← España

A-00261-2013

1/8 Procedimiento Nº: A/00261/2013 RESOLUCIÓN: R/00442/2014 En el procedimiento A/00261/2013, instruido por la Agencia Española de Protección de Datos a la entidad IDENTIAL GLOBAL CONSULTING, S.L., vista la denuncia presentada por D. C.C.C., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/06/2013, tuvo entrada en esta Agencia Española de Protección de Datos un escrito de D. C.C.C. (en lo sucesivo el denunciante), en el que denuncia que, en ese mismo mes, el portal idential.es permitía acceder a datos curriculares de usuarios de dicho portal, que a su vez eran indexados por buscadores. Utilizando la dirección A.A.A. se accede al currículo del denunciante y utilizando la dirección B.B.B. al resto de los currículos de la entidad IDENTIAL GLOBAL CONSULTING, S.L. (en lo sucesivo IDENTIAL), responsable de la web www.idential.............. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de los siguientes extremos, que constan detallados en el Informe de Actuaciones Previas elaborado: . Con fecha 10/06/2013, por la Inspección de Datos se realizó una consulta a través del buscador Google, con el nombre y apellidos del denunciante como criterio, obteniendo una referencia a la web www.idential............., con la misma URL indicada en la denuncia, que permitía acceder e imprimir el currículo del mismo. En esta misma fecha se accede a la otra dirección indicada por el denunciante, reseñada en el Antecedente anterior, verificando que se obtiene un archivo con acceso a unos 10 currículos. Asimismo, se consulta la página web www.idential............. y se incorpora a las actuaciones la información en materia de protección de datos que se facilita a los usuarios que decidan cumplimentar el formulario insertado en dicha web para registrarse como candidato a ofertas de trabajo. Esta leyenda informativa indica lo siguiente: “CLÁUSULA DE PROTECCIÓN DE DATOS (De obligada aceptación en cumplimiento de las leyes españolas. El botón de enviar no funciona si no se acepta la cláusula) En cumplimiento de lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, le informamos que los datos personales por usted suministrados pasarán a formar parte de un fichero de titularidad privada cuyo responsable es IDENTIAL…, con domicilio en… Dichos datos serán empleados con las finalidades de: gestión empresarial, recursos humanos y comerciales. La empresa ha adoptado los niveles de seguridad exigidos a los datos facilitados instalando las medidas técnicas y organizativas necesarias, habida cuenta el estado de la tecnología, para evitar su pérdida, alteración, uso inadecuado o accesos no autorizados a los mismos. Puede ejercitar los derechos…”. . Con fecha 21/10/2013, por la Inspección de Datos se realizó nuevamente una consulta a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 del buscador Google, con el nombre y apellidos del denunciante como criterio, obteniendo la misma referencia a la web de IDENTIAL y la siguiente anotación “No hay disponible una descripción de este resultado debido al archivo robots.txt de este sitio”, no suministrando el currículo del denunciante. En esta misma fecha se accede a la dirección B.B.B., verificando que se obtiene un archivo que permite el acceso a unos 88 currículos. . En el Acta de Inspección de fecha 24/10/2013, realizada a IDENTIAL, constan las siguientes verificaciones: 1. IDENTIAL es responsable del fichero denominado NOMINAS PERSONAL y RECURSOS HUMANOS inscrito en el Registro General de Protección de Datos, cuya finalidad consiste en “Datos profesionales de empleados y candidatos a puestos de trabajo publicados”. 2. La compañía IDENTIAL es una consultoría tecnológica que tiene como objeto la búsqueda de perfiles profesionales, generalmente ligados a las tecnologías de la información, para sus empresas clientes. 3. Los interesados en las ofertas de trabajo que promueve IDENTIAL remiten su currículo a la compañía. En la mayor parte de los casos se remiten a una dirección de correo electrónico del dominio idential.es. Además la compañía dispone de la web www.idential............., en la que figura un formulario para el registro de candidatos a ofertas de trabajo, que también se publican en dicha web. La web es de acceso libre, ya que solo proporciona información sobre las actividades de IDENTIAL y ofertas de trabajo. En ningún caso se proporciona información sobre las personas que han cumplimentado el formulario que dispone la web. Los candidatos cuando se personan en las oficinas de la compañía para entregar su currículo o para realizar una entrevista firman un documento denominado “Acuerdo de Selección de Candidatos para Empleo”. 