A-00302-2014

1/9 Procedimiento Nº: A/00302/2014 RESOLUCIÓN: R/02523/2014 En el procedimiento A/00302/2014, instruido por la Agencia Española de Protección de Datos a la entidad TWICE LAMDA INVESTEMENTS SLU, en virtud de denuncia presentada por D. A.A.A., y de conformidad con lo establecido en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha de 14/11/13 tiene entrada en esta Agencia un escrito de D. A.A.A., en adelante el denunciante, en el que manifiesta lo siguiente: * Sin notificarle la deuda y sin comprobar si estaba pagada ha recibido desde EQUIFAX un escrito reclamándole una deuda por un importe que no es real y sin notificárselo previamente. * Borraron sus datos debido a sus presiones pero causándole muchos perjuicios. * Al solicitar la cancelación de sus datos personales le indican que no es posible pero sí que bloquean la cuenta de usuario que tiene con ellos sin su consentimiento. SEGUNDO: Que junto con el escrito de denuncia se aporta la siguiente documentación: * Copia de una notificación de inclusión el 12 de septiembre de 2013 en el fichero ASNEF de solvencia patrimonial por una deuda de 1.017,76 euros informada por TWICE LAMDA INVESTEMENTS SLU, en adelante TWICE. * Copia de la transcripción de un chat entre el denunciante y C.C.C. en relación con la cancelación de sus datos. TERCERO: Con fecha 10/12/13 tiene entrada en esta agencia ampliación de la denuncia en el que manifiesta lo siguiente: * TWICE es la titular del sitio web www.creditopocket.com que ha pasado a ser www.wonga.com. * A pesar de haber realizado los pagos previstos los días 10 y 12 de octubre de 2013 mediante transferencia bancaria han cedido sus datos sin su consentimiento a ASNEF EQUIFAX a pesar de haber cumplido con el calendario de pagos pactados con TWICE. * En la notificación se indica que los datos no serán accesibles a las entidades participantes en el fichero ASNEF hasta el 27 de septiembre de 2013. * Junto con el escrito el denunciante aporta copia, entre otros, de los siguientes documentos: -- Justificante de una transferencia por importe de 150,67 euros realizada el 12 de septiembre de 2013 a favor de “CREDITOPOCKET”. -- Justificante de una transferencia por importe de 100 euros realizada el 10 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 septiembre de 2013 a favor de “CREDITO POCKET”. -- Copia de una serie de correos electrónicos intercambiados el 10 de septiembre de 2013 entre el denunciante (...@...) y la cuenta ...@creditopocket..... en la que, tras el ingreso de 100 euros, se acuerda el pago de 150,67 euros para el día 12 de septiembre de 2013 y un último pago de 250,67 para el 9 de octubre de 2013. CUARTO: El Director de la Agencia Española de Protección de Datos, tras la recepción de la denuncia, ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, concluyéndose las mismas con informe E/7036/2013 de fecha 17/10/14. QUINTO: Como resultado de las Actuaciones Previas, de acuerdo a lo dispuesto en el art. 126 del Reglamento de Desarrollo de la LOPD (RLOPD), y al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, se ha procedido a la tramitación del presente procedimiento de Apercibimiento en virtud de lo establecido en el art. 45.6 de la LOPD. HECHOS PROBADOS 1º Consta denuncia presentada D. A.A.A., manifestando que sus datos personales han sido incluidos en ficheros de morosidad por una deuda cuyo importe que no es real y sin notificárselo previamente. 2º Constan a si mismo manifestaciones del denunciante que a pesar de haber realizado los pagos previstos los días 10 y 12 de octubre de 2013 mediante transferencia bancaria han cedido sus datos sin su consentimiento a ASNEF EQUIFAX a pesar de haber cumplido con el calendario de pagos pactados con TWICE. * * En la notificación se indica que los datos no serán accesibles a las entidades participantes en el fichero ASNEF hasta el 27 de septiembre de 2013 3º Consta la siguiente documentación remitida en la denuncia: * Copia de una notificación de inclusión el 12 de septiembre de 2013 en el fichero ASNEF de solvencia patrimonial por una deuda de 1.017,76 euros informada por TWICE LAMDA INVESTEMENTS SLU, en adelante TWICE. * Copia de la transcripción de un chat entre el denunciante y C.C.C. en relación con la cancelación de sus datos. * Justificante de una transferencia por importe de 150,67 euros realizada el 12 de septiembre de 2013 a favor de “CREDITOPOCKET”. * Justificante de una transferencia por importe de 100 euros realizada el 10 de septiembre de 2013 a favor de “CREDITO POCKET”. * Copia de una serie de correos electrónicos intercambiados el 10 de septiembre de 2013 entre el denunciante (...@...) y la cuenta ...@creditopocket..... en la que, tras el ingreso de 100 euros, se acuerda el pago de 150,67 euros para el día 12 de septiembre de 2013 y un último pago de 250,67 para el 9 de octubre de 2013. 