Este tipo de registros denominados legalmente “ficheros de información de solvencia patrimonial y crédito” quedan regulados en el artículo 29 dela Ley Orgánica de Protección de Datos de Carácter Personal (Ley 15/1999, de 13 de diciembre) y posteriormente desarrollado por los artículos 37 al 44 del Reglamento de Desarrollo, Real Decreto 1720/2007 de 21 de diciembre.

Los registros de morosos se encargan de reunir información sobre las personas que han tenido un impago (y que no han liquidado) o tienen alguna deuda pendiente. La morosidad de la persona incluida ya no será conocida únicamente por su acreedor, sino por todas las empresas que accedan al fichero para evaluar su solvencia. Las entidades financieras y algunas otras empresas que suministran productos o servicios a crédito utilizan esta información con la finalidad de protegerse contra clientes que no pagan.

Consiguientemente los Registros de Morosos consisten en ficheros automatizados de datos que tienen como finalidad reflejar los incumplimientos de obligaciones dinerarias tanto de personas físicas como jurídicas al objeto de que las entidades crediticias puedan conocer y ponderar la situación de un potencial cliente que solicita determinada financiación.

Los registros de morosos tratan de dar seguridad a un tráfico mercantil que, por volumen y velocidad, no permite efectuar investigaciones sobre la persona con la que se va a contratar. En definitiva, los listados de morosos son necesarios pero, dadas sus consecuencias negativas para aquellos que están incluidos en ellos, tienen el deber de ser escrupulosamente correctos y transparentes y permitir al moroso su rehabilitación en el mercado.

Legislación que regula los ficheros de solvencia
En el momento en el que los datos relativos a personas físicas se introducen en un registro y son tratados de forma automatizada, entran dentro del ámbito de aplicación de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal así como en la esfera de control de la Agencia de Protección de Datos.
La Ley Orgánica 15/1999 de Protección de Datos (LOPD) establece que estos registros o ficheros de morosos, gestionados por empresas que se instituyen como “responsables del fichero”, deben estar inscritos en la Agencia Española de Protección de Datos y contar con la pertinente autorización del Tribunal de Defensa de la Competencia. El artículo 29 de la LOPD dicta que el deudor puede ser incluido en un registro previa autorización del acreedor o de su representante legal, o bien, cuando los datos provengan de fuentes accesibles al público.

Normativa específica de los ficheros de morosos
El origen de los datos de estos ficheros de morosidad puede venir de tres tipos de fuente:
1) Fuentes accesibles al público
2) Información facilitada por el interesado
3 Datos facilitados por el acreedor
En este último caso, el habitual de las incidencias bancarias o de consumo, existe la obligación de cumplir con la legislación establecida en el Real Decreto 1720/2007 de 21 de diciembre que dicta las siguientes normas agrupadas en distintos bloques.

En qué casos se puede introducir a alguien en un fichero de mora
En primer lugar sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo de pago de la deuda.
En segundo lugar el acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.

En tercer lugar el responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre.
Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores.
La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos.
En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado.

No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío.
Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato.

En cuarto lugar respecto a la conservación de los datos, el Reglamento establece que sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto.
El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma. En los restantes supuestos, los datos deberán ser cancelados cuando se hubieran cumplido seis años contados a partir del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.

En quinto lugar referente al acceso a la información contenida en el fichero tenemos que los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
a. Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
b. Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
c. Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica.

Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras b y c precedentes de su derecho a consultar el fichero.

En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar.
En sexto lugar el Reglamento dicta la responsabilidad en el tratamiento de datos. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en la legislación y en particular los siguientes
- la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada
- que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico
- que se haya realizado requerimiento previo de pago a quien corresponda el cumplimiento de la obligación
- El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento de pago, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias
Asimismo el acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre.

El derecho de los ciudadanos al ARCO en caso de ser incluido en un fichero o sea el derecho de acceso, rectificación, cancelación y oposición

En cuanto al ejercicio de los derechos de acceso, rectificación, cancelación y oposición el Reglamento establece que:
1. El ejercicio de los derechos de acceso, rectificación, cancelación y oposición se rige por lo dispuesto en los capítulos I a IV del título III del reglamento, sin perjuicio de lo señalado en el presente artículo.
2. Cuando el interesado ejercite su derecho de acceso en relación con la inclusión de sus datos en un fichero regulado por el artículo 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas:
1. Si la solicitud se dirigiera al titular del fichero común, éste deberá comunicar al afectado todos los datos relativos al mismo que obren en el fichero.
En este caso, el titular del fichero común deberá, además de dar cumplimiento a lo establecido en el presente reglamento, facilitar las evaluaciones y apreciaciones que sobre el afectado se hayan comunicado en los últimos seis meses y el nombre y dirección de los cesionarios.
2. Si la solicitud se dirigiera a cualquier otra entidad participante en el sistema, deberá comunicar al afectado todos los datos relativos al mismo a los que ella pueda acceder, así como la identidad y dirección del titular del fichero común para que pueda completar el ejercicio de su derecho de acceso.
3. Cuando el interesado ejercite sus derechos de rectificación o cancelación en relación con la inclusión de sus datos en un fichero regulado por el artículo 29.2 de la Ley Orgánica 15/1999, de 13 de diciembre, se tendrán en cuenta las siguientes reglas:
1. Si la solicitud se dirige al titular del fichero común, éste tomará las medidas oportunas para trasladar dicha solicitud a la entidad que haya facilitado los datos, para que ésta la resuelva. En el caso de que el responsable del fichero común no haya recibido contestación por parte de la entidad en el plazo de siete días, procederá a la rectificación o cancelación cautelar de los mismos.
2. Si la solicitud se dirige a quien haya facilitado los datos al fichero común procederá a la rectificación o cancelación de los mismos en sus ficheros y a notificarlo al titular del fichero común en el plazo de diez días, dando asimismo respuesta al interesado en los términos previstos en el artículo 33 de este reglamento.
3. Si la solicitud se dirige a otra entidad participante en el sistema, que no hubiera facilitado al fichero común los datos, dicha entidad informará al afectado sobre este hecho en el plazo máximo de diez días, proporcionándole, además, la identidad y dirección del titular del fichero común para, que en su caso, puedan ejercitar sus derechos ante el mismo.