandos 60, 61 y 62. No son normas en sentido estricto sino criterios interpretativos: explican que la transparencia es exigencia de lealtad, detallan cuándo debe informarse en la obtención indirecta (c. 61) y perfilan la excepción de imposibilidad o esfuerzo desproporcionado (c. 62). Los considerandos 47, 48 y 70 completan el cuadro para el interés legítimo, las cesiones intragrupo y la mercadotecnia directa.

Artículo 12 (modalidades de la transparencia). Regula el cómo: la información de los arts. 13 y 14 debe ser concisa, transparente, inteligible, de fácil acceso, con lenguaje claro y sencillo, por escrito o medios electrónicos, gratuita, y con plazos de respuesta. Es la norma que habilita la técnica de “información por capas” y la que convierte una política de privacidad farragosa o inaccesible en incumplimiento aunque formalmente “diga todo”.

Artículo 13 (obtención directa). Es el espejo del 14. Delimitar cuál de los dos se aplica es la primera controversia práctica: define quién es la “fuente” y qué contenido adicional se debe (el 14 exige, además, categorías de datos y procedencia, porque el interesado no presenció la recogida).

Artículo 5 (principios). El 5.1.a consagra licitud, lealtad y transparencia —el art. 14 es su desarrollo—; el 5.1.b (limitación de la finalidad) es la norma que impide reutilizar para solvencia lo publicado con fines de notificación; el 5.1.d (exactitud) obliga a que el dato importado de la fuente sea fiel a ella; y el 5.2 (responsabilidad proactiva) carga al responsable con la prueba de haber informado: sin trazabilidad, la infracción se presume.

Artículo 6 (licitud) y 6.4 (compatibilidad). El 6.1 enumera las bases jurídicas; la que domina los tratamientos de datos de terceros es la letra f) (interés legítimo), que exige ponderación caso a caso. El 6.4 regula el test de compatibilidad cuando se quiere dar a los datos un fin distinto del original: es la puerta que el art. 14.4 obliga a cruzar informando previamente. Información y licitud son deberes independientes y acumulativos: cumplir uno no subsana el otro (así lo aplicó la AEPD al sancionar por separado el art. 6 y los arts. 13-14 a (TTT), S.A. y (VVV), S.A.).

Artículos 21 y 22 (oposición y decisiones automatizadas). El 21 concede el derecho a oponerse —incondicionado en mercadotecnia directa (21.2 y 21.3)— y solo es ejercitable si el interesado fue informado: es la razón funcional del art. 14 que subraya la STS de 26-11-2020. El 22 regula las decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativos (el scoring, tras la STJUE SCHUFA), y se conecta con el deber de explicar la lógica del 14.2.g.

Artículos 26 y 28 (corresponsables y encargados). Regulan el reparto de papeles: quién debe informar cuando hay varios responsables (el acuerdo del 26 debe asignarlo) y por qué la externalización en encargados o distribuidores no exime al responsable de sus deberes, incluida la información.

Artículos 58 y 83 (poderes correctivos y multas). El 83.5.b tipifica la infracción de los derechos de los interesados de los arts. 12 a 22 en el tramo máximo de multa. El 58.2 otorga a la autoridad los poderes de advertencia, requerimiento, limitación o prohibición del tratamiento (58.2.f) y orden de supresión (58.2.g): las dos últimas son las que convierten un expediente de art. 14 en un riesgo existencial para un negocio de datos.

3.2. Derecho español de desarrollo

LOPDGDD (LO 3/2018). Tres piezas: el art. 11 legaliza la información por capas (información básica inmediata + remisión a la información completa), fijando el contenido mínimo de la primera capa; el art. 20 regula los sistemas de información crediticia (calidad de la deuda —cierta, vencida, exigible—, requerimiento previo de pago, plazo de conservación de cinco años, información al afectado en treinta días), materia donde el art. 14 despliega su máxima litigiosidad; y los arts. 72.1.h y 74.a gradúan la infracción: la omisión del deber de informar de los arts. 13-14 es muy grave (prescripción tres años), mientras que facilitar información incompleta es leve (prescripción un año) — de ahí que multas millonarias como las de (TTT), S.A. o (VVV), S.A. se calificaran, paradójicamente, como leves.