4º Consta en los ficheros de la entidad denuncia la siguiente información en relación al denunciante: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 * El denunciante contrató un préstamo con TWICE por un importe de 600 euros y un plazo de 30 días con un calendario de pagos que éste incumplió. La entidad negoció con el denunciante un nuevo calendario de pagos. * La entidad no aporta copia del contrato firmado entre las partes ni información sobre la fecha de firma del contrato o del calendario de pagos. * El domicilio y dirección de contacto que constan en los sistemas de la entidad coinciden con los facilitados a esta Agencia por el denunciante. * Actualmente, la deuda contraída se encuentra pagada. 5º Constan las siguientes comunicaciones y contactos que han existido entre esa entidad y el cliente,: * La entidad manifiesta que “…el sistema no envío las preceptivas notificaciones requiriendo el pago y alertando de la potencial inclusión en ASNEF (inclusión prevista contractualmente), al haberse renegociado la deuda y acordado un calendario de repago. Posteriormente, por un malentendido e incidencia informática, no se reconoció debidamente uno de los pagos y el sistema informático procedió al envío de los datos al fichero ASNEF”. * La entidad aporta impresión de pantalla con el registro de SMS remitidos al denunciante en el que, entre otros, constan dos mensajes de fecha 10 de septiembre de 2013 en el que se le informa del vencimiento de su pago y de que debe de hacer un ingreso de 250,67 euros o de la mitad de dicha cantidad. - El sistema no muestra, ni se han aportado evidencias, de que los mensajes fueran recibidos por el destinatario. La entidad aporta copia de una serie de correos electrónicos remitidos en el mes de abril de 2014 desde la dirección del denunciante (...@...) a la dirección .....@wonga..... y de un escrito recibido en junio de 2014 por correo postal con copia del DNI del denunciante en los que se informa de la denuncia interpuesta ante esta Agencia y de otras denuncias que piensa interponer y en los que se propone “…parar dichas denuncias…” si le pagan cantidades que oscilan entre los 3.000 y los 8.000 euros. * Aportan copia del expediente en papel que consta en la entidad y que recoge las reclamaciones efectuadas por el afectado y se observa lo siguiente: -- El 21 de septiembre de 2013 el denunciante interpuso reclamación ante CONFIANZA ONLINE en términos similares a los expuestos en los antecedentes de este informe. -- TWICE aporta copia un acuerdo de 3 de octubre de 2013 en el que se indica que TWICE se disculpa por las molestias ocasionadas y el denunciante afirma que la incidencia ha quedado resuelta y se compromete a desistir de posteriores acciones legales. -- TWICE manifiesta que procedió a condonar la deuda restante al denunciante antes de la firma del acuerdo y que entonces éste se negó a firmarlo, motivo por el cual el documento aportado está firmado únicamente por el representante del Comité de Mediación de digital. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 6º Constan así mismo manifestaciones en el sentido que los datos del denunciante fueron cancelados a petición de TWICE antes del 27 de septiembre de 2013 por lo que en ningún momento fueron visibles a otras entidades y, a juicio de TWICE, no se le causó perjuicio alguno. 7º Consta impresión de pantalla en el que la consulta realizada el 26 de septiembre de 2013 al fichero ASNEF no arroja resultados usando como criterio el NIF del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
2. d)que “Los Estados miembros dispondrán que los datos personales sean….
3. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que:”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Si bien el único requisito relativo a la información que recoge el art. 29.2 es que se trate de datos relativos al cumplimiento o no de obligaciones dinerarias; la regulación anterior ya estableció cierto número de requisitos adicionales para poder incluir datos en estos ficheros que han sido mantenidos casi en su totalidad en el RD 1720/2007, de 21 de diciembre, (RLOPD, Reglamento de desarrollo de la LOPD, vigente desde el 19/04/208) que dispone lo siguiente: Art 37.1 y 3 “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. Art 38 “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
5. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Art 39 “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
7. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. La nueva redacción del artículo 44.3.c, en virtud de la disposición final quincuagésima sexta, de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece como infracción grave: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III Por consiguiente además del requisito que recoge la LOPD para legitimar la información a los ficheros de morosidad, - es decir, que se trate de datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a nivel reglamentario se han introducido requisitos adicionales que deben observarse para poder incluir dichos datos. Recogidos tanto en el artículo 38 y 39 del RLOPD (Reglamento de Desarrollo de la LOPD, Real Decreto 1720/2007) Pues bien el art. 38.1.