4. La compañía IDENTIAL, a comienzos del año 2012, implantó una versión en la web que permite, además de registrase como candidato, incluir el currículo. En mayo de 2013, se realizan modificaciones sobre la web y se establece un procedimiento de recogida de los currículos incluidos a través de la web, de tal manera que periódicamente un empleado de la empresa se encarga de su descarga al fichero de NOMINAS PERSONAL Y RECURSOS HUMANOS, borrando los currículos de la web. 5. El 09/08/2013, una candidata que se había registrado en la web detecta que Google ha indexado su currículo. Por este motivo contacta telefónicamente con IDENTIAL y con fecha 13 de agosto remite un fax sobre estos hechos. IDENTIAL al conocer la incidencia realiza las siguientes gestiones: 5.1. El mismo día 09/08/2013, IDENTIAL contacta con la empresa OBAKU ESTUDIO, S.L., entidad que desarrolló el sitio web www.idential............. y con la que la compañía tiene suscrito un “Acuerdo de Confidencialidad”, poniendo de manifiesto la incidencia producida y calificándola como muy grave para garantizar que no se vuelva a producir. En concreto, se solicita de OBAKU ESTUDIO, S.L. información sobre si son accesibles más currículos, cómo se ha producido la incidencia, qué protecciones adicionales conviene implantar y cómo solucionar la incidencia de modo inmediato. 5.2. Con fecha 10/08/2013, OBAKU ESTUDIO SL remite un correo a IDENTIAL informando de las acciones correctoras realizadas, entre las que se encuentra, un procedimiento para hacer invisibles los datos curriculares a los buscadores y evitar su indexación. En dicho correo se indica que únicamente en el caso de conocerse la ruta completa se podría acceder a más currículos, sin embargo indican que este hecho es “casi imposible”. 5.3. IDENTIAL realiza un seguimiento de la incidencia para verificar que no se sigue produciendo. Con fecha 25/08/2013, OBAKU ESTUDIO, S.L. remite un correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 6. 7. 8. 9. confirmando que los currículos no son accesibles desde los buscadores. 5.4. Con fecha 24/09/2013, IDENTIAL solicita a OBAKU ESTUDIO, S.L. información sobre la seguridad y almacenamiento de los formularios y los currículos. 5.5. Asimismo, proceden a borrar todos los datos y el currículo de la persona que había advertido a la compañía de la incidencia, tal y como solicitaba en el fax. A este respecto, se ha verificado que consta registrada la incidencia y los correos electrónicos intercambiados con OBAKU ESTUDIO, S.L. en los que se reflejan las acciones correctoras. Respecto de que, con fecha 21/10/2013, desde la dirección B.B.B. pudiera accederse a unos 90 currículos tal, IDENTIAL manifiesta que desconocían este hecho. No obstante, con fecha 23/10/2013 se procedió a eliminar todos los currículos de la web, los cuales se han almacenado temporalmente en un ordenador portátil de la entidad hasta que se incorporen al fichero NOMINAS PERSONAL Y RECURSOS HUMANOS. Asimismo, se eliminó de la web la posibilidad de incluir los currículos por este sistema, habilitando un sistema de remisión por correo electrónico a una dirección corporativa de IDENTIAL (......@idential.es). A este respecto, se verificó que en el fichero NOMINAS PERSONAL y RECURSOS HUMANOS, que contiene 4556 registros existiendo tres registros por cada candidato, no constan datos asociados al denunciante. Tampoco en el ordenador personal en el que según IDENTIAL fueron descargados los datos de los currículos de la web consta el currículo del denunciante. Se ha verificado que en la dirección web www.idential............. figura un formulario para el registro de datos de candidatos y un enlace a la dirección ......