贵公司把一位客户列入了失信人员登记系统。发票确实没有付，这一点没错。但客户对它有异议：主张服务存在瑕疵，否认其中一部分金额，并已提出正式投诉。几个月后，一纸以侵害名誉权为由的起诉状送达。写这份诉状的并不是什么天马行空的律师：支撑它的是一条稳定的裁判路线，多家西班牙省级法院反复适用，而贵公司此前并不知情。
本文说明的正是这条裁判路线。先讲代价，再讲原因。
规则：确定、已到期、可请求履行且无疑问
「通用数据保护条例」（GDPR）第5条确立了数据质量原则：所处理的个人数据必须准确、真实并保持更新。适用于信用信息系统（SIC）时，法院把它转化成一道由四个条件构成的筛查。贵公司通报的欠款必须是：
- 确定的：它确实存在、有据可查，且不取决于对贵公司有利的某种解释。
- 已到期的：付款期限已经届满。尚未到期的分期款不可登记。
- 可请求履行的：贵公司现在就能请求对方履行，不存在阻碍请求的未成就条件。
- 无疑问的：没有任何人在认真地提出争议——无论是在法院、在投诉登记表上，还是在客户否认欠付该笔金额的邮件里。
判例一贯认为，不满足上述要件即构成对第 (EU) 2016/679 号条例第5条所确立的个人数据质量原则的违反。「译文」
同一家法院在 SAP Orense 629/2021（2021年12月29日）中早已表明：凡使用失信人员登记这种非常规施压手段的一方，必须保证所登记数据的准确性。这不是一条良好实践建议，而是数据处理合法性的前提条件。
「有争议」就是字面上的意思
多数企业正是在这里栽跟头。有争议的欠款并非只有在客户有理时才不可登记，而是只要围绕它存在认真的争议，无论谁有理，都不可登记。失信人员登记系统不是用来赢得争论的工具：它是已核实的无力清偿情况的登记簿。把它当作对讼争中欠款的催收杠杆，用法院的话说，属于违法行为。
SAP Orense 385/2023（2023年6月13日）表述得很清楚：相关规范建立在审慎、权衡与真实三项原则之上，凡不符合第5条所要求质量的信息披露，均构成违法行为，并可能同时侵害当事人的名誉权。也就是说：在数据保护方面的违法之外，还要叠加名誉权的损害赔偿途径。两条战线，起因只是一条管理不当的开票条款。
准确性不是一张快照，而是持续的义务
假设登记当时这笔欠款毫无瑕疵。客户随后付清了，或付了一部分，或贵公司同意了减免。如果登记系统仍然显示旧数据，贵公司就再次处于违法状态。GDPR 第5条第1款第d项要求持续保持数据准确，而不只是在登记当日准确。
依据 GDPR 第5条第1款第d项，数据应当准确，必要时应予更新；这要求数据控制者采取一切合理措施，使不准确的数据被立即删除或更正。「译文」
落到操作层面：贵公司的催收流程需要一套机制，把每一笔回款、每一份和解协议、每一次事后出现的争议，与登记信息的即时更新连接起来。如果这种连接取决于某个人是否记得，那就等于不存在。
做到了却无法举证，等同于没有做到
问题的第二层，也是最让人不舒服的一层。GDPR 第5条第2款——问责原则——把举证责任反转过来：不是由当事人证明其欠款存在争议，而是由贵公司证明该欠款确定、已到期、可请求履行且无疑问，并证明自己尽到了勤勉义务。在诉讼中，文件上的沉默对贵公司不利。
并且，依据 GDPR 第5条第2款，「数据控制者应当对遵守第1款的规定负责，并能够证明其遵守情况（『问责原则』）」。「译文」
SAP Madrid 123/2026 把同一原则又推进一步：就 GDPR 第6条第4款而言，只能由数据控制者自行确定并证明其使用数据的目的与最初收集数据的目的相容。既要确定，也要证明。如果贵公司决定了登记，却没有留下任何关于如何核实欠款的痕迹，那就只完成了一半。而在法官面前，一半等于零。
明天就该拿得出什么
请想一想贵公司催收部门最近一次下达的登记指令。如果起诉状明天送达，贵公司能否不临时拼凑，就把这样一份卷宗摆到桌面上？
- 证明该笔欠款确定并已到期的合同与发票。
- 登记当日客户并无未决索赔或争议的书面证明。
- 贵公司据以决定哪些欠款通报、哪些不通报的书面标准。
- 更新记录：客户付款或提出争议之后，登记系统里发生了什么。
这四份材料只要缺了任何一份，贵公司的风险敞口就不是纸上谈兵。它是在失信人员登记系统中引发最多判赔的五大错误中的第一项，也是抗辩空间最小的一项，因为瑕疵本身就白纸黑字写在登记信息里。
好消息是：这是一种可以量化的风险。贵公司今天就能凭自己的答复，在起诉状到来之前弄清处境。风险敞口测评走的正是这几个环节——数据质量原则、对客户的告知、举证方面的勤勉——并即时给出诊断结果。