1/9 Procedimiento Nº: A/00411/2014 RESOLUCIÓN: R/00183/2015 En el procedimiento A/00411/2014, instruido por la Agencia Española de Protección de Datos a DÑA. A.A.A., vista la denuncia presentada por DÑA. B.B.B., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22/01/2014, tuvo entrada en esta Agencia un escrito de DÑA. B.B.B. (en lo sucesivo la denunciante) en el que declara que Dña. A.A.A. (en lo sucesivo la denunciada) “utiliza métodos irregulares no permitidos y envía mensajes a través de clickatell a personas de mi entorno que ya le han dicho no quieren recibir nada de ella ni de su tienda”. Indica además que no se encuentran inscritos los ficheros de datos personales y no existe información de artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en su página web XXXXX. Aporta una lista de contactos en la que consta nombre, apellidos y teléfono de una serie de personas, de las cuales no se ha recibido ninguna denuncia en esta Agencia. Los mensajes que aporta no son publicitarios ni comerciales, reflejando una disputa sin determinar entre “***NOMBRE-BBB” y “***NOMBRE-AAA”. SEGUNDO: Para el esclarecimiento de los hechos denunciados, durante la fase previa de investigación, por los Servicios de Inspección de la AEPD se llevaron a cabo las siguientes actuaciones: . Se remitió un requerimiento de información a la dirección de la denunciada indicada en el escrito de denuncia, que fue devuelto por el servicio de correos con la indicación “desconocido”. Se comprueba que dicha dirección coincide con la que se encuentra publicada en Internet en fecha 21/02/2014 en el sitio web denunciado “www.XXXXX.com” como dirección de la tienda de moda denominada “***NOMBRE-AAA.” . Por otro lado, se verificó que el dominio XXXXX.com se encuentra registrado a nombre de “***NOMBRE-AAA”, figurando en el registro otra dirección postal distinta. Con fecha 30/05/2014 se remitió un nuevo requerimiento de información a dicha dirección, recibiéndose con fecha 12/06/2014 contestación en los siguientes términos: “En lo que respecta a la razón social de la entidad o identificación de la persona física responsable de la página web www.XXXXX.com comentar lo siguiente: Esta página web no se encuentra registrada en la actualidad. La misma se dio de baja el pasado día 31 de Marzo de 2014 tal y como acredita la factura de la empresa ARSYS con la que tenía contratado el dominio […] La citada página se encontraba temporalmente dada de alta pues estaba en periodo de prueba. Lo cierto es que nunca estuvo realmente operativa. Muestra de ello es que ninguna persona llegó a introducir sus datos en los formularios de la citada web y por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 tanto nunca se llegó a tratar datos personales por medio de esta página web. La única persona cuyos datos han podido ser introducidos en la citada web son los de la persona que entiendo presenta la denuncia por la que se me solicita esta información, B.B.B., antigua empleada de mi tienda y con la que me encuentro actualmente en procesos judiciales, habiendo sido demandada por mi empresa. A efectos indicativos comentar que la persona física que en su momento fue responsable de la antigua página web www.XXXXX.com es A.A.A. con DNI… con domicilio… La página XXXXX.com ha sido sustituida en la actualidad por la siguiente página web, www.............1 cuyo dominio fue registrado en fecha 26 de marzo de 2014 por medio de la empresa WIX. Tal y como se desprende de la documentación aportada, la cancelación del dominio www.XXXXX.com por el que se me solicita información se efectuó meses antes de recibir esta notificación. Igualmente el alta de la nueva página web www.............1 tuvo lugar también meses antes de recibir esta comunicación. Desconociendo por tanto cuando di de baja la antigua página y de alta la nueva que se hubiera presentado denuncia alguna. La actual página web www.............1 sí se encuentra en funcionamiento y cumple escrupulosamente con la normativa relativa a la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal. Acompaño como documento nº 3 enlace con la documentación acreditativa de la información que se facilita a las personas que introducen sus datos en la web www.............1 con relación al tratamiento de sus datos personales. Igualmente indicar que la persona física responsable de la actual página web www.............1 es la misma indicada anteriormente…”. Acompaña copia de factura de anulación de renovación de dominio XXXXX.com. Acompaña también copia de la factura acreditativa del registro del nuevo nombre de dominio ............1. El documento nº 3 citado consiste en un documento de adaptación a la normativa de Protección de datos, de 443 páginas, que incluye un modelo de clausula informativa (en su pág. 31): “Cláusula informativa (art. 5 LOPD)
(1)En cumplimiento con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, le informamos que sus datos personales serán tratados y quedarán incorporados en ficheros responsabilidad de …………………..