@idential.es para la remisión de los currículos. Se ha verificado que el acceso a la dirección B.B.B. en Internet obtiene un directorio, y que en el mismo, no se encuentra accesible ningún currículo. IDENTIAL manifestó que en ningún momento han recibido ningún contacto o reclamación de ninguna persona distinta a la que notificó la incidencia en agosto de 2013. . Con fecha 12/11/2013, en respuesta al requerimiento de los Servicios de Inspección, OBAKU ESTUDIO, S.L. informó lo siguiente: . Los trabajos realizados para IDENTIAL consistieron en la modificación de la estética de la web manteniendo el gestor de contenidos que tenía el cliente (Workpress), así como instalación de complementos para facilitar la gestión de la web por parte de IDENTIAL. . OBAKU ESTUDIO, S.L. manifiesta que no realizó ningún trabajo de programación y que las modificaciones realizadas no han interferido en los almacenamientos de los datos de IDENTIAL. . Asimismo, informa que no hay un contrato suscrito con IDENTIAL para el mantenimiento y aporta dos facturas emitidas en fecha 04/02 y 20/05/2013 en relación con los trabajos realizados para IDENTIAL. En dichas facturas consta “Rediseño adaptable del tema principal y personalización de estilos según propuesta presentada”. . En relación con la incidencia ocurrida el 09/08/2013, OBAKU ESTUDIO, S.L. manifiesta que IDENTIAL contactó con su compañía para pedir asesoramiento. Por ello procedieron a realizar los cambios necesarios para que los archivos de ciertas carpetas de la web no fueran visibles y no pudieran ser indexados por los buscadores y asesoraron a IDENTIAL sobre las opciones disponibles para la solución del problema. TERCERO: Con fecha 21/01/2014, el Director de la Agencia Española de Protección de Datos, por virtud de lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), acordó someter a la entidad IDENTIAL a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD, en relación con los artículos 91 y 93 del Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.

  1. h)de la misma norma. Con tal motivo, se concedió a la entidad IDENTIAL plazo para formular alegaciones, recibiéndose escrito en el que se manifiesta conforme con la descripción que se realiza en el acuerdo de apertura del presente procedimiento, destacando que se produjo un error desconocido por la entidad, que pretendieron evitarlo con la ayuda de sus proveedores tecnológicos para que no se repitiera y que han reforzado las medidas de seguridad con otro proveedor. Aporta un informe de seguridad relativo al sitio web idential.es elaborado por la entidad Peke Soft, S.L., en el que se indica lo siguiente: “Se han elaborado las siguientes mejoras en seguridad sobre el motor web Wordpress: . Forzado de contraseñas seguras. . Eliminación de información susceptible del encabezado de código en la página. . Eliminadas vulnerabilidades básicas: Usuario ID 1 / admin . Cambiado el prefijo de las tablas (por defecto en wp_) . Realización de copias de seguridad de la base de datos diaria. . Bloqueo de agentes y servidores malos con lista negra de HackRepair.com . Área de acceso protegida de ataques de fuerza bruta. . Área de administración de Wordpress ocultada. . Ficheros susceptibles (wp-config.php y htaccess) protegidos y seguros. . Bloqueo de atacantes y de reincidentes. . Monitorización de archivos y alertas de cambios. . Limitación y bloqueo de URLs largas. . Bloqueo del editor de código built-in. . Instalador de analizador de código fuente para detección de virus. . Detección de Malware por Google Safe Browsing”. HECHOS PROBADOS 1. La compañía IDENTIAL es una consultoría tecnológica que tiene como objeto la búsqueda de perfiles profesionales, generalmente ligados a las tecnologías de la información, para sus empresas clientes. 2. La entidad IDENTIAL es responsable del sitio web www.idential............., que dispone de un formulario para el registro de candidatos a ofertas de trabajo y, desde comienzos de 2012, permite a los interesados en tales ofertas, además de registrarse, remitir su currículo a la compañía. Dicho formulario incluye la siguiente información: “CLÁUSULA DE PROTECCIÓN DE DATOS (De obligada aceptación en cumplimiento de las leyes españolas. El botón de enviar no funciona si no se acepta la cláusula) En cumplimiento de lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, le informamos que los datos personales por usted suministrados pasarán a formar parte de un fichero de titularidad privada cuyo responsable es IDENTIAL…, con domicilio en… Dichos datos serán empleados con las finalidades de: gestión empresarial, recursos humanos y comerciales. La empresa ha adoptado los niveles de seguridad exigidos a los datos facilitados instalando las medidas técnicas y organizativas necesarias, habida cuenta ele stado de la tecnología, para evitar su pérdida, alteración, uso inadecuado o accesos no autorizados a los mismos. Puede ejercitar los derechos…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 3. El denunciante registró sus datos personales y curriculares en la web www.idential.............. 