LOPD 1999 (LO 15/1999) y RD 1720/2007, hoy derogados pero vivos en los pleitos. Su art. 29 distinguía los ficheros de solvencia nutridos de fuentes accesibles al público (29.1) de los nutridos por acreedores (29.2, con requisitos de calidad, requerimiento y notificación desarrollados en los arts. 38-44 del Reglamento). Esa distinción es el corazón de la STS 333/2026 ((SSS), S.A.): los requisitos del 29.2 y 29.4 no se aplican a los ficheros del 29.1. Importa porque miles de inclusiones anteriores a 2018 se enjuician todavía con ese régimen, y porque el RGPD lo ha superado: la categoría “fuente accesible al público” ya no es base habilitante autónoma ni exime de informar (art. 14.2.f).

LO 1/1982, de protección civil del honor. Regula la vía civil concomitante: la inclusión indebida en un fichero de morosos es intromisión ilegítima en el honor (art. 7.7) e genera indemnización (art. 9.3). Es el segundo frente —paralelo al administrativo— donde se litiga la falta de información del art. 14.

Ley 39/2015 (procedimiento administrativo común). Regula la relación con la Administración: su art. 14.2 (obligación de relacionarse electrónicamente, que alcanza a entes sin personalidad como las comunidades de propietarios) y sus arts. 40-43 (notificaciones electrónicas, rechazo a los diez días) determinan la firmeza de las resoluciones de la AEPD y el acceso a la revisión judicial — la dimensión procedimental que ilustra la SAN de 28-4-2022. Conviene no confundir este art. 14 con el del RGPD: regulan materias por completo distintas.

3.3. Interpretación armonizada europea

Directrices sobre transparencia WP260 rev.01 (GT29/CEPD). Desarrollan el estándar de calidad de la información, la técnica de capas y, sobre todo, la lectura restrictiva de la excepción de esfuerzo desproporcionado del 14.5.b (ponderación documentada esfuerzo/impacto y medidas compensatorias como la publicación de la información).

Directrices 07/2020 del CEPD (responsable y encargado). Delimitan quién determina fines y medios y, por tanto, sobre quién pesa el deber de informar; sostienen la doctrina de no delegabilidad aplicada en los casos de distribuidores (línea (WWWW), S.A.).

Jurisprudencia del TJUE. ASNEF y FECEMD (C-468/10 y C-469/10, 24-11-2011): efecto directo del interés legítimo; el legislador nacional no puede añadir requisitos categóricos como exigir que el dato figure en fuentes públicas. Bara (C-201/14, 1-10-2015): la transmisión de datos entre administraciones exige informar previamente al afectado — el precedente directo del deber del art. 14 en cesiones. SCHUFA (C-634/21, 7-12-2023): el score crediticio es decisión automatizada del art. 22 cuando el destinatario lo sigue de forma determinante. C-26/22 y C-64/22 (7-12-2023): límites temporales a la conservación por agencias privadas de datos procedentes de registros públicos de insolvencia.

4.   Las materias que analizan, debaten y resuelven jueces y autoridades

Cada materia se presenta con la misma estructura: qué se discute, qué posiciones se enfrentan y cómo se ha resuelto (o en qué estado queda).

M1. La frontera entre el art. 13 y el art. 14: ¿quién es la “fuente”?

Qué se discute. Si el dato se obtuvo “del interesado” o no, porque de ello depende el régimen aplicable, el contenido de la información y el reloj del plazo. Zonas grises: datos observados (navegación, telemetría), datos inferidos (perfiles y scores que el responsable crea), datos aportados por un tercero que dice actuar por cuenta del interesado, y datos aportados por un suplantador.

