Incluir a un cliente en ASNEF: requisitos del art. 20 LOPDGDD, plazos y riesgos

Puedes incluir a un cliente en ASNEF, o en cualquier otro sistema común de información crediticia, solo si su deuda es cierta, vencida y exigible, no la ha reclamado ante un tribunal, la administración o un procedimiento alternativo vinculante, y le avisaste de esa posibilidad en el contrato o al requerirle el pago. Además, el principal no puede ser inferior a 50 euros y el dato no puede seguir en el fichero más de cinco años desde el vencimiento (art. 20 de la LOPDGDD).

Qué es «ASNEF» para la ley

«ASNEF» es el nombre con el que casi todo el mundo busca los ficheros de morosos. La ley no habla de marcas: la Ley Orgánica 3/2018 (LOPDGDD) los llama sistemas comunes de información crediticia y los regula en su art. 20. Lo que explicamos aquí vale para cualquiera de ellos.

La técnica es una presunción. «Salvo prueba en contrario», se presume lícito comunicar a uno de estos sistemas el impago de una obligación dineraria, financiera o de crédito si se cumplen todos los requisitos del art. 20.1. Si falla uno, la presunción cae y tendrás que justificar el tratamiento por otra vía, con el riesgo de que la AEPD lo considere ilícito.

Un apunte previo: el RGPD no regula el tratamiento de datos de las personas jurídicas, «y en particular a empresas constituidas como personas jurídicas» (considerando 14). Esta guía se centra en clientes que son personas físicas, como consumidores y autónomos.

Los requisitos del art. 20 LOPDGDD, uno a uno

Antes de comunicar la deuda, comprueba estos puntos. Son acumulativos: tienen que darse todos a la vez.

Deuda cierta: el punto que más se discute

El art. 20.1.b deja fuera las deudas cuya existencia o cuantía haya reclamado el deudor ante la administración, ante un juez o en un procedimiento alternativo de resolución de disputas vinculante entre las partes. Si tu cliente ha llevado la factura a una de esas vías, no la comuniques. Y si discute el importe contigo con argumentos concretos, revisa el expediente antes de dar el paso: el art. 20.2 pone sobre ti la carga de garantizar que se cumplen los requisitos.

El aviso y el requerimiento de pago

La ley exige que hayas informado al deudor, «en el contrato o en el momento de requerir el pago», de que puede ser incluido en estos sistemas y en cuáles participas (art. 20.1.c). La AEPD y el Ministerio de Consumo añaden, al enumerar los requisitos, que el acreedor debe haber requerido el pago antes de comunicar los datos. Era una exigencia expresa del reglamento de 2007 (art. 38.1.c del RD 1720/2007) y la AEPD la sigue incluyendo en su lista.

Un buen requerimiento identifica la deuda (concepto, principal y vencimiento), da un plazo para pagar, advierte de la posible inclusión y nombra los sistemas. Envíalo por un medio que deje prueba del contenido y de la recepción: si hay reclamación, tendrás que acreditarlo tú.

Los plazos que tienes que controlar

Aprovecha el margen de los 30 días: si el cliente paga o aparece un error, pide la baja cuanto antes.

Qué pasa una vez incluido: consulta, derechos y baja

El deudor puede ejercer ante el sistema los derechos de los arts. 15 a 22 del RGPD. Si pide la limitación del tratamiento porque cree que el dato es inexacto, el sistema informará a quienes lo consulten de la mera existencia de esa circunstancia, sin facilitar los datos concretos, mientras se resuelve.

No cualquiera puede consultar el fichero. Solo quien tenga con el deudor una relación contractual que implique el pago de una cuantía o a quien este haya pedido un contrato con financiación, pago aplazado o facturación periódica (art. 20.1.e). Si por esa consulta se deniega el contrato, quien consultó debe informar al afectado del resultado (art. 20.1.f); lo explicamos en denegar un crédito por scoring. Y la presunción de licitud no ampara que el sistema cruce el dato con información de otras fuentes para hacer un perfil del deudor (art. 20.3).