4. Con fecha 09/06/2013, el denunciante formuló denuncia ante la Agencia Española de Protección de Datos contra la entidad IDENTIAL por la divulgación de su currículum a través de la web www.idential............., accesible a terceros mediante un buscador de internet. En su denuncia advierte que, utilizando la dirección A.A.A. se accede a su currículo y utilizando la dirección B.B.B. al resto de los currículos de la entidad IDENTIAL. 5. Con fecha 10/06/2013, por la Inspección de Datos se realizó una consulta a través del buscador Google, con el nombre y apellidos del denunciante como criterio, obteniendo una referencia a la web www.idential............., con la misma URL indicada en la denuncia, que permitía acceder e imprimir el currículo del mismo. En esta misma fecha se accede a la otra dirección indicada por el denunciante, reseñada en el Hecho Probado Cuarto, verificando que se obtiene un archivo con acceso a unos 10 currículos. 6. Con fecha 09/08/2013, una candidata que se había registrado en la web contacta telefónicamente con IDENTIAL para comunicar que su currículo es accesible a través de Internet al haber sido indexado por el buscador Google. 7. Con fecha 09/08/2013, IDENTIAL solicita información sobre la incidencia a la empresa OBAKU ESTUDIO, S.L., que desarrolló el sitio web www.idential............., y requiere la implantación de protecciones adicionales. 8. Con fecha 10/08/2013, OBAKU ESTUDIO, S.L. informa a IDENTIAL sobre las acciones correctoras realizadas, entre las que se encuentra, un procedimiento para hacer invisibles los datos curriculares a los buscadores y evitar su indexación. Aquella entidad, con fecha 25/08/2013, remite un correo a IDENTIAL confirmando que los currículos no son accesibles desde los buscadores. 9. Con fecha 21/10/2013, por la Inspección de Datos se realizó nuevamente una consulta a través del buscador Google, con el nombre y apellidos del denunciante como criterio, obteniendo la misma referencia a la web de IDENTIAL y la siguiente anotación “No hay disponible una descripción de este resultado debido al archivo robots.txt de este sitio”, no suministrando el currículo del denunciante. En esta misma fecha se accede a la dirección B.B.B., verificando que se obtiene un archivo que permite el acceso a unos 88 currículos. 10. IDENTIAL manifestó a los Servicios de Inspección de la AEPD que, con fecha 23/10/2013, procedió a eliminar todos los currículos de la web, así como la posibilidad de incluir los currículos a través de la web www.idential............., habilitando un sistema de remisión por correo electrónico a una dirección corporativa de la entidad (......@idential.es). 11. Con fecha 24/10/2013, los Servicios de Inspección de la AEPD verificaron que en la dirección web www.idential............. figura un formulario para el registro de datos de candidatos y un enlace a la dirección ......@idential.es para la remisión de los currículos. 12. Con fecha 24/10/2013, los Servicios de Inspección de la AEPD verificaron que el acceso a la dirección B.B.B. en Internet obtiene un directorio, en el que no se encuentra accesible ningún currículo. 13. Con su escrito de alegaciones de fecha 11/02/2014, la entidad IDENTIAL aportó un informe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 de seguridad sobre el sitio web www.idential............. elaborado por la entidad Peke Soft, S.L., en el que se indica lo siguiente: “Se han elaborado las siguientes mejoras en seguridad sobre el motor web Wordpress: . Forzado de contraseñas seguras. . Eliminación de información susceptible del encabezado de código en la página. . Eliminadas vulnerabilidades básicas: Usuario ID 1 / admin . Cambiado el prefijo de las tablas (por defecto en wp_) . Realización de copias de seguridad de la base de datos diaria. . Bloqueo de agentes y servidores malos con lista negra de HackRepair.com . Área de acceso protegida de ataques de fuerza bruta. . Área de administración de Wordpress ocultada. . Ficheros susceptibles (wp-config.php y htaccess) protegidos y seguros. . Bloqueo de atacantes