Sentencia Civil 148/2026 Audiencia Provincial Civil nº 13 de Madrid, Rec. 438/2023 de 27 de marzo del 2026

Se aceptan los de la sentencia apelada.

PRIMERO.-Antecedentes y objeto del recurso.

1.-La sentencia de instancia estima la demanda formulada por el actor frente a la entidad Equifax por su inclusión en los ficheros de información judicial, en los términos referidos.

2.-La sentencia es apelada por la entidad demandada que interesa su revocación y desestimación de la demanda, alegando:

"1º.-INAPLICABILIDAD DE LA LEY 3/2018 A LAS ANOTACIONES PREVIAS AL 7 DE DICIEMBRE DE 2018.

2º.- ERROR EN LA APLICACIÓN DEL DERECHO SUSTANTIVO. LA NORMATIVA DE LOS FICHEROS DE MOROSOS NO ES DE APLICACIÓN AL FICHERO JUDICIAL

3º.-ERROR EN LA VALORACIÓN DEL DERECHO. INEXISTENCIA DE RESPONSABILDIAD DE EQUIFAX POR EL PRINCIPIO DE CALIDAD DE LOS DATOS.

4º.- ERROR EN LA APLICACIÓN DEL DERECHO. INEXISTENCIA DE OBLIGACIÓN DE EQUIFAX DE REALIZAR UNA NOTIFICACIÓN DE INCLUSIÓN DE LOS DATOS DE LA PARTE ACTORA.

5º.-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

6º.-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

3. -La parte apelada interesó la desestimación del recurso.

SEGUNDO.-Primer motivo del recurso: 1º.-INAPLICABILIDAD DE LA LEY 3/2018 A LAS ANOTACIONES PREVIAS AL 7 DE DICIEMBRE DE 2018.

Sostiene que: "Como recoge la Disposición final decimosexta de la Ley 3/2018 , la entrada en vigor de la Ley tendrá lugar el día siguiente al de su publicación en el Boletín Oficial del Estado, esto es, el día 7 de diciembre de 2018. Esta Ley 3/2018 no prevé, en ninguno de sus artículos, la posibilidad de aplicación retroactiva.

Al contrario de lo sostenido por la Sentencia, es jurisprudencia consolidada que esta normativa no puede resultar de aplicación con carácter retroactivo, salvo que la misma resulte favorable para el responsable del tratamiento a efectos de imponer una sanción

En cualquier caso, tanto la Ley 3/2018, como la anterior Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, "Ley 15/1999"), consideran lícito el tratamiento de datos por los ficheros que obtienen los datos de fuentes y registros de acceso público, como el Fichero de Reclamaciones de Organismos Públicos."

El supuesto de hecho que nos ocupa es la inclusión en el denominado fichero de incidencias judiciales y de organismos públicos de los siguientes datos (doc. 2 demanda):

"RECLAMACIONES JUDICIALES

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION

TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 12/02/2016

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 27/02/2019

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 24/02/2020"

Consta que en el Boletín Oficial del Estado se publicaron en las citadas fechas resoluciones de la Agencia Estatal de Administración Tributaria, por la que se anuncian las notificaciones por comparecencia, después de haber realizado primero y, en su caso, segundo intentos, apareciendo como única información relativa al demandante su nombre y apellidos, número de documento de identidad, número de expediente, organismo responsable: recaudación, y acto notificado: embargos, sin hacer mención al importe de la deuda (bloque documental 2 contestación).

Respecto de la inclusión en el FIJ de 2016 estaba vigente la Ley de Protección de datos de 1999 y el reglamento de 2007por lo que no es de aplicación la Ley de3/2018 de protección de datos.

El artículo 29.1 LOPD no está vigente, fue derogado por la LOPDPGDD, que entró en vigor el 07/12/2018 y, ni en el RGPD ni en la LOPDPGDD existe una norma equivalente. Es más, al tratarse de una inclusión de efectos permanentes, los tratamientos anteriores a la entrada en vigor de la nueva normativa, deberían adaptarse en lo más favorable para el interesado.

Por tanto, el fichero de 2016 se debió de adoptar a la Ley 3/2018, lo cual no consta.

Respecto de la inclusión del actor en el FIJ de 2029 y 2020, se adapta a la Ley 3/2018.

El motivo se desestima.

TERCERO.-Segundo motivo del recurso: ERROR EN LA APLICACIÓN DEL DERECHO SUSTANTIVO. LA NORMATIVA DE LOS FICHEROS DE MOROSOS NO ES DE APLICACIÓN AL FICHERO JUDICIAL.

3.1. INADECUADA APLICACIÓN DE LA LEY ORGÁNICA 1/1982, DE 5 DE MAYO, DE PROTECCIÓN CIVIL DEL DERECHO AL HONOR, LA INTIMIDAD PERSONAL Y FAMILIAR Y LA PROPIA IMAGEN.

3.2. EL FICHERO JUDICIAL NO ES UN "FICHERO DE MOROSOS"

1.-El motivo relativo a la inadecuada aplicación de la LEY ORGÁNICA 1/1982, DE 5 DE MAYO, DE PROTECCIÓN CIVIL DEL DERECHO AL HONOR, LA INTIMIDAD PERSONAL Y FAMILIAR Y LA PROPIA IMAGEN, es objeto de examen infra.

2.-Con la normativa en vigor Equifax al incluir a la actora en el FIJ. incumple varios principios, a saber:

1º. Equifax infringe el principio de limitación de la finalidad.

El RGPD (EUROPEO) dedica a los principios que presiden el tratamiento de datos de carácter personal el artículo 5. Entre ellos, se refiere al de limitación de la finalidad en el artículo.

Conforme al citado principio los datos personales serán "recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales"

El principio de limitación de la finalidad impide que pueda realizarse un tratamiento ulterior de datos personales si los fines de este tratamiento y los perseguidos por el tratamiento originario no son compatibles.

El artículo 6 RGPD, relativo a la "Licitud del tratamiento",dedica su apartado 4 a enumerar los elementos que permiten determinar si un tratamiento con otro fin es compatible con el fin inicial para el que se recogieron los datos:

"Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización"

2º.-Con el propósito de determinar si el tratamiento de los datos de la actora que ha efectuado EQUIFAX a través del FIJ es o no respetuoso con el principio previsto en el artículo 5.1.b) RGPD, el punto de partida ha de ser el origende los datos tratados.

Los datos de la actora se obtuvieron por la entidad demandada del BOE de 14 de diciembre de 2018 que publicaba la Resolución de 12 de diciembre de 2018, de la Agencia Estatal de Administración Tributaria, por la que se anuncian las notificaciones por comparecencia, después de haber realizado primero y, en su caso, segundo intentos, ,en la que se publicaba, entre otros los datos de la actora, en concreto su DNI, NOTIF EMBARGO CTAS BANC Nº NUM000,expediente y órgano responsable: NOTIF EMBARGO CTAS BANC Nº NUM000,y la oficina gestora NUM001.

El hecho de que los datos de la actora procedan de fuentes públicas, básicamente de diarios y boletines oficiales, evidencia que éstos habían sido objeto de un tratamiento anterior con una finalidad determinada.

El artículo 44 de la LPACAP ( Ley procedimiento Administrativo) bajo la rúbrica "Notificación infructuosa"señala:

"Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado».

Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la Comunidad Autónoma o de la Provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del Consulado o Sección Consular de la Embajada correspondiente.

Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el «Boletín Oficial del Estado."

El artículo 45 de la LPACAP, "Publicación",dispone:

"1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente.

En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:

a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.

b) Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.

2. La publicación de un acto deberá contener los mismos elementos que el artículo 40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo establecido en el apartado 3 del mismo artículo.

En los supuestos de publicaciones de actos que contengan elementos comunes, podrán publicarse de forma conjunta los aspectos coincidentes, especificándose solamente los aspectos individuales de cada acto.

3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar.

4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente."

En estos preceptos se detallan los supuestos en los que las Administraciones Públicas, en cumplimiento de una obligación impuesta por la LPACAP, publican en boletines y diarios oficiales actos y resoluciones administrativas.

La notificación, en palabras del Tribunal Supremo ( STS 07/03/1997) "consiste en una comunicación formal del acto administrativo de que se trate."La doctrina explica que es el mecanismo a través del cual se da traslado al interesado del contenido de un acto. Por otra parte, la notificación de actos y resoluciones es obligatoria para las Administraciones Públicas y un requisito al que se supedita su eficacia (artículo 39 de la LPACAP) Así pues, la notificación constituye una garantía para el administrado ya que a través de ella conoce los actos de la Administración que afectan a sus derechos e intereses legítimos por lo es un instrumento que garantiza el derecho a la tutela judicial efectiva ( artículo 24.1 de la C.E.)

A través de la publicación se pretende la misma finalidad que la notificación, que el contenido del acto administrativo llegue a conocimiento de quienes son interesados en un procedimiento administrativo.

La LPACAP se refiere a la publicación tanto en el artículo 44 como en el artículo 45 3. La publicación que las Administraciones Públicas efectúan de actos o resoluciones administrativas que incluyen datos personales, implica para los administrados una restricción al derecho fundamental que tienen reconocido en el artículo 18.4 de la C.E.

A través de la publicación de un acto o resolución administrativa -a la que, como se ha indicado, el artículo 39 de la LPACAP supedita su eficacia- se quiere garantizar a los interesados el ejercicio de su derecho de defensa -lo que a su vez conecta con el derecho a la tutela judicial efectiva reconocido en el artículo 24.1 de la C.E.- y permite a las Administraciones Públicas el ejercicio de sus potestades. De tal manera que la finalidad perseguida con esta evidente limitación al derecho a la protección de datos está directamente conectada con un interés público.

La publicación de los datos personales de los afectados en estos casos es, por tanto, ajena a su voluntad. La establece una norma con rango de ley y se justifica por el interés público que persigue. Son precisamente estos datos personales, que han sido objeto de publicación en boletines y diarios oficiales sin el concurso de la voluntad de sus titulares en cumplimiento de una obligación legal y con la finalidad de satisfacer un interés público, los datos de los que se nutre el FIJ

El tratamiento ulterior de esos datos que EQUIFAX efectúa persigue una finalidad claramente distinta al interés público que justificó su publicación. Si no atenemos a los intereses legítimos que EQUIFAX busca satisfacer a través del FIJ, se trata de fines distintos. Mientras el tratamiento de los datos de los administrados por las Administraciones Públicas a través de la publicación de actos administrativos en los diarios y boletines oficiales busca satisfacer un interés público, el tratamiento ulterior que EQUIFAX hace de esos datos a través del FIJ está vinculada a la evaluación de la solvencia de los afectados y a la prevención del fraude.

El artículo 6.4 RGPD facilita algunos criterios para determinar si el tratamiento ulterior de los datos de los reclamantes a través del FIJ es compatible con el tratamiento originario. A ellos se suman las indicaciones ofrecidas en el Considerando 50 del RGPD.

En el presente caso se puede afirmar que la finalidad del tratamiento originario y la del tratamiento ulterior por EQUIFAX son claramente incompatibles. No hay ninguna relación entre la finalidad del tratamiento efectuado a través de las publicaciones en boletines y diarios oficiales que incluyen datos personales de los afectados -el interés público conectado con el derecho a la tutela judicial efectiva de los administrados y el ejercicio efectivo por las Administraciones Públicas de las potestades que tienen atribuidas- y el fin para el que EQUIFAX trata los datos, que ella ha concretado en la evaluación de la solvencia y en la prevención del fraude.

Tampoco existe entre la actora y el responsable del tratamiento ninguna relación vinculada al contexto en el que se recogieron los datos, de manera que la actora no ha podido tener ninguna expectativa razonable de que sus datos fueran objeto de este tratamiento.

EQUIFAX no ha establecido garantías adicionales para que el tratamiento no afecte al derecho fundamental a la protección de datos puesto que la finalidad que el FIJ busca satisfacer exige disponer de los datos de identidad de los afectados.

El principio de responsabilidad proactiva del artículo 5.2 RGPD obliga al responsable del tratamiento a estar en condiciones de acreditar que cumple los principios que presiden el tratamiento de los datos; por lo que aquí interesa el principio de limitación de la finalidad. Por otra parte, tanto el artículo 6.4 RGPD como el Considerando 50 se refieren al responsable del tratamiento como el sujeto que deberá determinar si la finalidad del tratamiento ulterior que pretende realizar es compatible con la finalidad para la que inicialmente se recogieron los datos, lo que es coherente con el principio de responsabilidad proactiva que ha de regir la actuación del responsable del tratamiento.

Por lo expuesto la entidad demanda ha vulnerado el principio de limitación de la finalidad.

3º.- Equifax incumple el principio de licitud.

El RGPD se ocupa en el artículo 5 de los principios que presiden el tratamiento de datos de carácter personal y en el apartado 1.a) dispone que los datos personales serán tratados de manera "lícita, leal y transparente en relación con el interesado".En idéntico sentido el Considerando 39 dice que "Todo tratamiento de datos personales debe ser lícito [...]"

Conforme al artículo 6.1 del RGPD para que el tratamiento de datos personales sea lícito deberá estar fundado en, al menos, una de las circunstancias que este precepto relaciona. La letra f) del artículo 6.1. dispone que el tratamiento de datos personales será lícito cuando "el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño"

La STJUE de 24/11/2011 declaró el efecto directo de la disposición del artículo 7.f) de la Directa 95/46, relativo a la base jurídica de la prevalencia del interés legítimo, señaló que el citado precepto establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado (epígrafe 38). Añade también, a propósito de la ponderación, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado (epígrafe 40).

El considerando 47 del Reglamento (UE) 2016/679 contribuyen a la tarea de precisar el contenido y alcance de la circunstancia legitimadora del artículo 6.1.f) RGPD.

La aplicación del artículo 6.1.f) RGP requiere que exista un interés legítimo del responsable del tratamiento o del tercero; que el tratamiento sea necesario para la satisfacción del interés legítimo perseguido; y que en la ponderación del interés legítimo del responsable del tratamiento o de terceros por una parte y del impacto que sobre los intereses, los derechos fundamentales y libertades del interesado provoca el tratamiento de datos que se pretende efectuar, por otra, prevalezca el primero.

La licitud no puede ampararse en que el tratamiento sea " necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento" (art. 6.1 d] LOPDPGDD). En efecto, existen otras medidas alternativas más moderadas para obtener información sobre la solvencia de la persona financiada (juicio de necesidad)y la inclusión no consigue el objetivo propuesto (juicio de idoneidad)porque los datos no se actualizan, porque no identifican inequívocamente al titular de los datos (v. disp. ad. 7ª LOPDPGDD) y porque la información es fragmentaria toda vez que los notificados edictalmente son una pequeña parte de las personas que tienen deudas pendientes con las Administraciones Públicas por no haber podido ser notificadas personalmente. Además, la conveniencia que puede representar para un determinado sector de la actividad mercantil ver disminuido el riesgo inherente a su actividad mediante este tratamiento informático no guarda proporción (juicio de proporcionalidad)con la vulneración del derecho al honor y a la intimidad personal y familiar de los ciudadanos ( arts. 18.4 CE y 8 Carta de derechos fundamentales de la Unión Europea )."Los intereses comerciales de una empresa responsable de un fichero de datos han de ceder ante el interés legítimo del titular de los datos en la protección de los mismos" ( SSTS 3ª 815/2020, 18.6; 839/2020, 22.6; 840/2020, 22.6 y 853/2020,22.6).

