Al informar a los interesados ¿Es posible la inclusión genérica de la mención a ficheros relativos al cumplimiento de obligaciones dinerarias y que esta mención se entienda extendida a dichos ficheros aunque se encuentren establecidos en el extranjero? ¿Se requiere consentimiento expreso del cliente para la inclusión de sus datos en el fichero de morosidad extranjero? ¿Se podría basar la inclusión de los datos personales en los ficheros de morosidad extranjeros en el interés legítimo?
Para dar una respuesta en vistas al cumplimiento con el nuevo Reglamento General de Protección de Datos, es necesario hacer previamente una distinción. Así, la respuesta será distinta si la cesión de los datos sobre incumplimiento de obligaciones dinerarias se hace a países dentro del Espacio Económico Europeo (“EEE”) o países localizados fuera de los mismos. En este último caso, tratándose de una transferencia internacional, hay que hacer una segunda diferenciación, a saber, si dicha transferencia se realiza a un país que goza de una Decisión de Adecuación o mediante garantías adecuadas, o si por el contrario no concurren ni la existencia de una Decisión de Adecuación ni de garantías adecuadas.
En cuanto a la primera distinción:
A) Si la inclusión (cesión) de los datos sobre incumplimiento de obligaciones dinerarias se realizase en ficheros localizados dentro del EEE, estaríamos dentro de la definición de cesión de datos. En este caso, el tratamiento está legitimado por una habilitación legal específica, en concreto el artículo 29.2 de la LOPD, siempre y cuando se cumplan todos los requisitos de información y de operativa previstos en dicho artículo. Es decir, deberá notificarse a los interesados, en un plazo de 30 días, desde que se realice el registro un referencia a los datos incluidos y la información de su derecho a recabar información de la totalidad de esos ficheros.
Asimismo, conforme al artículo 5 de la LOPD, se debería informar con detalle de los cesionarios de dicha información, y en el caso que dichos cesionarios se encuentren establecidos en países de la UE, fuera de España, entendemos que es conveniente recoger los concretos destinatarios, o al menos la actividad de dichas compañías, junto con los países donde realizan dicha actividad.
En cualquier caso, los ficheros de morosos establecidos en estos países tendrán que cumplir con una serie de requisitos a nivel local y, el hecho de incluir información en dichos ficheros, puede traer consigo tener que cumplir con obligaciones adicionales que establezca la propia normativa local.
El Reglamento General de Protección de Datos no contiene regulación alguna sobre ficheros de solvencia patrimonial. Aunque quepa esperar que la situación no sufra importantes cambios, dado que la habilitación legal específica para este tipo de tratamiento tiene como trasfondo el “interés legítimo de preservación y estabilidad del sistema financiero”, tal y como apunta el Grupo de Trabajo del Artículo 29 en su documento sobre las listas negras, habrá que esperar al texto definitivo que recoja nuestra modificación legislativa. En cualquier caso, siempre ha de ser tenido en consideración que el interés legítimo ha de ser ponderado con los derechos de los interesados, y especialmente en casos como este en que el tratamiento de los datos “implica efectos adversos y perjudiciales para las personas incluidas en las [listas]” según el Grupo de Trabajo del Artículo 29.
B) Si la inclusión se realiza en ficheros localizados fuera del EEE, se trataría de una transferencia internacional, de modo que habría que hacer otra distinción:
-
- Si la transferencia se realiza a un Estado que no disfruta de una Decisión de Adecuación o dicha transferencia no se lleva a cabo ofreciendo garantías adecuadas de acuerdo con el artículo 46 del Reglamento, será necesario el consentimiento explícito del interesado, que habrá debido ser informado de los riesgos de la ausencia de una Decisión de Adecuación y de garantías adecuadas. No cabe la posibilidad de articular el interés legítimo para justificar transferencias internacionales sin la adopción de garantías adecuadas.
-
- Si la transferencia se realiza a un Estado que disfruta de una Decisión de Adecuación o la transferencia se lleva a cabo mediante garantías adecuadas, habría que tener en cuenta los requisitos recogidos en el punto A.
