AI-00034-2024

1/10 Expediente N.º: EXP202314091 AI Nº: AI/00034/2024 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de septiembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00064270068 ante la Agencia Española de Protección de Datos contra HERMANOS FERNÁNDEZ LÓPEZ, S.A. con NIF A08620056 (en adelante, la parte reclamada/ HERMANOS F.L). El reclamante, miembro del comité de empresa en la empresa reclamada, indica que: - Los días 5 y 7 de diciembre de 2022 tuvo lugar una huelga sectorial, en la que afirma tuvo constancia que se vulneraba el derecho a la huelga de los trabajadores, por lo que entró en el centro de trabajo para verificar la situación. - Expresa que revisando su correo electrónico corporativo, se percata de que su inmediata superiora, responsable del departamento de logística, había estado usando el ordenador que usa el reclamante para trabajar y envió 3 correos electrónicos desde la dirección del correo corporativo del reclamante (***EMAIL.1) en su nombre y usando su firma de Outlook, para enviar información o contactar con proveedores, en lo que sería una suplantación de identidad. - La situación se denunció ante la Inspección de Trabajo y Seguridad Social (en adelante, ITSS). En las conclusiones del Informe de la ITSS de 13 de marzo de 2023, se recoge que la responsable del departamento de logística envió, desde el ordenador de trabajo del reclamante y usando la cuenta de correo electrónico corporativa, al menos 3 correos electrónicos a 3 direcciones de correo distintas, para poder seguir trabajando y no verse afectada por el hecho de que el reclamante estuviera ejerciendo su derecho de huelga. La ITSS resuelve iniciar procedimiento sancionador a la reclamada por concurrir indicios racionales de haber vulnerado el derecho de huelga de los trabajadores mediante estas acciones. El reclamante aporta junto con su reclamación:

1. a)escrito de reclamación ante la AEPD, con fecha de 26 de septiembre de 2023;
2. b)informe de la ITSS de 13 de marzo de 2023;
3. c)captura de pantalla del correo electrónico enviado desde la dirección corporativa del reclamante a un tercero, sobre ventas y facturas, usando la firma de Outlook del reclamante, con fecha de 5 de diciembre de 2022;
4. d)captura de pantalla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 del correo electrónico enviado desde la dirección corporativa del reclamante a otro tercero, sobre ventas y facturas, usando la firma de Outlook del reclamante, con fecha de 5 de diciembre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, fue recogido en fecha 11/10/2023, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 10/11/2023 se recibe en esta Agencia escrito de respuesta de la reclamada, indicando, sucintamente, que dispone de base de licitud para acceder al correo electrónico corporativo de la empresa, de acuerdo con lo previsto en el artículo 6.1.
5. f)del RGPD, dado que concurre un interés legítimo para continuación del negocio, y alega que se ha procedido conforme a lo establecido en el artículo 88 de la LOPDGDD, si bien se refiere al artículo 87 del mismo cuerpo legal, sobre el “Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral”, que permite al empleador acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales y garantizar la integridad de dichos dispositivos, con ciertos requisitos establecidos en dicho artículo que la reclamada dice haber cumplido. La reclamada reconoce que la superior jerárquico del reclamante accedió a su correo corporativo en ejercicio de esta facultad, que está prevista en la política de seguridad del personal, publicada en el portal del empleado, que informa al trabajador de la posibilidad de que el correo corporativo sea utilizado por otros responsables de la empresa. CUARTO: Con fecha 12 de diciembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia y procedimiento. De acuerdo con las funciones que el artículo 57.1 a),
6. f)y
7. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas No siendo competencia de esta Agencia determinar si los hechos enjuiciados podrían suponer una vulneración del derecho de huelga de los trabajadores, -cuestión que, por otra parte, ya está siendo dilucidada por la autoridad competente, que ha iniciado el correspondiente procedimiento contra la reclamada tal y como consta en la documentación aportada por el reclamante- el objeto de la presente resolución se ciñe a determinar si el acceso al correo corporativo del reclamante por parte de los responsables de la empresa puede constituir una infracción administrativa de la normativa de protección de datos personales. En este sentido, cabe señalar que