4º.- Equifax también vulnera el principio de limitación de la finalidad(v. art. 5.1 b] y cdo. 50 RGPD) al incluir en un fichero de morosos datos personales del afectado que habría obtenido del Tablón Edictal Único del BOE (TEU-BOE). La finalidad del tratamiento efectuado a través de las publicaciones en boletines y diarios oficiales es un interés público conectado con el derecho a la tutela judicial efectiva de los administrados y el ejercicio efectivo por las Administraciones Públicas de las potestades que tienen atribuidas. Este fin público no guarda relación con el fin privado de evaluación de la solvencia para el que Equifax trata los datos. Aclaramos que, en el sistema que configura y admite la legislación vigente, es el propio acreedor quien comunica los datos personales al fichero (art. 20.1 a] LOPDPGDD), por lo que no se infringe el principio de limitación de la finalidad.

5º.- Equifax igualmente viola el principio de exactitud(art. 5.1 d] RGPD) . En el diseño actual corresponde "al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud" (art. 20.2 II LOPDPGDD) y "las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos" (art. 20.2 I LOPDPGDD). En los ficheros asociados nutridos por información del acreedor, periódicamente se revisa el estado de la deuda, lo que no puede hacerse si la fuente de información es únicamente la publicación en un diario oficial, que está desconectada del devenir de la deuda. La exactitud también queda comprometida por la identificación de los presuntos deudores, que no es inequívoca en las fuentes públicas, como tampoco un domicilio en el que no se ha logrado la notificación personal. Si bien la obtención de datos de un registro público puede exonerar de responsabilidad (art. 4.2 d] LOPDPGDD), como por ejemplo el registro público concursal, los diarios y boletines oficiales no tienen la condición de registro público.

6º.- Asimismo, Equifax incumple el principio de minimización de datos(art. 5.1 c] RGPD) . Los datos almacenados no son adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, por las anteriores consideraciones.

7º Además, "el responsable del tratamiento será responsable del cumplimiento de lo dispuesto enel apartado 1 y capaz de demostrarlo (" responsabilidad proactiva")" (art. 5.2 LOPDPGDD). Pues bien, la demandada no ha demostrado con prueba alguna el cumplimiento.

En contraste, los sistemas de información crediticia regulados en la LOPDPGDD reúnen un conjunto de garantías que no proporcionan los sistemas que recopilan información pública.

Así, la inclusión requiere que "el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe" (art. 20.1 c] LOPDPGDD).

Además, aunque un fichero de fuentes públicas no sería necesariamente obstativo de intentarlo, Equifax tampoco ha cumplido con la notificación de inclusión: "la entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo" (art. 20.1 c] II LOPDPGDD).

Antes bien, como los boletines oficiales no incluyen el domicilio del titular de los datos ( exdisp. ad. 7ª LOPDPGDD), Equifax no estará normalmente en condiciones de poder cumplir la obligación de informaciónprevista en el artículo 14 RGPD. Con ello, se vulnera por Equifax igualmente el principio de transparencia (art. 5.1 a] RGPD) .

CUARTO.-Tercer motivo del recurso: ERROR EN LA VALORACIÓN DEL DERECHO. INEXISTENCIA DE RESPONSABILDIAD DE EQUIFAX POR EL PRINCIPIO DE CALIDAD DE LOS DATOS.

1.-Aduce: ".... no siendo el Fichero de Reclamaciones de Organismos Públicos un fichero negativo o de insolvencia, no se le pueden aplicar los requisitos para el tratamiento de los datos personales previsto para estos ficheros negativos. Entre estos requisitos que no pueden resultar de aplicación esta, precisamente, el principio de calidad de los datos previsto en el artículo 38. 1 del Real Decreto 1720/2007 , y el artículo 20 de la Ley 3/2018 solo aplicable al "Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés". Y, así lo confirmó el Excmo. Tribunal Supremo (Sala de lo Civil, Sección1ª) em su sentencia núm. 614/2018 de 7 noviembre [RJ 2018\5221]:

"la comprobación de la existencia, certeza y vencimiento de las deudas controvertidas no son de la incumbencia del titular del registro por exceder lógicamente de sus competencias

Y así ha sido confirmado por la AEPD, órgano administrativo competente y especialmente creado para la vigilancia y control de la aplicación de la normativa de protección de datos, entre otras en su resolución NUM002:

"En cuanto a lo señalado por el reclamante que se ha llevado un tratamiento sin consentimiento y sin haber notificado la inclusión de sus datos en el fichero, al respecto señalar que el art. 29.1 LOPD permite su tratamiento de los datos obtenidos de fuentes accesibles al público y que su notificación se da en el supuesto que concurran por en el incumplimiento de obligaciones dinerarias facilitadas por los acreedores y no en este supuesto."

Y ratificado por, entre otras, la Audiencia Provincial de las Palmas, en su sentencia de 13 de febrero de 2020 :

"No es controvertido que la fuente a la que Equifax acudió fue un boletín oficial, [...] No siendo necesario en este caso que se comunique al interesado la inclusión en el fichero".

Y la Audiencia Nacional en sus sentencias de fecha 27 de febrero de 2008, 29 de junio de 2001 (Rec. 1012/1999), 29 de noviembre de 2001 (Rec. 531/2000) y 27 de febrero de 2008 (Rec. 358/2006), que señalan lo siguiente:

"De lo que se infiere que habiéndose tomado los datos personales, en el supuesto ahora enjuiciado, del Boletín Oficial de la Comunidad de Madrid, no existía obligación ninguna de notificar su inclusión en el Fichero de Incidencias Judiciales al titular de los mismos.

Por tanto, es razonable sostener que la Sentencia yerra al concluir la responsabilidad de EQUIFAX por la calidad de los datos transcritos en el Fichero de Reclamaciones de Organismos Públicos, pues esta obligación prevista en el 10 artículo 20 de la Ley 3/2018 y 38. 1 del Real Decreto 1720/2007 , no puede resultar de aplicación a un fichero con una regulación propia y diferenciada."

Recordemos que EQUIFAX obtuvo los datos de la Actora de los siguientes boletines públicos:

i (i) BOE de 27 de febrero de 2019, en el que AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, publicó un "Anuncio de notificación de 25 de febrero de 2019 en procedimientos tramitados por la Agencia Estatal de Administración Tributario", conforme a lo dispuesto en el Art. 112.1 de la Ley 58/2003 de 17 de diciembre, General Tributaria , frente a Don Marcial, con DNI NUM003.

ii (i) BOE de 12 de febrero de 2016, en el que AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, publicó un "Anuncio de notificación", en virtud de lo dispuesto en el artículo 112 de la Ley 58/2003, de 17 de diciembre, General Tributaria , para las notificaciones de naturaleza tributaria, y en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , frente a Don Marcial, con DNI NUM003."

iii (i) BOE de 24 de febrero de 2020, en el que la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA público un "Anuncio de notificación", en virtud de lo dispuesto en el artículo 112 de la Ley 58/2003, de 17 de diciembre, General Tributaria , para las notificaciones de naturaleza tributaria, y en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , frente a Don Marcial, con DNI NUM003.

No afecta al principio de calidad del dato la concreta casilla del fichero de Reclamaciones de Organismos Públicos en la que se haya inscrito el dato, y ello por varias razones fundamentales:

A.-porque, esta "diferencia es intrascendente" pues lo realmente determinante para enjuiciar la calidad del dato es la cuantía de la deuda. Así, lo confirmó la sentencia de la Audiencia Provincial de Huelva, núm. 273, de 11 de mayo de 2022, REC 1175/2021 :

B.- porque el fichero es único y traspone, indistinta y conjuntamente, la información pública relativa a reclamaciones Judiciales y de organismos públicos.

El Tribunal Supremo (Sala de lo Civil, Sección1ª), en su sentencia núm. 562/2020 de 27 octubre . [RJ 2020\4169] que concluyó que no cualquier oposición al pago de una deuda puede suponer que la misma sea incierta o dudosa, pues se estaría dejando la certeza y exigibilidad de la deuda al exclusivo arbitrio del deudor. Dice así:

"Pero, también es cierto que esta doctrina hay que matizarla, como sostiene la sentencia 245/2019, de 25 de marzo , cuando afirma que "lo anterior no significa que cualquier oposición al pago de una deuda, por injustificada que resulte, suponga que la deuda es incierta o dudosa, porque en tal caso la certeza y exigibilidad de la deuda se dejaría al exclusivo arbitrio del deudor, al que le bastaría con cuestionar su procedencia, cualquiera que fuera el fundamento de su oposición, para convertir la deuda en incierta".

"La única diferencia que encontramos entre la información que se registra y aquella que puede desprenderse de esa fuente de acceso público, es que no se hace constar que se trata de una reclamación de organismo público, sino que se entiende que es una reclamación judicial. Pero esa diferencia es intrascendente desde el momento en que la información es tan parca que no recoge ni siquiera la cuantía de la deuda existente"

"Como ya hemos dicho entendemos que la mera rectificación que derivaría de la inexactitud que suponen calificar la información en el apartado de reclamaciones judiciales y no administrativas organismos públicos resulta intrascendente"

"En cambio se hace constar precisamente el acreedor, y que se trata de una deuda tributaria, que es sin duda la más habitual en el régimen de relaciones que pueden existir entre una administración local y una persona física, (dato plausible cuando la demandante no ha aportado acreditación alguna que permita dudar de si existía algún otro tipo de deuda posible entre el Ayuntamiento y la demandante)"(1 Sentencia de la Audiencia Provincial de Huelva, núm. 273, de 11 de mayo de 2022, REC 1175/2021 )

La información publicada en el BOE de 27 de febrero de 2019, de 12 de febrero de 2019 y de 24 de febrero de 2020, es idéntica y respetuosa con la que se registra en el Fichero de Reclamaciones de Organismos Públicos, incluyendo el órgano acreedor, la agencia Estatal de Administración Tributaria y los datos del deudor, identificado con nombre y DNI. Estos BOE no hacen referencia a la cuantía de la deuda y, en consecuencia, el Fichero de Reclamaciones de Organismos Públicos tampoco lo hace.

Por tanto, no habiendo recogido en el fichero ninguna cuantía de la deuda, sino únicamente la existencia de las notificaciones practicadas por la Agencia Estatal De Administración Tributaria publicada en el BOE, toda la información incorporada al Fichero es exacta y veraz, por lo que la conclusión que alcanza la Sentencia en relación con el principio de incumplimiento de la calidad del dato y el principio de exactitud es errónea."

2.-El principio de calidad de los datos.

Uno de los ejes fundamentales de la regulación del tratamiento automatizado de datos personales es el que ha venido en llamarse "principio de calidad de los datos". Los datos deber ser exactos, adecuados, pertinentes y proporcionados a los fines para los que han sido recogidos y tratados. El art. 4 LOPD , desarrollando las normas del Convenio núm. 108 del Consejo de Europa y la normativa comunitaria, exige que los datos personales recogidos para su tratamiento sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado, y prohíbe que sean usados para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos.

2.1.-La calidad de los datos en los registros de morosos.

Estos principios y derechos son aplicables a todas las modalidades de tratamiento automatizado de datos de carácter personal. Pero tienen una especial trascendencia cuando se trata de los llamados "registros de morosos".

El art. 29.4 LOPD establece que «sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos». El art. 38 del Reglamento exige para la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Por tanto, los datos que se incluyan en estos registros de morosos han de ser ciertos y exactos. Se exige la existencia de una deuda previa, vencida y exigible, que haya resultado impagada, y que tal impago resulte determinante para enjuiciar la solvencia económica del interesado. La sentencia de esta Sala núm. 13/2013, de 29 de enero, realiza algunas declaraciones generales sobre esta cuestión, al afirmar que la LOPD: «[...]descansa en principios de prudencia, ponderación y sobre todo, de veracidad, de modo que los datos objeto de tratamiento deben ser auténticos, exactos, veraces y deben estar siempre actualizados, y por ello el interesado tiene derecho a ser informado de los mismos y a obtener la oportuna rectificación o cancelación en caso de error o inexactitud, y en cuanto a obligaciones dinerarias se refiere, la deuda debe ser además de vencida y exigible, cierta, es decir, inequívoca, indudable, siendo necesario además el previo requerimiento de pago; por tanto no cabe inclusión de deudas inciertas, dudosas, no pacíficas o sometidas a litigio, bastando para ello que aparezca un principio de prueba documental que contradiga su existencia o certeza».

En el presente caso no estamos ante una deuda vencida y exigible, cierta, es decir, inequívoca, indudable, sino ante una notificación por edictos en que se notifica un embargo de una cuenta bancaria, la finalidad de esa notificación es que los interesados comparezcan en el plazo que se les señala al efecto de practicarse las notificaciones pendientes en los procedimientos tramitados por los órganos que se relacionan.

De tales menciones parece inferirse que existía un procedimiento judicial cuando este extremo no responde a la realidad. Máxime cuando una de las manifestaciones de este principio de calidad de datos es la de que la deuda publicada ha de ser cierta; no pudiendo serlo, como tiene dicho el Tribunal Supremo en numerosas sentencias (29 de enero de 2013, 19 de noviembre de 2014 y 22 de diciembre de 2015), cuando su existencia y/o cuantía se halla sometida a litigio.

Repárese en que en el propio formato informativo que proporciona el fichero a las empresas( doc. 2 demanda) que lo consultan se distingue entre dos situaciones, una primera denominada reclamaciones de organismos públicos(sin ningún datos),y otra segunda llamada " incidencias judiciales" ,en donde constan los datos ,nombre y apellidos de la actora, que es omitido en aquella publicación del BOE , su DNI, consta deuda tributaria, reclamante Agencia Estatal de Administración Tributaria, con omisión del procedimiento judicial y del Juzgado en donde se tramita.

El dato publicado habría de ubicarse en la primera de las opciones posibles. Y, sin embargo, se incluyó en la segunda Del dato proporcionado a las entidades de crédito por la apelante parece desprenderse la existencia de un proceso judicial y, como decimos, ni el dato es cierto, puesto que no mediaba proceso judicial alguno para su reclamación, y, de serlo, tampoco podría considerarse deuda cierta la publicada, no pudiendo ser por tanto incluida en el fichero, por lo que en ambos supuestos se incumpliría el principio de calidad de datos.

Pero es que, además, tampoco consideramos que el dato incluido en el fichero sea una referencia actualizada. Atiéndase a que lo que se indica en la publicación es que se concede un plazo de quince días al interesado para que comparezca en las oficinas del organismo pertinente a fin de practicar notificaciones.

Y bien pudiera ser que en dichos quince días la deuda se saldase o se acreditase su inexistencia. Por tanto, entendemos que lo prudente habría sido no publicar la existencia del procedimiento administrativo de reclamación en tanto no se tuviese pleno convencimiento de que la deuda era cierta, esto es que se mantenía tras el plazo concedido por la autoridad administrativa para su satisfacción o, en su caso, acreditación de inexistencia. De modo que el criterio de deuda actualizada entendemos que tampoco se cumple.