8. c)de dicho Reglamento establece, una vez que se ha acreditado la existencia de una obligación cierta, vencida y exigible que ha resultado impagada, un requisito independiente del anterior: el requerimiento previo de pago. Tal como lo ha expresado la AN, entre todas, en la Sentencia de 20/04/06 “Debe considerarse, que aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por el contrario utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares que son anotados en los registros de morosos” La finalidad de dicho requerimiento deriva del hecho que, la inclusión de información en los ficheros de morosidad, genera una situación negativa para el individuo, derivada del hecho que dichos datos no serán sólo conocidos por el acreedor sino por la totalidad de entidades que tengan acceso al fichero, con el simple requisito de que dicho acceso tenga por objeto evaluar la solvencia del deudor. Dicha circunstancia exige el establecimiento de mecanismos que permitan reforzar el cumplimiento del principio de proporcionalidad de tal forma que ningún dato respecto del cual pueda existir dudas en cuanto su existencia y exactitud sean incluidas en dichos ficheros. En conclusión el requerimiento previa de pago se ha constituido como un requisito autónomo y formal, que debe ser comunicado de forma recipticia al deudor, y cuya recepción por éste debe acreditarse por el acreedor. Se ha manifestado por el representante de la entidad denunciada que la notificación personalizada del requerimiento no le fue remitida por los canales y características habituales a casusa de una incidencia informática. Siendo sus datos incluidos en el fichero de morosidad ASnef, aunque se le requirió por SMS el pago de la deuda vencida. Por consiguiente, debe deducirse, que no se ha acreditado la realización del requerimiento previo con carácter previo a la inclusión de la deuda. Debe recordarse que en distintas sentencias de la AN se ha incidido sobre la necesidad por velar por el debido rigor en la inclusión, ya que “es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la exactitud del dato, es decir, de la insolvencia que se pretende registrar coincide con una cantidad debida es una circunstancia que ha de hacerse previamente y de modo riguroso antes de enviar los datos de una persona a un fichero de responsabilidad patrimonial”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Tal como establece la Sentencia de 19/9/07: “la carga de acreditar la comunicación corre a cuenta del que comunica los datos al fichero (…) La solución contraria, presumiendo cumplida la exigencia del requerimiento previo con la mera alegación de que el mismo se envió, supondría vaciar de contenido dicha intimación legal y reglamentariamente impuesta, pues bastaría con la simple afirmación de su existencia para que hubiera de entenderse realizada. Con tal proceder se privaría a los interesados del conocimiento y, en su caso, de la posibilidad de formular reparos a la exactitud, o no, del dato personal que va a acceder al fichero de responsabilidad patrimonial, que es precisamente la finalidad del principio que se pretende salvaguardar” (sentencia de 19 de septiembre de 2007). De los hechos probados en este procedimiento se deduce que TWICE no aportado documentación suficiente que acredite que realizara el preceptivo requerimiento previo de pago al denunciante, y por tanto se ha vulnerado del artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en relación también con su desarrollo reglamentario, conducta que encuentra su tipificación en el artículo 44.3.
9. c)de la citada Ley Orgánica. IV La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
10. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
11. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- consagra el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
12. a)y
13. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 del imputado teniendo en cuenta que la entidad denunciada no ha sido sancionada o apercibida con anterioridad en relación a la infracción del art. 4.3, que los hechos se derivan de una incidencia puntual, y que los datos del denunciante estuvieron de alta en el fichero Asnef desde 14/9/13 a 26/9/13, sin que en ningún momento dichos datos fueran visibles por otras entidades. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00302/2014) A la entidad TWICE LAMDA INVESTMENTS , con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por r infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de la citada Ley Orgánica. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR 2.1 REQUERIR a TWICE LAMDA INVESTMENTS y de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación acredite: Que aporten a la Agencia el procedimiento que tienen implementado para el envío y acreditación de la recepción del requerimiento de pago y posterior control de devoluciones del mismo. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/06882/2014, podría incurrir en una infracción del artículo 37.1.
14. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
15. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
16. i)de dicha norma, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a TWICE LAMDA INVESTMENTS. 4.- NOTIFICAR el presente Acuerdo a D. A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es