1/9 Expediente Nº: E/06454/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad PLATAFORMA PER CATALUNYA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de diciembre de 2018, Don A.A.A., (en adelante, el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos exponiendo que en las versiones en catalán (***URL.1) y castellano (***URL.2) de la página web del partido político PLATAFORMA PER CATALUNYA, (en adelante, el reclamado o PXC), no figuraba información relativa al “Aviso Legal”, “Política de Privacidad” y “Uso de Cookies” . SEGUNDO: De conformidad con lo dispuesto en el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en lo sucesivo LOPDGDD), con fecha 18 de enero de 2019 se trasladó dicha reclamación al reclamado solicitándole información relativa a los hechos expuestos en la misma. Con fecha 7 de febrero de 2019 se registra de entrada escrito del reclamado poniendo de manifiesto que las dos versiones de la citada página web cuentan con todos los apartados reseñados por el reclamante, lo que justifica remitiendo impresión de captura que muestra la ubicación exacta de los mismos. Añade que se ha ampliado y centrado su ubicación para mejorar su visibilidad a los usuarios y proporciona los enlaces que conducen a los citados documentos legales. Con arreglo a todo lo cual, el reclamado solicita el archivo de la reclamación. TERCERO: A la vista de dicha contestación, con fecha 19 de febrero de 2019 la Subdirección General de Inspección de Datos de esta Agencia accede a las dos versiones del reseñado sitio web constatando: 2.1 Que los enlaces correspondientes a los documentos mencionados están situados al pie de la página de inicio de la página web. Por lo cual los usuarios del portal no tienen acceso a la información ofrecida por el reclamado sobre el uso de enlace que lleva a la “Política de Cookies”. 2.2 En el documento “Política de Cookies” el reclamado informa lo siguiente sobre el uso de cookies o dispositivos de almacenamiento y recuperación de datos: “La presente Política regula el uso de cookies en la página web de PLATAFORMA PER CATALUYA. La página de PLATAFORMA PER CATALUNYA utiliza cookies para mejorar la funcionalidad a los usuarios, conservar sus preferencias y obtener datos anónimos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 agregados que permiten disponer de estadísticas de uso. PLATAFORMA PER CATALUNYA no actúa sobre las cookies de páginas web de terceros. Los usuarios pueden permitir, bloquear o eliminar las cookies instaladas en su equipo mediante la configuración de las opciones del navegador instalado en su ordenador. ¿Qué es una cookie? Una cookie no es más que un fichero de texto que algunos servidores piden a nuestro navegador que escriba en nuestro disco duro, con información acerca de lo que hemos estado haciendo por sus páginas. Entre las mayores ventajas de las cookies se cuenta el hecho de ser almacenadas en el disco duro del usuario, liberando así al servidor de una importante sobrecarga. Es el propio cliente el que almacena la información y quien se la devolverá posteriormente al servidor cuando éste la solicite. Además, las cookies poseen una fecha de caducidad, que puede oscilar desde el tipo que dure la sesión hasta una fecha futura especificada, a partir de la cual dejan de ser operativas. También ayudan al administrador de la página a conocer información estadística aspecto al uso que se realiza de la misma. Esta información se genera de forma anónima y agregada, y ningún caso permite la identificación de usuario utilizándose exclusivamente para controlar y mejorar el funcionamiento de la página web. Puede eliminar las cookies en cualquier momento, o bien rechazarlas siguiendo las instrucciones establecidas para el navegador que utilice. 2.3 Que en el “Aviso Legal. Política de Privacidad de PLATAFORMA PER CATALUNYA” figura la siguiente información: “En relación a las “cookies” que PXC utiliza en la navegación a través de sus páginas web, se almacenan en el equipo terminal del usuario (ordenador o dispositivo móvil) y recopilan información al visitar dichas páginas web, con la finalidad de mejorar la usabilidad de las mismas, conocer los hábitos o necesidades de navegación de los usuarios para poder adaptarse a ellos, así como obtener información con fines estadísticos. En el caso de aquellos usuarios que ya sean usuarios de PXC, la información recabada con las cookies servirá también para su identificación al acceder a las distintas herramientas que PXC pone a su disposición. En cualquier caso, los usuarios pueden configurar su navegador, de manera que se deshabilite o loquee la recepción de todas o algunas de las cookies. El hecho de