Ha existido una infracción del principio de calidad de datos puesto que no se cumple con la normativa protectora de referencia y, lo cual afecta al honor de la actora.

QUINTO.-Cuarto motivo del recurso: -ERROR EN LA APLICACIÓN DEL DERECHO. INEXISTENCIA DE OBLIGACIÓN DE EQUIFAX DE REALIZAR UNA NOTIFICACIÓN DE INCLUSIÓN DE LOS DATOS DE LA PARTE ACTORA.

Alega: "Siguiendo la jurisprudencia del Excmo. Tribunal Supremo, recogida en las sentencias núm. 563/2019, 422/2020, 609/2022 y 660/2022, debemos concluir que, en la publicación en el BOE, y la notificación remitida por EQUIFAX que acompaña a su demanda (Cfr. Documento nº 2 de la Demanda) constituyen notificación suficiente a los efectos de que pudiera haber solicitado sus derechos de acceso, rectificación, oposición y cancelación, por lo que la finalidad del requerimiento había decaído y ya no era exigible."

1º.-De la infracción de la obligación impuesta en el artículo 14 RGPD

1. El RGPD dedica el capítulo III a los derechos de los interesados (artículos 12 a 23).

El artículo 14, bajo la rúbrica "Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado"establece lo siguiente:

"1. Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado.

2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:

a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;

b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.

4.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al

interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2

5.Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

a) el interesado ya disponga de la información;

b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;

c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria."

El artículo 14 RGPD impone a la demandada una obligación de informar a los interesados cuando los datos tratados no se hubieran recogidos de ellos, que es consecuencia del principio de transparencia que preside el tratamiento de datos personales conforme al artículo 5.1.a) RGPD.

No consta que EQUIFAX notificara a la actora/interesada cuyos datos venía tratando a través del FIJ a raíz de la aplicación efectiva del RGPD, el 5 de diciembre de 2018.

A tenor de lo expuesto y de la documentación que obra en autos, se estima que la conducta de la reclamada vulnera la obligación que le impone el artículo 14 RGPD, en relación con el artículo 5.1.a) RGPD

Las infracciones referidas por parte de la demanda han supuesto una vulneración de derecho al honor de la actora.

SEXTO. -Quinto motivo del recurso: -SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS.

Estima que: "... el tratamiento de datos por el Fichero Judicial está también amparado en el artículo 6, apartado f), del Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 que establece que será legitimo cuando sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Y que también se recoge en el artículo 10, apartado a), del Real Decreto 1720/2007, como uno de los supuestos que legitiman el tratamiento o la cesión de datos personales: "El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario [...]"

Y, tal y como consta en el Documento nº 2, aportado en la demanda, EQUIFAX informó al actor que el interés del fichero es: "ayudar a las entidades que consultan al fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones, productos o servicios no solicitados por usted. Los datos incluidos en este fichero también podrán ser tratados de manera anonimizada para realizar análisis estadísticos".

SEPTIMO. -Sexto motivo del recurso:-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

Alega: el tratamiento de datos por el Fichero Judicial está también amparado en el artículo 6, apartado f), del Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 que establece que será legitimo cuando sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Y que también se recoge en el artículo 10, apartado a), del Real Decreto 1720/2007 , como uno de los supuestos que legitiman el tratamiento o la cesión de datos personales: "El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario [...]"

Y, tal y como consta en el Documento nº 2, aportado en la demanda, EQUIFAX informó al actor que el interés del fichero es:

"ayudar a las entidades que consultan al fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones, productos o servicios no solicitados por usted. Los datos incluidos en este fichero también podrán ser tratados de manera anonimizada para realizar análisis estadísticos".

Interés que, tal y como confirmó el Excmo. Tribunal Supremo (Sala de lo Civil, Sección1ª) en su sentencia núm. 261/2017 de 26 abril [RJ 2017\1737], es total y absolutamente legítimo, máxime teniendo en cuenta que los datos han sido recogidos de fuentes y registros públicos:

" La inclusión en registros de morosos por deudas de pequeña cuantía es correcta y congruente con la finalidad de informar sobre la insolvencia del deudor y el incumplimiento de sus obligaciones dinerarias. Y cuando tal inclusión se ha realizado, quienes consultan el registro pueden suponer legítimamente que el acreedor ha cumplido con las exigencias del principio de calidad de los datos, y no lo contrario, que es lo que hace la Audiencia, y que por tanto es cierto que el afectado ha dejado de cumplir sus obligaciones dinerarias".

El motivo se desestima. Nos remitimos a lo expuesta supra sobre el interés legítimo.

OCTAVO. - Séptimo motivo del recurso:ERROR EN LA APLICACIÓN DEL DERECHO Y LA VALORACIÓN DE LA PRUEBA RESPECTO LA CONDENA Y CUANTIFICACIÓN DE LA INDEMNIZACIÓN DE DAÑOS Y PERJUICIOS.

Alega:

"1º.- el artículo 9.3 de la LOPDH no implica una obligación legal absoluta de fijar de una indemnización.

La presunción del articulo 9.3 alcanza a la existencia de perjuicio, pero ello no exime al demandante de probar el daño moral realmente ocasionado, de ahí la referencia expresa del artículo a que la lesión debe ser efectivamente producida.

2º.-Inexistencia de lesión en el derecho al honor.

3º.-SUBSIDIARIAMENTE.INADECUACIÓN DEL QUANTUM INDEMNIZATORIO PRETENDIDO POR LA ACTORA. NECESARIA MODERACIÓN DE LA INDEMNIZACIÓN EN APLICACIÓN DEL ARTÍCULO 1103 DEL CÓDIGO CIVIL .

En este caso, los datos de la Demandante solo hay sido consultado por una única entidad: Banco Cetelem, tal y como confirmó la Sentencia6

En este caso, en el que los datos de la actora solo fueron anotados en el Fichero de Reclamaciones de Organismos Públicos, y consultado por una sola entidad, es evidente que la indemnización cuantificada por el Juzgador no solo es absolutamente desproporcionado en atención a las circunstancias que concurren en el presente supuesto, sino que no atiende a los criterios y cuantías fijadas para casos similares por nuestro Excmo. Tribunal Supremo, motivo por el cual entendemos que debe revocarse el pronunciamiento indemnizatorio la del Sentencia, sin que proceda la condena a ninguna cantidad."

VULNERACIÓN DEL DERECHO AL HONOR

2.1 "Tendrán la consideración de intromisiones ilegítimasen el ámbito de protección delimitado por el artículo segundo de esta Ley: [...] 7. La imputación de hechos o la manifestación de juicios de valor a través de acciones o expresiones que de cualquier modo lesionen la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación" (art. 7 LODH).

"La atribución a una persona de la condición de " moroso",y la comunicación de esta circunstancia a terceras personas, afecta al honor de la persona a la que se realiza la imputación, porque existe una valoración social negativa de las personas incluidas en estos registros y porque la imputación de ser "moroso" lesiona la dignidad de la persona, menoscaba su fama y atenta a su propia estimación" ( SSTS 1ª 245/2019, 25.4 y 592/2021, 9.9 ; ant. STS 1ª Pleno 284/2009, 24.4 ).

. Ahora bien, "no se apreciará la existencia de intromisión ilegítima en el ámbito protegido cuando estuviere expresamente autorizada por Ley"(art. 2.2 pr. LODH).

"De ahí que la actuación "autorizada por la ley" excluya la ilegitimidad de la afectación del derecho al honor provocada por la comunicación de los datos personales del supuesto "moroso" a un fichero sobre incumplimiento de obligaciones dinerarias" ( SSTS 1ª 245/2019 y 592/2021 ).

2.2. "El cumplimiento de la normativa que regula la protección de datosde carácter personal es, por tanto, determinante para decidir si, en el caso de inclusión de los datos de una persona física en un registro de morosos, la afectación del derecho al honor constituye o no una intromisión ilegítima. Si el tratamiento de los datos ha sido acorde con las exigencias de dicha legislación (es decir, si el afectado ha sido incluido correctamente en el registro de morosos), no puede considerarse que se haya producido una intromisión ilegítima porque la afectación del honor estaría "expresamente autorizada por la Ley"" ( SSTS 1ª 245/2019 y 592/2021 ).3. Considerando que Equifax no ha ajustado su conducta a lo dispuesto en la normativa de protección de datos personales (v. Fundamento antecedente), es correcta la apreciación por la Sentencia recurrida de la existencia de una intromisión ilegítima en el derecho al honor del demandante.

Como indica la STS nº 284/2009. el simple hecho de incluir a la demandante en el fichero produce un daño, el aspecto interno de íntima convicción -inmanencia.

No es preciso, pues, que haya existido una efectiva divulgación del dato para que se haya vulnerado el derecho al honor del afectado y se le hayan causado daños morales. Si el dato ha sido divulgado, porque el registro ha sido consultado, y tal divulgación tiene consecuencias económicas, habrían de indemnizarse tanto el daño moral como el patrimonial.

En el presente caso el actor fue incluido por tres veces en el FIJ, y fue consultado por una entidad, por lo que se ha producido el daño en su aspecto interno, y al ser consultado por una entidad, el daño moral y teniendo en cuenta que el actor fue incluido tres veces en el fichero, la indemnización concedida por el juez a quo de 6.000 E, es adecuada a circunstancias del caso, sin que proceda la moderación de esa cantidad interesada por la apelante, que como moderación alega la supresión de toda indemnización.

El motivo se desestima.

NOVENO. -Las costas de esta instancia se imponen a la apelante ( art. 398 Ley de Enjuiciamiento Civil) .

Se aceptan los de la sentencia apelada.

PRIMERO.-Antecedentes y objeto del recurso.

1.-La sentencia de instancia estima la demanda formulada por el actor frente a la entidad Equifax por su inclusión en los ficheros de información judicial, en los términos referidos.

2.-La sentencia es apelada por la entidad demandada que interesa su revocación y desestimación de la demanda, alegando:

"1º.-INAPLICABILIDAD DE LA LEY 3/2018 A LAS ANOTACIONES PREVIAS AL 7 DE DICIEMBRE DE 2018.

2º.- ERROR EN LA APLICACIÓN DEL DERECHO SUSTANTIVO. LA NORMATIVA DE LOS FICHEROS DE MOROSOS NO ES DE APLICACIÓN AL FICHERO JUDICIAL

3º.-ERROR EN LA VALORACIÓN DEL DERECHO. INEXISTENCIA DE RESPONSABILDIAD DE EQUIFAX POR EL PRINCIPIO DE CALIDAD DE LOS DATOS.

4º.- ERROR EN LA APLICACIÓN DEL DERECHO. INEXISTENCIA DE OBLIGACIÓN DE EQUIFAX DE REALIZAR UNA NOTIFICACIÓN DE INCLUSIÓN DE LOS DATOS DE LA PARTE ACTORA.

5º.-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

6º.-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

3. -La parte apelada interesó la desestimación del recurso.

SEGUNDO.-Primer motivo del recurso: 1º.-INAPLICABILIDAD DE LA LEY 3/2018 A LAS ANOTACIONES PREVIAS AL 7 DE DICIEMBRE DE 2018.

Sostiene que: "Como recoge la Disposición final decimosexta de la Ley 3/2018 , la entrada en vigor de la Ley tendrá lugar el día siguiente al de su publicación en el Boletín Oficial del Estado, esto es, el día 7 de diciembre de 2018. Esta Ley 3/2018 no prevé, en ninguno de sus artículos, la posibilidad de aplicación retroactiva.

Al contrario de lo sostenido por la Sentencia, es jurisprudencia consolidada que esta normativa no puede resultar de aplicación con carácter retroactivo, salvo que la misma resulte favorable para el responsable del tratamiento a efectos de imponer una sanción

En cualquier caso, tanto la Ley 3/2018, como la anterior Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, "Ley 15/1999"), consideran lícito el tratamiento de datos por los ficheros que obtienen los datos de fuentes y registros de acceso público, como el Fichero de Reclamaciones de Organismos Públicos."

El supuesto de hecho que nos ocupa es la inclusión en el denominado fichero de incidencias judiciales y de organismos públicos de los siguientes datos (doc. 2 demanda):

"RECLAMACIONES JUDICIALES

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION

TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 12/02/2016

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 27/02/2019

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 24/02/2020"

Consta que en el Boletín Oficial del Estado se publicaron en las citadas fechas resoluciones de la Agencia Estatal de Administración Tributaria, por la que se anuncian las notificaciones por comparecencia, después de haber realizado primero y, en su caso, segundo intentos, apareciendo como única información relativa al demandante su nombre y apellidos, número de documento de identidad, número de expediente, organismo responsable: recaudación, y acto notificado: embargos, sin hacer mención al importe de la deuda (bloque documental 2 contestación).

Respecto de la inclusión en el FIJ de 2016 estaba vigente la Ley de Protección de datos de 1999 y el reglamento de 2007por lo que no es de aplicación la Ley de3/2018 de protección de datos.

El artículo 29.1 LOPD no está vigente, fue derogado por la LOPDPGDD, que entró en vigor el 07/12/2018 y, ni en el RGPD ni en la LOPDPGDD existe una norma equivalente. Es más, al tratarse de una inclusión de efectos permanentes, los tratamientos anteriores a la entrada en vigor de la nueva normativa, deberían adaptarse en lo más favorable para el interesado.

Por tanto, el fichero de 2016 se debió de adoptar a la Ley 3/2018, lo cual no consta.

Respecto de la inclusión del actor en el FIJ de 2029 y 2020, se adapta a la Ley 3/2018.

El motivo se desestima.

TERCERO.-Segundo motivo del recurso: ERROR EN LA APLICACIÓN DEL DERECHO SUSTANTIVO. LA NORMATIVA DE LOS FICHEROS DE MOROSOS NO ES DE APLICACIÓN AL FICHERO JUDICIAL.

3.1. INADECUADA APLICACIÓN DE LA LEY ORGÁNICA 1/1982, DE 5 DE MAYO, DE PROTECCIÓN CIVIL DEL DERECHO AL HONOR, LA INTIMIDAD PERSONAL Y FAMILIAR Y LA PROPIA IMAGEN.

3.2. EL FICHERO JUDICIAL NO ES UN "FICHERO DE MOROSOS"

1.-El motivo relativo a la inadecuada aplicación de la LEY ORGÁNICA 1/1982, DE 5 DE MAYO, DE PROTECCIÓN CIVIL DEL DERECHO AL HONOR, LA INTIMIDAD PERSONAL Y FAMILIAR Y LA PROPIA IMAGEN, es objeto de examen infra.

2.-Con la normativa en vigor Equifax al incluir a la actora en el FIJ. incumple varios principios, a saber:

1º. Equifax infringe el principio de limitación de la finalidad.

El RGPD (EUROPEO) dedica a los principios que presiden el tratamiento de datos de carácter personal el artículo 5. Entre ellos, se refiere al de limitación de la finalidad en el artículo.

Conforme al citado principio los datos personales serán "recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales"

El principio de limitación de la finalidad impide que pueda realizarse un tratamiento ulterior de datos personales si los fines de este tratamiento y los perseguidos por el tratamiento originario no son compatibles.