(2)registrados en la Agencia Española de Protección de Datos, con la finalidad de ………...............................................................................…………..
(3). De igual forma, autoriza la comunicación de sus datos de carácter personal a la entidad ………………..
(4)para la finalidad ………………..
(5), realizándose la comunicación únicamente para este fin. En todo caso, puede ejercitar los derechos de acceso, rectificación, cancelación y oposición dirigiéndose a la sede social, sita en ……..........................………………
(6). Le rogamos que en el supuesto de producirse alguna modificación en sus datos de carácter personal, nos lo comunique con el fin de mantener actualizados los mimos. Instrucciones
(1)Esta cláusula deberá añadirse obligatoriamente a todo formulario de recogida de datos de carácter personal en el caso de que no se vayan a realizar cesiones de los mismos.
(2)Nombre de la empresa.
(3)Se debe especificar la finalidad concreta para la cual se recaban y tratan los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 personal. En caso de que existan finalidades accesorias a la principal, será necesario facilitar la posibilidad del ejercicio del derecho de oposición a través de una opción que tenga que ver con el otorgamiento o desistimiento del consentimiento del titular de los datos para esa finalidad accesoria.
(4)Nombre de la entidad cesionaria.
(5)Describir finalidad que justifique la comunicación de los datos.
(6)Dirección postal o de correo electrónico a la que los titulares de los datos pueden dirigirse para ejercitar sus derechos.” A partir de la página 83 de dicho documento se encuentran modelos de contestación a los ejercicios de derechos de acceso, rectificación, oposición y cancelación. Asimismo, al final del documento se incluyen las solicitudes de inscripción de ficheros en el RGPD de esta Agencia. Se verifica que se encuentra inscrito un fichero titularidad de la denunciada, denominado “GESTION DE CLIENTES, CONTABLE, FISCAL Y ADMINISTRATIVA”. En fecha 21/02/2014 se comprobó que el sitio web “www.XXXXX.com” tenía un formulario de contacto para recoger los siguientes datos “name”, “Email”, “Subject” y “Message”. No se encontraron más formularios de recogida de datos que el especificado. En esta fecha, 21/02/2014, no se encuentra información sobre el art. 5 de la LOPD. Con fecha 24/04/2014 se intentó el acceso al sitio web www.XXXXX.com, no encontrando dicha página web. Realizada una búsqueda en Internet se encontró el sitio www.............1 que incluía el mismo formulario de recogida de datos antes citado. No se encontró tampoco en esta fecha información sobre el art. 5 de la LOPD. Con fecha 14/10/2014 se accede al nuevo sitio web www.............1 encontrando una pestaña nueva de “CONDICIONES DE PRIVACIDAD” que incluye información sobre el art. 5 de la LOPD. Se cita la responsable del fichero y su dirección así como la finalidad del fichero. No se encuentra información de los derechos ARCO (acceso, rectificación, oposición y cancelación) y se informa que los datos serán tratados para remitir por cualquier medio publicidad propia y de terceros sin especificar los sectores de actividad. No se corresponde con el modelo de cláusula informativa que se encuentra en el documento de protección de datos aportado por la denunciada. TERCERO: Con fecha 23/12/2014, el Director de la Agencia Española de Protección de Datos acordó someter a la denunciada a trámite de audiencia previa el presente procedimiento de apercibimiento A/00411/2014, por la presunta infracción del artículo 5 de dicha norma, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha 19/01/2015 se recibe en esta Agencia escrito de alegaciones de la denunciada en el que comunica lo siguiente: . La página web www.............1 se encuentra en funcionamiento e incluye la información que ha de facilitarse a las personas que introducen sus datos personales a través de la misma, después de modificar la información anterior, que aparecía incompleta por un error en la actualización de la página. . No se ha perjudicado a ninguna persona, por cuanto ninguna facilitó sus datos mediante los formularios insertados en dicha web. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Aporta impresión de pantalla, correspondiente a la página web www.............1, en la que aparece la “Cláusula informativa (art. 5 LOPD)” que se facilita a los usuarios. En dicha cláusula se facilita información sobre el ejercicio de los derechos ARCO y no contiene ninguna referencia a la realización de actividades promocionales y publicitarias propias o de terceros. HECHOS PROBADOS 1. Con fecha 24/04/2014, por los Servicios de Inspección de la AEPD se accedió al sitio web www.............1, constatando que incluía un formulario de recogida de datos personales de los usuarios con los siguientes campos: “name”, “Email”, “Subject” y “Message”. En este acceso se comprobó, asimismo, que la citada web no facilitaba a los usuarios información sobre el artículo 5 de la LOPD. 2. Con fecha 14/10/2014, por los Servicios de Inspección de la AEPD se accedió al sitio web www.............1, constatando que la misma contenía una pestaña denominada “CONDICIONES DE PRIVACIDAD” que incluye información sobre el artículo 5 de la LOPD. En esta cláusula informativa se cita a la responsable del fichero y su dirección, así como la finalidad del fichero. No se encuentra información de los derechos ARCO (acceso, rectificación, oposición y cancelación) y se informa que los datos serán tratados para remitir, por cualquier medio, publicidad propia y de terceros, sin especificar los sectores de actividad. 