no desear recibir estas de PXC aunque el uso de algunos servicios podrá ser limitado. Si una vez otorgado el consentimiento para la recepción de cookies, se desease retirar éste, se deberán eliminar aquellas almacenadas en el equipo del usuario, a través de las opciones de los diferentes navegadores. Toda la información sobre las cookies utilizadas por PXC, se encuentra publicada en su Política de Cookies”. Atendido que el lugar en el que se mostraba la información relativa al uso de clara y completa en orden a la obtención de un consentimiento previo e informado de los usuarios del portal al uso de las cookies utilizadas, amén de la falta de ofrecimiento de medios para poder rechazar su instalación en su conjunto o a través de un bloqueo o rechazo selectivo de las mismas, con fecha 19 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la mencionada reclamación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 CUARTO: En el marco de las actuaciones previas de investigación practicadas con arreglo a lo previsto en el artículo 67 de la LOPDGDD, con fechas 6 y 7 de junio de 2019 se accede al sitio web ***URL.1 verificándose los siguientes hechos: 4.1 Que los enlaces al “Aviso Legal”, “Política de Privacidad” y “Uso de visibles a los usuarios que accedían al portal. No ofrecía una información previa, clara y completa sobre la tipología de las cookies de tercera parte usadas en el sitio web, no se identificaba a esos terceros ni los fines del tratamiento de los datos almacenados a través de las mismas y modo habilitado para poder aceptar, rechazar o configurar las 4.2 Que se instalaban cookies analíticas del servicio de Google Analytics y de preferencias o personalización con carácter previo a la obtención del consentimiento informado de los usuarios. FUNDAMENTOS DE DERECHO I La Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones, de conformidad con lo establecido en el artículo 43.1, párrafo segundo, de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI). El mencionado artículo 43.1 de la LSSI dispone: “1. La imposición de sanciones por el incumplimiento de lo previsto en esta Ley corresponderá, en el caso de infracciones muy graves, al Ministro de Industria, Energía y Turismo, y en el de infracciones graves y leves, al Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información. No obstante lo anterior, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos
- a)y
- b)del artículo 38.2 de esta Ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c),
- d)e
- i)y 38.4 d),
- g)y
- h)de esta Ley.” II El Artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, establece: “Artículo 47. Funciones y potestades de la Agencia Española de Protección de Datos Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 Asimismo, corresponde a la Agencia Española de Protección de Datos el desempeño de las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.” Por su parte, la Disposición adicional cuarta de la LOPDGDD determina: “Disposición adicional cuarta. Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” III De las actuaciones de investigación practicadas, se desprende la utilización de titular del sitio web ***URL.1 sin mediar el consentimiento previo e informado de los usuarios que acceden a dicho portal, tanto en su versión en castellano como en su versión en catalán, amén de las irregularidades reseñadas en cuanto al tipo de información proporcionada a los mismos. En el presente caso, se trata de dilucidar si tales hechos pudieran constituir por parte del reclamado, titular de la página web objeto de análisis, infracción a lo previsto en el artículo 22.2 de la LSSI, precepto que dispone que: “Los prestadores de servicios podrán utilizar dispositivos de almacenamiento y recuperación de datos en equipos terminales de los destinatarios, a condición de que los mismos hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular, sobre los fines del tratamiento de los datos, con arreglo a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Cuando sea técnicamente posible y eficaz, el consentimiento del destinatario para aceptar el tratamiento de los datos podrá facilitarse mediante el uso de los parámetros adecuados del navegador o de otras aplicaciones. Lo anterior no impedirá el posible almacenamiento o acceso de índole técnica al solo fin de efectuar la transmisión de una comunicación por una red de comunicaciones electrónicas o, en la medida que resulte estrictamente necesario, para la prestación de un servicio de la sociedad de la información expresamente solicitado por el destinatario”. (El subrayado es de la AEPD) La citada infracción está tipificada como leve en el artículo 38.4.