El artículo 6 RGPD, relativo a la "Licitud del tratamiento",dedica su apartado 4 a enumerar los elementos que permiten determinar si un tratamiento con otro fin es compatible con el fin inicial para el que se recogieron los datos:

"Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización"

2º.-Con el propósito de determinar si el tratamiento de los datos de la actora que ha efectuado EQUIFAX a través del FIJ es o no respetuoso con el principio previsto en el artículo 5.1.b) RGPD, el punto de partida ha de ser el origende los datos tratados.

Los datos de la actora se obtuvieron por la entidad demandada del BOE de 14 de diciembre de 2018 que publicaba la Resolución de 12 de diciembre de 2018, de la Agencia Estatal de Administración Tributaria, por la que se anuncian las notificaciones por comparecencia, después de haber realizado primero y, en su caso, segundo intentos, ,en la que se publicaba, entre otros los datos de la actora, en concreto su DNI, NOTIF EMBARGO CTAS BANC Nº NUM000,expediente y órgano responsable: NOTIF EMBARGO CTAS BANC Nº NUM000,y la oficina gestora NUM001.

El hecho de que los datos de la actora procedan de fuentes públicas, básicamente de diarios y boletines oficiales, evidencia que éstos habían sido objeto de un tratamiento anterior con una finalidad determinada.

El artículo 44 de la LPACAP ( Ley procedimiento Administrativo) bajo la rúbrica "Notificación infructuosa"señala:

"Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado».

Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la Comunidad Autónoma o de la Provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del Consulado o Sección Consular de la Embajada correspondiente.

Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el «Boletín Oficial del Estado."

El artículo 45 de la LPACAP, "Publicación",dispone:

"1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente.

En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:

a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.

b) Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.

2. La publicación de un acto deberá contener los mismos elementos que el artículo 40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo establecido en el apartado 3 del mismo artículo.

En los supuestos de publicaciones de actos que contengan elementos comunes, podrán publicarse de forma conjunta los aspectos coincidentes, especificándose solamente los aspectos individuales de cada acto.

3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar.

4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente."

En estos preceptos se detallan los supuestos en los que las Administraciones Públicas, en cumplimiento de una obligación impuesta por la LPACAP, publican en boletines y diarios oficiales actos y resoluciones administrativas.

La notificación, en palabras del Tribunal Supremo ( STS 07/03/1997) "consiste en una comunicación formal del acto administrativo de que se trate."La doctrina explica que es el mecanismo a través del cual se da traslado al interesado del contenido de un acto. Por otra parte, la notificación de actos y resoluciones es obligatoria para las Administraciones Públicas y un requisito al que se supedita su eficacia (artículo 39 de la LPACAP) Así pues, la notificación constituye una garantía para el administrado ya que a través de ella conoce los actos de la Administración que afectan a sus derechos e intereses legítimos por lo es un instrumento que garantiza el derecho a la tutela judicial efectiva ( artículo 24.1 de la C.E.)

A través de la publicación se pretende la misma finalidad que la notificación, que el contenido del acto administrativo llegue a conocimiento de quienes son interesados en un procedimiento administrativo.

La LPACAP se refiere a la publicación tanto en el artículo 44 como en el artículo 45 3. La publicación que las Administraciones Públicas efectúan de actos o resoluciones administrativas que incluyen datos personales, implica para los administrados una restricción al derecho fundamental que tienen reconocido en el artículo 18.4 de la C.E.

A través de la publicación de un acto o resolución administrativa -a la que, como se ha indicado, el artículo 39 de la LPACAP supedita su eficacia- se quiere garantizar a los interesados el ejercicio de su derecho de defensa -lo que a su vez conecta con el derecho a la tutela judicial efectiva reconocido en el artículo 24.1 de la C.E.- y permite a las Administraciones Públicas el ejercicio de sus potestades. De tal manera que la finalidad perseguida con esta evidente limitación al derecho a la protección de datos está directamente conectada con un interés público.

La publicación de los datos personales de los afectados en estos casos es, por tanto, ajena a su voluntad. La establece una norma con rango de ley y se justifica por el interés público que persigue. Son precisamente estos datos personales, que han sido objeto de publicación en boletines y diarios oficiales sin el concurso de la voluntad de sus titulares en cumplimiento de una obligación legal y con la finalidad de satisfacer un interés público, los datos de los que se nutre el FIJ

El tratamiento ulterior de esos datos que EQUIFAX efectúa persigue una finalidad claramente distinta al interés público que justificó su publicación. Si no atenemos a los intereses legítimos que EQUIFAX busca satisfacer a través del FIJ, se trata de fines distintos. Mientras el tratamiento de los datos de los administrados por las Administraciones Públicas a través de la publicación de actos administrativos en los diarios y boletines oficiales busca satisfacer un interés público, el tratamiento ulterior que EQUIFAX hace de esos datos a través del FIJ está vinculada a la evaluación de la solvencia de los afectados y a la prevención del fraude.

El artículo 6.4 RGPD facilita algunos criterios para determinar si el tratamiento ulterior de los datos de los reclamantes a través del FIJ es compatible con el tratamiento originario. A ellos se suman las indicaciones ofrecidas en el Considerando 50 del RGPD.

En el presente caso se puede afirmar que la finalidad del tratamiento originario y la del tratamiento ulterior por EQUIFAX son claramente incompatibles. No hay ninguna relación entre la finalidad del tratamiento efectuado a través de las publicaciones en boletines y diarios oficiales que incluyen datos personales de los afectados -el interés público conectado con el derecho a la tutela judicial efectiva de los administrados y el ejercicio efectivo por las Administraciones Públicas de las potestades que tienen atribuidas- y el fin para el que EQUIFAX trata los datos, que ella ha concretado en la evaluación de la solvencia y en la prevención del fraude.

Tampoco existe entre la actora y el responsable del tratamiento ninguna relación vinculada al contexto en el que se recogieron los datos, de manera que la actora no ha podido tener ninguna expectativa razonable de que sus datos fueran objeto de este tratamiento.

EQUIFAX no ha establecido garantías adicionales para que el tratamiento no afecte al derecho fundamental a la protección de datos puesto que la finalidad que el FIJ busca satisfacer exige disponer de los datos de identidad de los afectados.

El principio de responsabilidad proactiva del artículo 5.2 RGPD obliga al responsable del tratamiento a estar en condiciones de acreditar que cumple los principios que presiden el tratamiento de los datos; por lo que aquí interesa el principio de limitación de la finalidad. Por otra parte, tanto el artículo 6.4 RGPD como el Considerando 50 se refieren al responsable del tratamiento como el sujeto que deberá determinar si la finalidad del tratamiento ulterior que pretende realizar es compatible con la finalidad para la que inicialmente se recogieron los datos, lo que es coherente con el principio de responsabilidad proactiva que ha de regir la actuación del responsable del tratamiento.

Por lo expuesto la entidad demanda ha vulnerado el principio de limitación de la finalidad.

3º.- Equifax incumple el principio de licitud.

El RGPD se ocupa en el artículo 5 de los principios que presiden el tratamiento de datos de carácter personal y en el apartado 1.a) dispone que los datos personales serán tratados de manera "lícita, leal y transparente en relación con el interesado".En idéntico sentido el Considerando 39 dice que "Todo tratamiento de datos personales debe ser lícito [...]"

Conforme al artículo 6.1 del RGPD para que el tratamiento de datos personales sea lícito deberá estar fundado en, al menos, una de las circunstancias que este precepto relaciona. La letra f) del artículo 6.1. dispone que el tratamiento de datos personales será lícito cuando "el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño"

La STJUE de 24/11/2011 declaró el efecto directo de la disposición del artículo 7.f) de la Directa 95/46, relativo a la base jurídica de la prevalencia del interés legítimo, señaló que el citado precepto establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado (epígrafe 38). Añade también, a propósito de la ponderación, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado (epígrafe 40).

El considerando 47 del Reglamento (UE) 2016/679 contribuyen a la tarea de precisar el contenido y alcance de la circunstancia legitimadora del artículo 6.1.f) RGPD.

La aplicación del artículo 6.1.f) RGP requiere que exista un interés legítimo del responsable del tratamiento o del tercero; que el tratamiento sea necesario para la satisfacción del interés legítimo perseguido; y que en la ponderación del interés legítimo del responsable del tratamiento o de terceros por una parte y del impacto que sobre los intereses, los derechos fundamentales y libertades del interesado provoca el tratamiento de datos que se pretende efectuar, por otra, prevalezca el primero.

La licitud no puede ampararse en que el tratamiento sea " necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento" (art. 6.1 d] LOPDPGDD). En efecto, existen otras medidas alternativas más moderadas para obtener información sobre la solvencia de la persona financiada (juicio de necesidad)y la inclusión no consigue el objetivo propuesto (juicio de idoneidad)porque los datos no se actualizan, porque no identifican inequívocamente al titular de los datos (v. disp. ad. 7ª LOPDPGDD) y porque la información es fragmentaria toda vez que los notificados edictalmente son una pequeña parte de las personas que tienen deudas pendientes con las Administraciones Públicas por no haber podido ser notificadas personalmente. Además, la conveniencia que puede representar para un determinado sector de la actividad mercantil ver disminuido el riesgo inherente a su actividad mediante este tratamiento informático no guarda proporción (juicio de proporcionalidad)con la vulneración del derecho al honor y a la intimidad personal y familiar de los ciudadanos ( arts. 18.4 CE y 8 Carta de derechos fundamentales de la Unión Europea )."Los intereses comerciales de una empresa responsable de un fichero de datos han de ceder ante el interés legítimo del titular de los datos en la protección de los mismos" ( SSTS 3ª 815/2020, 18.6; 839/2020, 22.6; 840/2020, 22.6 y 853/2020,22.6).

4º.- Equifax también vulnera el principio de limitación de la finalidad(v. art. 5.1 b] y cdo. 50 RGPD) al incluir en un fichero de morosos datos personales del afectado que habría obtenido del Tablón Edictal Único del BOE (TEU-BOE). La finalidad del tratamiento efectuado a través de las publicaciones en boletines y diarios oficiales es un interés público conectado con el derecho a la tutela judicial efectiva de los administrados y el ejercicio efectivo por las Administraciones Públicas de las potestades que tienen atribuidas. Este fin público no guarda relación con el fin privado de evaluación de la solvencia para el que Equifax trata los datos. Aclaramos que, en el sistema que configura y admite la legislación vigente, es el propio acreedor quien comunica los datos personales al fichero (art. 20.1 a] LOPDPGDD), por lo que no se infringe el principio de limitación de la finalidad.

5º.- Equifax igualmente viola el principio de exactitud(art. 5.1 d] RGPD) . En el diseño actual corresponde "al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud" (art. 20.2 II LOPDPGDD) y "las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos" (art. 20.2 I LOPDPGDD). En los ficheros asociados nutridos por información del acreedor, periódicamente se revisa el estado de la deuda, lo que no puede hacerse si la fuente de información es únicamente la publicación en un diario oficial, que está desconectada del devenir de la deuda. La exactitud también queda comprometida por la identificación de los presuntos deudores, que no es inequívoca en las fuentes públicas, como tampoco un domicilio en el que no se ha logrado la notificación personal. Si bien la obtención de datos de un registro público puede exonerar de responsabilidad (art. 4.2 d] LOPDPGDD), como por ejemplo el registro público concursal, los diarios y boletines oficiales no tienen la condición de registro público.

6º.- Asimismo, Equifax incumple el principio de minimización de datos(art. 5.1 c] RGPD) . Los datos almacenados no son adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, por las anteriores consideraciones.

7º Además, "el responsable del tratamiento será responsable del cumplimiento de lo dispuesto enel apartado 1 y capaz de demostrarlo (" responsabilidad proactiva")" (art. 5.2 LOPDPGDD). Pues bien, la demandada no ha demostrado con prueba alguna el cumplimiento.

En contraste, los sistemas de información crediticia regulados en la LOPDPGDD reúnen un conjunto de garantías que no proporcionan los sistemas que recopilan información pública.

Así, la inclusión requiere que "el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe" (art. 20.1 c] LOPDPGDD).

Además, aunque un fichero de fuentes públicas no sería necesariamente obstativo de intentarlo, Equifax tampoco ha cumplido con la notificación de inclusión: "la entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo" (art. 20.1 c] II LOPDPGDD).

Antes bien, como los boletines oficiales no incluyen el domicilio del titular de los datos ( exdisp. ad. 7ª LOPDPGDD), Equifax no estará normalmente en condiciones de poder cumplir la obligación de informaciónprevista en el artículo 14 RGPD. Con ello, se vulnera por Equifax igualmente el principio de transparencia (art. 5.1 a] RGPD) .

CUARTO.-Tercer motivo del recurso: ERROR EN LA VALORACIÓN DEL DERECHO. INEXISTENCIA DE RESPONSABILDIAD DE EQUIFAX POR EL PRINCIPIO DE CALIDAD DE LOS DATOS.

1.-Aduce: ".... no siendo el Fichero de Reclamaciones de Organismos Públicos un fichero negativo o de insolvencia, no se le pueden aplicar los requisitos para el tratamiento de los datos personales previsto para estos ficheros negativos. Entre estos requisitos que no pueden resultar de aplicación esta, precisamente, el principio de calidad de los datos previsto en el artículo 38. 1 del Real Decreto 1720/2007 , y el artículo 20 de la Ley 3/2018 solo aplicable al "Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés". Y, así lo confirmó el Excmo. Tribunal Supremo (Sala de lo Civil, Sección1ª) em su sentencia núm. 614/2018 de 7 noviembre [RJ 2018\5221]:

"la comprobación de la existencia, certeza y vencimiento de las deudas controvertidas no son de la incumbencia del titular del registro por exceder lógicamente de sus competencias

Y así ha sido confirmado por la AEPD, órgano administrativo competente y especialmente creado para la vigilancia y control de la aplicación de la normativa de protección de datos, entre otras en su resolución NUM002:

"En cuanto a lo señalado por el reclamante que se ha llevado un tratamiento sin consentimiento y sin haber notificado la inclusión de sus datos en el fichero, al respecto señalar que el art. 29.1 LOPD permite su tratamiento de los datos obtenidos de fuentes accesibles al público y que su notificación se da en el supuesto que concurran por en el incumplimiento de obligaciones dinerarias facilitadas por los acreedores y no en este supuesto."

Y ratificado por, entre otras, la Audiencia Provincial de las Palmas, en su sentencia de 13 de febrero de 2020 :

"No es controvertido que la fuente a la que Equifax acudió fue un boletín oficial, [...] No siendo necesario en este caso que se comunique al interesado la inclusión en el fichero".

Y la Audiencia Nacional en sus sentencias de fecha 27 de febrero de 2008, 29 de junio de 2001 (Rec. 1012/1999), 29 de noviembre de 2001 (Rec. 531/2000) y 27 de febrero de 2008 (Rec. 358/2006), que señalan lo siguiente:

"De lo que se infiere que habiéndose tomado los datos personales, en el supuesto ahora enjuiciado, del Boletín Oficial de la Comunidad de Madrid, no existía obligación ninguna de notificar su inclusión en el Fichero de Incidencias Judiciales al titular de los mismos.

Por tanto, es razonable sostener que la Sentencia yerra al concluir la responsabilidad de EQUIFAX por la calidad de los datos transcritos en el Fichero de Reclamaciones de Organismos Públicos, pues esta obligación prevista en el 10 artículo 20 de la Ley 3/2018 y 38. 1 del Real Decreto 1720/2007 , no puede resultar de aplicación a un fichero con una regulación propia y diferenciada."

