AAPP-00057-2016

(490)RENTA AA1 es D.D.D. del NIF *** E.E.E.** para solicitar su referencia con la que gestionar RENTA AA.” El 01/05/2016, tuvo entrada en esta Agencia a través de su sede electrónica un nuevo escrito de la denunciante en el que, a requerimiento de la AEPD, aporta la siguiente información: . La línea que recibió el SMS es la B.B.B., cuyo titular es Das Photonics, S.L. . Fue usuaria de la línea B.B.B. mientras mantuvo relación laboral con la citada sociedad, hasta el 2 de julio de 2010. Aporta copia de su vida laboral como acreditación de tal hecho. . Desde hace más de 5 años, para todas sus declaraciones utiliza como teléfono de contacto la línea C.C.C. (esta línea figura en todas las declaraciones presentadas a la AEAT desde 2010). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a la entidad AEAT y se realizó visita de inspección, al objeto de aclarar las circunstancias puestas de manifiesto en la denuncian C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 reseñada, teniendo conocimiento de lo siguiente: 1. La casilla 490 de la declaración de la renta contiene la "Base liquidable general sometida a gravamen", que resulta de efectuar sobre el importe del saldo positivo de la base liquidable general del ejercicio, las compensaciones de bases liquidables negativas procedentes de ejercicios anteriores, sin que pueda resultar negativa como consecuencia de estas disminuciones. 2. Con fecha 06/07/2016 se realizó una visita de inspección a la AEAT. A partir de la información obtenida en la misma y de la aportada con posterioridad a requerimiento de la inspección actuante, se han constatado los siguientes hechos: 2.1. El mensaje al que hace referencia la denuncia pertenece a un servicio de alertas que, a través de mensajes SMS, informa a los contribuyentes suscritos sobre eventos relacionados con el servicio al que están suscritos. Si se trata del servicio de alertas de renta, el teléfono de suscripción se utilizaba para informar a los contribuyentes sobre la emisión del borrador del siguiente ejercicio o para enviar mensajes que permiten acceder a los servicios de renta del contribuyente. La suscripción al servicio de alertas de renta se inició en la declaración del ejercicio 2004 y podía realizarse únicamente a través de la sede electrónica de la AEAT. Durante los ejercicios de 2006 a 2010 las declaraciones del IRPF incluyeron una casilla mediante la cual, al marcarla, el contribuyente podía suscribirse al servicio de alertas utilizando el número de teléfono móvil proporcionado en la declaración. A partir del ejercicio 2011 la suscripción al servicio de alerta de renta volvió a poder realizarse únicamente a través de la sede electrónica de la AEAT. Debido a que se está discutiendo la posibilidad de implementar un sistema único de gestión de interacciones con el ciudadano para toda la Administración del Estado se ha cambiado el nombre al servicio por el de “Alertas de Renta” y se ha creado uno nuevo con idénticos suscriptores llamado “Envío de referencia de Renta”. La suscripción a este último servicio se ha bloqueado. El fichero que mantiene los datos de los suscriptores a los servicios de alerta es distinto del que contiene los datos de todos los contribuyentes. El número de suscriptores del servicio “Envío de referencia de Renta” a fecha de la inspección es ***1, pero tras distintos procesos de depuración el número de SMS finalmente enviados en la campaña de Renta AA fue de ***2. 2.2. Un contribuyente sólo puede suscribirse al servicio de alertas si facilita un número de teléfono móvil. Como ese dato no es obligatorio en la declaración de la renta se decidió habilitar una tabla distinta para facilitar que el contribuyente pudiera decidir que las alertas se enviaran a un teléfono distinto del que daban de alta en sus datos censales. Esta forma de actuar es habitual en la presentación de la Declaración de la Renta, por cuanto un contribuyente puede realizar la presentación a través de un colaborador social o puede realizar la presentación de la renta de todos los miembros de una unidad familiar. En estos casos, es habitual que se facilite para recibir alertas un teléfono distinto del que se puede haber facilitado en los datos censales. Teniendo en cuenta las consideraciones previas, la AEAT manifiesta que 321.889 contribuyentes tienen un teléfono distinto en la tabla de teléfonos del servicio de alertas del que tienen asociado en el fichero de contribuyentes. Esa cifra representa un 12,6 % del total de suscriptores. 2.3. Hasta el ejercicio AA1 los SMS enviados por el servicio de “Envío de referencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 Renta” contenían parte del NIF del contribuyente y el número de referencia del borrador que previamente la AEAT había generado en formato PDF. La AEAT ha acometido un cambio en su plataforma tecnológica que permite generar los borradores de la declaración del IRPF en el momento en que éstos se solicitan por parte de los contribuyentes y cada borrador tiene ahora un número de referencia único. Debido a ello en los SMS que se enviaron en la última campaña contenían el dato de la casilla 490 y la casilla cuyo valor se enviará irá cambiando cada año. Existen personas físicas que presentan declaraciones en nombre de otros contribuyentes (habitualmente miembros de una unidad familiar) y utilizan un mismo número de teléfono para recibir las referencias, motivo por el cual los servicios de renta permiten que una línea de teléfono pueda tener asociados hasta 20 NIF distintos. Ese es el motivo de que en el SMS se incluya una parte el NIF del contribuyente. 