A-00172-2015

1/10 Procedimiento Nº: A/00172/2015 RESOLUCIÓN: R/02906/2015 En el procedimiento A/00172/2015, instruido por la Agencia Española de Protección de Datos a Don A.A.A., vista la denuncia presentada por Don B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha de 23 de enero de 2015 tiene entrada en esta Agencia, a través de su sede electrónica, una denuncia interpuesta por Don B.B.B., en adelante el denunciante, en la que manifiesta lo siguiente: <<El pasado 9 de enero de 2.015 recibí en mi buzón de mail (...@....) publicidad de la empresa CronoK30 donde se publicitada tanto las pruebas que gestiona como publicidad de las empresas CÁRNICAS SERRANO y THE BIKE RUN. Entiendo que el motivo del mail se debe a que hace unos meses participé en una de las marchas ciclo turistas que gestionó K30 y creo que ha habido un tratamiento anómalo de mis datos personales en base a que no están debidamente inscritos en la Agencia Española de Protección de Datos. Además creo que ha habido una cesión de datos a empresas colaboradoras. A pie de mail pone "La información contenida en este mensaje y/o archivo(

1. s)adjunto(s), enviada desde A.A.A.," y no recuerdo haberle dado autorización para tratar mis datos personales.>> Como respuesta a la solicitud de subsanación remitida por esta Agencia, con fecha de 17/4/2015 tiene entrada en esta Agencia un escrito del denunciante en el que aporta las cabeceras completas de los correos electrónicos aportados en su anterior escrito. Aporta copia de la siguiente documentación: - Correo electrónico emitido en fecha 9 de enero de 2015 (14:38 h.) desde la cuenta CRONOK30 (....@cronok30.com) con destino a la cuenta ...@.... con el asunto “Marchas BTT - Cronok30”. En la cabecera del correo electrónico aparece un literal través del cual se da la posibilidad de darse de baja de la lista de distribución: <<Si no desea seguir recibiendo nuestros boletines pinche aquí>> - Aporta igualmente el denunciante cabeceras de internet de dicho correo, según las cuales el correo fue remitido desde la dirección IP ***IP.1 SEGUNDO: El denunciante recibió en su cuenta de correo ...@.... los correos electrónicos cuyas características se listan a continuación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Cuenta origen IP origen Fecha ....@cronok30.com ***IP.1 9 de enero de 2015 Hora 14:38 Los correos electrónicos contenían información comercial referente a servicios y productos de PUBLICRONOK 30, S.L. A pie de mensaje aparece la siguiente información: <<La información contenida en este mensaje y/o archivo(
2. s)adjunto(s), enviada desde A.A.A.>> Realizado un acceso a www.cronok30.com se encuentra que aparece un formulario con una leyenda informativa según la cual la entidad responsable de los datos recogidos en dicha web es PUBLICRONOK 30, S.L. La dirección IP ***IP.1 es una de las direcciones asignadas a CPC SERVICIOS INFORMATICOS, S.L. Esta entidad informa que dicha dirección IP estuvo asignada en las fechas en las que se produjeron los envíos a una línea contratada por ENTIDAD_REMITENTE. La entidad aporta copia de un registro recogido en el log de correo electrónico según el cual, en fecha 9/1/2015 (14:38 horas) fue emitido un correo electrónico desde la cuenta ....@cronok30.com con destino a la cuenta ...@..... El correo fue emitido desde la IP ***IP.1. En respuesta a la solicitud de información realizada a PUBLICRONOK 30, S.L., se ha recibido contestación de D. A.A.A. remitieron un escrito en el que manifiesta que: <<… les comunicamos que el titular de la dirección de correo ...@...., utilizo el servicio de inscripciones de nuestra web www.cronok30.com, y se registró en nuestra base de datos, cuando se registra es visible el aviso legal de Ley de Protección de Datos (adjuntamos pantallazo). Dicho titular de la mencionada dirección de correo electrónico, en ningún momento se ha dirigido a nosotros para que no utilicemos sus datos, ni para oponerse al envío de nuestros comunicados informativos Los datos que tenemos registrados asociados a dicha dirección de correo electrónico son los siguientes: A.A.A.. DNl ***DNI.1. Fecha de nacimiento DD/MM/AA, Teléfono ***TEL.1. Población Valencia. Club: 3HCYCLES, que son los imprescindibles para la inscripción en cualquier prueba deportiva. En cualquier caso en nuestros comunicados informativos va incorporada la opción para darse de baja de la recepción de nuestros comunicados.>> Aporta impresión de pantalla en la que aparecen los datos del denunciante, así como la información legal, en la que se identifica al responsable del fichero como D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 Solicitada mayor información, manifiesta: <<La empresa en un principio era con nombre comercial PUBLICRONOK30 y fiscal A.A.A. con NIF ***DNI.2 y el programador se equivocó y puso en el aviso legal Publicronok30, S.L., ya le hemos comunicado que lo subsane y ponga la denominación correcta. Ahora el nombre comercial es CRONOK30 y sigue siendo el fiscal A.A.A. con NIF ***DNI.2 >> 1. Mediante consulta al Registro General de Protección de Datos se comprueba que en el mismo no figura entidad alguna cuyo nombre se corresponda con PUBLICRONOK30, si bien si consta A.A.A., con correo electrónico de contacto ...