- g)de dicha norma, que considera como tal “Utilizar dispositivos de almacenamiento y recuperación de datos cuando no se hubiera facilitado la información u obtenido el consentimiento del destinatario del servicio en los términos exigidos por el artículo 22.2.”, pudiendo sancionarse conforme a lo previsto en el artículo 39.1.
- c)de la LSSI, con multa de hasta 30.000 €. El artículo 2.1 de la misma norma establece: “1. Esta Ley será de aplicación a los prestadores de servicios de la sociedad de la información establecidos en España y a los servicios prestados por ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Se entenderá que un prestador de servicios está establecido en España cuando su residencia o domicilio social se encuentren en territorio español, siempre que éstos coincidan con el lugar en que esté efectivamente centralizada la gestión administrativa y la dirección de sus negocios. En toro caso, se atenderá al lugar en que se realice dicha gestión o dirección. El artículo 37 de la LSSI establece, bajo la rúbrica “Responsables”, que: “Los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este título cuando la presente Ley les sea de aplicación. Cuando las infracciones previstas en el artículo 38.3.
- i)y 38.4.
- g)se deban a la instalación de dispositivos de almacenamiento y recuperación de la información como consecuencia de la cesión por parte del prestador del servicio de la sociedad de la información de espacios propios para mostrar publicidad, será responsable de la infracción, además del prestador del servicio de la sociedad de la información, la red publicitaria o agente que gestione directamente con aquel la colocación de anuncios en dichos espacios en caso de no haber adoptado medidas para exigirle el cumplimiento de los deberes de información y la obtención del consentimiento del usuario” Las letras
- a)y
- c)del Anexo de la LSSI definen :
- a)«Servicios de la sociedad de la información» o «servicios»: todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: 1.º La contratación de bienes o servicios por vía electrónica. 2.º La organización y gestión de subastas por medios electrónicos o de mercados y centros comerciales virtuales. 3.º La gestión de compras en la red por grupos de personas. 4.º El envío de comunicaciones comerciales. 5.º El suministro de información por vía telemática. No tendrán la consideración de servicios de la sociedad de la información los que no reúnan las características señaladas en el primer párrafo de este apartado y, en particular, los siguientes: (….)”
- c)«Prestador de servicios» o «prestador»: persona física o jurídica que proporciona un servicio de la sociedad de la información. IV El informe 0083/2014 del Gabinete Jurídico de la Agencia en contestación a una consulta sobre el ámbito subjetivo de aplicación de la LSSI en relación con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 regulación de los dispositivos de almacenamiento y recuperación de Información señalaba lo siguiente: “Se plantea cuál es el ámbito subjetivo de aplicación de este artículo 22.2 LSSI, básicamente cuestionándose si se aplica sólo a los prestadores de servicios de la sociedad de la información o en el ámbito de cualquier servicio de comunicaciones electrónicas que instale cookies; y en concreto si la Universidad consultante puede tener la consideración de prestador de servicios de la sociedad de la información. Para una adecuada hermenéutica del artículo y para una exposición sistemática, partimos de los sistemas generales de interpretación de normas que nuestro derecho establece, que no son otros que aquellos a que se refiere el artículo 3.1 del Código Civil: “Las normas se interpretarán según el sentido propio de sus palabras, en relación con el contexto, los antecedentes históricos y legislativos, y la realidad social del tiempo en que han de ser aplicadas, atendiendo fundamentalmente al espíritu y finalidad de aquéllas”. Se establecen así los criterios de interpretación literal (el sentido propio de las palabras, que cuando sea suficiente deberá prevalecer puesto que in claris non fit interpretatio); el sistemático (la situación del precepto en la ley, título y capítulo de la misma); interpretación histórica, incluyendo no sólo antecedentes históricos, sino también normas