Posiciones. Las empresas tienden a tratar los datos inferidos como “propios” (no recogidos) y los aportados por terceros autorizados como obtenidos “del interesado” a través de representante. Autoridades y doctrina (WP260) sostienen que todo dato cuya recogida el interesado no presenció merece el estándar del 14, y que el dato inferido es un dato personal nuevo del que hay que informar.

Resolución. La práctica de la AEPD aplica el art. 14 a cesiones, fuentes públicas y perfiles comunicados ((SSS), S.A., (TTT), S.A., (VVV), S.A.). En la suplantación de identidad la Agencia ha optado por imputar la licitud (art. 6.1) o la seguridad (art. 5.1.f, línea del SIM swapping: (WWWW), S.A. PS/00021/2021 y análogas) antes que el 14, pero el presupuesto fáctico es idéntico: un tratamiento del que la víctima jamás fue informada porque jamás fue la fuente.

M2. Fuentes de acceso público: ¿lo público exime de informar?

Qué se discute. La cuestión más litigada: si los datos captados de boletines oficiales, registros y otras fuentes abiertas pueden tratarse sin informar al afectado, apoyándose en su previa publicidad.

Posiciones. La industria de la información crediticia defendió que el viejo art. 29.1 LOPD 1999 habilitaba esos ficheros sin los requisitos de los ficheros de morosos y con una carga informativa mínima; que el dato ya era público y su reutilización inocua. La AEPD sostuvo que la publicidad de la fuente no es ninguna de las excepciones del 14.5, que el 14.2.f obliga precisamente a declarar esa procedencia, y que bajo el RGPD la categoría “fuentes accesibles al público” ha desaparecido como título habilitante.

Resolución. En vía administrativa, la resolución PS/00240/2019 ((SSS), S.A., 26-4-2021) es el leading case: multa de un millón de euros por infringir, entre otros, el art. 14, con prohibición del tratamiento del FIJ y orden de supresión. En vía civil, la STS 333/2026 resuelve la otra cara: para hechos regidos por la LOPD 1999, los ficheros del 29.1 no estaban sujetos a los requisitos del 29.2 (calidad de la deuda, requerimiento, notificación) y la publicación oficial goza de presunción de veracidad, por lo que no hubo intromisión en el honor. El resultado conjunto es una frontera temporal: régimen indulgente para el pasado LOPD 1999, régimen estricto (informar siempre) para el presente RGPD.

M3. Limitación de la finalidad: la reutilización de publicaciones oficiales

Qué se discute. Si un dato publicado en un boletín con un fin concreto (notificación edictal que garantiza la tutela judicial efectiva del art. 24 CE) puede reutilizarse para un fin distinto (evaluar solvencia, alimentar inteligencia comercial).

Posiciones. Los reutilizadores invocan la publicidad y el interés legítimo del tráfico económico. La AEPD razona que la finalidad de la publicación agota su alcance: reutilizarla para solvencia es un tratamiento ulterior incompatible (5.1.b y 6.4), agravado por la pérdida de contexto (en el caso (SSS), S.A. se anotaba “deuda tributaria” sin cuantía, origen ni estado, generando además inexactitud del 5.1.d).

Resolución. Consolidada en vía administrativa (PS/00240/2019). Es la regla de mayor impacto para el enriquecimiento de datos: la procedencia pública no transmite un “derecho de reutilización” y el cambio de finalidad exige test de compatibilidad e información previa (14.4).

M4. Interés legítimo y transparencia: ¿dispensa el considerando 47?

Qué se discute. Si la mención del considerando 47 in fine (“el tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”) crea una presunción que exime de ponderar y, en la práctica, de informar; y si el RGPD, por ello, despenalizó retroactivamente los envíos comerciales sin consentimiento de la era LOPD.

