Tribunal Federal de Justicia de Alemania ha emitido una sentencia que aborda la duración del almacenamiento de datos personales por parte de agencias privadas de información económica, en un caso que involucra a un particular y una empresa. El fallo aclara que los plazos de supresión aplicables a los registros públicos de deudores no son vinculantes para la gestión de datos recopilados por entidades privadas a través de sus socios contractuales.
El litigio se originó cuando la agencia demandada mantuvo en sus registros la información sobre tres deudas del demandante durante varios años, incluso después de que estas fueran saldadas. Esta situación resultó en una calificación crediticia desfavorable para el afectado, quien argumentó que dicha práctica violaba el Reglamento General de Protección de Datos (RGPD). El demandante sostenía que la información debía ser eliminada inmediatamente tras el pago, tal como se establece en la normativa procesal civil alemana para los registros públicos de deudores.
En su decisión, el tribunal revocó la sentencia de un tribunal de apelación que había condenado a la agencia a pagar daños inmateriales. Los magistrados hicieron una distinción importante respecto a la jurisprudencia anterior, que prohibía la retención de datos copiados de registros públicos más allá del tiempo que permanecen en la fuente original. En este caso, la información fue reportada directamente por acreedores a la agencia, sin intervención de listas estatales.
La sentencia establece que la normativa que exige la cancelación inmediata de inscripciones en el registro oficial de ejecución tras el pago del acreedor no se aplica por analogía a los archivos privados sobre alteraciones de pago. El tribunal argumentó que la lógica de evitar que una retención privada socave los plazos públicos no es válida cuando los datos tienen un origen distinto, como el reporte directo de un socio comercial a la agencia de crédito.
Para evaluar la legalidad del almacenamiento de datos, el Tribunal Federal indicó que es relevante considerar códigos de conducta aprobados por las autoridades de supervisión, siempre que estos aseguren un equilibrio adecuado de intereses. En este contexto, se mencionaron las reglas validadas por el Comisionado de Protección de Datos de Hesse, que entrarán en vigor en enero de 2025 y que establecen un periodo de conservación general de tres años para deudas saldadas.
Sin embargo, la normativa también contempla mecanismos para reducir estos plazos. El almacenamiento puede limitarse a dieciocho meses si se cumplen ciertas condiciones, como que el pago de la deuda se haya realizado dentro de los cien días posteriores a su reporte y que no existan otras anotaciones negativas o datos de insolvencia asociados al deudor. Además, el tribunal subrayó que el sistema debe permitir al afectado invocar circunstancias particulares que justifiquen una eliminación anticipada, lo que obliga a realizar una ponderación de intereses en cada caso.
El caso ha sido devuelto al tribunal de apelación para que reevalúe si, bajo estos nuevos criterios y las reglas de conducta mencionadas, el almacenamiento específico realizado por la demandada fue lícito o si persiste la obligación de indemnizar al demandante conforme al artículo 82 del RGPD.