Recordemos que EQUIFAX obtuvo los datos de la Actora de los siguientes boletines públicos:

i (i) BOE de 27 de febrero de 2019, en el que AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, publicó un "Anuncio de notificación de 25 de febrero de 2019 en procedimientos tramitados por la Agencia Estatal de Administración Tributario", conforme a lo dispuesto en el Art. 112.1 de la Ley 58/2003 de 17 de diciembre, General Tributaria , frente a Don Marcial, con DNI NUM003.

ii (i) BOE de 12 de febrero de 2016, en el que AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, publicó un "Anuncio de notificación", en virtud de lo dispuesto en el artículo 112 de la Ley 58/2003, de 17 de diciembre, General Tributaria , para las notificaciones de naturaleza tributaria, y en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , frente a Don Marcial, con DNI NUM003."

iii (i) BOE de 24 de febrero de 2020, en el que la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA público un "Anuncio de notificación", en virtud de lo dispuesto en el artículo 112 de la Ley 58/2003, de 17 de diciembre, General Tributaria , para las notificaciones de naturaleza tributaria, y en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , frente a Don Marcial, con DNI NUM003.

No afecta al principio de calidad del dato la concreta casilla del fichero de Reclamaciones de Organismos Públicos en la que se haya inscrito el dato, y ello por varias razones fundamentales:

A.-porque, esta "diferencia es intrascendente" pues lo realmente determinante para enjuiciar la calidad del dato es la cuantía de la deuda. Así, lo confirmó la sentencia de la Audiencia Provincial de Huelva, núm. 273, de 11 de mayo de 2022, REC 1175/2021 :

B.- porque el fichero es único y traspone, indistinta y conjuntamente, la información pública relativa a reclamaciones Judiciales y de organismos públicos.

El Tribunal Supremo (Sala de lo Civil, Sección1ª), en su sentencia núm. 562/2020 de 27 octubre . [RJ 2020\4169] que concluyó que no cualquier oposición al pago de una deuda puede suponer que la misma sea incierta o dudosa, pues se estaría dejando la certeza y exigibilidad de la deuda al exclusivo arbitrio del deudor. Dice así:

"Pero, también es cierto que esta doctrina hay que matizarla, como sostiene la sentencia 245/2019, de 25 de marzo , cuando afirma que "lo anterior no significa que cualquier oposición al pago de una deuda, por injustificada que resulte, suponga que la deuda es incierta o dudosa, porque en tal caso la certeza y exigibilidad de la deuda se dejaría al exclusivo arbitrio del deudor, al que le bastaría con cuestionar su procedencia, cualquiera que fuera el fundamento de su oposición, para convertir la deuda en incierta".

"La única diferencia que encontramos entre la información que se registra y aquella que puede desprenderse de esa fuente de acceso público, es que no se hace constar que se trata de una reclamación de organismo público, sino que se entiende que es una reclamación judicial. Pero esa diferencia es intrascendente desde el momento en que la información es tan parca que no recoge ni siquiera la cuantía de la deuda existente"

"Como ya hemos dicho entendemos que la mera rectificación que derivaría de la inexactitud que suponen calificar la información en el apartado de reclamaciones judiciales y no administrativas organismos públicos resulta intrascendente"

"En cambio se hace constar precisamente el acreedor, y que se trata de una deuda tributaria, que es sin duda la más habitual en el régimen de relaciones que pueden existir entre una administración local y una persona física, (dato plausible cuando la demandante no ha aportado acreditación alguna que permita dudar de si existía algún otro tipo de deuda posible entre el Ayuntamiento y la demandante)"(1 Sentencia de la Audiencia Provincial de Huelva, núm. 273, de 11 de mayo de 2022, REC 1175/2021 )

La información publicada en el BOE de 27 de febrero de 2019, de 12 de febrero de 2019 y de 24 de febrero de 2020, es idéntica y respetuosa con la que se registra en el Fichero de Reclamaciones de Organismos Públicos, incluyendo el órgano acreedor, la agencia Estatal de Administración Tributaria y los datos del deudor, identificado con nombre y DNI. Estos BOE no hacen referencia a la cuantía de la deuda y, en consecuencia, el Fichero de Reclamaciones de Organismos Públicos tampoco lo hace.

Por tanto, no habiendo recogido en el fichero ninguna cuantía de la deuda, sino únicamente la existencia de las notificaciones practicadas por la Agencia Estatal De Administración Tributaria publicada en el BOE, toda la información incorporada al Fichero es exacta y veraz, por lo que la conclusión que alcanza la Sentencia en relación con el principio de incumplimiento de la calidad del dato y el principio de exactitud es errónea."

2.-El principio de calidad de los datos.

Uno de los ejes fundamentales de la regulación del tratamiento automatizado de datos personales es el que ha venido en llamarse "principio de calidad de los datos". Los datos deber ser exactos, adecuados, pertinentes y proporcionados a los fines para los que han sido recogidos y tratados. El art. 4 LOPD , desarrollando las normas del Convenio núm. 108 del Consejo de Europa y la normativa comunitaria, exige que los datos personales recogidos para su tratamiento sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado, y prohíbe que sean usados para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos.

2.1.-La calidad de los datos en los registros de morosos.

Estos principios y derechos son aplicables a todas las modalidades de tratamiento automatizado de datos de carácter personal. Pero tienen una especial trascendencia cuando se trata de los llamados "registros de morosos".

El art. 29.4 LOPD establece que «sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos». El art. 38 del Reglamento exige para la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Por tanto, los datos que se incluyan en estos registros de morosos han de ser ciertos y exactos. Se exige la existencia de una deuda previa, vencida y exigible, que haya resultado impagada, y que tal impago resulte determinante para enjuiciar la solvencia económica del interesado. La sentencia de esta Sala núm. 13/2013, de 29 de enero, realiza algunas declaraciones generales sobre esta cuestión, al afirmar que la LOPD: «[...]descansa en principios de prudencia, ponderación y sobre todo, de veracidad, de modo que los datos objeto de tratamiento deben ser auténticos, exactos, veraces y deben estar siempre actualizados, y por ello el interesado tiene derecho a ser informado de los mismos y a obtener la oportuna rectificación o cancelación en caso de error o inexactitud, y en cuanto a obligaciones dinerarias se refiere, la deuda debe ser además de vencida y exigible, cierta, es decir, inequívoca, indudable, siendo necesario además el previo requerimiento de pago; por tanto no cabe inclusión de deudas inciertas, dudosas, no pacíficas o sometidas a litigio, bastando para ello que aparezca un principio de prueba documental que contradiga su existencia o certeza».

En el presente caso no estamos ante una deuda vencida y exigible, cierta, es decir, inequívoca, indudable, sino ante una notificación por edictos en que se notifica un embargo de una cuenta bancaria, la finalidad de esa notificación es que los interesados comparezcan en el plazo que se les señala al efecto de practicarse las notificaciones pendientes en los procedimientos tramitados por los órganos que se relacionan.

De tales menciones parece inferirse que existía un procedimiento judicial cuando este extremo no responde a la realidad. Máxime cuando una de las manifestaciones de este principio de calidad de datos es la de que la deuda publicada ha de ser cierta; no pudiendo serlo, como tiene dicho el Tribunal Supremo en numerosas sentencias (29 de enero de 2013, 19 de noviembre de 2014 y 22 de diciembre de 2015), cuando su existencia y/o cuantía se halla sometida a litigio.

Repárese en que en el propio formato informativo que proporciona el fichero a las empresas( doc. 2 demanda) que lo consultan se distingue entre dos situaciones, una primera denominada reclamaciones de organismos públicos(sin ningún datos),y otra segunda llamada " incidencias judiciales" ,en donde constan los datos ,nombre y apellidos de la actora, que es omitido en aquella publicación del BOE , su DNI, consta deuda tributaria, reclamante Agencia Estatal de Administración Tributaria, con omisión del procedimiento judicial y del Juzgado en donde se tramita.

El dato publicado habría de ubicarse en la primera de las opciones posibles. Y, sin embargo, se incluyó en la segunda Del dato proporcionado a las entidades de crédito por la apelante parece desprenderse la existencia de un proceso judicial y, como decimos, ni el dato es cierto, puesto que no mediaba proceso judicial alguno para su reclamación, y, de serlo, tampoco podría considerarse deuda cierta la publicada, no pudiendo ser por tanto incluida en el fichero, por lo que en ambos supuestos se incumpliría el principio de calidad de datos.

Pero es que, además, tampoco consideramos que el dato incluido en el fichero sea una referencia actualizada. Atiéndase a que lo que se indica en la publicación es que se concede un plazo de quince días al interesado para que comparezca en las oficinas del organismo pertinente a fin de practicar notificaciones.

Y bien pudiera ser que en dichos quince días la deuda se saldase o se acreditase su inexistencia. Por tanto, entendemos que lo prudente habría sido no publicar la existencia del procedimiento administrativo de reclamación en tanto no se tuviese pleno convencimiento de que la deuda era cierta, esto es que se mantenía tras el plazo concedido por la autoridad administrativa para su satisfacción o, en su caso, acreditación de inexistencia. De modo que el criterio de deuda actualizada entendemos que tampoco se cumple.

Ha existido una infracción del principio de calidad de datos puesto que no se cumple con la normativa protectora de referencia y, lo cual afecta al honor de la actora.

QUINTO.-Cuarto motivo del recurso: -ERROR EN LA APLICACIÓN DEL DERECHO. INEXISTENCIA DE OBLIGACIÓN DE EQUIFAX DE REALIZAR UNA NOTIFICACIÓN DE INCLUSIÓN DE LOS DATOS DE LA PARTE ACTORA.

Alega: "Siguiendo la jurisprudencia del Excmo. Tribunal Supremo, recogida en las sentencias núm. 563/2019, 422/2020, 609/2022 y 660/2022, debemos concluir que, en la publicación en el BOE, y la notificación remitida por EQUIFAX que acompaña a su demanda (Cfr. Documento nº 2 de la Demanda) constituyen notificación suficiente a los efectos de que pudiera haber solicitado sus derechos de acceso, rectificación, oposición y cancelación, por lo que la finalidad del requerimiento había decaído y ya no era exigible."

1º.-De la infracción de la obligación impuesta en el artículo 14 RGPD

1. El RGPD dedica el capítulo III a los derechos de los interesados (artículos 12 a 23).

El artículo 14, bajo la rúbrica "Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado"establece lo siguiente:

"1. Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado.

2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:

a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;

b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.

4.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al

interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2

5.Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

a) el interesado ya disponga de la información;

b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;

c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria."

El artículo 14 RGPD impone a la demandada una obligación de informar a los interesados cuando los datos tratados no se hubieran recogidos de ellos, que es consecuencia del principio de transparencia que preside el tratamiento de datos personales conforme al artículo 5.1.a) RGPD.

No consta que EQUIFAX notificara a la actora/interesada cuyos datos venía tratando a través del FIJ a raíz de la aplicación efectiva del RGPD, el 5 de diciembre de 2018.

A tenor de lo expuesto y de la documentación que obra en autos, se estima que la conducta de la reclamada vulnera la obligación que le impone el artículo 14 RGPD, en relación con el artículo 5.1.a) RGPD

Las infracciones referidas por parte de la demanda han supuesto una vulneración de derecho al honor de la actora.

SEXTO. -Quinto motivo del recurso: -SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS.

Estima que: "... el tratamiento de datos por el Fichero Judicial está también amparado en el artículo 6, apartado f), del Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 que establece que será legitimo cuando sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Y que también se recoge en el artículo 10, apartado a), del Real Decreto 1720/2007, como uno de los supuestos que legitiman el tratamiento o la cesión de datos personales: "El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario [...]"

Y, tal y como consta en el Documento nº 2, aportado en la demanda, EQUIFAX informó al actor que el interés del fichero es: "ayudar a las entidades que consultan al fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones, productos o servicios no solicitados por usted. Los datos incluidos en este fichero también podrán ser tratados de manera anonimizada para realizar análisis estadísticos".

SEPTIMO. -Sexto motivo del recurso:-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

Alega: el tratamiento de datos por el Fichero Judicial está también amparado en el artículo 6, apartado f), del Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 que establece que será legitimo cuando sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Y que también se recoge en el artículo 10, apartado a), del Real Decreto 1720/2007 , como uno de los supuestos que legitiman el tratamiento o la cesión de datos personales: "El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario [...]"

Y, tal y como consta en el Documento nº 2, aportado en la demanda, EQUIFAX informó al actor que el interés del fichero es:

"ayudar a las entidades que consultan al fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones, productos o servicios no solicitados por usted. Los datos incluidos en este fichero también podrán ser tratados de manera anonimizada para realizar análisis estadísticos".

Interés que, tal y como confirmó el Excmo. Tribunal Supremo (Sala de lo Civil, Sección1ª) en su sentencia núm. 261/2017 de 26 abril [RJ 2017\1737], es total y absolutamente legítimo, máxime teniendo en cuenta que los datos han sido recogidos de fuentes y registros públicos:

" La inclusión en registros de morosos por deudas de pequeña cuantía es correcta y congruente con la finalidad de informar sobre la insolvencia del deudor y el incumplimiento de sus obligaciones dinerarias. Y cuando tal inclusión se ha realizado, quienes consultan el registro pueden suponer legítimamente que el acreedor ha cumplido con las exigencias del principio de calidad de los datos, y no lo contrario, que es lo que hace la Audiencia, y que por tanto es cierto que el afectado ha dejado de cumplir sus obligaciones dinerarias".

El motivo se desestima. Nos remitimos a lo expuesta supra sobre el interés legítimo.

OCTAVO. - Séptimo motivo del recurso:ERROR EN LA APLICACIÓN DEL DERECHO Y LA VALORACIÓN DE LA PRUEBA RESPECTO LA CONDENA Y CUANTIFICACIÓN DE LA INDEMNIZACIÓN DE DAÑOS Y PERJUICIOS.

Alega:

"1º.- el artículo 9.3 de la LOPDH no implica una obligación legal absoluta de fijar de una indemnización.

La presunción del articulo 9.3 alcanza a la existencia de perjuicio, pero ello no exime al demandante de probar el daño moral realmente ocasionado, de ahí la referencia expresa del artículo a que la lesión debe ser efectivamente producida.

2º.-Inexistencia de lesión en el derecho al honor.

3º.-SUBSIDIARIAMENTE.INADECUACIÓN DEL QUANTUM INDEMNIZATORIO PRETENDIDO POR LA ACTORA. NECESARIA MODERACIÓN DE LA INDEMNIZACIÓN EN APLICACIÓN DEL ARTÍCULO 1103 DEL CÓDIGO CIVIL .

En este caso, los datos de la Demandante solo hay sido consultado por una única entidad: Banco Cetelem, tal y como confirmó la Sentencia6

En este caso, en el que los datos de la actora solo fueron anotados en el Fichero de Reclamaciones de Organismos Públicos, y consultado por una sola entidad, es evidente que la indemnización cuantificada por el Juzgador no solo es absolutamente desproporcionado en atención a las circunstancias que concurren en el presente supuesto, sino que no atiende a los criterios y cuantías fijadas para casos similares por nuestro Excmo. Tribunal Supremo, motivo por el cual entendemos que debe revocarse el pronunciamiento indemnizatorio la del Sentencia, sin que proceda la condena a ninguna cantidad."