relacionadas de las que la estudiada procede; la interpretación conforme a la realidad social; y la interpretación teleológica de la norma, el espíritu y finalidad de la misma. Pues bien, teniendo en cuenta tales criterios, comenzaremos delimitando el tenor literal y la posición sistemática del precepto. El artículo 22.2 LSSI aparece recogido dentro del Título III de dicha norma, sobre las comunicaciones comerciales por vía electrónica. La rúbrica del precepto es “Derechos de los destinatarios de servicios”; y literalmente el art. 22.2 comienza delimitando quiénes serán los obligados por la norma, que podrán utilizar dispositivos de almacenamiento y recuperación de datos, hablando de “los prestadores de servicios”. Se trata, por tanto, de conceptos propios de la LSSI, que cuentan todos ellos con una definición establecida en la propia norma: por un lado, tanto la rúbrica del artículo como el tenor literal del artículo hablan del destinatario, que según el apartado
- d)del Anexo de la LSSI es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información. Es decir, no estamos hablando de todo tipo de usuarios, sino de destinatarios en sentido legal. Por otro lado, el Anexo de la LSSI define en su apartado
- c)al prestador de servicios como la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. Y por servicio de la sociedad de la información el apartado
- a)entiende “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Y es que el art. 1 LSSI al identificar el objeto de la norma señala que “es objeto de la presente Ley la regulación del régimen jurídico de los servicios de la sociedad de la información y de la contratación por vía electrónica…”. Y por eso el artículo 2 determina el ámbito de aplicación de la LSSI, en cuanto a los servicios ofrecidos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 prestados de los establecidos en España u ofrecidos a través de un establecimiento en España, pero siempre hablando de los prestadores de servicios. Es decir, la LSSI se aplica subjetivamente a los prestadores de servicios de la sociedad de la información, no a cualquier otro sujeto. Los conceptos utilizados por el art. 22.2 LSSI, reiteramos, son conceptos legales, como son “servicios de la sociedad de la información”, “prestador de servicios” y “destinatario”, que están definidos en la propia norma. Por tanto, el criterio para determinar si un servicio o página web está incluido dentro del ámbito de aplicación de la Ley de Servicios de la Sociedad de la Información es si constituye o no una actividad económica para su prestador. Todos los servicios que se ofrecen a cambio de un precio o contraprestación están, por tanto, sujetos a la dicha Ley. Sin embargo, el carácter gratuito de un servicio no determina por sí mismo que no esté sujeto a la Ley. Existen multitud de servicios gratuitos ofrecidos a través de Internet que representan una actividad económica para su prestador (como los ingresos de patrocinadores) y, por lo tanto, estarían incluidos dentro de su ámbito de aplicación. No lo estarán, en cambio, las actividades que no sean incardinables en el concepto estudiado por no constituir una actividad económica para el prestador. Así, el artículo 22.2 se ha integrado en la LSSI utilizando conceptos propios de dicha norma; y se trata de conceptos legales, no vulgares, que cuentan con una definición establecida en la propia ley, que los delimita. Más aún, la propia Exposición de Motivos de la LSSI – ya en su redacción inicial, claro está – afirmaba en el apartado II que se acoge en dicha ley “un concepto amplio de servicios de la sociedad de la información, que engloba, además de la contratación de bienes y servicios por vía electrónica, el suministro de información por dicho medio (como el que efectúan los periódicos o revistas que pueden encontrarse en la red), las actividades de intermediación relativas a la provisión de acceso a la red, a la transmisión de datos por redes de telecomunicaciones, a la realización de copia temporal de las páginas de Internet solicitadas por los usuarios, al alojamiento en los propios servidores de información, servicios o aplicaciones facilitados por otros o a la provisión de instrumentos de búsqueda o de enlaces a otros sitios de Internet, así como cualquier otro servicio que se preste a