la dirección de correo electrónico (corporativo o personal), nombre y apellidos de una persona física se consideran datos personales, cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” En el presente supuesto, consta que la reclamada es responsable de 3 operaciones de tratamiento de datos personales consistentes en la utilización del correo electrónico corporativo de un empleado (el reclamante), para remitir 3 correos electrónicos a diferentes destinatarios un día en que éste se hallaba ausente por acogerse a su derecho de huelga, correos en los que constaban los datos personales del mismo (dirección electrónica corporativa, así como el nombre y primer apellido del reclamante). La reclamada reconoce que la responsable del departamento de logística y administración al que pertenece el reclamante accedió al correo electrónico corporativo del reclamante para remitir 3 correos electrónicos a diferentes clientes el día 5 de diciembre de 2022, día en que ninguno de los miembros de dicho departamento estaba presente (uno por hallarse de baja por incapacidad, y los otros 3 por haberse acogido a su derecho de huelga), por lo que la responsable accedió al correo corporativo del reclamante y remitió 3 correos electrónicos a las 8,37 h, 8,38 h, y 12,38 horas, según constata la Inspección de Trabajo en el informe aportado al procedimiento. Se considera, por tanto, que la citada responsable del departamento actuó en representación de la empresa reclamada, que es la responsable del tratamiento de los datos personales de sus empleados y en concreto, de los que fueron objeto de utilización con ocasión de la remisión de estos 3 correos electrónicos. III Falta de concurrencia de una conducta infractora Como señala la empresa reclamada, el tratamiento de los datos personales realizado por el empleador respecto de los datos personales de sus empleados debe estar presidido por los principios que relaciona el artículo 5 del RGPD, entre los que se encuentra el Principio de licitud y transparencia previsto en el apartado primero del mismo, que dispone: “1. Los datos personales serán:
8. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); [...]” En desarrollo de este principio, el artículo 6 del RGPD relativo a la “Licitud del tratamiento” determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
15. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente supuesto, la reclamada plantea en su escrito de respuesta al traslado realizado por esta Agencia que no ha vulnerado la normativa de protección de datos personales, puesto que disponía de una base de licitud prevista en el artículo 6.1.
16. f)del RGPD que habilitaba al empleador a acceder al correo corporativo de los empleados que se hallen ausentes, al concurrir un interés legítimo del responsable para garantizar la continuidad del negocio y el cumplimiento de las obligaciones laborales, y estar los empleados informados de dicha posibilidad, que consta en la política de seguridad de la empresa, que se haya publicada en el portal del empleado de la empresa. La reclamada señala así mismo, para fundamentar la licitud del acceso y utilización de la cuenta corporativa de correo electrónico del reclamante, lo siguiente: “ De igual manera debemos mencionar el Derecho de Acceso y Control del Empleador (Artículo 88 LOPDGDD), el cual dictamina que el acceso al correo electrónico profesional y la adopción de medidas de vigilancia y control se enmarcan en el derecho del empleador a supervisar y controlar las actividades laborales, siempre respetando la dignidad humana del trabajador, cumpliendo con el Artículo 13 RGPD, siendo comunicación de información al reclamante sobre la política de privacidad y el uso del correo electrónico, cumpliendo con el deber de informar establecido”. Y en base a ello, mantiene que: “el trabajador en todo momento se encontraba informado, teniendo en cuenta que del correo electrónico propiedad de la empresa no se puede esperar privacidad alguna más que la relevancia al respeto de la dignidad humana, cabe destacar que el correo electrónico utilizado es de dominio @grupofernandez.es, lo cual hace que la propiedad de este correo sea del Responsable y que el Responsable actuó con finalidades licitas y en busca de un interés legítimo”. Respecto a la concurrencia de una posible base de licitud del artículo 6.1.f del RGPD, cabría analizar si en el presente supuesto concurre un “interés legítimo perseguido por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 que requieran la protección de datos personales”, como sería, el derecho de privacidad o intimidad del trabajador sobre sus comunicaciones. En este sentido, es cierto que, como señala la reclamada, el artículo 87 de la LOPDGDD (y no el artículo 88), habilitaría al empresario a controlar los dispositivos digitales puestos a disposición del trabajador (como por ejemplo, el correo electrónico corporativo y terminal desde el que se remite), lo que incluiría acceder a la cuenta corporativa de un empleado a los efectos de remitir correos electrónicos desde la misma, como ha sucedido en el supuesto presente, siempre que concurran los siguientes requisitos: Artículo 87. Derecho a la intimidad y uso de dispositivos digitales en el ámbito laboral. 