@kronok30.com, como responsable de una serie de ficheros, entre los que se encuentra el fichero USUARIOS WEB. TERCERO: En respuesta a la solicitud de información realizada a PUBLICRONOK 30, S.L., se ha recibido contestación de D. A.A.A. remitieron un escrito en el que manifiesta que: <<… les comunicamos que el titular de la dirección de correo ...@...., utilizo el servicio de inscripciones de nuestra web www.cronok30.com, y se registró en nuestra base de datos, cuando se registra es visible el aviso legal de Ley de Protección de Datos (adjuntamos pantallazo). Dicho titular de la mencionada dirección de correo electrónico, en ningún momento se ha dirigido a nosotros para que no utilicemos sus datos, ni para oponerse al envío de nuestros comunicados informativos Los datos que tenemos registrados asociados a dicha dirección de correo electrónico son los siguientes: A.A.A.. DNl ***DNI.1. Fecha de nacimiento DD/MM/AA, Teléfono ***TEL.1. Población Valencia. Club: 3HCYCLES, que son los imprescindibles para la inscripción en cualquier prueba deportiva. En cualquier caso en nuestros comunicados informativos va incorporada la opción para darse de baja de la recepción de nuestros comunicados.>> Aporta impresión de pantalla en la que aparecen los datos del denunciante, así como la información legal, en la que se identifica al responsable del fichero como D. A.A.A.. Solicitada mayor información, manifiesta: <<La empresa en un principio era con nombre comercial PUBLICRONOK30 y fiscal A.A.A. con NIF ***DNI.2 y el programador se equivocó y puso en el aviso legal Publicronok30, S.L., ya le hemos comunicado que lo subsane y ponga la denominación correcta. Ahora el nombre comercial es CRONOK30 y sigue siendo el fiscal A.A.A. con NIF ***DNI.2 >> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 CUARTO: Mediante consulta al Registro General de Protección de Datos se comprueba que en el mismo no figura entidad alguna cuyo nombre se corresponda con PUBLICRONOK30, si bien si consta A.A.A., con correo electrónico de contacto ...@kronok30.com, como responsable de una serie de ficheros, entre los que se encuentra el fichero USUARIOS WEB. QUINTO: Con fecha 23 de junio de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00172/2015. Dicho acuerdo fue notificado a los denunciantes y al denunciado. SEXTO: Con fecha 2 de noviembre de 2015, desde la Subdirección General de Inspección de Datos se accede a la página web de Cronok30 y se comprueba que se incluye el Aviso Legal siguiente: “De acuerdo con lo establecido en la Ley Orgánica 15/1999, le informamos que los datos obtenidos de este formulario serán incorporados a un fichero automatizado bajo la responsabilidad de A.A.A. con la finalidad de atender sus consultas y remitirle información relacionada que pueda ser de su interés. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición mediante un escrito a nuestra dirección (C/........1) (VALENCIA). Mientras no nos comunique lo contrario, entenderemos que sus datos no han sido modificados, que usted se compromete a notificarnos cualquier variación y que tenemos su consentimiento para utilizarlos para las finalidades mencionadas. El envío de estos datos implica la aceptación de esta cláusula.” HECHOS PROBADOS PRIMERO: El día 9 de enero de 2.015, el denunciante recibió en su buzón de mail (...@....) publicidad de la empresa CronoK30 donde se publicitada tanto las pruebas que gestiona como publicidad de las empresas CÁRNICAS SERRANO y THE BIKE RUN. Cree que el motivo del mail se debe a que hace unos meses participó en una de las marchas ciclo turistas que gestionó K30 y estima que ha habido un tratamiento anómalo de sus datos personales en base a que no están debidamente inscritos en la Agencia Española de Protección de Datos. Además creo que ha habido una cesión de datos a empresas colaboradoras. A pie de mail figura esta leyenda "La información contenida en este mensaje y/o archivo(
3. s)adjunto(s), enviada desde A.A.A., es confidencial/privilegiada y está destinada a ser leída por la(
4. s)persona(
5. s)que va dirigida. Le recordamos que sus datos han sido incorporados en un fichero y que siempre y cuando se cumplan los requisitos exigidos por la normativa, podrá ejercer los derechos de acceso, rectificación, cancelación y oposición, ante nuestra entidad. Si usted lee este mensaje y no es el destinatario señalado, el empleado o el agente responsable de entregar el mensaje al destinatario, o ha recibido esta comunicación por error, le informamos que está totalmente prohibida, y puede ser ilegal, cualquier divulgación, distribución o reproducción de esta comunicación, y le rogamos que nos lo notifique inmediatamente y nos devuelva el mensaje original a la dirección arriba mencionada” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 SEGUNDO: En la cabecera del correo electrónico aparece un literal través del cual se da la posibilidad de darse de baja de la lista de distribución: <<Si no desea seguir recibiendo nuestros boletines pinche aquí>>. TERCERO: Los datos del denunciante se obtuvieron cuando éste utilizo el servicio de inscripciones de la web www.cronok30.com, y se registró en su base de datos. CUARTO: A.A.A. es responsable de una serie de ficheros, entre los que se encuentra el fichero USUARIOS WEB. QUINTO: En la actualidad “De acuerdo con lo establecido en la Ley Orgánica 15/1999, le informamos que los datos obtenidos de este formulario serán incorporados a un fichero automatizado bajo la responsabilidad de A.A.A. con la finalidad de atender sus consultas y remitirle información relacionada que pueda ser de su interés. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición mediante un escrito a nuestra dirección (C/........1) (VALENCIA). Mientras no nos comunique lo contrario, entenderemos que sus datos no han sido modificados, que usted se compromete a notificarnos cualquier variación y que tenemos su consentimiento para utilizarlos para las finalidades mencionadas. El envío de estos datos implica la aceptación de esta cláusula.” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II Dispone el art. 5 de la LOPD lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
7. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
8. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
9. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
10. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
11. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. En el presente caso, ha resultado acreditado que a través de la web contacto ...@kronok30.com, se recogen datos de carácter personal. Cuando el denunciante recibió el correo denunciado, el responsable no ofrecía la información prevista en el artículo 5 de la LOPD. De modo que los usuarios de la página web que se inscribían introduciendo sus datos personales desconocían el tratamiento al que iban a ser sometidos, y la importancia del deber de información reside en afectar al poder de disposición y control que en Sentencia del Tribunal Constitucional 292/2000 constituye el elemento nuclear del principio del consentimiento del afectado como pieza angular del derecho a la protección de datos. Es decir, el titular de los datos personales debe ser conocedor de los aspectos que recoge el art. 5 de la LOPD para así, en uso de su voluntad de disposición, aceptar o no dicho tratamiento. Pues de otro modo se dan circunstancias no deseadas como las valoradas en el presente caso, en la medida que los datos proporcionados por el denunciante fueron utilizados con posterioridad por Cronos30 para remitir publicidad por medios electrónicos de determinadas actividades. Dicho tratamiento sería adecuado a la legalidad, con el consentimiento informado del titular de los datos. En conclusión el deber de información previsto en el art. 5 de la LOPD ostenta una doble garantía, por un lado la del titular de los datos personales que sabe para lo que van a utilizar, y por otro, para el responsable del tratamiento, que opera con la certeza de que cumple con lo aceptado por el titular sin que nada se le pueda requerir o reclamar. III El articulo 44.2
12. c)de la LOPD considera infracción leve “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado“ En el presente caso se cumplen los requisitos que tipifica el precepto, en la medida que la denunciada a través de Cronos30 recogía datos de carácter personal sin ofrecer la información requerida en el art. 5 de la LOPD. No obstante, la cláusula informativa ha sido modificada posteriormente y en la actualidad cumple lo establecido en la normativa de protección de datos. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 A continuación procede abordar el análisis de la remisión del correo electrónico a la dirección de correo electrónico del denunciante y su adecuación a la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La LSSI, en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
13. h)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. V En el presente supuesto, el denunciante recibió una comunicación electrónica de carácter comercial, en la medida que de su contenido se deriva el cumplimiento de los requisitos de la definición contenida en el Anexo
14. f)de la LSSI, que considera «Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional En cuanto al análisis de la existencia de autorización previa y expresa o la existencia de algún supuesto previsto en el apartado 2 del citado art. 21 LSSI, debe señalarse que el propio denunciante señala que había participado con anterioridad en una marcha cicloturista que gestionó Cronos30; por ello se encontraba en el supuesto previsto en el apartado 2 del artículo 21. Por otro lado, el denunciante indica que Cronok30 ha cedido sus datos a A.A.A.. La entidad imputada ha indicado que el responsable fiscal de la entidad es A.A.A. y Cronok30 es la marca comercial bajo la que opera; por lo que no se ha producido ninguna cesión de datos del denunciante. VI El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
15. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
16. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “leve”; que la denunciada no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos se ha constatado que la “Cláusula informativa (art. 5 LOPD)” insertada en la página web de Cronok30 a disposición de los usuarios facilita información sobre el ejercicio de los derechos ARCO y la finalidad de usar los datos para contestar a las consultas que se realicen y remitirles información de carreras fundamentalmente. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00172/2015 seguido contra Don A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 5 de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a Don A.A.A. y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es