Sentencia Contencioso-Administrativo 87/2026 Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 239/2018 de 25 de febrero del 2026

PRIMERO.-La resolución administrativa impugnada e identificada en el antecedente de hecho primero de la presente sentencia, sanciona a la mercantil actora, responsable del tratamiento de datos, al considerar acreditado un tratamiento inadecuado de los mismos, por mor de haber instado el alta de los datos relativos al denunciante en ficheros de solvencia patrimonial, sin que se hubiere acreditado la notificación a la persona afectada del requerimiento, previo a la anotación, exigido normativamente.

La actora, no cuestiona los hechos, en tanto consta sentencia penal firme condenatoria de un empleado dependiente de RJL (Reclamaciones Judiciales Letrados Asociados SL) sociedad con quien aquella suscribió contrato, de fecha 1/5/2012, para la gestión del cobro de sus deudas justificativa de que "confeccionó diversos certificados y albaranes de entrega de Correos falsos, empleando la numeración de los albaranes AE540035258120000000010 y AE540035258120000000011, simulando el logotipo propio de la empresa Correos NEXEA" mas mantiene su falta de responsabilidad y culpabilidad al entenderse carente del dominio de tales hechos, aduciendo además la concurrencia de determinadas atenuantes que sintetiza en las propias referidas al 1ª) grado de intencionalidad, 2º.- Los beneficios obtenidos como consecuencia de la comisión de la infracción: Ningún beneficio ha obtenido DTS, 3ª) DTS fue víctima de un "engaño/ fraude" por parte de un tercero, por lo que no debería exigírsele responsabilidad plena en los hechos. 4ª) DTS ha sido verdaderamente perjudicada.

5ª).- En cuanto DTS tuvo conocimiento del engaño bastante y del fraude de RJL no sólo se ha puesto a disposición de la Administración, además, como se ha indicado y acreditado, ha denunciado a RJL, ha resuelto el contrato y le ha reclamado responsabilidades. - Folios 232 y 233 entre otros - 6ª) DTS contaba con procedimientos adecuados, tenía contrato con RJL, que funcionaban correcta y normalmente - siendo la infracción consecuencia de una "anomalía" en el funcionamiento de dichos procedimientos, no imputable a DTS."

La administración defiende lo razonado y concluido en la resolución administrativa impugnada.

SEGUNDO.-Resultando aplicable al caso la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, es menester indicar que su Art. 4.3 establece que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". Por su parte, el Art.29.2 dispone que "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley", disponiendo en su apdo. 4º que ""sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos".

Por otra parte, el reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, dispone en su Art.38 "Requisitos para la inclusión de los datos" el que ".1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a) Existencia previa de una deuda cierta, vencida, exigible.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de /a obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente."

TERCERO.-No acreditado el cumplimiento por parte de la recurrente de los requisitos normativos antedichos (en especial el arriba subrayado) pretende la recurrente considerarse ausente de responsabilidad por mor de haberse identificado la autoría personal de la falsedad identificada en el antecedente de hecho segundo de la presente sentencia, mas tal perspectiva orilla la circunstancia de ser la mercantil sancionada responsable del tratamiento de los datos debiendo desplegar la diligencia necesaria para garantizar que las obligaciones de notificación asumidas por su empresa contratada se cumplan de manera solvente y eficaz, lo cual no es el caso, pues, como ya pusimos de relieve en la sentencia de esta misma Sala y sección de fecha 15/10/2025 y resolutoria del recurso 240/2018 seguido entre las mismas partes aquí comparecidas "no establece ninguna exigencia para asegurar que el requerimiento de pago llegue al conocimiento efectivo del reclamado. Se limita a pedir que se relaciones las cartas que han sido devueltas por dirección incorrecta. Tampoco consta que la demandante haya establecido mecanismos de control para asegurarse que se efectuaban requerimientos personales a los reclamados" (..) "De ahí que deba considerarse a la demandante responsable de la indebida inclusión del reclamante en el fichero de morosos, puesto que pese a haber encargado a un tercero la gestión de cobros y custodia de documentos, no dio instrucciones suficientes sobre la forma en la que debían efectuarse los requerimientos de pago a finde que éstos llegaran al efectivo conocimiento del deudor"