Cuando el cliente paga, la AEPD indica que debe ser excluido «de forma inmediata» y que el acreedor tiene que comunicar al sistema la inexistencia o inexactitud de la deuda en el plazo de una semana. Una deuda pagada que sigue en el fichero es fácil de probar para el afectado.

Quién responde y qué puede sancionar la AEPD

El acreedor y la entidad que mantiene el sistema son corresponsables del tratamiento. Pero el art. 20.2 reparte el peso: corresponde al acreedor garantizar que concurren los requisitos para incluir la deuda, «respondiendo de su inexistencia o inexactitud». Si trabajas con una empresa de recobro, la comunicación puede hacerla ella por tu cuenta, pero la responsabilidad de que la deuda cumpla los requisitos sigue siendo tuya.

Si el deudor considera que se le incluyó incumpliendo algún requisito, puede reclamar ante la AEPD. La Agencia no decide si la deuda existe ni cuánto es, porque eso se discute con el acreedor o en los tribunales; lo que examina es si la inclusión respetó las condiciones. Las multas del RGPD pueden llegar a 20 millones de euros o al 4 % del volumen de negocio anual mundial, la cifra que sea mayor, y la autoridad puede además apercibir o prohibir el tratamiento de forma temporal o definitiva.

Los fallos que conviene evitar:

• Comunicar deudas discutidas en una reclamación administrativa, judicial o en un procedimiento alternativo vinculante.
• No poder probar el aviso o el requerimiento de pago.
• Sumar intereses y gastos para llegar a los 50 euros: cuenta el principal.
• No dar de baja una deuda pagada o mantenerla más de cinco años.
• Dejar que la empresa de recobro decida sola qué se comunica, sin instrucciones por escrito.

Si compras carteras de deuda para recobrarlas, estos requisitos también te afectan; lo vemos en compradores de créditos.

Preguntas frecuentes

¿Puedo incluir en un fichero de morosos a una empresa que me debe dinero?

El RGPD no regula el tratamiento de datos de las personas jurídicas, incluido su nombre, su forma y sus datos de contacto (considerando 14). Por eso las garantías del art. 20 de la LOPDGDD están pensadas para deudores que son personas físicas. Si tu cliente es un autónomo, sí es una persona física y se aplican. Con una sociedad, revisa además si en la comunicación aparecen datos de personas físicas, como administradores o avalistas.

¿Tengo que avisar al cliente antes de incluirle?

Sí. Debes haberle informado de la posible inclusión, en el contrato o al requerirle el pago, y de los sistemas en los que participas (art. 20.1.c). Después, la entidad que mantiene el sistema le notifica la inclusión y le informa de sus derechos dentro de los 30 días siguientes a la notificación de la deuda, plazo durante el que los datos quedan bloqueados.

¿Qué hago si el cliente paga después de estar incluido?

Según la AEPD, el afectado debe ser excluido «de forma inmediata» y el acreedor tiene que comunicar al sistema la inexistencia o inexactitud de la deuda en el plazo de una semana. Deja constancia de la fecha del pago y de tu comunicación al sistema. Si tienes un acuerdo de pago a plazos, define antes qué se comunica y cuándo.

¿Puede la empresa de recobro comunicar la deuda por mí?

Sí: el art. 20.1.a admite que los datos los facilite el acreedor «o quien actúe por su cuenta o interés». Pero el art. 20.2 atribuye al acreedor la obligación de garantizar que se cumplen los requisitos y le hace responder de la inexistencia o inexactitud de la deuda. Por eso conviene fijar por escrito qué deudas puede comunicar y con qué controles. Lo revisamos en normativa de recobro.

¿La AEPD puede decidir si la deuda existe?

No. La AEPD aclara que una controversia sobre la deuda no implica por sí misma una vulneración de la protección de datos, y que no decide sobre su cuantía ni su veracidad: eso se reclama ante el acreedor o en los tribunales. Lo que sí examina es si la inclusión en el fichero cumplió los requisitos. Por eso tu defensa depende de lo que puedas documentar.