BOLETÍN OFICIAL DEL ESTADO
Martes 20 de diciembre de 2022

Sec. III. Pág. 178339

físicas que ostenten más de un 25% del capital social de la misma, supone una
vulneración de la intimidad personal.
Decimos esto porque la información que se exige relativa a la titularidad real de una
empresa en relación con las personas físicas que ostentan más del 25% de su capital
social representa un tipo de información al que la legislación vigente en materia de
protección de datos otorga toda la protección necesaria para evitar precisamente que
cualquier persona o entidad tenga acceso a esos datos de carácter personal como lo son
el número de DNI/NIF, la fecha de nacimiento, la nacionalidad, el país de residencia, etc.
Es evidente que la infracción en materia de protección de datos se produce cuando el
acceso a dichos datos no puede ser limitado si tenemos en cuenta que cualquier
persona puede, libre e injustificadamente, solicitar las Cuentas Anuales de cualquier
sociedad.
Dicha infracción se detecta cuando en el Preámbulo de la Orden se indica que de la
declaración debidamente depositada se dará la publicidad prevista en artículo 30.3 de la
IV Directiva Con sujeción, en su caso, a las normas de protección de datos de carácter
personal. Por su parte, en la contestación a las “preguntas frecuentes” preparadas por el
Colegio de Registradores (pregunta 14) se expresa que se dará la publicidad prevista en
la IV Directiva y que se acudirá a las reglas de publicidad formal del Registro Mercantil
conforme a los artículos 12 del Código de Comercio, 77 y siguientes del Reglamento.
La falta de claridad sobre las reglas de acceso que crea la incompleta regulación de
la Orden, con las dudas que comporta sobre protección de intimidad de terceros
personas físicas ajenas al Registro Mercantil que es objeto sobre el que recae la
publicidad –la titularidad real–, no hace sino reforzar la insuficiencia de la norma en
cuanto a contenido y rango.
Desde un punto de vista de protección de datos hay que ser especialmente
cuidadoso con los destinatarios o personas que pueden acceder a datos personales, ya
que el tratamiento de datos personales debe fundarse en una de las bases legales
previstas en el artículo 6.1 del RGPD. En el presente supuesto, la legitimación para el
tratamiento de los mismos derivaría del cumplimiento de una obligación legal (la
aplicación de la IV Directiva y la Ley 10/2010). Estas normas establecen las siguientes
obligaciones respecto a los datos de los titulares reales: (i) que las personas jurídicas
deben obtener y conservar información adecuada, precisa y actual sobre su titularidad
real; (ii) que deben suministrar esta información a las entidades obligadas, cuando las
entidades obligadas estén tomando medidas de diligencia debida con respecto al cliente;
y (iii) que los Estados Miembros deben conservar un registro en el que se incorpore la
información sobre la titularidad real.
Con lo anterior, resulta evidente que la obligación consiste en que las personas
jurídicas suministren la información sobre los titulares reales a los sujetos obligados por
la normativa de prevención de blanqueo no a un registro central. Por ello, no tiene
sustento alguno el que pueda acceder a esta información cualquier persona con un
interés legítimo, como establecen las reglas de acceso a registros públicos, en lugar de
solo los sujetos obligados como recoge la normativa en blanqueo de capitales, salvo
habilitación por norma legar expresa.
La conclusión de lo anterior es que la Orden facilita el acceso a los datos de los
titulares reales a terceros no previstos en la normativa de blanqueo de capitales, lo que
sería contrario al RGPD.
Por tanto, el hecho de que, junto con las Cuentas Anuales, cuyo acceso es público,
se deban comunicar datos que merecen una especial protección con arreglo a la
normativa reguladora de protección de datos de carácter personal (número de DNI/NIF,
fecha de nacimiento, nacionalidad, país de residencia, etc.), supone una vulneración de
esta última.
Frente a esto no cabe decir que la normativa relativa a la prevención del blanqueo de
capitales que cita la resolución denegatoria de la inscripción (Directiva (UE) 2015/849 del
Parlamento Europeo y del Consejo de 20 de mayo de 2015 y Ley 10/2010, de 28 de
abril) exija la existencia de una base de datos en el Registro Mercantil, puesto que ya

cve: BOE-A-2022-21640
Verificable en https://www.boe.es

Núm. 304