Puede que te hayas preguntado alguna vez por qué las empresas de recobro tienen acceso a tus datos personales y el estado de una deuda (“una cosa es que lo sepa mi acreedor y otra que se lo diga a un tercero“). Analicemos la figura del mensajero que se presenta reclamando una deuda ajena.

Como la AEPD recuerda en sus FAQs, las empresas de recobro son prestadoras de servicios que hacen de intermediarios entre el acreedor y el deudor (dejando a un lado los casos de adquisición o traspaso de deuda). Es decir, estas entidades no reclaman una deuda propia, sino que la reclaman en nombre y por cuenta de la empresa acreedora. Por este motivo, no actúan como responsables del tratamiento de los datos del deudor, sino como encargados del tratamiento de la empresa acreedora –responsable del tratamiento–. Esto no es nuevo y la AEPD ya lo ponía de manifiesto en su Guía para el Ciudadano.

Es por ello que no se produce una cesión de datos a las empresas de recobro –en términos de protección de datos–, ni requieren una base legitimadora propia para llevar a cabo el tratamiento de los datos –y menos aún el consentimiento del deudor*–. El acreedor es sobre quien recaen las obligaciones, como responsable y entre otras, de cumplir con los deberes de información y de contar con la base legal apropiada bajo los arts. 6, 12, 13 y 14 RGPD.

Las empresas de recobro operan y tratan los datos personales bajo el amparo del contrato de encargo del tratamiento (cuyo contenido mínimo deberá incluir las previsiones del art. 28 RGPD). Así, la empresa de recobro debe informar del nombre de la empresa que es titular de la deuda (bajo el riesgo de ser considerada responsable en los términos previstos en el art. 33.2 LOPDGDD) cuando se dirige al deudor y de la manera de satisfacer la deuda.

De esta forma, el contrato de encargo se convierte en la piedra angular que regula cómo la empresa de recobro debe tratar los datos y la vincula con el acreedor. Por ello, es de vital importancia tomar las siguientes precauciones como acreedores:

  • Llevar a cabo un buen proceso de due diligence de las empresas de recobro. Son quienes van a dar la cara por el acreedor y quienes, en caso de incumplimientos, pueden terminar generando responsabilidad para el mismo. El acreedor debe asegurarse (y, como siempre recordamos en este blog, documentar) que ha seleccionado a un “buen” encargado en los términos previstos en el artículo 28.1 RGPD.
  • Aunque sea de Perogrullo, asegurarse de que el contrato de encargo prevé el contenido mínimo bajo el art. 28 RGPD.
  • Tratar de regular y prohibir conductas abusivas y de “acoso” al deudor. A nivel de protección de datos, el riesgo que se genera en estas situaciones deriva principalmente de que las empresas de recobro “agoten” al deudor en la búsqueda de asegurar el pago. En este sentido y con respecto a con quién pueden contactar, la AEPD ha respondido a la siguiente pregunta en sus FAQs:

    “Me reclaman una deuda llamando a mis familiares y amigos. ¿Es legal esta comunicación?
    “: La AEPD indica que es lícito que la empresa acreedora intente contactar para reclamar la deuda a los teléfonos y direcciones facilitados por el deudor al firmar el contrato originador de la misma. Considera que se puede contactar con familiares, amigos o el trabajo siempre y cuando no se les comunique la cuantía de la deuda o la condición de deudor. Es decir, la finalidad de estas llamadas es contactar con el deudor (la AEPD aclara que: “no obstante, tanto los familiares como amigos pueden ejercitar el derecho de oposición para no recibir este tipo de llamadas”).

    En relación con este tema, la AEPD sancionó a una empresa de recobro (véase aquí) que había adquirido la deuda por infringir el principio de integridad y confidencialidad (art. 5.1 (f) RGPD) al dirigirse por email no solo a las direcciones aportadas por la reclamante al contratar, sino también a la dirección de correo electrónico del trabajo (que era accesible para terceras personas).

  • Tener implantado un sistema robusto de respuesta a los derechos de protección de datos (en particular, a los derechos de rectificación, supresión y oposición) para cuando el deudor se dirija al acreedor, bien directamente o a través del encargado.
    A este respecto, la AEPD indica en otra FAQ que cuando se esté reclamando una deuda que no es del deudor, bien por error, bien por fraude (suplantación de identidad), etc., se puede solicitar la supresión o rectificación de los datos personales mediante escrito dirigido al responsable / acreedor (sin perjuicio de acudir a la policía, en su caso). Además de recordar en dicha FAQ cuestiones básicas –como que no es siempre necesario aportar el DNI para ejercer estos derechos–, la AEPD insiste en que el ejercicio del derecho de supresión “no debe confundirse con la solicitud de baja de un servicio previamente contratado o con la devolución de copias de documentos o contratos, que no es materia de protección de datos.
  • Mantener actualizada e informada a la empresa de recobro de la situación de la deuda. El principio de exactitud del art. 5.1 (d) RGPD es de vital importancia. Se debe evitar la reclamación de deudas ya cobradas, por importes erróneos, etc. Además, se debe identificar de forma adecuada al deudor para evitar errores a la hora de llevar a cabo la reclamación o enviar notificaciones a terceros por error (lo cual, en algunos casos, podría derivar en una brecha de seguridad).
  • Hacer una evaluación de impacto de protección de datos (recordamos nuestra última entrada a este respecto). Este es un documento sumamente valioso para detectar riesgos en el tratamiento de datos personales en el contexto del recobro y reducirlos o mitigarlos. Además, sirve como medida de cumplimiento proactivo en caso de que la AEPD haga una visita.

Lo anterior, sin perjuicio de las obligaciones propias que las empresas de recobro, como encargadas, deben cumplir bajo el RGPD (entre otras y en su caso, implementar medidas de seguridad apropiadas; mantener un registro de actividades del tratamiento; designar un delegado de protección de datos, etc.).

Como se puede observar, el hecho de que la contratación de empresas de recobro sea una práctica extendida, no hace que el tema sea menos importante o que el riesgo sea menor. La reclamación de deudas es una de las áreas donde más reclamaciones se presentan, con gran número de procedimientos cuyo importe global de sanciones es elevado (véase la Memoria de la AEPD). Uno debe aproximarse a esta práctica con extrema cautela (más aún cuando se junta con la comunicación de datos a ficheros de morosos).

*La propia AEPD recuerda que “no es competente para conocer de aquellas denuncias que se presenten por el solo hecho de que la deuda reclamada haya sido cedida a una empresa de recobros sin mi consentimiento, si está debidamente acreditada la representación en cuyo nombre actúa dicha empresa“.