1. Los trabajadores y los empleados públicos tendrán derecho a la protección de su intimidad en el uso de los dispositivos digitales puestos a su disposición por su empleador. 2. El empleador podrá acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos. 3. Los empleadores deberán establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente. En su elaboración deberán participar los representantes de los trabajadores. El acceso por el empleador al contenido de dispositivos digitales respecto de los que haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de los trabajadores, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados. Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado. Esto es, de acuerdo con el citado precepto, el acceso al uso de los dispositivos/medios digitales puestos a disposición del trabajador por el empresario (como el correo electrónico corporativo), no vulnerará la normativa de protección de datos personales, siempre y cuando el empleador tenga por fin controlar el cumplimiento de obligaciones laborales o garantizar la integridad de dichos dispositivos, se sigan unos criterios de utilización de los dispositivos que hayan sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 debidamente informados al trabajador, y se respete la protección de su intimidad y derechos reconocidos. Para determinar si en cada caso concurre una adecuada ponderación entre la intimidad del trabajador y la facultad de vigilancia y control del cumplimiento de sus obligaciones laborales por la empresa, cabe aplicar la doctrina que ha sido señalado por la jurisprudencia del Tribunal Europeo de Derechos Humanos, y recogida por la Sentencia dictada por el Tribunal Supremo en unificación de doctrina número 119/2018 de 8 Feb. 2018”, que en un asunto similar al presente, señala que el empresario tiene legitimación para controlar la correspondencia electrónica de los empleados, siempre que se cumplan los requisitos y límites que se resumen en el Fundamento Jurídico 7.5º de la siguiente manera: “La lectura de los prolijos razonamientos utilizados por el TEDH en el asunto «Barbulescu», pone de manifiesto -entendemos- que el norte de su resolución estriba en la ponderación de los intereses en juego, al objeto de alcanzar un justo equilibrio entre el derecho del trabajador al respeto de su vida privada y de su correspondencia, y los intereses de la empresa empleadora (así, en los apartados 29, 30, 57, 99, 131 y 144). Y al efecto -resumimos- son decisivos factores a tener en cuenta:
17. a)el grado de intromisión del empresario;
18. b)la concurrencia de legítima razón empresarial justificativa de la monitorización;
19. c)la inexistencia o existencia de medios menos intrusivos para la consecución del mismo objetivo;
20. d)el destino dado por la empresa al resultado del control;
21. e)la previsión de garantías para el trabajador. Como es de observar, tales consideraciones del Tribunal Europeo nada sustancial añaden a la doctrina tradicional de esta propia Sala (las ya citadas SSTS 26/09/07 -rcud 966/06 - ; 08/03/11 -rcud 1826/10 -; y SG 06/10/11 -rco 4053/10 -) y a la expuesta por el Tribunal Constitucional en la sentencia de contraste [ STC 170/2013 ], así como a las varias suyas que el Alto Tribunal cita [así, SSTC 96/2012, de 7/Mayo, FJ 10 ; 14/2003, de 28/Enero, FJ 9 ; y 89/2006, de 27/Marzo , FJ 3], pues sin lugar a dudas los factores que acabamos de relatar y que para el TEDH deben tenerse en cuenta en la obligada ponderación de intereses, creemos que se reconducen básicamente a los tres sucesivos juicios de «idoneidad», «necesidad» y «proporcionalidad» requeridos por el TC y a los que nos hemos referido en el FD Quinto [5.b)].” Pues bien, en el supuesto presente, constan las siguientes evidencias que corroboran la versión de la parte reclamada: - En el Informe de la ITSS de 13 de marzo de 2023, que tiene presunción de veracidad, se indica que la inspectora pudo comprobar que durante el día 5 de diciembre de 2022, cuando se remitieron los 3 correos electrónicos