Ficheros de morosos: los 5 errores por los que las Audiencias Provinciales están condenando a las empresas españolas

Lo que se está pagando por inscribir mal a un deudor

Inscribir a un deudor en un fichero de morosos es, en la mayoría de las empresas, un trámite. Lo dispara un impago, lo ejecuta el departamento de recobro o la plataforma contratada, y nadie lo revisa. Ese trámite tiene hoy un precio judicial: cuando la inclusión no supera el examen de una Audiencia Provincial, la empresa acreedora es condenada a indemnizar al inscrito. No por el impago, que suele ser real. Por la forma de inscribirlo.

La cifra unitaria no es el verdadero problema. El verdadero problema es el multiplicador. Existen despachos que trabajan a éxito y que han industrializado este tipo de reclamación: localizan un defecto en el circuito de inscripción de una empresa —una cláusula genérica, la ausencia de requerimiento previo, una deuda discutida— y lo convierten en una serie de demandas prácticamente idénticas, una por cada afectado. Si su empresa comete el mismo error en todos sus contratos tipo, no tiene un pleito potencial: tiene tantos como deudores haya inscrito. La cuestión deja de ser «¿me pueden condenar?» y pasa a ser «¿cuántas veces?».

Este artículo describe los cinco errores concretos por los que las Audiencias Provinciales están condenando, con la sentencia que sustenta cada uno. Ninguna afirmación de esta página carece de resolución citada con sala, número y fecha.

Por qué esta doctrina no aparece en las guías al uso

Hay una razón estructural por la que su asesoría habitual quizá no le ha avisado. Los pleitos por inclusión indebida en ficheros de morosos son, en términos económicos, asuntos de cuantía moderada. En torno al 98 % de ellos muere en la Audiencia Provincial: apenas un 2 % llega al Tribunal Supremo. Y los manuales, las bases de datos comentadas y los resúmenes doctrinales al uso se construyen, casi siempre, sobre jurisprudencia del Supremo.

La consecuencia es una asimetría peligrosa. La doctrina que realmente decide estos pleitos —la de las Audiencias— no está sistematizada en las guías generalistas ni en la web de la AEPD, que se ocupa de la vía administrativa, no de la indemnización civil que usted acabará pagando. Quien sí la conoce, criterio a criterio y sección a sección, es el despacho que demanda en serie. Él sabe con qué vara le van a medir. La mayoría de las empresas demandadas, no. Esta página existe para corregir esa asimetría: certeza sobre los criterios exactos con los que le juzgarán.

Los 5 errores que están costando dinero

Error 1 — Cláusulas genéricas: «ficheros de morosidad» no identifica nada

La consecuencia económica es la más directa de las cinco. Si el contrato del que nace la deuda no identifica el fichero concreto al que se comunicarán los datos, y usted inscribió sin enviar antes un requerimiento de pago, la condena es prácticamente segura. No importa que la deuda sea real. No importa que el cliente no haya pagado. Lo que se indemniza es la inclusión defectuosa, no se discute el impago.

El razonamiento judicial es sencillo. El deber de información del artículo 13 del RGPD exige decir al cliente, en el propio contrato, a qué sistema de información crediticia (SIC) concreto irán sus datos si deja de pagar, junto con el resto de menciones del precepto —en particular las de los apartados 1.e y 2—. Las cláusulas de estilo («sus datos podrán ser comunicados a ficheros de morosidad», «registros de solvencia patrimonial») no cumplen ese deber. Y cuando el contrato no lo cumple, renace la obligación de requerir el pago antes de inscribir, por interpretación conjunta del artículo 13 del RGPD con el artículo 20 de la LOPDGDD.

No es un criterio aislado. Solo la Audiencia Provincial de Vizcaya lo repitió seis veces en 2022 (SAP Vizcaya 136/2022, de 27 de mayo; 265/2022, de 15 de junio; 292/2022, de 7 de julio; 197/2022, de 12 de julio; 225/2022, de 8 de septiembre; y 319/2022, de 7 de septiembre), y la de Orense lo había fijado antes (SAP Orense 629/2021, de 29 de diciembre).

Traducción operativa: revise hoy la cláusula de protección de datos de sus contratos tipo. Si no nombra el fichero concreto, cada inscripción realizada sin requerimiento previo es una demanda en potencia. Y como el defecto vive en la plantilla del contrato, se repite en toda la cartera.

Error 2 — Comunicar deudas discutidas como si fueran indudables

Segunda vía de condena: inscribir una deuda que el cliente discute. La factura impugnada por escrito, la penalización que el cliente niega deber, el saldo que depende de una liquidación controvertida. Nada de eso es inscribible mientras la controversia exista, aunque usted esté convencido de tener razón y aunque después un juez le dé la razón sobre el fondo de la deuda.

El fundamento es el principio de calidad del dato del artículo 5 del RGPD: los datos comunicados a un sistema de información crediticia deben ser auténticos, exactos, veraces y estar permanentemente actualizados. Solo caben deudas ciertas, vencidas, exigibles e indudables; quedan excluidas las inciertas, las litigiosas y las discutidas. Y la infracción no se agota en el RGPD: las Audiencias la califican de acto ilícito capaz de vulnerar además el derecho al honor del inscrito, que es precisamente lo que abre la puerta a la indemnización. Así lo mantienen, entre otras, la SAP Orense 629/2021, de 29 de diciembre, la SAP Orense 385/2023, de 13 de junio, y la más reciente SAP Orense 231/2026, de 10 de abril.