VULNERACIÓN DEL DERECHO AL HONOR

2.1 "Tendrán la consideración de intromisiones ilegítimasen el ámbito de protección delimitado por el artículo segundo de esta Ley: [...] 7. La imputación de hechos o la manifestación de juicios de valor a través de acciones o expresiones que de cualquier modo lesionen la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación" (art. 7 LODH).

"La atribución a una persona de la condición de " moroso",y la comunicación de esta circunstancia a terceras personas, afecta al honor de la persona a la que se realiza la imputación, porque existe una valoración social negativa de las personas incluidas en estos registros y porque la imputación de ser "moroso" lesiona la dignidad de la persona, menoscaba su fama y atenta a su propia estimación" ( SSTS 1ª 245/2019, 25.4 y 592/2021, 9.9 ; ant. STS 1ª Pleno 284/2009, 24.4 ).

. Ahora bien, "no se apreciará la existencia de intromisión ilegítima en el ámbito protegido cuando estuviere expresamente autorizada por Ley"(art. 2.2 pr. LODH).

"De ahí que la actuación "autorizada por la ley" excluya la ilegitimidad de la afectación del derecho al honor provocada por la comunicación de los datos personales del supuesto "moroso" a un fichero sobre incumplimiento de obligaciones dinerarias" ( SSTS 1ª 245/2019 y 592/2021 ).

2.2. "El cumplimiento de la normativa que regula la protección de datosde carácter personal es, por tanto, determinante para decidir si, en el caso de inclusión de los datos de una persona física en un registro de morosos, la afectación del derecho al honor constituye o no una intromisión ilegítima. Si el tratamiento de los datos ha sido acorde con las exigencias de dicha legislación (es decir, si el afectado ha sido incluido correctamente en el registro de morosos), no puede considerarse que se haya producido una intromisión ilegítima porque la afectación del honor estaría "expresamente autorizada por la Ley"" ( SSTS 1ª 245/2019 y 592/2021 ).3. Considerando que Equifax no ha ajustado su conducta a lo dispuesto en la normativa de protección de datos personales (v. Fundamento antecedente), es correcta la apreciación por la Sentencia recurrida de la existencia de una intromisión ilegítima en el derecho al honor del demandante.

Como indica la STS nº 284/2009. el simple hecho de incluir a la demandante en el fichero produce un daño, el aspecto interno de íntima convicción -inmanencia.

No es preciso, pues, que haya existido una efectiva divulgación del dato para que se haya vulnerado el derecho al honor del afectado y se le hayan causado daños morales. Si el dato ha sido divulgado, porque el registro ha sido consultado, y tal divulgación tiene consecuencias económicas, habrían de indemnizarse tanto el daño moral como el patrimonial.

En el presente caso el actor fue incluido por tres veces en el FIJ, y fue consultado por una entidad, por lo que se ha producido el daño en su aspecto interno, y al ser consultado por una entidad, el daño moral y teniendo en cuenta que el actor fue incluido tres veces en el fichero, la indemnización concedida por el juez a quo de 6.000 E, es adecuada a circunstancias del caso, sin que proceda la moderación de esa cantidad interesada por la apelante, que como moderación alega la supresión de toda indemnización.

El motivo se desestima.

NOVENO. -Las costas de esta instancia se imponen a la apelante ( art. 398 Ley de Enjuiciamiento Civil) .

Se aceptan los de la sentencia apelada.

PRIMERO.-Antecedentes y objeto del recurso.

1.-La sentencia de instancia estima la demanda formulada por el actor frente a la entidad Equifax por su inclusión en los ficheros de información judicial, en los términos referidos.

2.-La sentencia es apelada por la entidad demandada que interesa su revocación y desestimación de la demanda, alegando:

"1º.-INAPLICABILIDAD DE LA LEY 3/2018 A LAS ANOTACIONES PREVIAS AL 7 DE DICIEMBRE DE 2018.

2º.- ERROR EN LA APLICACIÓN DEL DERECHO SUSTANTIVO. LA NORMATIVA DE LOS FICHEROS DE MOROSOS NO ES DE APLICACIÓN AL FICHERO JUDICIAL

3º.-ERROR EN LA VALORACIÓN DEL DERECHO. INEXISTENCIA DE RESPONSABILDIAD DE EQUIFAX POR EL PRINCIPIO DE CALIDAD DE LOS DATOS.

4º.- ERROR EN LA APLICACIÓN DEL DERECHO. INEXISTENCIA DE OBLIGACIÓN DE EQUIFAX DE REALIZAR UNA NOTIFICACIÓN DE INCLUSIÓN DE LOS DATOS DE LA PARTE ACTORA.

5º.-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

6º.-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

3. -La parte apelada interesó la desestimación del recurso.

SEGUNDO.-Primer motivo del recurso: 1º.-INAPLICABILIDAD DE LA LEY 3/2018 A LAS ANOTACIONES PREVIAS AL 7 DE DICIEMBRE DE 2018.

Sostiene que: "Como recoge la Disposición final decimosexta de la Ley 3/2018 , la entrada en vigor de la Ley tendrá lugar el día siguiente al de su publicación en el Boletín Oficial del Estado, esto es, el día 7 de diciembre de 2018. Esta Ley 3/2018 no prevé, en ninguno de sus artículos, la posibilidad de aplicación retroactiva.

Al contrario de lo sostenido por la Sentencia, es jurisprudencia consolidada que esta normativa no puede resultar de aplicación con carácter retroactivo, salvo que la misma resulte favorable para el responsable del tratamiento a efectos de imponer una sanción

En cualquier caso, tanto la Ley 3/2018, como la anterior Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, "Ley 15/1999"), consideran lícito el tratamiento de datos por los ficheros que obtienen los datos de fuentes y registros de acceso público, como el Fichero de Reclamaciones de Organismos Públicos."

El supuesto de hecho que nos ocupa es la inclusión en el denominado fichero de incidencias judiciales y de organismos públicos de los siguientes datos (doc. 2 demanda):

"RECLAMACIONES JUDICIALES

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION

TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 12/02/2016

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 27/02/2019

Nombre de Demandante AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA

Procedimiento DEUDA TRIBUTARIA

Nº de Auto y Juzgado

Importe (Cantidad Principal)

Fechas de las Subastas

Tasación de Bienes Muebles Embargados

Tasación de Bienes Inmuebles Embargados

Dirección del Inmueble Embargado

Medio de Publicación SEDE AGENCIA TRIBUTA

Fecha 24/02/2020"

Consta que en el Boletín Oficial del Estado se publicaron en las citadas fechas resoluciones de la Agencia Estatal de Administración Tributaria, por la que se anuncian las notificaciones por comparecencia, después de haber realizado primero y, en su caso, segundo intentos, apareciendo como única información relativa al demandante su nombre y apellidos, número de documento de identidad, número de expediente, organismo responsable: recaudación, y acto notificado: embargos, sin hacer mención al importe de la deuda (bloque documental 2 contestación).

Respecto de la inclusión en el FIJ de 2016 estaba vigente la Ley de Protección de datos de 1999 y el reglamento de 2007por lo que no es de aplicación la Ley de3/2018 de protección de datos.

El artículo 29.1 LOPD no está vigente, fue derogado por la LOPDPGDD, que entró en vigor el 07/12/2018 y, ni en el RGPD ni en la LOPDPGDD existe una norma equivalente. Es más, al tratarse de una inclusión de efectos permanentes, los tratamientos anteriores a la entrada en vigor de la nueva normativa, deberían adaptarse en lo más favorable para el interesado.

Por tanto, el fichero de 2016 se debió de adoptar a la Ley 3/2018, lo cual no consta.

Respecto de la inclusión del actor en el FIJ de 2029 y 2020, se adapta a la Ley 3/2018.

El motivo se desestima.

TERCERO.-Segundo motivo del recurso: ERROR EN LA APLICACIÓN DEL DERECHO SUSTANTIVO. LA NORMATIVA DE LOS FICHEROS DE MOROSOS NO ES DE APLICACIÓN AL FICHERO JUDICIAL.

3.1. INADECUADA APLICACIÓN DE LA LEY ORGÁNICA 1/1982, DE 5 DE MAYO, DE PROTECCIÓN CIVIL DEL DERECHO AL HONOR, LA INTIMIDAD PERSONAL Y FAMILIAR Y LA PROPIA IMAGEN.

3.2. EL FICHERO JUDICIAL NO ES UN "FICHERO DE MOROSOS"

1.-El motivo relativo a la inadecuada aplicación de la LEY ORGÁNICA 1/1982, DE 5 DE MAYO, DE PROTECCIÓN CIVIL DEL DERECHO AL HONOR, LA INTIMIDAD PERSONAL Y FAMILIAR Y LA PROPIA IMAGEN, es objeto de examen infra.

2.-Con la normativa en vigor Equifax al incluir a la actora en el FIJ. incumple varios principios, a saber:

1º. Equifax infringe el principio de limitación de la finalidad.

El RGPD (EUROPEO) dedica a los principios que presiden el tratamiento de datos de carácter personal el artículo 5. Entre ellos, se refiere al de limitación de la finalidad en el artículo.

Conforme al citado principio los datos personales serán "recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales"

El principio de limitación de la finalidad impide que pueda realizarse un tratamiento ulterior de datos personales si los fines de este tratamiento y los perseguidos por el tratamiento originario no son compatibles.

El artículo 6 RGPD, relativo a la "Licitud del tratamiento",dedica su apartado 4 a enumerar los elementos que permiten determinar si un tratamiento con otro fin es compatible con el fin inicial para el que se recogieron los datos:

"Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:

a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;

b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;

c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;

d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;

e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización"

2º.-Con el propósito de determinar si el tratamiento de los datos de la actora que ha efectuado EQUIFAX a través del FIJ es o no respetuoso con el principio previsto en el artículo 5.1.b) RGPD, el punto de partida ha de ser el origende los datos tratados.

Los datos de la actora se obtuvieron por la entidad demandada del BOE de 14 de diciembre de 2018 que publicaba la Resolución de 12 de diciembre de 2018, de la Agencia Estatal de Administración Tributaria, por la que se anuncian las notificaciones por comparecencia, después de haber realizado primero y, en su caso, segundo intentos, ,en la que se publicaba, entre otros los datos de la actora, en concreto su DNI, NOTIF EMBARGO CTAS BANC Nº NUM000,expediente y órgano responsable: NOTIF EMBARGO CTAS BANC Nº NUM000,y la oficina gestora NUM001.

El hecho de que los datos de la actora procedan de fuentes públicas, básicamente de diarios y boletines oficiales, evidencia que éstos habían sido objeto de un tratamiento anterior con una finalidad determinada.

El artículo 44 de la LPACAP ( Ley procedimiento Administrativo) bajo la rúbrica "Notificación infructuosa"señala:

"Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado».

Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la Comunidad Autónoma o de la Provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del Consulado o Sección Consular de la Embajada correspondiente.

Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el «Boletín Oficial del Estado."

El artículo 45 de la LPACAP, "Publicación",dispone:

"1. Los actos administrativos serán objeto de publicación cuando así lo establezcan las normas reguladoras de cada procedimiento o cuando lo aconsejen razones de interés público apreciadas por el órgano competente.

En todo caso, los actos administrativos serán objeto de publicación, surtiendo ésta los efectos de la notificación, en los siguientes casos:

a) Cuando el acto tenga por destinatario a una pluralidad indeterminada de personas o cuando la Administración estime que la notificación efectuada a un solo interesado es insuficiente para garantizar la notificación a todos, siendo, en este último caso, adicional a la individualmente realizada.

b) Cuando se trate de actos integrantes de un procedimiento selectivo o de concurrencia competitiva de cualquier tipo. En este caso, la convocatoria del procedimiento deberá indicar el medio donde se efectuarán las sucesivas publicaciones, careciendo de validez las que se lleven a cabo en lugares distintos.

2. La publicación de un acto deberá contener los mismos elementos que el artículo 40.2 exige respecto de las notificaciones. Será también aplicable a la publicación lo establecido en el apartado 3 del mismo artículo.

En los supuestos de publicaciones de actos que contengan elementos comunes, podrán publicarse de forma conjunta los aspectos coincidentes, especificándose solamente los aspectos individuales de cada acto.

3. La publicación de los actos se realizará en el diario oficial que corresponda, según cual sea la Administración de la que proceda el acto a notificar.

4. Sin perjuicio de lo dispuesto en el artículo 44, la publicación de actos y comunicaciones que, por disposición legal o reglamentaria deba practicarse en tablón de anuncios o edictos, se entenderá cumplida por su publicación en el Diario oficial correspondiente."

En estos preceptos se detallan los supuestos en los que las Administraciones Públicas, en cumplimiento de una obligación impuesta por la LPACAP, publican en boletines y diarios oficiales actos y resoluciones administrativas.

La notificación, en palabras del Tribunal Supremo ( STS 07/03/1997) "consiste en una comunicación formal del acto administrativo de que se trate."La doctrina explica que es el mecanismo a través del cual se da traslado al interesado del contenido de un acto. Por otra parte, la notificación de actos y resoluciones es obligatoria para las Administraciones Públicas y un requisito al que se supedita su eficacia (artículo 39 de la LPACAP) Así pues, la notificación constituye una garantía para el administrado ya que a través de ella conoce los actos de la Administración que afectan a sus derechos e intereses legítimos por lo es un instrumento que garantiza el derecho a la tutela judicial efectiva ( artículo 24.1 de la C.E.)

A través de la publicación se pretende la misma finalidad que la notificación, que el contenido del acto administrativo llegue a conocimiento de quienes son interesados en un procedimiento administrativo.

La LPACAP se refiere a la publicación tanto en el artículo 44 como en el artículo 45 3. La publicación que las Administraciones Públicas efectúan de actos o resoluciones administrativas que incluyen datos personales, implica para los administrados una restricción al derecho fundamental que tienen reconocido en el artículo 18.4 de la C.E.

A través de la publicación de un acto o resolución administrativa -a la que, como se ha indicado, el artículo 39 de la LPACAP supedita su eficacia- se quiere garantizar a los interesados el ejercicio de su derecho de defensa -lo que a su vez conecta con el derecho a la tutela judicial efectiva reconocido en el artículo 24.1 de la C.E.- y permite a las Administraciones Públicas el ejercicio de sus potestades. De tal manera que la finalidad perseguida con esta evidente limitación al derecho a la protección de datos está directamente conectada con un interés público.

La publicación de los datos personales de los afectados en estos casos es, por tanto, ajena a su voluntad. La establece una norma con rango de ley y se justifica por el interés público que persigue. Son precisamente estos datos personales, que han sido objeto de publicación en boletines y diarios oficiales sin el concurso de la voluntad de sus titulares en cumplimiento de una obligación legal y con la finalidad de satisfacer un interés público, los datos de los que se nutre el FIJ

El tratamiento ulterior de esos datos que EQUIFAX efectúa persigue una finalidad claramente distinta al interés público que justificó su publicación. Si no atenemos a los intereses legítimos que EQUIFAX busca satisfacer a través del FIJ, se trata de fines distintos. Mientras el tratamiento de los datos de los administrados por las Administraciones Públicas a través de la publicación de actos administrativos en los diarios y boletines oficiales busca satisfacer un interés público, el tratamiento ulterior que EQUIFAX hace de esos datos a través del FIJ está vinculada a la evaluación de la solvencia de los afectados y a la prevención del fraude.