enjuiciados, los 4 miembros del departamento de administración y logística al que pertenecía el reclamante, se hallaban ausentes (uno por baja, y 3 por acogerse a su derecho de huelga), siendo la responsable del departamento la única miembro de dicho departamento que se hallaba presente para poder hacerse cargo de remitir estos correos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 - Consta que los 3 correos electrónicos se remitieron a diferentes clientes/ proveedores de la empresa reclamada, teniendo una clara intención de continuación de la actividad comercial durante el día de la huelga. - La dirección de correo electrónico al que se accedió por la empresa, ***EMAIL.2, se correspondía con el correo electrónico corporativo y no el personal del reclamante, puesto que el dominio del correo se correspondía con el de la empresa.. - Los trabajadores estaban informados de la posibilidad de acceso a su correo electrónico corporativo por parte de los responsables de la empresa, puesto que se ha aportado al procedimiento el documento de “política de seguridad del personal para el tratamiento de los datos personales”, que se halla publicada en el portal del empleado de la organización, en cuyo apartado “Información sobre el acceso al correo electrónico” se establecía claramente esta posibilidad, en los siguientes términos: “El compromiso que HERMANOS FERNÁNDEZ LÓPEZ, S.A.U. ha asumido para asegurar la privacidad de la información personal tratada o cedida se concreta en que el uso del correo electrónico por cada trabajador debe realizarse, de forma exclusiva, dentro del ámbito de la actividad laboral, pues se trata de una herramienta puesta por la empresa para tal fin. En consecuencia, todo trabajador estará obligado a realizar el trabajo convenido bajo la dirección del empresario o persona en quien delegue, siendo posible el acceso al correo electrónico profesional tanto por parte del empresario como por aquellas personas por él designadas o encargadas. Asimismo, el empresario podrá adoptar las medidas de vigilancia y control que estime más oportunas para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana. El trabajador ha de saber que, entre otros mecanismos, se podrán aplicar técnicas con el fin de controlar su ordenador, con y sin previo aviso, y sin perjuicio de la posible aplicación de otras medidas de carácter preventivo, como la exclusión de determinadas conexiones, las revisiones, el análisis o la monitorización remota, la indexación de la navegación por Internet, la revisión y monitorización del correo electrónico y/o del uso de su ordenador o la consulta de aquellos mensajes de voz que se incluyan en el buzón de voz del dispositivo móvil facilitado por la empresa…” En consecuencia, según la doctrina del TEDH y nuestro TS, y de acuerdo con dispuesto en los artículos 6.1.
22. f)del RGPD, y artículo 87 de la LOPDGDD, se entiende por esta Agencia que el supuesto presente la empresa reclamada tenía legitimación suficiente (base de licitud) para acceder a la cuenta corporativa del reclamante, sin que se conste una intromisión en la privacidad del reclamante, toda vez que la remisión de estos 3 correos electrónicos se realizó desde un correo corporativo y no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 personal del empleado, en ejercicio de un interés legítimo de la empresa para continuar su actividad comercial, sin que fuera posible acudir a otro medio menos intrusivo, en ausencia de los 4 trabajadores que podían remitir dicho correo electrónico; y habiéndose cumplido con las garantías previstas en el artículo 87 de la LOPDGDD, dado que el trabajador había sido informado de la posibilidad de utilización de su cuenta de correo corporativo por otros responsables de la empresa, puesto que tal mención consta en la política de seguridad del personal de la empresa. . No se observa, por tanto, infracción alguna de la normativa en materia de protección de datos personales por parte de la entidad reclamada, sin que proceda realizar pronunciamiento alguno acerca de la presunta vulneración del derecho de huelga alegada por el reclamante, toda vez que se trata de un asunto que excede del ámbito competencial de esta Agencia. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir responsabilidad por las operaciones de tratamiento de datos personales realizadas por la reclamada a las que se refiere la presente reclamación, de acuerdo con lo señalado por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a HERMANOS FERNÁNDEZ LÓPEZ, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
23. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es