«Base jurídica: interés legítimo del responsable». Esa línea aparece en miles de registros de actividades de tratamiento y de políticas de privacidad como si fuera un trámite resuelto. No lo es. Cuando la inscripción de un deudor acaba en un juzgado —y cada vez acaban más—, el juez no comprueba si usted marcó la casilla. Comprueba si su empresa superó, y puede demostrar que superó, un examen de tres pruebas. Suspender cualquiera de las tres convierte la inscripción en un tratamiento ilícito, y el tratamiento ilícito en una condena que, como horquilla orientativa, se mueve entre 3.000 y 10.000 € más costas por afectado.
Las tres pruebas del artículo 6.1.f)
El interés de su empresa en cobrar es legítimo, nadie lo discute. La cuestión es otra: si ese interés justifica el daño reputacional que causa una inscripción en un sistema de información crediticia. Los tribunales lo resuelven con una trilogía de juicios acumulativos. Acumulativos significa que hay que aprobar los tres; no hay media aritmética.
1. Juicio de necesidad
¿Existía una alternativa menos intrusiva para lograr el cobro? Un requerimiento formal, una negociación documentada, una reclamación judicial de la deuda. Si la había y no se agotó, la inscripción no era necesaria: era cómoda. Y la comodidad no es base jurídica.
2. Juicio de idoneidad
¿Sirve la inscripción, de verdad, al fin que usted invoca? Comunicar la deuda a un fichero que su deudor y sus financiadores nunca consultarán no protege el crédito de nadie: solo castiga. La medida debe ser eficaz para el objetivo declarado, no un instrumento de presión genérico.
3. Juicio de proporcionalidad en sentido estricto
Puestos en la balanza el interés comercial de su empresa y los derechos del afectado, ¿pesa más el suyo? En deudas menores, dudosas o antiguas, la respuesta judicial tiende a ser que no. El equilibrio se valora caso a caso, y quien debe haberlo valorado antes de inscribir es usted.
La aplicación del artículo 6.1.f) RGPD requiere que exista un interés legítimo del responsable del tratamiento o del tercero; que el tratamiento sea necesario para la satisfacción del interés legítimo perseguido; y que en la ponderación del interés legítimo... y del impacto que sobre los intereses... prevalezca el primero.
La SAP Madrid 148/2026 añade el matiz que más duele en la práctica: el interés del responsable solo prevalece si el impacto sobre el afectado es proporcionado y no existían medidas más moderadas para alcanzar la misma finalidad. Es decir, el juez buscará activamente la alternativa que usted no usó.
«Por escrito» no es una metáfora
Aquí se pierde la mayoría de los pleitos. Una empresa puede haber hecho, de hecho, un uso razonable del fichero y aun así ser condenada, porque no puede reconstruir ante el juez la ponderación que dice haber realizado. La SAP Madrid 123/2026 lo conecta con la responsabilidad proactiva del artículo 5.2: corresponde exclusivamente al responsable determinar —y demostrar— la licitud y compatibilidad del tratamiento. Sin un documento fechado que recoja qué se valoró, qué alternativas se descartaron y por qué, su interés legítimo es una afirmación, no una prueba.
Y las afirmaciones sin prueba tienen mala jurisprudencia. Ya en la SAP Barcelona 72/2021, de 15 de febrero, los tribunales advirtieron de que invocar un interés —incluso público— no exime de someter el tratamiento a los principios del artículo 5:
La existencia de un interés público no legitima cualquier tipo de tratamiento de datos personales, sino que deberá estarse... a los ya citados principios del artículo 5 del RGPD, especialmente a los de limitación de la finalidad y minimización de datos.
Si ni el interés público es un salvoconducto, el interés comercial de cobrar una factura lo es todavía menos.
La prueba sorpresa: suplantaciones de identidad
Hay un supuesto en el que el examen se endurece: cuando el contrato del que nace la deuda lo firmó un suplantador. Su empresa inscribe al titular del DNI utilizado, que jamás contrató nada, y este demanda. La reacción instintiva —«nosotros también fuimos víctimas del fraude»— no funciona como defensa. El artículo 82.3 RGPD presume la culpa del responsable: para exonerarse, su empresa debe acreditar que aplicó medidas de diligencia adecuadas para evitar precisamente ese error de identidad. La SAP Madrid 273/2024 lo establece con nitidez, y recuerda además que tratar datos inexactos que inducen a error sobre la situación del interesado vulnera por sí mismo la normativa.
El artículo 20 LOPDP "Sistemas de información crediticia" se contiene en el Título IV "Disposiciones aplicables a tratamientos concretos", al amparo de la facultad otorgada a los Estados miembros por el artículo 6, apartados 2 y 3 del RGPD.
Traducción de negocio: sus controles de verificación de identidad en el alta de clientes no son un asunto de compliance abstracto. Son la única prueba que le exonerará el día que un suplantado aparezca en su cartera de recobro. Si hoy no puede describir esos controles en un folio, no los tiene.
Qué decidir esta semana
Tres encargos concretos para su equipo: documentar la ponderación de interés legítimo aplicable a su circuito de recobro, fijar por escrito qué pasos previos se agotan antes de inscribir, y revisar los controles de identidad en la contratación. El fallo en la base jurídica es, además, uno de los cinco errores que más condenas están generando en ficheros de morosidad: rara vez viene solo, porque quien no documenta la ponderación tampoco suele documentar el resto.
Antes de encargar nada, mida. El Test de Exposición le sitúa en diez minutos frente a los mismos criterios que aplicará un juez: base jurídica, calidad del dato, información al cliente y capacidad de prueba.
¿Aprobaría su empresa el triple juicio hoy?
Compruébelo con sus propias respuestas, sin datos confidenciales. Resultado inmediato y priorizado.
Hacer el Test de Exposición