2.4. En el fichero de contribuyentes consta un registro asociado a la denunciante con fecha de última modificación (última modificación de cualquiera de los datos del registro) el 08/11/2010 y línea de teléfono móvil C.C.C.. 2.5. La denunciante figura como suscrita a dos servicios, el de “Envío de referencia de Renta”, con fecha de alta 03/03/2016, y el de “Alertas de Renta”, con fecha de alta 07/05/2010. En ambas suscripciones figura como línea de telefonía móvil la número B.B.B.. 2.6. En el sistema de gestión de envío de SMS del servicio de alertas consta el envío de un SMS con los datos de la casilla 490 de la declaración de la denunciante a la línea B.B.B. el 13/04/2016. En el sistema de gestión de envío de SMS del servicio de alertas constan vinculados al NIF de la denunciante envíos de SMS a la línea B.B.B. realizados en fechas 27/04/2012, 10/04/2013, 12/04/2014 y 10/04/2015. En todos estos mensajes se informaba que ya estaban disponibles los datos fiscales para el NIF *** E.E.E.** de la Renta 201X y se proporcionaba una referencia numérica, y no el importe de la casilla 490 de la declaración, para acceder a los datos a través del sitio web www.aeat.es. 2.7. Los formularios de las declaraciones del IRPF de los ejercicios 2009 y 2010, en su casilla 12, contienen el texto descriptivo siguiente: “Suscripción al servicio de alertas a móviles de la AEAT. Si desea recibir mensajes SMS relacionados con la tramitación de esta declaración, consigne una “X” en esta casilla y anote su teléfono móvil en la casilla 31”. Se incorpora a las actuaciones copia de la declaración de renta de 2009 correspondiente a la denunciante, presentada en fecha 03/05/2010, en la que figura macada con una “X” la casilla 12 y contiene el valor B.B.B. en la casilla 31. Asimismo, se incorpora copia de la página 1 de las declaraciones presentadas por la denunciante, correspondientes a los ejercicios 2010 y 2011. En la declaración de la renta del ejercicio 2010 la casilla 12 no aparece marcada y el número de línea de la casilla 31 es C.C.C.. En la declaración de la renta del ejercicio 2011 no consta la casilla 12 y el número de línea de la casilla 31 es C.C.C.. 2.8. Consultada sobre la información proporcionada a los contribuyentes en relación con la inclusión y el tratamiento de sus datos en relación al servicio de alertas (actualmente denominado “”Envío de referencia de renta”), la AEAT manifiesta que la información se encuentra en los Manuales de Renta y en las Guías de Presentación de la Declaración editados desde el año 2009. En el caso de las guías, se incluyó información hasta el año 2011, que fue el último que incluyó la casilla 12 para suscribirse al servicio de alertas a través de la declaración. A partir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 de ese año sólo era posible suscribirse electrónicamente en la Sede Electrónica de la Agencia Tributaria. En las guías de presentación de la Renta 2009 y 2010 y en los manuales de la Renta de 2009, 2010, 2011, 2012, 2013 y 2014 se informa que, si se marca la casilla 112 mediante la que se solicita la elaboración del borrador de la declaración del siguiente ejercicio, también se recibirán mensajes relativos a ese borrador. El formulario de la declaración del IRPF del ejercicio 2009, en su casilla 112, contienen el texto descriptivo siguiente: “Si desean que la Agencia Tributaria ponga a su disposición el borrador o los datos fiscales del ejercicio 2010 a través de su página en Internet, marque con una “X” esta casilla (en este caso, la Agencia Tributaria no enviará estos documentos por correo ordinario y el/los contribuyente/s podrá/n acceder a los mismos en la Sede Electrónica de la Agencia Tributaria www.agenciatributaria.gob.es, para lo cual el/los contribuyente/s deberán disponer de firma electrónica, bien la incorporada al DNI electrónico, bien la basada en cualquier certificado electrónico emitido por la AEAT)”. Ninguno de los textos presentados informa que los datos relativos al servicio de alertas se almacenan en un fichero distinto del de contribuyentes. Se incorpora a las actuaciones copia de información relativa a la casilla 12 que constaba en la “Guía de la Declaración de Renta” correspondiente a los ejercicios 2009 y 2010, cuyo contenido consta detallado en el Hecho Probado Tercero. Por la AEAT se advierte que “desde la Renta de 2011 ya no era posible suscribirse al servicio de Alertas con la casilla 12”. Por tanto, en la Guía de 2011 y las sucesivas ya no parecía información sobre esta posibilidad. Asimismo, la AEAT aportó el detalle sobre la información que aparecía en los Manuales Prácticos de Renta de los ejercicios 2009 a 2014, en el apartado “Remisión del borrador de declaración del IRPF”, cuyo contenido consta igualmente reseñado en el Hecho Probado Tercero. Finalmente, por la AEAT se advierte que “en el Manual de la Renta de 2015 como ya no es posible darse de alta en el servicio de alertas para recibir la casilla no se incluyó información relativa a este servicio”. TERCERO: Con fecha 11/11/2016, se acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la entidad AEAT por la presunta infracción del artículo 4, apartados 3 y 4, y del artículo 10 de la LOPD, tipificadas como graves en los artículos 44.3.