Posiciones. La empresa sancionada ((XXX), S.L.) sostuvo que el 6.1.f, leído con el considerando 47, permite la mercadotecnia sin consentimiento y sin ponderación individual, bastando con no haberse opuesto el afectado. La AEPD y la Audiencia Nacional replicaron que el interés legítimo exige evaluación meticulosa caso a caso, atenta a las expectativas razonables del interesado, y que el sistema solo funciona si el responsable comunica los intereses legítimos concretos (13.1.d/14.2.b) y el derecho de oposición de forma explícita, clara y separada (considerando 70, art. 21).

Resolución. La STS 1620/2020, de 26-11-2020, zanja: el interés legítimo no es un salvoconducto; sin cumplimiento probado de los deberes de información que hacen posible la oposición, el tratamiento no es lícito, y no cabe aplicación retroactiva favorable. Traducción operativa: el interés legítimo es una base condicionada a la transparencia — se autodestruye si no va acompañada de información.

M5. Calidad y contenido de la información: la genericidad como infracción

Qué se discute. Cuánta concreción exige la información: ¿basta una política de privacidad que enumere finalidades y bases en abstracto?

Posiciones. Las entidades defendían textos únicos y genéricos (“finalidades comerciales”, “interés legítimo del responsable”) aplicables a todos sus tratamientos. La AEPD, apoyada en el art. 12 y en WP260, exige asociar cada finalidad a su base jurídica, identificar los intereses legítimos concretos, detallar las categorías de datos (incluidos los inferidos) y usar terminología unívoca.

Resolución. PS/00070/2019 ((TTT), S.A., 5 M€, de ellos 2 M€ por arts. 13-14) y PS/00477/2019 ((VVV), S.A., 6 M€, de ellos 2 M€ por arts. 13-14): la información imprecisa, heterogénea entre canales o que no permite conocer qué tratamientos se amparan en qué base es infracción autónoma, aunque exista información “formalmente completa”. La técnica de capas del art. 11 LOPDGDD es válida, pero la primera capa tiene contenido mínimo y la segunda debe ser coherente.

M6. El momento de informar: los tres relojes del 14.3 y la consumación

Qué se discute. Cuándo vence exactamente el deber (¿mes natural?, ¿y si antes se cede el dato o se contacta al afectado?) y cuándo se consuma la infracción a efectos sancionadores y de prescripción.

Posiciones. Los responsables computan el mes como regla general. Autoridad y doctrina subrayan que las letras b) y c) anticipan el vencimiento: la primera comunicación al interesado y, sobre todo, la primera cesión a un destinatario marcan el límite aunque el mes no haya transcurrido.

Resolución. En el caso (SSS), S.A., los datos fueron consultados por entidades bancarias sin que el afectado hubiera sido informado jamás: infracción consumada en la primera consulta. Para modelos cuyo producto es la consulta por terceros (bureaus, data brokers), el deber es en la práctica previo a la puesta en producción del dato.

M7. La excepción de imposibilidad o esfuerzo desproporcionado (14.5.b)

Qué se discute. Si la escala (millones de registros captados de fuentes externas) o el coste de contactar a cada afectado permiten acogerse a la excepción.

Posiciones. Los responsables alegan el coste y la falta de datos de contacto. La AEPD y el CEPD (WP260) responden que la excepción se pensó ante todo para archivo, investigación y estadística; que exige una ponderación documentada entre esfuerzo e impacto sobre el interesado; que no concurre cuando se dispone —o se puede obtener razonablemente del cedente— de medios de contacto; y que, aun concurriendo, obliga a medidas compensatorias, señaladamente hacer pública la información.

Resolución. Invocada por (SSS), S.A. y rechazada por la AEPD: el volumen del negocio no convierte en desproporcionado el coste de cumplirlo; es un coste del modelo de negocio. La excepción queda como vía estrecha, de prueba a cargo de quien la alega.

M8. Carga de la prueba y responsabilidad proactiva (5.2)

Qué se discute. Quién debe probar que se informó, con qué contenido y en qué fecha.

