El Tribunal Constitucional, atendiendo a lo dispuesto en la nueva Ley de Protección de Datos Personales, y con relación a la información crediticia, la información positiva y la información de carácter personal, incluidas en los bancos de datos de las Centrales Privadas de Información de Riesgos (CEPIRS), ha establecido los siguientes criterios:

• Sobre la inclusión de información crediticia en Centrales Privadas de Información de Riesgos: El Tribunal Constitucional ha precisado que resulta legítimo y acorde con el derecho a la libertad de contratación, que exista un flujo continuo de información de riesgos crediticios en el mercado, pues sólo así se puede generar confianza en el sistema financiero. Conocer el comportamiento crediticio de los clientes permite a las entidades de crédito llevar a cabo una evaluación crediticia más exhaustiva, para de esta forma fundar mejor sus decisiones sobre el otorgamiento o no de créditos, lo que repercute directamente en la economía social.
• Sobre las Centrales Privadas de Información de Riesgos y la información positiva: Las Centrales Privadas de Información de Riesgos no solo tienen la facultad de consignar datos de las deudas impagadas, sino también de las deudas oportunamente satisfechas. Su finalidad no sólo es dar cuenta de quienes no son aptos para ser sujetos de crédito, sino también de la capacidad y trayectoria de endeudamiento y pago de quienes, alguna vez, fueron sujetos de crédito en el sistema financiero.
• Sobre el registro de las CEPIRS de información de carácter personal: El Tribunal Constitucional advierte que los datos personales, tales como direcciones domiciliarias, números de teléfono, información laboral, etc., no aportan información alguna sobre el comportamiento económico del deudor en el sistema financiero, por lo que sólo podrán ser recopilados para  una “finalidad determinada, explícita y lícita”, y que para su comercialización será necesario el consentimiento expreso del deficitario. En consecuencia, el Alto Tribunal establece que el uso por parte de las CEPIRS de esta información personal resulta un ejercicio desproporcionado de sus facultades y no cumple con el propósito para el cual se ha configurado, que es el tratamiento de datos de carácter crediticio.