El artículo 6.4 RGPD facilita algunos criterios para determinar si el tratamiento ulterior de los datos de los reclamantes a través del FIJ es compatible con el tratamiento originario. A ellos se suman las indicaciones ofrecidas en el Considerando 50 del RGPD.

En el presente caso se puede afirmar que la finalidad del tratamiento originario y la del tratamiento ulterior por EQUIFAX son claramente incompatibles. No hay ninguna relación entre la finalidad del tratamiento efectuado a través de las publicaciones en boletines y diarios oficiales que incluyen datos personales de los afectados -el interés público conectado con el derecho a la tutela judicial efectiva de los administrados y el ejercicio efectivo por las Administraciones Públicas de las potestades que tienen atribuidas- y el fin para el que EQUIFAX trata los datos, que ella ha concretado en la evaluación de la solvencia y en la prevención del fraude.

Tampoco existe entre la actora y el responsable del tratamiento ninguna relación vinculada al contexto en el que se recogieron los datos, de manera que la actora no ha podido tener ninguna expectativa razonable de que sus datos fueran objeto de este tratamiento.

EQUIFAX no ha establecido garantías adicionales para que el tratamiento no afecte al derecho fundamental a la protección de datos puesto que la finalidad que el FIJ busca satisfacer exige disponer de los datos de identidad de los afectados.

El principio de responsabilidad proactiva del artículo 5.2 RGPD obliga al responsable del tratamiento a estar en condiciones de acreditar que cumple los principios que presiden el tratamiento de los datos; por lo que aquí interesa el principio de limitación de la finalidad. Por otra parte, tanto el artículo 6.4 RGPD como el Considerando 50 se refieren al responsable del tratamiento como el sujeto que deberá determinar si la finalidad del tratamiento ulterior que pretende realizar es compatible con la finalidad para la que inicialmente se recogieron los datos, lo que es coherente con el principio de responsabilidad proactiva que ha de regir la actuación del responsable del tratamiento.

Por lo expuesto la entidad demanda ha vulnerado el principio de limitación de la finalidad.

3º.- Equifax incumple el principio de licitud.

El RGPD se ocupa en el artículo 5 de los principios que presiden el tratamiento de datos de carácter personal y en el apartado 1.a) dispone que los datos personales serán tratados de manera "lícita, leal y transparente en relación con el interesado".En idéntico sentido el Considerando 39 dice que "Todo tratamiento de datos personales debe ser lícito [...]"

Conforme al artículo 6.1 del RGPD para que el tratamiento de datos personales sea lícito deberá estar fundado en, al menos, una de las circunstancias que este precepto relaciona. La letra f) del artículo 6.1. dispone que el tratamiento de datos personales será lícito cuando "el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño"

La STJUE de 24/11/2011 declaró el efecto directo de la disposición del artículo 7.f) de la Directa 95/46, relativo a la base jurídica de la prevalencia del interés legítimo, señaló que el citado precepto establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado (epígrafe 38). Añade también, a propósito de la ponderación, que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado (epígrafe 40).

El considerando 47 del Reglamento (UE) 2016/679 contribuyen a la tarea de precisar el contenido y alcance de la circunstancia legitimadora del artículo 6.1.f) RGPD.

La aplicación del artículo 6.1.f) RGP requiere que exista un interés legítimo del responsable del tratamiento o del tercero; que el tratamiento sea necesario para la satisfacción del interés legítimo perseguido; y que en la ponderación del interés legítimo del responsable del tratamiento o de terceros por una parte y del impacto que sobre los intereses, los derechos fundamentales y libertades del interesado provoca el tratamiento de datos que se pretende efectuar, por otra, prevalezca el primero.

La licitud no puede ampararse en que el tratamiento sea " necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento" (art. 6.1 d] LOPDPGDD). En efecto, existen otras medidas alternativas más moderadas para obtener información sobre la solvencia de la persona financiada (juicio de necesidad)y la inclusión no consigue el objetivo propuesto (juicio de idoneidad)porque los datos no se actualizan, porque no identifican inequívocamente al titular de los datos (v. disp. ad. 7ª LOPDPGDD) y porque la información es fragmentaria toda vez que los notificados edictalmente son una pequeña parte de las personas que tienen deudas pendientes con las Administraciones Públicas por no haber podido ser notificadas personalmente. Además, la conveniencia que puede representar para un determinado sector de la actividad mercantil ver disminuido el riesgo inherente a su actividad mediante este tratamiento informático no guarda proporción (juicio de proporcionalidad)con la vulneración del derecho al honor y a la intimidad personal y familiar de los ciudadanos ( arts. 18.4 CE y 8 Carta de derechos fundamentales de la Unión Europea )."Los intereses comerciales de una empresa responsable de un fichero de datos han de ceder ante el interés legítimo del titular de los datos en la protección de los mismos" ( SSTS 3ª 815/2020, 18.6; 839/2020, 22.6; 840/2020, 22.6 y 853/2020,22.6).

4º.- Equifax también vulnera el principio de limitación de la finalidad(v. art. 5.1 b] y cdo. 50 RGPD) al incluir en un fichero de morosos datos personales del afectado que habría obtenido del Tablón Edictal Único del BOE (TEU-BOE). La finalidad del tratamiento efectuado a través de las publicaciones en boletines y diarios oficiales es un interés público conectado con el derecho a la tutela judicial efectiva de los administrados y el ejercicio efectivo por las Administraciones Públicas de las potestades que tienen atribuidas. Este fin público no guarda relación con el fin privado de evaluación de la solvencia para el que Equifax trata los datos. Aclaramos que, en el sistema que configura y admite la legislación vigente, es el propio acreedor quien comunica los datos personales al fichero (art. 20.1 a] LOPDPGDD), por lo que no se infringe el principio de limitación de la finalidad.

5º.- Equifax igualmente viola el principio de exactitud(art. 5.1 d] RGPD) . En el diseño actual corresponde "al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud" (art. 20.2 II LOPDPGDD) y "las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos" (art. 20.2 I LOPDPGDD). En los ficheros asociados nutridos por información del acreedor, periódicamente se revisa el estado de la deuda, lo que no puede hacerse si la fuente de información es únicamente la publicación en un diario oficial, que está desconectada del devenir de la deuda. La exactitud también queda comprometida por la identificación de los presuntos deudores, que no es inequívoca en las fuentes públicas, como tampoco un domicilio en el que no se ha logrado la notificación personal. Si bien la obtención de datos de un registro público puede exonerar de responsabilidad (art. 4.2 d] LOPDPGDD), como por ejemplo el registro público concursal, los diarios y boletines oficiales no tienen la condición de registro público.

6º.- Asimismo, Equifax incumple el principio de minimización de datos(art. 5.1 c] RGPD) . Los datos almacenados no son adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, por las anteriores consideraciones.

7º Además, "el responsable del tratamiento será responsable del cumplimiento de lo dispuesto enel apartado 1 y capaz de demostrarlo (" responsabilidad proactiva")" (art. 5.2 LOPDPGDD). Pues bien, la demandada no ha demostrado con prueba alguna el cumplimiento.

En contraste, los sistemas de información crediticia regulados en la LOPDPGDD reúnen un conjunto de garantías que no proporcionan los sistemas que recopilan información pública.

Así, la inclusión requiere que "el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe" (art. 20.1 c] LOPDPGDD).

Además, aunque un fichero de fuentes públicas no sería necesariamente obstativo de intentarlo, Equifax tampoco ha cumplido con la notificación de inclusión: "la entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo" (art. 20.1 c] II LOPDPGDD).

Antes bien, como los boletines oficiales no incluyen el domicilio del titular de los datos ( exdisp. ad. 7ª LOPDPGDD), Equifax no estará normalmente en condiciones de poder cumplir la obligación de informaciónprevista en el artículo 14 RGPD. Con ello, se vulnera por Equifax igualmente el principio de transparencia (art. 5.1 a] RGPD) .

CUARTO.-Tercer motivo del recurso: ERROR EN LA VALORACIÓN DEL DERECHO. INEXISTENCIA DE RESPONSABILDIAD DE EQUIFAX POR EL PRINCIPIO DE CALIDAD DE LOS DATOS.

1.-Aduce: ".... no siendo el Fichero de Reclamaciones de Organismos Públicos un fichero negativo o de insolvencia, no se le pueden aplicar los requisitos para el tratamiento de los datos personales previsto para estos ficheros negativos. Entre estos requisitos que no pueden resultar de aplicación esta, precisamente, el principio de calidad de los datos previsto en el artículo 38. 1 del Real Decreto 1720/2007 , y el artículo 20 de la Ley 3/2018 solo aplicable al "Tratamiento de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés". Y, así lo confirmó el Excmo. Tribunal Supremo (Sala de lo Civil, Sección1ª) em su sentencia núm. 614/2018 de 7 noviembre [RJ 2018\5221]:

"la comprobación de la existencia, certeza y vencimiento de las deudas controvertidas no son de la incumbencia del titular del registro por exceder lógicamente de sus competencias

Y así ha sido confirmado por la AEPD, órgano administrativo competente y especialmente creado para la vigilancia y control de la aplicación de la normativa de protección de datos, entre otras en su resolución NUM002:

"En cuanto a lo señalado por el reclamante que se ha llevado un tratamiento sin consentimiento y sin haber notificado la inclusión de sus datos en el fichero, al respecto señalar que el art. 29.1 LOPD permite su tratamiento de los datos obtenidos de fuentes accesibles al público y que su notificación se da en el supuesto que concurran por en el incumplimiento de obligaciones dinerarias facilitadas por los acreedores y no en este supuesto."

Y ratificado por, entre otras, la Audiencia Provincial de las Palmas, en su sentencia de 13 de febrero de 2020 :

"No es controvertido que la fuente a la que Equifax acudió fue un boletín oficial, [...] No siendo necesario en este caso que se comunique al interesado la inclusión en el fichero".

Y la Audiencia Nacional en sus sentencias de fecha 27 de febrero de 2008, 29 de junio de 2001 (Rec. 1012/1999), 29 de noviembre de 2001 (Rec. 531/2000) y 27 de febrero de 2008 (Rec. 358/2006), que señalan lo siguiente:

"De lo que se infiere que habiéndose tomado los datos personales, en el supuesto ahora enjuiciado, del Boletín Oficial de la Comunidad de Madrid, no existía obligación ninguna de notificar su inclusión en el Fichero de Incidencias Judiciales al titular de los mismos.

Por tanto, es razonable sostener que la Sentencia yerra al concluir la responsabilidad de EQUIFAX por la calidad de los datos transcritos en el Fichero de Reclamaciones de Organismos Públicos, pues esta obligación prevista en el 10 artículo 20 de la Ley 3/2018 y 38. 1 del Real Decreto 1720/2007 , no puede resultar de aplicación a un fichero con una regulación propia y diferenciada."

Recordemos que EQUIFAX obtuvo los datos de la Actora de los siguientes boletines públicos:

i (i) BOE de 27 de febrero de 2019, en el que AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, publicó un "Anuncio de notificación de 25 de febrero de 2019 en procedimientos tramitados por la Agencia Estatal de Administración Tributario", conforme a lo dispuesto en el Art. 112.1 de la Ley 58/2003 de 17 de diciembre, General Tributaria , frente a Don Marcial, con DNI NUM003.

ii (i) BOE de 12 de febrero de 2016, en el que AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, publicó un "Anuncio de notificación", en virtud de lo dispuesto en el artículo 112 de la Ley 58/2003, de 17 de diciembre, General Tributaria , para las notificaciones de naturaleza tributaria, y en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , frente a Don Marcial, con DNI NUM003."

iii (i) BOE de 24 de febrero de 2020, en el que la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA público un "Anuncio de notificación", en virtud de lo dispuesto en el artículo 112 de la Ley 58/2003, de 17 de diciembre, General Tributaria , para las notificaciones de naturaleza tributaria, y en el artículo 59 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común , frente a Don Marcial, con DNI NUM003.

No afecta al principio de calidad del dato la concreta casilla del fichero de Reclamaciones de Organismos Públicos en la que se haya inscrito el dato, y ello por varias razones fundamentales:

A.-porque, esta "diferencia es intrascendente" pues lo realmente determinante para enjuiciar la calidad del dato es la cuantía de la deuda. Así, lo confirmó la sentencia de la Audiencia Provincial de Huelva, núm. 273, de 11 de mayo de 2022, REC 1175/2021 :

B.- porque el fichero es único y traspone, indistinta y conjuntamente, la información pública relativa a reclamaciones Judiciales y de organismos públicos.

El Tribunal Supremo (Sala de lo Civil, Sección1ª), en su sentencia núm. 562/2020 de 27 octubre . [RJ 2020\4169] que concluyó que no cualquier oposición al pago de una deuda puede suponer que la misma sea incierta o dudosa, pues se estaría dejando la certeza y exigibilidad de la deuda al exclusivo arbitrio del deudor. Dice así:

"Pero, también es cierto que esta doctrina hay que matizarla, como sostiene la sentencia 245/2019, de 25 de marzo , cuando afirma que "lo anterior no significa que cualquier oposición al pago de una deuda, por injustificada que resulte, suponga que la deuda es incierta o dudosa, porque en tal caso la certeza y exigibilidad de la deuda se dejaría al exclusivo arbitrio del deudor, al que le bastaría con cuestionar su procedencia, cualquiera que fuera el fundamento de su oposición, para convertir la deuda en incierta".

"La única diferencia que encontramos entre la información que se registra y aquella que puede desprenderse de esa fuente de acceso público, es que no se hace constar que se trata de una reclamación de organismo público, sino que se entiende que es una reclamación judicial. Pero esa diferencia es intrascendente desde el momento en que la información es tan parca que no recoge ni siquiera la cuantía de la deuda existente"

"Como ya hemos dicho entendemos que la mera rectificación que derivaría de la inexactitud que suponen calificar la información en el apartado de reclamaciones judiciales y no administrativas organismos públicos resulta intrascendente"

"En cambio se hace constar precisamente el acreedor, y que se trata de una deuda tributaria, que es sin duda la más habitual en el régimen de relaciones que pueden existir entre una administración local y una persona física, (dato plausible cuando la demandante no ha aportado acreditación alguna que permita dudar de si existía algún otro tipo de deuda posible entre el Ayuntamiento y la demandante)"(1 Sentencia de la Audiencia Provincial de Huelva, núm. 273, de 11 de mayo de 2022, REC 1175/2021 )

La información publicada en el BOE de 27 de febrero de 2019, de 12 de febrero de 2019 y de 24 de febrero de 2020, es idéntica y respetuosa con la que se registra en el Fichero de Reclamaciones de Organismos Públicos, incluyendo el órgano acreedor, la agencia Estatal de Administración Tributaria y los datos del deudor, identificado con nombre y DNI. Estos BOE no hacen referencia a la cuantía de la deuda y, en consecuencia, el Fichero de Reclamaciones de Organismos Públicos tampoco lo hace.