Resolución. Pacífico en la práctica de la AEPD: la carga es del responsable (accountability). Sin registro de la comunicación informativa (destinatario, canal, fecha, versión del texto), la defensa es casi imposible. Conecta con la vertiente probatoria general que el TS ha matizado en materia de seguridad (STS 15-2-2022, citada en PS/00587/2021: obligación de medios, no de resultado) — matiz que no se traslada al deber de informar, que sí es una obligación de resultado verificable.

M9. Scoring, perfiles y “lógica aplicada” (14.2.g y art. 22)

Qué se discute. Si el score es un dato personal del que hay que informar, qué significa “información significativa sobre la lógica aplicada” (¿fórmula?, ¿variables y peso?) y cuándo el scoring es decisión automatizada prohibida salvo excepciones.

Posiciones. Las agencias de calificación sostenían que solo “preparan” la decisión que otro toma. El TJUE (SCHUFA, C-634/21) resolvió que la elaboración del score es en sí la decisión del art. 22 cuando el tercero lo sigue de modo determinante, con lo que se activan la base jurídica cualificada, el derecho a intervención humana y el deber de explicar la lógica. En España, la AEPD sancionó en (TTT), S.A. la falta de información sobre los tratamientos de perfilado.

Estado. Frente abierto y en expansión (afecta a scoring crediticio, de fraude, de riesgo comercial y a los sistemas de IA que generan perfiles): el dato inferido debe declararse como categoría de dato y explicarse.

M10. Tratamientos originados por terceros: contratación fraudulenta y suplantación

Qué se discute. La imputación al responsable cuando un defraudador introduce los datos de la víctima (duplicados de SIM, contratos a nombre de otro): ¿falta de base jurídica (6.1)?, ¿fallo de seguridad (5.1.f)?, ¿culpabilidad si el engaño fue de un tercero o de un distribuidor?, ¿responsabilidad de resultado?

Posiciones. Las operadoras alegan diligencia, culpa exclusiva del defraudador o del distribuidor, y ausencia de nexo con el daño bancario posterior. La AEPD construye un deber de verificación de identidad como medida del 5.1.f no delegable en la red comercial, y ha oscilado en la tipificación (art. 6.1 en expedientes anteriores; 5.1.f en la oleada de 2021-2022), lo que las defensas denuncian como inseguridad jurídica.

Resolución. Línea sancionadora firme y cuantiosa ((WWWW), S.A. PS/00021/2021, 900.000 €; (YYY), S.A. PS/00001/2021, 3,94 M€; (ZZZ), S.A. PS/00022/2021, 770.000 €), confirmada por la Audiencia Nacional en 2024 respecto de (WWWW), S.A.. Para la víctima, el fenómeno es el reverso del art. 14: un tratamiento completo se desarrolla sin que jamás fuera fuente ni informada.

M11. Calificación de la infracción, concurso y proporcionalidad

Qué se discute. Tres frentes: (i) la graduación española —omisión total del deber (72.1.h, muy grave) frente a información incompleta (74.a, leve)— y sus consecuencias en prescripción; (ii) el concurso entre la infracción de licitud (art. 6) y la de información (arts. 13-14): ¿un solo hecho o dos infracciones sancionables por separado?; (iii) la graduación de la multa (art. 83.2: agravantes y atenuantes) y la elección de poderes correctivos.

Resolución. La AEPD sanciona licitud e información como infracciones autónomas y acumulables ((TTT), S.A. y (VVV), S.A. recibieron multa separada por cada bloque). En (SSS), S.A. añadió las medidas del 58.2.f y g — la señal de que, en tratamientos estructuralmente inviables, la respuesta no es solo económica sino la eliminación del fichero. Las defensas de proporcionalidad (pocos afectados identificados, porcentajes ínfimos, cooperación) han tenido escaso éxito cuando el incumplimiento es estructural.

M12. La vía civil del honor: concurrencia y régimen temporal

Qué se discute. Si la inclusión no informada en un fichero lesiona el honor; qué requisitos (certeza de la deuda, requerimiento previo, notificación) son exigibles según el tipo de fichero y la norma vigente en la fecha de inclusión; y el valor de la publicación oficial como fuente.