CUARTO.-En lo que se refiere a la cuantía de la sanción impuesta (operando la eventual extensión de la misma entre la multa de 40.001 a 300.000 €, ex Art.45.2 LOPD 1999, la graduación de estima ajustada a las circunstancias del caso, pues situándose con claridad en su mitad inferior, debe dejarse expuesto que no se controvierten eficazmente las agravantes apreciadas por la administración (continuidad, volumen de negocio y tratamiento de datos de la actora) sin que tampoco merezcan acogimiento las atenuantes propuestas en la demanda, toda vez que el grado de intencionalidad ha sido correctamente ponderado, sin que el que DTS fuese víctima de un "engaño/ fraude" y perjudicada ante el comportamiento personal del empleado de su contratada, - extremos oportunamente ponderados en sede jurisdiccional penal- cuente con la relevancia atenuadora pretendida, resultando en fin que lo hasta aquí razonado desvirtúa que "DTS contase con procedimientos adecuados". Por lo demás reiteramos lo considerado en sentencia resolutoria del recurso 240/2018, pues frente a lo alegado por la actora alegando que "en cuanto DTS tuvo conocimiento del engaño bastante y del fraude de RJL no sólo se ha puesto a disposición de la Administración, además, como se ha indicado y acreditado, ha denunciado a RJL, ha resuelto el contrato y le ha reclamado responsabilidades" es relevante reseñar que "Las indagaciones que efectuó en este caso ocurrieron en el curso del procedimiento sancionador".

En fin ,frente a la ausencia de beneficio de la actora, también es oportuno que nos remitamos a la sentencia citada pues la eventual apreciación de tal alegato hubiere exigido "hacerse al menos un estudio de los costes que hubiera supuesto implementar las medidas adecuadas para que los requerimientos se hicieran en legal forma" lo cual no es el caso.

QUINTO.-De conformidad con el art. 139.1 LJCA se imponen las costas a la recurrente.

VISTOS los preceptos citados, concordantes y demás de aplicación al caso.

PRIMERO.-La resolución administrativa impugnada e identificada en el antecedente de hecho primero de la presente sentencia, sanciona a la mercantil actora, responsable del tratamiento de datos, al considerar acreditado un tratamiento inadecuado de los mismos, por mor de haber instado el alta de los datos relativos al denunciante en ficheros de solvencia patrimonial, sin que se hubiere acreditado la notificación a la persona afectada del requerimiento, previo a la anotación, exigido normativamente.

La actora, no cuestiona los hechos, en tanto consta sentencia penal firme condenatoria de un empleado dependiente de RJL (Reclamaciones Judiciales Letrados Asociados SL) sociedad con quien aquella suscribió contrato, de fecha 1/5/2012, para la gestión del cobro de sus deudas justificativa de que "confeccionó diversos certificados y albaranes de entrega de Correos falsos, empleando la numeración de los albaranes AE540035258120000000010 y AE540035258120000000011, simulando el logotipo propio de la empresa Correos NEXEA" mas mantiene su falta de responsabilidad y culpabilidad al entenderse carente del dominio de tales hechos, aduciendo además la concurrencia de determinadas atenuantes que sintetiza en las propias referidas al 1ª) grado de intencionalidad, 2º.- Los beneficios obtenidos como consecuencia de la comisión de la infracción: Ningún beneficio ha obtenido DTS, 3ª) DTS fue víctima de un "engaño/ fraude" por parte de un tercero, por lo que no debería exigírsele responsabilidad plena en los hechos. 4ª) DTS ha sido verdaderamente perjudicada.

5ª).- En cuanto DTS tuvo conocimiento del engaño bastante y del fraude de RJL no sólo se ha puesto a disposición de la Administración, además, como se ha indicado y acreditado, ha denunciado a RJL, ha resuelto el contrato y le ha reclamado responsabilidades. - Folios 232 y 233 entre otros - 6ª) DTS contaba con procedimientos adecuados, tenía contrato con RJL, que funcionaban correcta y normalmente - siendo la infracción consecuencia de una "anomalía" en el funcionamiento de dichos procedimientos, no imputable a DTS."

La administración defiende lo razonado y concluido en la resolución administrativa impugnada.

SEGUNDO.-Resultando aplicable al caso la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, es menester indicar que su Art. 4.3 establece que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". Por su parte, el Art.29.2 dispone que "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley", disponiendo en su apdo. 4º que ""sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos".

Por otra parte, el reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, dispone en su Art.38 "Requisitos para la inclusión de los datos" el que ".1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a) Existencia previa de una deuda cierta, vencida, exigible.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de /a obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente."