Por tanto, no habiendo recogido en el fichero ninguna cuantía de la deuda, sino únicamente la existencia de las notificaciones practicadas por la Agencia Estatal De Administración Tributaria publicada en el BOE, toda la información incorporada al Fichero es exacta y veraz, por lo que la conclusión que alcanza la Sentencia en relación con el principio de incumplimiento de la calidad del dato y el principio de exactitud es errónea."

2.-El principio de calidad de los datos.

Uno de los ejes fundamentales de la regulación del tratamiento automatizado de datos personales es el que ha venido en llamarse "principio de calidad de los datos". Los datos deber ser exactos, adecuados, pertinentes y proporcionados a los fines para los que han sido recogidos y tratados. El art. 4 LOPD , desarrollando las normas del Convenio núm. 108 del Consejo de Europa y la normativa comunitaria, exige que los datos personales recogidos para su tratamiento sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido, exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado, y prohíbe que sean usados para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos.

2.1.-La calidad de los datos en los registros de morosos.

Estos principios y derechos son aplicables a todas las modalidades de tratamiento automatizado de datos de carácter personal. Pero tienen una especial trascendencia cuando se trata de los llamados "registros de morosos".

El art. 29.4 LOPD establece que «sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos». El art. 38 del Reglamento exige para la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. Por tanto, los datos que se incluyan en estos registros de morosos han de ser ciertos y exactos. Se exige la existencia de una deuda previa, vencida y exigible, que haya resultado impagada, y que tal impago resulte determinante para enjuiciar la solvencia económica del interesado. La sentencia de esta Sala núm. 13/2013, de 29 de enero, realiza algunas declaraciones generales sobre esta cuestión, al afirmar que la LOPD: «[...]descansa en principios de prudencia, ponderación y sobre todo, de veracidad, de modo que los datos objeto de tratamiento deben ser auténticos, exactos, veraces y deben estar siempre actualizados, y por ello el interesado tiene derecho a ser informado de los mismos y a obtener la oportuna rectificación o cancelación en caso de error o inexactitud, y en cuanto a obligaciones dinerarias se refiere, la deuda debe ser además de vencida y exigible, cierta, es decir, inequívoca, indudable, siendo necesario además el previo requerimiento de pago; por tanto no cabe inclusión de deudas inciertas, dudosas, no pacíficas o sometidas a litigio, bastando para ello que aparezca un principio de prueba documental que contradiga su existencia o certeza».

En el presente caso no estamos ante una deuda vencida y exigible, cierta, es decir, inequívoca, indudable, sino ante una notificación por edictos en que se notifica un embargo de una cuenta bancaria, la finalidad de esa notificación es que los interesados comparezcan en el plazo que se les señala al efecto de practicarse las notificaciones pendientes en los procedimientos tramitados por los órganos que se relacionan.

De tales menciones parece inferirse que existía un procedimiento judicial cuando este extremo no responde a la realidad. Máxime cuando una de las manifestaciones de este principio de calidad de datos es la de que la deuda publicada ha de ser cierta; no pudiendo serlo, como tiene dicho el Tribunal Supremo en numerosas sentencias (29 de enero de 2013, 19 de noviembre de 2014 y 22 de diciembre de 2015), cuando su existencia y/o cuantía se halla sometida a litigio.

Repárese en que en el propio formato informativo que proporciona el fichero a las empresas( doc. 2 demanda) que lo consultan se distingue entre dos situaciones, una primera denominada reclamaciones de organismos públicos(sin ningún datos),y otra segunda llamada " incidencias judiciales" ,en donde constan los datos ,nombre y apellidos de la actora, que es omitido en aquella publicación del BOE , su DNI, consta deuda tributaria, reclamante Agencia Estatal de Administración Tributaria, con omisión del procedimiento judicial y del Juzgado en donde se tramita.

El dato publicado habría de ubicarse en la primera de las opciones posibles. Y, sin embargo, se incluyó en la segunda Del dato proporcionado a las entidades de crédito por la apelante parece desprenderse la existencia de un proceso judicial y, como decimos, ni el dato es cierto, puesto que no mediaba proceso judicial alguno para su reclamación, y, de serlo, tampoco podría considerarse deuda cierta la publicada, no pudiendo ser por tanto incluida en el fichero, por lo que en ambos supuestos se incumpliría el principio de calidad de datos.

Pero es que, además, tampoco consideramos que el dato incluido en el fichero sea una referencia actualizada. Atiéndase a que lo que se indica en la publicación es que se concede un plazo de quince días al interesado para que comparezca en las oficinas del organismo pertinente a fin de practicar notificaciones.

Y bien pudiera ser que en dichos quince días la deuda se saldase o se acreditase su inexistencia. Por tanto, entendemos que lo prudente habría sido no publicar la existencia del procedimiento administrativo de reclamación en tanto no se tuviese pleno convencimiento de que la deuda era cierta, esto es que se mantenía tras el plazo concedido por la autoridad administrativa para su satisfacción o, en su caso, acreditación de inexistencia. De modo que el criterio de deuda actualizada entendemos que tampoco se cumple.

Ha existido una infracción del principio de calidad de datos puesto que no se cumple con la normativa protectora de referencia y, lo cual afecta al honor de la actora.

QUINTO.-Cuarto motivo del recurso: -ERROR EN LA APLICACIÓN DEL DERECHO. INEXISTENCIA DE OBLIGACIÓN DE EQUIFAX DE REALIZAR UNA NOTIFICACIÓN DE INCLUSIÓN DE LOS DATOS DE LA PARTE ACTORA.

Alega: "Siguiendo la jurisprudencia del Excmo. Tribunal Supremo, recogida en las sentencias núm. 563/2019, 422/2020, 609/2022 y 660/2022, debemos concluir que, en la publicación en el BOE, y la notificación remitida por EQUIFAX que acompaña a su demanda (Cfr. Documento nº 2 de la Demanda) constituyen notificación suficiente a los efectos de que pudiera haber solicitado sus derechos de acceso, rectificación, oposición y cancelación, por lo que la finalidad del requerimiento había decaído y ya no era exigible."

1º.-De la infracción de la obligación impuesta en el artículo 14 RGPD

1. El RGPD dedica el capítulo III a los derechos de los interesados (artículos 12 a 23).

El artículo 14, bajo la rúbrica "Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado"establece lo siguiente:

"1. Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;

d) las categorías de datos personales de que se trate;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado.

2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

a) el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;

b) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;

c) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

d) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;

e) el derecho a presentar una reclamación ante una autoridad de control;

f) la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;

g) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.

3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:

a) dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;

b) si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o

c) si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.

4.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al

interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2

5.Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

a) el interesado ya disponga de la información;

b) la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;

c) la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o d) cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria."

El artículo 14 RGPD impone a la demandada una obligación de informar a los interesados cuando los datos tratados no se hubieran recogidos de ellos, que es consecuencia del principio de transparencia que preside el tratamiento de datos personales conforme al artículo 5.1.a) RGPD.

No consta que EQUIFAX notificara a la actora/interesada cuyos datos venía tratando a través del FIJ a raíz de la aplicación efectiva del RGPD, el 5 de diciembre de 2018.

A tenor de lo expuesto y de la documentación que obra en autos, se estima que la conducta de la reclamada vulnera la obligación que le impone el artículo 14 RGPD, en relación con el artículo 5.1.a) RGPD

Las infracciones referidas por parte de la demanda han supuesto una vulneración de derecho al honor de la actora.

SEXTO. -Quinto motivo del recurso: -SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS.

Estima que: "... el tratamiento de datos por el Fichero Judicial está también amparado en el artículo 6, apartado f), del Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 que establece que será legitimo cuando sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Y que también se recoge en el artículo 10, apartado a), del Real Decreto 1720/2007, como uno de los supuestos que legitiman el tratamiento o la cesión de datos personales: "El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario [...]"

Y, tal y como consta en el Documento nº 2, aportado en la demanda, EQUIFAX informó al actor que el interés del fichero es: "ayudar a las entidades que consultan al fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones, productos o servicios no solicitados por usted. Los datos incluidos en este fichero también podrán ser tratados de manera anonimizada para realizar análisis estadísticos".

SEPTIMO. -Sexto motivo del recurso:-SOBRE EL INTERÉS LEGÍTIMO DEL FICHERO DE RECLAMACIONES DE ORGANISMOS PÚBLICOS

Alega: el tratamiento de datos por el Fichero Judicial está también amparado en el artículo 6, apartado f), del Reglamento (UE) 2016/679 Del Parlamento Europeo y Del Consejo de 27 de abril de 2016 que establece que será legitimo cuando sea necesario "para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales que requieran la protección de datos personales, en particular cuando el interesado sea un niño".

Y que también se recoge en el artículo 10, apartado a), del Real Decreto 1720/2007 , como uno de los supuestos que legitiman el tratamiento o la cesión de datos personales: "El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario [...]"

Y, tal y como consta en el Documento nº 2, aportado en la demanda, EQUIFAX informó al actor que el interés del fichero es:

"ayudar a las entidades que consultan al fichero a prevenir la morosidad y analizar la solvencia de éstas, así como para ayudar a la prevención del fraude y evitar que puedan suplantar su identidad en operaciones, productos o servicios no solicitados por usted. Los datos incluidos en este fichero también podrán ser tratados de manera anonimizada para realizar análisis estadísticos".

Interés que, tal y como confirmó el Excmo. Tribunal Supremo (Sala de lo Civil, Sección1ª) en su sentencia núm. 261/2017 de 26 abril [RJ 2017\1737], es total y absolutamente legítimo, máxime teniendo en cuenta que los datos han sido recogidos de fuentes y registros públicos:

" La inclusión en registros de morosos por deudas de pequeña cuantía es correcta y congruente con la finalidad de informar sobre la insolvencia del deudor y el incumplimiento de sus obligaciones dinerarias. Y cuando tal inclusión se ha realizado, quienes consultan el registro pueden suponer legítimamente que el acreedor ha cumplido con las exigencias del principio de calidad de los datos, y no lo contrario, que es lo que hace la Audiencia, y que por tanto es cierto que el afectado ha dejado de cumplir sus obligaciones dinerarias".

El motivo se desestima. Nos remitimos a lo expuesta supra sobre el interés legítimo.

OCTAVO. - Séptimo motivo del recurso:ERROR EN LA APLICACIÓN DEL DERECHO Y LA VALORACIÓN DE LA PRUEBA RESPECTO LA CONDENA Y CUANTIFICACIÓN DE LA INDEMNIZACIÓN DE DAÑOS Y PERJUICIOS.

Alega:

"1º.- el artículo 9.3 de la LOPDH no implica una obligación legal absoluta de fijar de una indemnización.

La presunción del articulo 9.3 alcanza a la existencia de perjuicio, pero ello no exime al demandante de probar el daño moral realmente ocasionado, de ahí la referencia expresa del artículo a que la lesión debe ser efectivamente producida.

2º.-Inexistencia de lesión en el derecho al honor.

3º.-SUBSIDIARIAMENTE.INADECUACIÓN DEL QUANTUM INDEMNIZATORIO PRETENDIDO POR LA ACTORA. NECESARIA MODERACIÓN DE LA INDEMNIZACIÓN EN APLICACIÓN DEL ARTÍCULO 1103 DEL CÓDIGO CIVIL .

En este caso, los datos de la Demandante solo hay sido consultado por una única entidad: Banco Cetelem, tal y como confirmó la Sentencia6

En este caso, en el que los datos de la actora solo fueron anotados en el Fichero de Reclamaciones de Organismos Públicos, y consultado por una sola entidad, es evidente que la indemnización cuantificada por el Juzgador no solo es absolutamente desproporcionado en atención a las circunstancias que concurren en el presente supuesto, sino que no atiende a los criterios y cuantías fijadas para casos similares por nuestro Excmo. Tribunal Supremo, motivo por el cual entendemos que debe revocarse el pronunciamiento indemnizatorio la del Sentencia, sin que proceda la condena a ninguna cantidad."

VULNERACIÓN DEL DERECHO AL HONOR

2.1 "Tendrán la consideración de intromisiones ilegítimasen el ámbito de protección delimitado por el artículo segundo de esta Ley: [...] 7. La imputación de hechos o la manifestación de juicios de valor a través de acciones o expresiones que de cualquier modo lesionen la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación" (art. 7 LODH).

"La atribución a una persona de la condición de " moroso",y la comunicación de esta circunstancia a terceras personas, afecta al honor de la persona a la que se realiza la imputación, porque existe una valoración social negativa de las personas incluidas en estos registros y porque la imputación de ser "moroso" lesiona la dignidad de la persona, menoscaba su fama y atenta a su propia estimación" ( SSTS 1ª 245/2019, 25.4 y 592/2021, 9.9 ; ant. STS 1ª Pleno 284/2009, 24.4 ).

. Ahora bien, "no se apreciará la existencia de intromisión ilegítima en el ámbito protegido cuando estuviere expresamente autorizada por Ley"(art. 2.2 pr. LODH).

"De ahí que la actuación "autorizada por la ley" excluya la ilegitimidad de la afectación del derecho al honor provocada por la comunicación de los datos personales del supuesto "moroso" a un fichero sobre incumplimiento de obligaciones dinerarias" ( SSTS 1ª 245/2019 y 592/2021 ).

2.2. "El cumplimiento de la normativa que regula la protección de datosde carácter personal es, por tanto, determinante para decidir si, en el caso de inclusión de los datos de una persona física en un registro de morosos, la afectación del derecho al honor constituye o no una intromisión ilegítima. Si el tratamiento de los datos ha sido acorde con las exigencias de dicha legislación (es decir, si el afectado ha sido incluido correctamente en el registro de morosos), no puede considerarse que se haya producido una intromisión ilegítima porque la afectación del honor estaría "expresamente autorizada por la Ley"" ( SSTS 1ª 245/2019 y 592/2021 ).3. Considerando que Equifax no ha ajustado su conducta a lo dispuesto en la normativa de protección de datos personales (v. Fundamento antecedente), es correcta la apreciación por la Sentencia recurrida de la existencia de una intromisión ilegítima en el derecho al honor del demandante.

Como indica la STS nº 284/2009. el simple hecho de incluir a la demandante en el fichero produce un daño, el aspecto interno de íntima convicción -inmanencia.

No es preciso, pues, que haya existido una efectiva divulgación del dato para que se haya vulnerado el derecho al honor del afectado y se le hayan causado daños morales. Si el dato ha sido divulgado, porque el registro ha sido consultado, y tal divulgación tiene consecuencias económicas, habrían de indemnizarse tanto el daño moral como el patrimonial.

En el presente caso el actor fue incluido por tres veces en el FIJ, y fue consultado por una entidad, por lo que se ha producido el daño en su aspecto interno, y al ser consultado por una entidad, el daño moral y teniendo en cuenta que el actor fue incluido tres veces en el fichero, la indemnización concedida por el juez a quo de 6.000 E, es adecuada a circunstancias del caso, sin que proceda la moderación de esa cantidad interesada por la apelante, que como moderación alega la supresión de toda indemnización.

El motivo se desestima.

NOVENO. -Las costas de esta instancia se imponen a la apelante ( art. 398 Ley de Enjuiciamiento Civil).