1. c)y 44.3.
2. d)de la misma norma, respectivamente. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, la entidad AEAT presentó escrito de alegaciones en el que solicita el archivo del mismo de conformidad con las consideraciones siguientes: 1. En relación con los hechos objeto de las actuaciones, se muestra conforme con el relato fáctico reseñado en el acuerdo de apertura del procedimiento, que coinciden con lo informado por la propia AEAT, si bien advierte que en el mismo no se recogen las medidas correctoras adoptadas para minimizar cualquier perjuicio y evitar que pueda volver a tener lugar en el futuro, como son: . La eliminación del número de teléfono móvil del servicio de Alertas a móviles de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 . El borrado de todos los teléfonos de la tabla asociada al Servicio de Alertas de Renta que no coincidan con el número de teléfono móvil recogido en el Censo de contribuyentes (se detectaron 321.869 contribuyentes en esta situación). . Acciones de mejora del servicio de alertas de Renta con vistas a la próxima Campaña de la Renta . Como medida preventiva a fin de impedir que pueda hacerse un uso indebido de los datos acerca del denunciante que hayan podido quedar expuestos ante personas no autorizadas, se va a proceder, a efectos de la Campaña de Renta del próximo año, a inhabilitar de oficio la obtención del número de referencia a través de la casilla de la declaración de Renta AA. Se informara al contribuyente para que conozca las vías alternativas para realizar electrónicamente su declaración de la renta . El control de comprobación de discrepancias del teléfono facilitado para Alertas de Renta con número de teléfono facilitado en el Censo de Contribuyentes se realizará de forma periódica para garantizar que no existen discrepancias. . Se va a revisar la información que se facilita a los contribuyentes en el acceso al Servicio de Alertas aclarando los siguientes extremos: - Finalidad del servicio, que es únicamente facilitar la elaboración de la declaración de IRPF. - Usos de los diferentes datos de contacto que facilita el contribuyente para los diferentes servicios donde se le solicitan - Responsabilidad de actualización de los datos, de modo que quede claro que deben comunicar el cambio de titularidad de cualquiera de los números de teléfono facilitados. 2. Sobre la infracción de los artículos 4 y 10 de la LOPD, discrepa de que pueda considerarse infringido el deber de mantener los datos actualizados, puesto que la denunciante no comunicó que la línea de teléfono que había facilitado para el sistema de alertas del IRPF no estaba bajo su poder de disposición, no siendo extraordinario que haya contribuyentes que faciliten un número de teléfono para dicho sistema de alertas distinto del que comunican al Censo de Contribuyentes como teléfono de contacto. No obstante, reconociendo que el sistema de recogida de datos podría resultar confuso a los ciudadanos, se van a adoptar las medidas indicadas anteriormente. En cuanto a la infracción del art. 10 de la LOPD, entiende que no se ha producido comunicación alguna de datos personales, pues, conforme al artículo 11.6 de la LOPD, los datos se comunican por SMS anonimizados (únicamente constan 4 cifras del NIF), precisamente como segundo filtro de seguridad ante cualquier error en la emisión del sms. Sin cruzar dicha información con otra no facilitada (el DNI completo), no es posible atribuir el dato de la casilla 490 a ninguna persona en particular. No obstante lo anterior, aceptando que, aunque de forma muy remota, sería posible que conociendo la identidad del anterior usuario de la línea y su DNI, pudiera hacerse una aproximación probabilística a la identidad del titular de los datos, muestra su disposición para adoptar cualquier medida que pudiera mejorar la anonimización de los datos comunicados por SMS. 3. Considera innecesario tramitar el procedimiento por haberse adoptado ya las recomendaciones formuladas por la AEPD, puesto que la finalidad del mismo es, precisamente, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 la adopción de dichas medidas correctoras y no la imposición de sanciones, de acuerdo con lo establecido en el artículo 46 de la LOPD. QUINTO: Con fecha 17/03/2017, se emitió propuesta de resolución en el sentido de que por la Directora de la AEPD se declare que la entidad AEAT ha infringido lo dispuesto en el artículo 4, apartados 3 y 4, y el artículo 10 de la LOPD, tipificadas como graves en los artículos 44.3.