TERCERO.-No acreditado el cumplimiento por parte de la recurrente de los requisitos normativos antedichos (en especial el arriba subrayado) pretende la recurrente considerarse ausente de responsabilidad por mor de haberse identificado la autoría personal de la falsedad identificada en el antecedente de hecho segundo de la presente sentencia, mas tal perspectiva orilla la circunstancia de ser la mercantil sancionada responsable del tratamiento de los datos debiendo desplegar la diligencia necesaria para garantizar que las obligaciones de notificación asumidas por su empresa contratada se cumplan de manera solvente y eficaz, lo cual no es el caso, pues, como ya pusimos de relieve en la sentencia de esta misma Sala y sección de fecha 15/10/2025 y resolutoria del recurso 240/2018 seguido entre las mismas partes aquí comparecidas "no establece ninguna exigencia para asegurar que el requerimiento de pago llegue al conocimiento efectivo del reclamado. Se limita a pedir que se relaciones las cartas que han sido devueltas por dirección incorrecta. Tampoco consta que la demandante haya establecido mecanismos de control para asegurarse que se efectuaban requerimientos personales a los reclamados" (..) "De ahí que deba considerarse a la demandante responsable de la indebida inclusión del reclamante en el fichero de morosos, puesto que pese a haber encargado a un tercero la gestión de cobros y custodia de documentos, no dio instrucciones suficientes sobre la forma en la que debían efectuarse los requerimientos de pago a finde que éstos llegaran al efectivo conocimiento del deudor"

CUARTO.-En lo que se refiere a la cuantía de la sanción impuesta (operando la eventual extensión de la misma entre la multa de 40.001 a 300.000 €, ex Art.45.2 LOPD 1999, la graduación de estima ajustada a las circunstancias del caso, pues situándose con claridad en su mitad inferior, debe dejarse expuesto que no se controvierten eficazmente las agravantes apreciadas por la administración (continuidad, volumen de negocio y tratamiento de datos de la actora) sin que tampoco merezcan acogimiento las atenuantes propuestas en la demanda, toda vez que el grado de intencionalidad ha sido correctamente ponderado, sin que el que DTS fuese víctima de un "engaño/ fraude" y perjudicada ante el comportamiento personal del empleado de su contratada, - extremos oportunamente ponderados en sede jurisdiccional penal- cuente con la relevancia atenuadora pretendida, resultando en fin que lo hasta aquí razonado desvirtúa que "DTS contase con procedimientos adecuados". Por lo demás reiteramos lo considerado en sentencia resolutoria del recurso 240/2018, pues frente a lo alegado por la actora alegando que "en cuanto DTS tuvo conocimiento del engaño bastante y del fraude de RJL no sólo se ha puesto a disposición de la Administración, además, como se ha indicado y acreditado, ha denunciado a RJL, ha resuelto el contrato y le ha reclamado responsabilidades" es relevante reseñar que "Las indagaciones que efectuó en este caso ocurrieron en el curso del procedimiento sancionador".

En fin ,frente a la ausencia de beneficio de la actora, también es oportuno que nos remitamos a la sentencia citada pues la eventual apreciación de tal alegato hubiere exigido "hacerse al menos un estudio de los costes que hubiera supuesto implementar las medidas adecuadas para que los requerimientos se hicieran en legal forma" lo cual no es el caso.

QUINTO.-De conformidad con el art. 139.1 LJCA se imponen las costas a la recurrente.

VISTOS los preceptos citados, concordantes y demás de aplicación al caso.

PRIMERO.-La resolución administrativa impugnada e identificada en el antecedente de hecho primero de la presente sentencia, sanciona a la mercantil actora, responsable del tratamiento de datos, al considerar acreditado un tratamiento inadecuado de los mismos, por mor de haber instado el alta de los datos relativos al denunciante en ficheros de solvencia patrimonial, sin que se hubiere acreditado la notificación a la persona afectada del requerimiento, previo a la anotación, exigido normativamente.

La actora, no cuestiona los hechos, en tanto consta sentencia penal firme condenatoria de un empleado dependiente de RJL (Reclamaciones Judiciales Letrados Asociados SL) sociedad con quien aquella suscribió contrato, de fecha 1/5/2012, para la gestión del cobro de sus deudas justificativa de que "confeccionó diversos certificados y albaranes de entrega de Correos falsos, empleando la numeración de los albaranes AE540035258120000000010 y AE540035258120000000011, simulando el logotipo propio de la empresa Correos NEXEA" mas mantiene su falta de responsabilidad y culpabilidad al entenderse carente del dominio de tales hechos, aduciendo además la concurrencia de determinadas atenuantes que sintetiza en las propias referidas al 1ª) grado de intencionalidad, 2º.- Los beneficios obtenidos como consecuencia de la comisión de la infracción: Ningún beneficio ha obtenido DTS, 3ª) DTS fue víctima de un "engaño/ fraude" por parte de un tercero, por lo que no debería exigírsele responsabilidad plena en los hechos. 4ª) DTS ha sido verdaderamente perjudicada.