y de reincidentes. . Monitorización de archivos y alertas de cambios. . Limitación y bloqueo de URLs largas. . Bloqueo del editor de código built-in. . Instalador de analizador de código fuente para detección de virus. . Detección de Malware por Google Safe Browsing”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II La entidad IDENTIAL está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos personales registrados en sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a tales datos. En este caso, el acceso por parte de terceros a datos personales y documentos curriculares de los usuarios del sitio web www.idential............. contenidos en la base de datos de IDENTIAL, que pudieron ser indexados por buscadores de Internet, podría supone la comisión, por parte de dicha entidad, de una infracción del artículo 9.1 de la LOPD, al haberse constatado que tales hechos se producen por un error en el sistema de información diseñado por la propia entidad. En concreto, la incidencia estuvo motivada por no haber protegido del acceso público (en particular, de los buscadores) una carpeta. Dicho fallo posibilitó que gran cantidad de registros personales permanecieran abiertos a cualquier persona, incluso con la posibilidad de descargar el curriculum vitae de las personas registradas, con detalle de datos personales, así como los datos de formación, conocimientos y experiencia laboral. Además, la información insertada en la web no informaba a los usuarios que sus datos y sus CV serían accesibles sin restricciones. Al contrario, se advertía a los afectados que la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 había adoptado “las medidas técnicas y organizativas necesarias, habida cuenta el estado de la tecnología, para evitar su pérdida, alteración, uso inadecuado o accesos no autorizados a los mismos”. Según esta cláusula informativa, el consentimiento se presta con el propósito de que los datos se utilicen para la gestión empresarial, recursos humanos y comerciales. De acuerdo con lo expuesto, se iniciaron actuaciones contra la entidad IDENTIAL por la presunta vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, que se tipifica como infracción grave en el artículo 44.3.
  3. h)de la LOPD: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Por otra parte, se tuvo en cuenta que la citada entidad IDENTIAL no ha sido sancionada o apercibida con anterioridad. En consecuencia, de conformidad con lo establecido en el artículo 45.6 de la LOPD, se acordó someter a la entidad IDENTIAL a trámite de audiencia previa al apercibimiento, en relación con la denuncia por infracción del artículo 9 de la LOPD. El citado apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  6. a)y
  7. b)del citado artículo 45.6 de la LOPD. No obstante, los Servicios de Inspección de la AEPD han comprobado que IDENTIAL ha adoptado medidas para evitar que los datos personales de los usuarios de la web puedan ser indexados por buscadores de Internet; ha procedido a eliminar todos los currículos de la web www.idential............. y ha suprimido la posibilidad de incluir currículos a través de la misma, habilitando un sistema de remisión por correo electrónico a una dirección corporativa de la entidad (......@idential.es). Finalmente, con su escrito de alegaciones a la apertura del presente procedimiento ha aportado un informe de seguridad relativo al sitio web idential.es elaborado por una entidad contratada al efecto por IDENTIAL, en el que detalla otras mejoras de seguridad elaboradas sobre el motor web Wordpress (Hecho Probado 13) que pueden contribuir a garantizar una mayor protección de sus equipos y sus ficheros. En consecuencia, deben estimarse adoptadas ya las medidas correctoras pertinentes en el presente caso, por lo que debe procederse a resolver el archivo de las actuaciones, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 practicar apercibimiento o requerimiento alguno a la entidad denunciada, en aplicación de lo establecido en el artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00261/2013 seguido contra la IDENTIAL GLOBAL CONSULTING, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción del artículo 9 de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- NOTIFICAR el presente Acuerdo a la entidad IDENTIAL GLOBAL CONSULTING, S.L. y a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.