3. c)y 44.3.
4. d)de la misma norma, respectivamente; y que se requiera a dicha entidad para que adopte aporte a esta Agencia Española de Protección de Datos los detalles sobre la información que facilitará a los contribuyentes que se suscriban al Servicio de Alertas a través de la Sede Electrónica con vistas a la Campaña de Renta de 2016. Se propuso, asimismo, que se comunique la Resolución que se adopte al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. SEXTO: Notificada la citada propuesta, la entidad AEAT presentó escrito de alegaciones en el que ratifica las formuladas a la apertura del procedimiento. En relación con las medidas adoptadas para reparar el incidente que motivó la denuncia o para evitar otros semejantes, añade que ha contactado telefónicamente con la contribuyente denunciante para explicarle lo sucedido, la medida adoptada de impedir la obtención del número de referencia con la casilla de la presentación de la Renta AA y las opciones que tiene para poder cumplir con sus obligaciones en la Campaña de Renta 2016, como la posibilidad de darse de alta en el sistema Cl@ve, que permite realizar los trámites asociados a la Campaña de Renta 2016, para lo que se le ha remitido una carta de invitación. Asimismo, advierte que antes del inicio de la Campaña 2015 cerró la posibilidad de darse de alta en el servicio de Avisos para el envío de la casilla para la gestión del número de Referencia, dado que para este año ese dato se remitirá de oficio mediante un SMS. Por lo tanto, no se ha considerado necesario realizar ninguna acción de aviso a los contribuyentes incluidos en el censo de teléfonos de avisos de renta que se utilizó el año anterior, dado que no se va a enviar SMS alguno con datos personales a los teléfonos que constan en la base de datos de suscriptores al servicio de alertas. Por esa razón, y considerando que, al no permitirse nuevas altas, no va a haber nuevos suscriptores a los que informar, carece de sentido comunicar a la AEPD la información que se va a facilitar a los suscriptores al sistema de alertas por SMS para la campaña de renta 2016, solicitada en la propuesta de resolución. HECHOS PROBADOS 1. Desde el año 2004, la AEAT habilitó un servicio de alertas de renta (actualmente denominado “Envío de referencia de Renta”) que, a través de mensajes SMS, informa a los contribuyentes sobre la emisión del borrador del siguiente ejercicio o facilita información que permite acceder a los servicios de renta del contribuyente. Inicialmente, la suscripción podía realizarse únicamente a través de la sede electrónica de la AEAT. Durante los ejercicios de 2006 a 2010 las declaraciones del IRPF incluyeron una casilla mediante la cual, al marcarla, el contribuyente podía suscribirse a dicho servicio utilizando el número de teléfono móvil proporcionado en la declaración. A partir del ejercicio 2011, la suscripción únicamente puede realizarse, de nuevo, a través de la sede electrónica de la AEAT. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 2. Los formularios de las declaraciones del IRPF de los ejercicios 2009 y 2010, en su casilla 12, contienen el texto descriptivo siguiente: “Suscripción al servicio de alertas a móviles de la AEAT. Si desea recibir mensajes SMS relacionados con la tramitación de esta declaración, consigne una “X” en esta casilla y anote su teléfono móvil en la casilla 31”. El formulario de la declaración del IRPF del ejercicio 2009, en su casilla 112, contienen el texto descriptivo siguiente: “Si desean que la Agencia Tributaria ponga a su disposición el borrador o los datos fiscales del ejercicio 2010 a través de su página en Internet, marque con una “X” esta casilla (en este caso, la Agencia Tributaria no enviará estos documentos por correo ordinario y el/los contribuyente/s podrá/n acceder a los mismos en la Sede Electrónica de la Agencia Tributaria www.agenciatributaria.gob.es, para lo cual el/los contribuyente/s deberá7n disponer de firma electrónica, bien la incorporada al DNI electrónico, bien la basada en cualquier certificado electrónico emitido por la AEAT)”. 