Posiciones. Los afectados invocan la doctrina clásica de la Sala Primera sobre ficheros de morosos (deuda cierta, vencida, exigible; requerimiento; notificación de la inclusión). Los titulares de ficheros de fuentes públicas oponen que ese estándar pertenece al art. 29.2 LOPD 1999 y no a los ficheros del 29.1.

Resolución. La STS 333/2026 (con el precedente de la STS 434/2023) da la razón a la segunda tesis para el régimen antiguo: los requisitos del 29.2/29.4 y de los arts. 38-40 del RD 1720/2007 no se aplican a los ficheros de fuentes públicas, y la publicación por un organismo oficial comporta presunción de veracidad (reforzada, en el caso, porque el propio demandante impidió probar la deuda al negar su consentimiento para que el Ayuntamiento informara). Queda delimitado que, para inclusiones bajo el RGPD, el parámetro será otro: el estándar estricto de la doctrina administrativa (SSS), S.A..

M13. La dimensión procedimental: notificaciones y firmeza

Qué se discute. La validez de las notificaciones electrónicas de la AEPD (acuerdo de inicio, resolución) a sujetos obligados a relacionarse electrónicamente, y sus efectos: extemporaneidad de recursos, firmeza, apremio y qué órgano revisa cada acto.

Resolución. La SAN de 28-4-2022 (rec. 392/2021) es ilustrativa: las comunidades de propietarios, como entes sin personalidad, están obligadas a la relación electrónica desde la entrada en vigor de la Ley 39/2015; la puesta a disposición no accedida en diez días vale como rechazo; la notificación válida hace correr los plazos y la sanción deviene firme sin posibilidad de discutir el fondo; y la providencia de apremio se impugna por la vía económico-administrativa, no directamente ante la Audiencia Nacional. Lección práctica: buena parte de las sanciones de protección de datos se pierden o se consolidan antes de discutir el art. 14, en el terreno de las notificaciones y los plazos.

5.    Cuadro de síntesis

 Glosario

ARTÍCULO 12 RGPD:

Norma que regula las modalidades de la transparencia, habilitando la técnica de “información por capas” y exigiendo que la información sea concisa, de fácil acceso y emplee un lenguaje claro y sencillo.

ARTÍCULO 13 RGPD:

Precepto aplicable cuando la empresa recoge los datos directamente de la interesada (mediante formularios o contratos), actuando como espejo normativo del artículo 14.

ARTÍCULO 14 RGPD:

Respuesta jurídica a los tratamientos realizados a espaldas de la interesada, imponiendo a la responsable la obligación activa de informarle sobre quién es, qué datos tiene, de dónde proceden, su finalidad y sus destinatarios.

INTROMISIÓN ILEGÍTIMA EN EL HONOR:

Responsabilidad civil regulada en la LO 1/1982 que se genera por la inclusión indebida y no informada en un registro de morosidad, dando lugar a una indemnización.

LOPDGDD (LO 3/2018):

Ley Orgánica española que legaliza la información por capas (artículo 11) y tipifica la omisión del deber de informar establecido en el RGPD como una infracción muy grave.

RESPONSABILIDAD PROACTIVA:

Principio recogido en el artículo 5.2 del RGPD que carga a la responsable con la obligación de probar que ha informado a la afectada, configurándose como una obligación de resultado verificable y no de meros medios.

SCORING (PUNTUACIÓN):

Dato inferido creado por la responsable que, si es seguido de forma determinante por una tercera entidad, constituye una decisión automatizada (artículo 22) que exige intervención humana e información sobre la lógica aplicada.

WP260 REV.01:

Directrices europeas sobre transparencia que exigen una lectura muy restrictiva frente a la excepción legal de “esfuerzo desproporcionado” a la hora de informar, requiriendo siempre ponderación documentada y medidas compensatorias como publicaciones públicas.