La Sentencia SAN 707/2025 Rechaza el recurso contra la AEPD por tratamiento ilícito de datos personales

El 13 de febrero de 2025, la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional dictó la Sentencia nº 707/2025(SAN 707/2025), por la que se desestima el recurso interpuesto por WORKING CAPITAL MANAGEMENT ESPAÑA S.L. contra la resolución de la Agencia Española de Protección de Datos (AEPD), relativa al procedimiento sancionador PS/00496/2021.

Marco jurídico del litigio

La resolución impugnada imponía a la entidad una sanción de 40.000 euros por una infracción del artículo 6.1.b) del Reglamento (UE) 2016/679 (RGPD), relativa a la licitud del tratamiento de datos personales, al considerar que la empresa trató los datos del afectado sin contar con base legal suficiente, tras haberse acreditado una posible suplantación de identidad.

Hechos relevantes

• El afectado denunció la contratación fraudulenta de un préstamo en su nombre sin haber prestado consentimiento.
• La deuda fue posteriormente incluida en el fichero de morosidad Asnef tras su cesión por parte de NBQ a WCME mediante escritura pública de 23 de diciembre de 2020.
• El reclamante presentó denuncia policial el mismo día, y posteriormente solicitó la supresión de sus datos ante WCME en marzo de 2021.
• Los datos no fueron eliminados del fichero hasta el 25 de mayo de 2021, casi dos meses después de la recepción de la reclamación.

Postura de la parte recurrente

WCME sostuvo que:

• No fue responsable de la contratación fraudulenta, ya que esta fue llevada a cabo por NBQ.
• Su actuación fue diligente y conforme a los estándares exigibles, al verificar la documentación y proceder a la eliminación de los datos en plazo razonable.
• La AEPD no realizó una investigación suficientemente exhaustiva, vulnerando su derecho a la presunción de inocencia.

Fundamentos del fallo

La Audiencia Nacional determinó que:

• La entidad sancionada continuó tratando los datos del afectado después de tener conocimiento de la suplantación denunciada, sin base jurídica suficiente.
• El plazo de actuación no puede considerarse diligente en el contexto de una infracción que afecta directamente a los derechos fundamentales del interesado.
• No resulta aplicable el artículo 4.2.a) de la LOPDGDD ni el artículo 12.3 del RGPD en los términos invocados por la defensa.
• La sanción impuesta está debidamente fundada y amparada por los artículos 83.5 RGPD y 72 LOPDGDD, que configuran este tipo de tratamiento como infracción muy grave.

La Sala concluyó que existía prueba suficiente para desvirtuar la presunción de inocencia y atribuir la responsabilidad a WCME, por lo que confirmó íntegramente la resolución recurrida, con expresa condena en costas.

Consideración final de la SAN 707/2025

Esta sentencia reitera la exigencia de extremada diligencia en el tratamiento de datos personales, especialmente en contextos de reclamación por suplantación de identidad. Reafirma que la falta de una base legal clara y el retraso en la rectificación o supresión de datos pueden derivar en sanciones administrativas graves, incluso cuando la entidad sancionada no fue la originaria del tratamiento ilícito.