5ª).- En cuanto DTS tuvo conocimiento del engaño bastante y del fraude de RJL no sólo se ha puesto a disposición de la Administración, además, como se ha indicado y acreditado, ha denunciado a RJL, ha resuelto el contrato y le ha reclamado responsabilidades. - Folios 232 y 233 entre otros - 6ª) DTS contaba con procedimientos adecuados, tenía contrato con RJL, que funcionaban correcta y normalmente - siendo la infracción consecuencia de una "anomalía" en el funcionamiento de dichos procedimientos, no imputable a DTS."

La administración defiende lo razonado y concluido en la resolución administrativa impugnada.

SEGUNDO.-Resultando aplicable al caso la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, es menester indicar que su Art. 4.3 establece que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". Por su parte, el Art.29.2 dispone que "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley", disponiendo en su apdo. 4º que ""sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos".

Por otra parte, el reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, dispone en su Art.38 "Requisitos para la inclusión de los datos" el que ".1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a) Existencia previa de una deuda cierta, vencida, exigible.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de /a obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente."

TERCERO.-No acreditado el cumplimiento por parte de la recurrente de los requisitos normativos antedichos (en especial el arriba subrayado) pretende la recurrente considerarse ausente de responsabilidad por mor de haberse identificado la autoría personal de la falsedad identificada en el antecedente de hecho segundo de la presente sentencia, mas tal perspectiva orilla la circunstancia de ser la mercantil sancionada responsable del tratamiento de los datos debiendo desplegar la diligencia necesaria para garantizar que las obligaciones de notificación asumidas por su empresa contratada se cumplan de manera solvente y eficaz, lo cual no es el caso, pues, como ya pusimos de relieve en la sentencia de esta misma Sala y sección de fecha 15/10/2025 y resolutoria del recurso 240/2018 seguido entre las mismas partes aquí comparecidas "no establece ninguna exigencia para asegurar que el requerimiento de pago llegue al conocimiento efectivo del reclamado. Se limita a pedir que se relaciones las cartas que han sido devueltas por dirección incorrecta. Tampoco consta que la demandante haya establecido mecanismos de control para asegurarse que se efectuaban requerimientos personales a los reclamados" (..) "De ahí que deba considerarse a la demandante responsable de la indebida inclusión del reclamante en el fichero de morosos, puesto que pese a haber encargado a un tercero la gestión de cobros y custodia de documentos, no dio instrucciones suficientes sobre la forma en la que debían efectuarse los requerimientos de pago a finde que éstos llegaran al efectivo conocimiento del deudor"

CUARTO.-En lo que se refiere a la cuantía de la sanción impuesta (operando la eventual extensión de la misma entre la multa de 40.001 a 300.000 €, ex Art.45.2 LOPD 1999, la graduación de estima ajustada a las circunstancias del caso, pues situándose con claridad en su mitad inferior, debe dejarse expuesto que no se controvierten eficazmente las agravantes apreciadas por la administración (continuidad, volumen de negocio y tratamiento de datos de la actora) sin que tampoco merezcan acogimiento las atenuantes propuestas en la demanda, toda vez que el grado de intencionalidad ha sido correctamente ponderado, sin que el que DTS fuese víctima de un "engaño/ fraude" y perjudicada ante el comportamiento personal del empleado de su contratada, - extremos oportunamente ponderados en sede jurisdiccional penal- cuente con la relevancia atenuadora pretendida, resultando en fin que lo hasta aquí razonado desvirtúa que "DTS contase con procedimientos adecuados". Por lo demás reiteramos lo considerado en sentencia resolutoria del recurso 240/2018, pues frente a lo alegado por la actora alegando que "en cuanto DTS tuvo conocimiento del engaño bastante y del fraude de RJL no sólo se ha puesto a disposición de la Administración, además, como se ha indicado y acreditado, ha denunciado a RJL, ha resuelto el contrato y le ha reclamado responsabilidades" es relevante reseñar que "Las indagaciones que efectuó en este caso ocurrieron en el curso del procedimiento sancionador".

En fin ,frente a la ausencia de beneficio de la actora, también es oportuno que nos remitamos a la sentencia citada pues la eventual apreciación de tal alegato hubiere exigido "hacerse al menos un estudio de los costes que hubiera supuesto implementar las medidas adecuadas para que los requerimientos se hicieran en legal forma" lo cual no es el caso.

QUINTO.-De conformidad con el art. 139.1 LJCA se imponen las costas a la recurrente.

VISTOS los preceptos citados, concordantes y demás de aplicación al caso.