3. En relación con la casilla 12 el formulario de declaración de IRPF, la “Guía de la Declaración de Renta” correspondiente a los ejercicios 2009 y 2010 informaba lo siguiente: “Casilla 12, Suscripción al servicio de alertas a móviles de la AEAT. Mediante el envío de mensajes SMS, el servicio de alertas a móviles de la Agencia Tributaria puede mantener puntualmente informados a los contribuyentes del resultado de la tramitación de su declaración del IRPF. En concreto, este servicio permite comunicar al primer declarante y, en su caso, al cónyuge, la emisión de la transferencia bancaria correspondiente al pago de la devolución resultante de la declaración presentada. Asimismo, este servicio permitirá comunicar a los contribuyentes que soliciten el borrador de la declaración o los datos fiscales del próximo ejercicio 2010, cumplimentando a tal efecto la casilla 110 de la página 2 de la declaración, el momento a partir del cual el borrador o los datos fiscales solicitados estarán disponibles en la página de la Agencia Tributaria en Internet, facilitando el número de referencia con el que poder acceder directamente por Internet a dichos documentos, sin tener que esperar el envío de los mismos por medios convencionales. Para activar la suscripción del primer declarante a este servicio se consignará una “X” en la casilla 12 y se hará constar el número de su teléfono móvil en la casilla 31 de este apartado de la declaración”. Asimismo, en el Manual Práctico de Renta del ejercicio 2009, en el apartado “Remisión del borrador de declaración del IRPF” se indicaba: “La Agencia Tributaria remitirá el borrador de la declaración al domicilio de los contribuyentes que lo han solicitado con arreglo a lo comentado en el epígrafe anterior. Sin perjuicio de lo anterior, tratándose de contribuyentes que se hubiesen suscrito al servicio de alertas a móviles de la Agencia Tributaria al solicitar el borrador de su declaración, la puesta a disposición del mismo se efectuará comunicando al contribuyente su emisión mediante mensaje SMS, así como la referencia que le permita acceder al mismo por Internet”. Y en el Manual de 2010, en el mismo apartado, se indicaba lo siguiente: “La Agencia Tributaria remitirá por correo postal el borrador… En particular, tratándose de contribuyentes que se hubiesen suscrito al servicio de alertas a móviles de la Agencia Tributaria, la puesta a disposición del borrador se efectuará directamente comunicando al contribuyente su emisión mediante mensaje SMS, así como la referencia que le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 permita acceder al mismo por Internet”. Y en los Manuales Prácticos de Renta de 2011 a 2014, en el mismo apartado, se indicaba: “La Agencia Tributaria pondrá a disposición de los contribuyentes el borrador… En particular, tratándose de contribuyentes que se hubiesen suscrito al servicio de alertas a móviles de la Agencia Tributaria, la puesta a disposición del borrador o, en su defecto, de sus datos fiscales se efectuará mediante mensaje SMS por el que se comunicará el número de referencia que le permita acceder al mismo por Internet”. 4. El fichero en el que se registraron los datos de los suscriptores a los servicios de alerta es distinto del que contiene los datos censales de los contribuyentes. 5. La denunciante marcó con una “X” la casilla 12 de su declaración de renta de 2009 y en la casilla 31 anotó el valor B.B.B.. En la declaración de la renta del ejercicio 2010 correspondiente a la denunciante la casilla 12 no aparece marcada y el número de línea de la casilla 31 es C.C.C.. En la declaración de la renta del ejercicio 2011 no consta la casilla 12 y el número de línea de la casilla 31 indicado por la denunciante es C.C.C.. 6. En el fichero de contribuyentes consta un registro asociado a la denunciante con fecha de última modificación (última modificación de cualquiera de los datos del registro) el 08/11/2010 y línea de teléfono móvil C.C.C.. 7. La denunciante figura suscrita a dos servicios, el de “Envío de referencia de Renta”, con fecha de alta 03/03/2016, y el de “Alertas de Renta”, con fecha de alta 07/05/2010. En ambas suscripciones figura como línea de telefonía móvil la número B.B.B.. 8. En el sistema de gestión de envío de SMS del servicio de alertas consta el envío de un SMS con los datos de la casilla 490 de la declaración de la denunciante a la línea B.B.B., en fecha 13/04/2016. El SMS enviado contiene el siguiente texto “El importe de la casilla

(490)RENTA AA1 es D.D.D. del NIF *** E.E.E.** para solicitar su referencia con la que gestionar RENTA AA.” En este sistema constan vinculados al NIF de la denunciante envíos de SMS a la línea B.B.B. realizados en fechas 27/04/2012, 10/04/2013, 12/04/2014 y 10/04/2015. En estos mensajes se informaba que los datos fiscales para el NIF *** E.E.E.** de la Renta 201X estaban disponibles y se proporcionaba una referencia numérica para acceder a los datos a través del sitio web www.aeat.es. 9. La titularidad del número de línea móvil B.B.B. corresponde a la entidad Das Photonics, S.L., en la que la denunciante prestó servicio como empleada. La denunciante fue usuaria de dicha línea hasta julio de 2010, fecha en la que cesa su relación laboral con aquella entidad. Posteriormente, dicha línea fue asignada a otro empleado de Das Photonics, S.L., el cual recibió el SMS remitido por la AEAT a la línea B.B.B. en fecha 13/04/2016. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
2. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
3. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que el fichero al que pertenecen los datos personales en cuestión, atendiendo a su contenido (entre otros, datos personales relativos a nombre, apellidos, domicilio, teléfonos, estado civil, grado de discapacidad y titularidad de su vivienda habitual, datos económicos, datos de inmuebles; personas con las que convive el contribuyente, etc.), se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. Por otra parte, considerando la relación que la denunciante mantuvo con la empresa titular de la línea telefónica destinataria del SMS objeto de la denuncia, y con el usuario de la misma en el momento de envío, resulta obvio que en este caso la información contenida en dicho SMS pertenecía a una persona identificable. Prueba de ello es que el mismo receptor del SMS informó sobre el mismo a la propia denunciante. Por la misma razón, se entiende que el número de referencia incluido en los SMS remitidos a la misma línea de móvil en los años 2012 a 2015 posibilitaba el acceso a los borradores de declaración de la denunciante correspondiente a los ejercicios respectivos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 III Se imputa en el presente procedimiento a la entidad AEAT una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en los sistemas de información de la entidad AEAT correspondientes al servicios de alertas, asociada a los datos personales de la denunciante, hasta el año 2016 figuró registrada la línea de telefonía móvil B.B.B. a pesar de que la denunciante dejó de ser usuaria de la misma en julio de 2010 y que en el registro que contiene los datos censales de los contribuyentes figuraba la denunciante con una línea distinta (la indicada por la misma en todas sus declaraciones de IRPF a partir de 2010). Asimismo, consta que durante los años 2011 a 2016 la citada entidad utilizó dicho dato personal para el envío de SMS relacionados con la declaración de renta de la denunciante de los ejercicios respectivos. La denunciante se suscribió al servicio de alertas mediante la marcación de la casilla habilitada al efecto en la declaración de IRPF del año 2009, anotando el número de móvil B.B.B. en la casilla 31 (la misma casilla que se empleaba para anotar el teléfono de contacto que se registraba también en el fichero que contiene los datos censales de los contribuyentes. Sin embargo, ese teléfono fue actualizado, sustituido por otro distinto, por la interesada en su declaraciones del impuesto correspondientes a los ejercicios 2010 y siguientes. En la del ejercicio 2010, además, la denunciante no marcó la casilla 12, que servía para consentir el alta en los servicios de alerta. A pesar de ello y de que con posterioridad dejó de existir la casilla 12, la denunciante siguió incluida en el servicio de alertas y se le continuaron mandando SMS a la línea B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Con la manifestación realizada en la declaración de 2009, presentada en mayo de 2010, nada permitía a la denunciante deducir que esa suscripción era permanente para todos los ejercicios sucesivos, ni que los datos serían registrados en un fichero distinto al de los datos censales; o que las manifestaciones contrarias realizadas a través de las declaraciones posteriores y la variación de los datos reseñadas en éstas no operarían frente a las indicaciones expresadas en la declaración del 2009. Siendo así, no puede exigirse a los contribuyentes que actualizaran los datos anotados en un fichero de cuya existencia no tenían conocimiento. Lo razonable era pensar que los contribuyentes entenderían que la AEAT, para cualquier comunicación, haría uso de los últimos datos facilitados. Los mecanismos diseñadas por la AEAT en aquellos ejercicios para la suscripción a los servicios de alertas, junto con la información ofrecida a los contribuyentes, resultan, por tanto, confusos, tal como ha reconocido la propia AEAT en su escrito de alegaciones a la apertura del procedimiento. Es preciso añadir que los interesados no recibían información precisa al respecto. Ni en el la declaración de la Renta 2009, ni en ningún momento posterior, se informó a la denunciante que el teléfono móvil iba a incluirse en un fichero distinto del de contribuyentes. Al contrario, en el formulario cumplimentado por la misma en mayo de 2010, en el que marcó la opción del servicio de alertas (casilla 12), se reflejaba el siguiente texto informativo: “Si desea recibir mensajes SMS relacionados con la tramitación de esta declaración consigne una “X” en esta casilla y anote su teléfono