La AEPD obliga a Equifax a eliminar el FIJ

La Agencia Española de Protección de Datos (AEPD) ha sancionado a Equifax con una multa de un millón de euros. Al mismo tiempo también obliga a la empresa a dejar de realizar el tratamiento de datos con su Fichero de Reclamaciones Judiciales y Organismos Públicos, más conocido como FIJ.

Equifax es una multinacional con una filial en España (EQUIFAX IBÉRICA, S.L.) que se dedica a elaborar informes de solvencia y desarrollar ficheros de morosos haciendo uso del historial crediticio de los españoles. Estos informes son de gran utilidad para las empresas asociadas a Equifax porque les permite tener acceso a datos personales y de solvencia de sus posibles clientes.

La sanción impuesta por la AEPD se debe a que los datos que componen este fichero de morosos vienen de boletines oficiales. De esta manera, el FIJ recoge las presuntas deudas que los usuarios tienen con la Administración Pública. Para ello, el FIJ hace uso de la información que se publica en el Tablón Edictal Único del BOE, de los diarios oficiales de cada comunidad autónoma y provincias y a través de las sedes de organismos de Derecho Público.

Infracciones de Equifax

La investigación por parte de la AEPD viene motivada por las casi 100 reclamaciones que los usuarios han interpuesto a la Agencia por la inclusión de sus datos en el fichero sin consentimiento previo. Sin embargo, en muchas ocasiones las supuestas deudas de estos usuarios eran falsas porque ya estaban saldadas. Además de suponer un problema de protección de datos, sus reclamaciones venían motivadas porque al estar incluidos en este fichero de morosidad no podían solicitar préstamos o créditos.

Según la resolución impuesta por la AEPD, la empresa Equifax ha vulnerado más de una norma del RGPD (Reglamento General de Protección de Datos) por no poder asegurar que las deudas mostradas en el FIJ realmente fueran ciertas y el hecho de no avisar a los usuarios cuando eran incluidos en él.

A continuación hablaremos de los principios del RGPD que ha incumplido Equifax:

• Principio de limitación de la finalidad

Como hemos dicho, el origen de los datos con los que Equifax conformaba el fichero de morosos FIJ, provenía de boletines oficiales y públicos. El objetivo de estos boletines al publicar los datos cumplía con la norma de interés público. En cambio, Equifax hacía uso de estos datos con una finalidad muy distinta.

Según el principio de limitación de la finalidad “los datos personales serán recogidos con fines determinados, explícitos y legítimos y no serán tratados de manera incompatible con dichos fines”. Es por eso que la AEPD condena el tratamiento de los datos cuando tienen distinta finalidad.

• Principio de Licitud

Según la ley, un tratamiento se considera lícito cuando prevalece la satisfacción de los intereses de la persona afectada (que podría hacer uso de la protección de datos personales), frente a los intereses del responsable del tratamiento de datos o de terceros que pudieran acceder a dichos datos personales.

En su defensa Equifax ha declarado que el interés de su registro era conocer las deudas de las personas físicas para hacer “una valoración de la solvencia”, “ dar seguridad al comercio mercantil” y “prevenir episodios de morosidad”. Aun así, estas razones no cumplen con el principio por el cual la AEPD condenaba a esta empresa.

• Principio de Exactitud

El principio de exactitud exige que los datos personales han de ser exactos y lo más actualizados posibles a la realidad.

A raíz de estas reclamaciones, la AEPD ha descubierto que la base de datos de este fichero de morosos llevaba cerca de seis años sin actualizarse ni contrastarse.

• Principio de Minimización

Según el RGPD los datos personales han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. A esto se le conoce como la minimización de datos.

Una vez más la Agencia Española de Protección de Datos estimó el incumplimiento de este principio.

• Deber de Informar

El RGPD especifica en el artículo 14 que cuando la información a tratar no se ha obtenido del afectado, el interesado de utilizar dichos datos tiene la obligación de avisar mediante una notificación.

Aunque hay ciertos afectados que sí recibieron dicha notificación, la mayoría de las personas incluidas en el FIJ no habían recibido ningún tipo de aviso. Por ello, una vez más, Equifax no cumplió con su deber en el tratamiento de los datos del FIJ.

Sanción Impuesta a Equifax

Después de analizar todos los incumplimientos de Equifax, la AEPD la ha sancionado con una multa de un millón de euros. Sin embargo, al principio la Agencia propuso una multa de 9 millones de euros teniendo en cuenta la infracción de cada uno de los principios que acabamos de mencionar. Pero, finalmente la Agencia Española de Protección de Datos sólo ha tenido en cuenta el “principio de limitación de finalidad”, ya que se considera una de las infracciones más graves y por tanto, la única sancionada. Esta es la resolución final.

Dejando a un lado la sanción económica, la AG ha obligado a Equifax a eliminar el FIJ. Además, también debe borrar el tratamiento completo de los datos. Además, le queda terminantemente prohibido obtener más información de boletines de carácter oficial para incluir a más usuarios en los ficheros de morosos.