En la práctica, esto obliga a algo que casi ningún circuito de recobro hace: filtrar, antes de cada comunicación al fichero, si existe cualquier reclamación, queja formal o discusión documentada sobre esa deuda. Si existe, la inscripción debe esperar. Inscribir «para presionar» una deuda discutida es, hoy, comprar un pleito perdido.

Error 3 — Cumplir, pero no poder demostrarlo

En estos pleitos no gana quien cumplió. Gana quien puede probar que cumplió. Es una diferencia que cuesta dinero: la carga de demostrar la licitud del tratamiento, la exactitud del dato y la diligencia empleada recae sobre la empresa, no sobre el afectado. Es el principio de responsabilidad proactiva del artículo 5.2 del RGPD.

La misma lógica aplica la SAP Madrid 123/2026 al artículo 6.4 del RGPD: corresponde al responsable —a usted— determinar y demostrar que la finalidad del tratamiento es compatible. Traducido a la operativa diaria: si su empresa no conserva el contrato firmado con la cláusula informativa, el requerimiento previo de pago y su acreditación de envío, y el expediente que documenta que la deuda era cierta y exigible en la fecha de la inscripción, llegará al juicio con las manos vacías. Y con la carga de la prueba en contra, manos vacías significa condena. El archivo probatorio no es burocracia: es la diferencia entre ganar y pagar.

Error 4 — Usar el «interés legítimo» como comodín

Muchas empresas creen que invocar el interés legítimo del artículo 6.1.f del RGPD basta para justificar la comunicación de datos al fichero. No basta, y el error sale caro: cuando el interés legítimo se alega sin análisis que lo respalde, el tratamiento se declara ilícito y la indemnización sigue el camino ya descrito.

Las Audiencias exigen que la comunicación supere, de forma acumulativa, un triple juicio: de necesidad (no existe una alternativa menos intrusiva para lograr el mismo fin), de idoneidad (la medida es realmente eficaz para ese fin) y de proporcionalidad en sentido estricto (el interés comercial no arrolla los derechos del afectado). Falla uno, y falla la base de licitud entera. Así lo establecen la SAP Madrid 123/2026 y la SAP Madrid 148/2026, en línea con lo que ya apuntaba la SAP Barcelona 72/2021, de 15 de febrero.

La consecuencia práctica: ese triple juicio debe estar hecho, por escrito y antes de inscribir. Una ponderación documentada de dos páginas, elaborada una vez y aplicada a todo el circuito, vale más en sala que cualquier alegato improvisado después de la demanda.

Error 5 — No tener filtros frente a suplantaciones de identidad

El escenario es más frecuente de lo que parece: alguien contrata con documentación ajena, la deuda impagada se genera a nombre del suplantado y su empresa lo inscribe en el fichero. El suplantado —que jamás contrató nada— demanda. Y paga usted, aunque también haya sido víctima del fraude. ¿Por qué? Porque en materia de protección de datos la culpa del responsable se presume (artículo 82.3 del RGPD): para exonerarse, la empresa debe acreditar que empleó medidas de diligencia adecuadas para evitar este tipo de infracciones. Si no puede probar sus controles de verificación de identidad, responde.

La misma resolución recuerda que tratar datos inexactos que induzcan a error sobre la situación del interesado vulnera la normativa. Es decir: el filtro antifraude no es solo una defensa frente al suplantador; es un requisito de licitud de su propio tratamiento. Un protocolo de verificación documentado —y la prueba de haberlo aplicado en cada alta— es lo que separa la exoneración de la condena.

Un apunte final que conviene no perder de vista: cuando el afectado ejercita su derecho de supresión del artículo 17 del RGPD, la respuesta también tiene plazo y forma, y gestionarla mal añade un frente más al mismo pleito. Lo tratamos en detalle en su página propia.

Autoevaluación rápida: tres preguntas

Responda sí o no, con honestidad. No hace falta apuntar nada.

1. ¿Identifican sus contratos tipo, por su nombre concreto, el fichero de morosos al que comunicará los datos en caso de impago? Si la cláusula habla de «ficheros de morosidad» en genérico, la respuesta es no.
2. ¿Filtra su circuito de recobro las deudas discutidas o reclamadas por el cliente antes de cada inscripción? Si el envío al fichero es automático a los X días de impago, la respuesta es no.
3. ¿Podría entregar mañana, para una inscripción cualquiera de los últimos dos años, el contrato firmado, el requerimiento previo con su acuse y el expediente que acredita que la deuda era cierta y exigible? Si tendría que buscarlo, la respuesta es no.

Si ha respondido «no» —o «no lo sé»— a cualquiera de las tres, su exposición no es teórica: es exactamente el patrón que las demandas en serie están explotando. El siguiente paso lógico es medirla con precisión en el Test de Exposición.

Tres formas de eliminar el riesgo