móvil en la casilla 31”. Esta información es clara en cuanto al alcance otorgado a la manifestación de voluntad del interesado, referida exclusivamente a la tramitación de la declaración que está cumplimentando y no a las de ejercicios posteriores. Y en relación con el envío el borrador de la declaración del ejercicio siguiente, que se solicitaba mediante la marcación de la casilla 112, tampoco se advertía sobre el envío de mensajes SMS. En este caso, la información ofrecida era la siguiente: “Si desean que la Agencia Tributaria ponga a su disposición el borrador o los datos fiscales del ejercicio 2010 a través de su página en Internet, marque con una “X” esta casilla (en este caso, la Agencia Tributaria no enviará estos documentos por correo ordinario y el/los contribuyente/s podrá/n acceder a los mismos en la Sede Electrónica de la Agencia Tributaria www.agenciatributaria.gob.es, para lo cual el/los contribuyente/s deberá7n disponer de firma electrónica, bien la incorporada al DNI electrónico, bien la basada en cualquier certificado electrónico emitido por la AEAT)”. Si bien es cierto que en la guía y el manual de la declaración de 2009 se informa que, en el caso de haber solicitado el borrador del siguiente ejercicio o los datos fiscales, se informaría de su disponibilidad mediante SMS a los “contribuyentes que se hubiesen suscrito al servicio de alertas a móviles”, ni en el texto de la propia declaración de la renta, ni en las guías y manuales, cuyo detalle consta reseñado en el Hecho Probado Tercero, se advirtió claramente que marcar la casilla 12 implicase la suscripción al servicio de alertas de forma permanente para todos los ejercicios posteriores, o la anotación de los datos en un fichero diferenciado. Por tanto, los datos personales de la denunciante figuraron registrados en los sistemas de información de la AEAT asociados a un número de línea de telefonía inexacto, lo que constituye una vulneración del principio de calidad de datos. La entidad AEAT es responsable del sistema de información en el que constan registrados los contribuyentes suscritos a los servicios de alerta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 y, en consecuencia, responsable de los hechos constitutivos de la infracción a lo dispuesto en el artículo 4.3 y 4 de la LOPD. Teniendo en cuenta la información aportada en la declaración de 2010 y siguientes, así como el resto de circunstancias expresadas, AEAT estaba obligada a actualizar sus ficheros de datos, a su propia iniciativa, es decir, sin necesidad de que los afectados ejerciten su derecho de rectificación. De haber tenido en cuenta estas circunstancias, deberían haberse establecido los mecanismos adecuados y necesarios para evitar la inexactitud de la información registrada, en la que figura un número de línea de telefonía inexacto que se asoció a los servicios detallados. Dicha entidad actuó con falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “...un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, AEAT incumplió el mandato legal de que los datos respondan con exactitud a la situación real de los afectados, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. A este respecto, la Audiencia Nacional en su Sentencia de 21/05/2007, referida a un supuesto de error en el DNI asociado a un cliente, declaró: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
4. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos han sido recogidos con el consentimiento de los afectados y para asegurase también, antes de remitir los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 datos a un fichero de solvencia profesional, de la calidad del dato y de su exactitud, es decir que el número de documento nacional de identidad facilitado se corresponde realmente con el de la persona deudora cuyos restantes datos de carácter personal se facilitan. Pues bien, es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999”. IV Los hechos expuestos, en relación con el registro del dato personal relativo a la línea de telefonía móvil B.B.B. en los ficheros de la AEAT correspondientes a su Servicio de Alertas de Renta la AEAT asociado a los datos personales de la denunciante, sin haber procedido a su actualización, que dio lugar a su utilización para el envío a esa línea de telefonía de SMSs sobre la disponibilidad de los datos fiscales necesarios para la elaboración de las autoliquidaciones del Impuesto sobre la Renta de las Personas Físicas, una vez dicha línea dejó de pertenecer a la denunciante, suponen la comisión por parte de la citada entidad de una infracción del artículo 4, apartados 3 y 4, de la LOPD. La vulneración de lo dispuesto en el artículo 4 de la LOPD aparece tipificada en el artículo 44.3.
5. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: “Son infracciones graves:
6. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
7. c)de la LOPD por parte de AEAT, que trató datos inexactos de la denunciante, plenamente amparada por el derecho regulado en la normativa expuesta. Esta inexactitud de los datos tratados supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Este principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. V El presente procedimiento se inicia, además de lo expuesto en los Fundamentos de Derecho anteriores, para determinar las responsabilidades que resultan del acceso efectuado por parte de terceros a los datos personales de contribuyentes contenidos en los sistemas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 información de la entidad AEAT, concretamente a los datos personales contenidos en un SMS remitido por el servicio de alertas al número de línea B.B.B., de fecha 13/04/2016, en el que constaba la base liquidable de la declaración de IRPF de la denunciante correspondiente al ejercicio AA1, los cuales permitían acceder a la información fiscal de la misma. Por tanto, procede analizar el cumplimiento por parte de la entidad AEAT del deber de secreto establecido en el artículo 10 de la LOPD, que dispone lo siguiente: El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el caso que nos ocupa, ha quedado acreditado que AEAT vulneró este deber de confidencialidad en relación con la denunciante, según ha quedado expuesto. Esta información no puede ser facilitada a terceros, salvo consentimiento de la afectada o que exista una habilitación legal que permita su comunicación, que no concurren en el presente caso. Por tanto, queda acreditado que por parte de dicha entidad, se vulnera el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado que terceras personas tuviesen acceso a datos personales de los contribuyentes afectados. VI Los hechos expuestos, en relación con el acceso por parte de terceros a los datos personales de la denunciante contenidos en los SMSs remitidos a la línea de telefonía móvil C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 B.B.B., suponen la comisión por la AEAT de una infracción del artículo 10 de la LOPD, que regula el deber de secreto. La vulneración de este deber aparece tipificada como infracción grave en el artículo 44.3.
8. d)de la LOPD. En este precepto se establece lo siguiente: “
9. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, según ha quedado expuesto, consta acreditado que los datos personales de la denunciante fueron divulgados a un tercero por la entidad AEAT, no habiéndose acreditado que aquélla hubiesen prestado el consentimiento necesario para ello. Por tanto, se concluye que la conducta imputada a dicha entidad se ajusta a la tipificación prevista en el 44.3.
10. d)de la LOPD. VII Tratándose de infracciones cometidas por Administraciones Públicas, procede aplicar el artículo 46 de la LOPD, que establece lo siguiente: “1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores”. VIII En el presente caso, la entidad AEAT ha procedido al borrado de todos los teléfonos de la tabla asociada al Servicio de Alertas de Renta que no coincidían con el registrado en el Censo de contribuyentes; comprueba periódicamente las discrepancias entre el fichero de Alertas de Renta y el Censo de Contribuyentes; no se permitirán nuevas altas en el servicio de Avisos (ya antes del inicio de la Campaña 2015 se cerró la posibilidad de darse de alta en este servicio); y para la campaña 2016 ha resuelto no enviar SMS alguno con datos personales a los teléfonos que constan en la base de datos de suscriptores al servicio de alertas. Por otra parte, consta que la suscripción al servicio de alertas no puede realizarse en la actualidad a través del formulario de la declaración de IRPF. En consecuencia, se entiende que la entidad AEAT ha adoptado las medidas adecuadas para impedir que en el futuro pueda producirse de nuevo una infracción de lo dispuesto en los artículos 4 y 10 de la LOPD similar a la examinada en el presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la entidad AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA ha infringido lo dispuesto en el artículo 4, apartados 3 y 4, y el artículo 10 de la LOPD, tipificadas como graves en los artículos 44.3.
11. c)y 44.3.
12. d)de la misma norma, respectivamente. SEGUNDO: DECLARAR que la entidad AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, en relación con el Servicio de Alertas de Renta, ha adoptado medidas de orden interno adecuadas para impedir que en el futuro pueda producirse una nueva infracción de los artículos 4 y 10 de la LOPD similar a la analizada en el presente procedimiento. TERCERO: NOTIFICAR la presente resolución a la entidad AGENCIA ESTATAL DE ADMINISTRACION TRIBUTARIA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es