3. Con fecha 19/01/2015, la denunciada aportó a la AEPD impresión de pantalla, correspondiente a la página web www.............1, en la que aparece la “Cláusula informativa (art. 5 LOPD)” insertada en la misma a disposición de los usuarios. En dicha cláusula se facilita información sobre el ejercicio de los derechos ARCO y no contiene ninguna referencia a la realización de actividades promocionales y publicitarias propias o de terceros. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En el artículo 5 de la LOPD se establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El número 2 del mismo precepto establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “... figuraran en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Por su parte, el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “… es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, en su artículo 45.1.
- b)establece lo siguiente: “Artículo 45. Datos susceptibles de tratamiento e información al interesado. 1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos:
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad”. En este caso, durante la fase previa de investigación, se constató que la enunciada recababa datos de carácter personal de los usuarios de la web www.............1, mediante un formulario insertado en la misma con los campos “name”, “Email”, “Subject” y “Message”, sin que previamente se facilitase a los interesados la información sobre el artículo 5 de la LOPD. En concreto, se comprobó que la citada web contenía una pestaña denominada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 “CONDICIONES DE PRIVACIDAD” con la información sobre el artículo 5 de la LOPD, en la que se citaba a la responsable del fichero y su dirección, así como la finalidad del fichero. Sin embargo, la información facilitada no contenía ninguna referencia al ejercicio de los derechos ARCO (acceso, rectificación, oposición y cancelación) y se informaba que los datos serían tratados para remitir, por cualquier medio, publicidad propia y de terceros, sin especificar los sectores de actividad, en contra de lo establecido en el citado artículo 45.1.
- b)del Reglamento de desarrollo de la LOPD. En consecuencia, se constató que la denunciada habilitó mecanismos para recabar datos de carácter personal de usuarios de la web www.............1 sin facilitar, con carácter previo al momento de la recogida, la información preceptiva en materia de protección de datos personales, incumpliendo el deber de información previsto en el artículo 5 de la LOPD. Dicho incumplimiento aparece tipificado como infracción leve en el artículo 44.2.
- c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El artículo 45.6 de la LOPD, introducido a través de la reforma operada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” Trasladando las consideraciones expuestas al supuesto que nos ocupa, se observa que la infracción de la LOPD de la que se responsabiliza al denunciado es una infracción “leve”; que la denunciada no ha sido sancionado o apercibido por este organismo en ninguna ocasión anterior; y que concurren de manera significativa varias de las circunstancias descritas en el artículo 45.5 de la LOPD. Todo ello, unido a la naturaleza de los hechos que nos ocupan, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. Como se ha señalado, en el asunto que examinamos la denunciada, durante la instrucción del procedimiento, aportó a la AEPD impresión de pantalla correspondiente a la página web www.............1, en la que aparece la “Cláusula informativa (art. 5 LOPD)” insertada en la misma a disposición de los usuarios. Dicha cláusula facilita información sobre el ejercicio de los derechos ARCO y no contiene ninguna referencia a la realización de actividades promocionales y publicitarias propias o de terceros. A la vista del pronunciamiento recogido en la SAN de 29/11/2013 (Rec. 455/2011) referente a los supuestos en los que la denunciada ha adoptado las medidas correctoras oportunas, de acuerdo con lo señalado se debe proceder al archivo de las actuaciones. De acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00411/2014 seguido contra DÑA. A.A.A. con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 5 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a DÑA. A.A.A. y a DÑA. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es