- Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
c) Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
d) Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
e) Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario.
Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.a) del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
f) Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta.
2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679.
Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud.
- La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia.
1. Función y Operación de los Sistemas de Información Crediticia
a. Recopilación de Datos
- Descripción: Los sistemas de información crediticia recopilan datos de diversas fuentes, incluyendo entidades financieras, proveedores de servicios de crédito, y registros públicos.
- Ejemplo: Información sobre préstamos, tarjetas de crédito, hipotecas, pagos atrasados, quiebras, y otras obligaciones financieras.
b. Gestión y Almacenamiento
- Descripción: Los datos recopilados se almacenan en bases de datos seguras, donde se actualizan y mantienen.
- Ejemplo: Actualización de informes crediticios con nuevos datos de pagos o cambios en la situación financiera del individuo o empresa.
c. Generación de Informes de Crédito
- Descripción: Los sistemas generan informes de crédito que resumen la información crediticia de los sujetos.
- Ejemplo: Un informe de crédito para un consumidor puede incluir su historial de pagos, nivel de endeudamiento y puntuación crediticia.
d. Evaluación y Puntuación
- Descripción: Los datos se utilizan para calcular una puntuación crediticia o calificación, que indica la solvencia del sujeto.
- Ejemplo: Una puntuación crediticia alta puede sugerir una buena solvencia, mientras que una baja indica un mayor riesgo de impago.
e. Provisión de Información
- Descripción: Los informes y puntuaciones se proporcionan a prestamistas, aseguradoras y otras entidades para ayudar en la toma de decisiones.
- Ejemplo: Un prestamista puede consultar el informe crediticio de un solicitante antes de aprobar un préstamo.
2. Principios de Protección de Datos y Cumplimiento Legal
a. Licitud, Lealtad y Transparencia
- Descripción: La recopilación y uso de datos deben ser lícitos, leales y transparentes para los afectados.
- Ejemplo: Informar a los consumidores sobre la recogida y uso de sus datos crediticios.
b. Limitación de la Finalidad
- Descripción: Los datos deben ser utilizados únicamente para las finalidades específicas para las cuales fueron recopilados.
- Ejemplo: Los datos crediticios deben usarse solo para evaluar la solvencia y no para otros fines, como publicidad no solicitada.
c. Minimización de Datos
- Descripción: Solo se deben recoger y procesar los datos necesarios para cumplir con el propósito del tratamiento.
- Ejemplo: No recolectar información que no sea relevante para la evaluación crediticia.
d. Exactitud y Actualización
- Descripción: Asegurar que los datos sean precisos y se mantengan actualizados.
- Ejemplo: Corregir errores en los informes de crédito y actualizar la información de manera oportuna.
e. Limitación del Plazo de Conservación
- Descripción: Conservar los datos solo durante el tiempo necesario para cumplir con la finalidad del tratamiento.
- Ejemplo: Eliminar datos antiguos o irrelevantes después de un período específico.
f. Integridad y Confidencialidad
- Descripción: Proteger los datos contra el acceso no autorizado y el procesamiento indebido.
- Ejemplo: Implementar medidas de seguridad como cifrado y acceso restringido para proteger la información crediticia.
3. Derechos de los Afectados
a. Derecho de Acceso
- Descripción: Los individuos tienen el derecho a acceder a sus informes de crédito y conocer la información que se tiene sobre ellos.
- Ejemplo: Solicitar una copia del informe crediticio para revisar y corregir errores.
b. Derecho de Rectificación
- Descripción: Los individuos pueden solicitar la corrección de datos inexactos o incompletos en sus informes de crédito.
- Ejemplo: Corregir información sobre pagos atrasados que ha sido reportada incorrectamente.
c. Derecho de Cancelación y Oposición
- Descripción: Los individuos pueden solicitar la eliminación de sus datos crediticios en ciertas circunstancias y oponerse al tratamiento para fines específicos.
- Ejemplo: Solicitar la eliminación de datos antiguos o no relevantes de su historial crediticio.
d. Derecho a la Portabilidad de Datos
- Descripción: Permite a los individuos recibir sus datos en un formato estructurado y comúnmente utilizado y transferirlos a otro proveedor.
- Ejemplo: Solicitar la transferencia de datos crediticios a una nueva agencia de información crediticia.
4. Requisitos Legales y Regulatorios
a. Reglamento General de Protección de Datos (RGPD)
- Descripción: El RGPD establece requisitos para la protección de datos personales en la Unión Europea, aplicables a los sistemas de información crediticia.
- Ejemplo: Cumplir con los principios del RGPD, incluyendo la obtención del consentimiento y la notificación de brechas de seguridad.
b. Leyes Nacionales y Regulatorias
- Descripción: Los sistemas de información crediticia deben cumplir con la legislación nacional específica sobre protección de datos y crédito.
- Ejemplo: En España, cumplir con la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).
c. Regulaciones del Sector Financiero
- Descripción: Cumplir con las regulaciones específicas del sector financiero que afectan a la recopilación y uso de datos crediticios.
- Ejemplo: Ajustar prácticas para cumplir con regulaciones de entidades financieras y de supervisión.
5. Buenas Prácticas y Procedimientos
a. Auditorías y Revisiones
- Descripción: Realizar auditorías periódicas para asegurar el cumplimiento con la legislación y buenas prácticas.
- Ejemplo: Revisar los procedimientos de manejo de datos y la precisión de la información crediticia.
b. Capacitación del Personal
- Descripción: Capacitar al personal en prácticas de protección de datos y gestión de información crediticia.
- Ejemplo: Ofrecer formación sobre las obligaciones legales y el manejo seguro de datos personales.
c. Gestión de Incidentes
- Descripción: Implementar procedimientos para gestionar y notificar brechas de seguridad o incidentes relacionados con datos crediticios.
- Ejemplo: Desarrollar un plan de respuesta a brechas para manejar incidentes de seguridad y notificar a las autoridades y afectados.
d. Comunicación con Afectados
- Descripción: Mantener una comunicación clara con los afectados sobre la gestión de sus datos crediticios y los procedimientos para ejercer sus derechos.
- Ejemplo: Proporcionar canales para que los consumidores puedan presentar quejas o solicitudes relacionadas con sus datos.