petición individual de los usuarios (descarga de archivos de vídeo o audio...), siempre que represente una actividad económica para el prestador. Estos servicios son ofrecidos por los operadores de telecomunicaciones, los proveedores de acceso a Internet, los portales, los motores de búsqueda o cualquier otro sujeto que disponga de un sitio en Internet a través del que realice alguna de las actividades indicadas, incluido el comercio electrónico”. Como vemos, la LSSI no se aplica a todo tipo de comunicaciones electrónicas, sino sólo a los servicios de la sociedad de la información; aunque su necesidad surge de la extraordinaria expansión de Internet, su propósito no es regular las comunicaciones electrónicas, sino sólo los servicios de la sociedad de la información (Títulos II, III y VI) y especialmente la contratación electrónica (Título IV), junto con las acciones de cesación en materia de protección de los intereses de los consumidores (Título V). Y es que el ámbito subjetivo y objetivo de la ley 34/2002 coincide con el propio de la Directiva que traspone: como afirma la Exposición de Motivos de la LSSI en su apartado I, el propósito de la LSSI no es otro que “la incorporación al ordenamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 jurídico español de la Directiva 2000/31/CE” (junto con la incorporación parcial de la Directiva 98/27/CE que es ajena al problema que nos ocupa).” V Delimitado el ámbito subjetivo de aplicación de la LSSI, cabe señalar, respecto de la naturaleza de los partidos políticos, que se configuran como un instrumento de formación de la voluntad popular, como establece el artículo 6 de la Constitución Española, que establece lo siguiente: “Los partidos políticos expresan el pluralismo político, concurren a la formación y manifestación de la voluntad popular y son instrumento fundamental para la participación política. Su creación y el ejercicio de su actividad son libres dentro del respeto a la Constitución y a la ley. Su estructura interna y funcionamiento deberán ser democráticos.” A lo que hay que añadir lo que ha señalado el Tribunal Constitucional, en los Fundamentos Jurídicos de su Sentencia 48/2003, que considera que los partidos políticos se encuentran habilitados para ejercer el derecho a la libertad de información, para así configurar dicha opinión pública, siendo dicha sentencia, del tenor siguiente: (Sobre los partidos políticos) “Se trata, por tanto, de asociaciones cualificadas por la relevancia constitucional de sus funciones; funciones que se resumen en su vocación de integrar, mediata o inmediatamente, los órganos titulares del poder público a través de los procesos electorales. (…) Los partidos son, así, unas instituciones jurídicopolíticas, elemento de comunicación entre lo social y lo jurídico que hace posible la integración entre gobernantes y gobernados, ideal del sistema democrático. Conformando y expresando la voluntad popular, los partidos contribuyen a la realidad de la participación política de los ciudadanos en los asuntos públicos (art. 23 CE)…” Y continúa diciendo: “Su cualificación funcional no desvirtúa la naturaleza asociativa que está en la base de los partidos, pero eleva sobre ella una realidad institucional diversa y autónoma que, en tanto que instrumento para la participación política en los procesos de conformación de la voluntad del Estado, justifica la existencia de un régimen normativo también propio, habida cuenta de la especificidad de esas funciones. La relevancia constitucional de los partidos les viene dada por pretender un fin cualificado de interés público y de cuya aspiración se sirve el Estado para proveer a la integración de los procedimientos de formación de la voluntad general… “ Sentado lo anterior, y no obstante el resultado de las actuaciones de investigación practicadas, ha de tenerse en cuenta que también a raíz de esas mismas actuaciones se ha constatado que el sitio web analizado constituye el portal institucional de un partido político (PLATAFORMA PER CATALUNYA), estando su contenido relacionado con el ejercicio de las funciones que le son propias. De lo que cabe concluir que el servicio prestado por el reclamado a través del mencionado portal no se encuadra en la definición de servicio de la sociedad de la información, no pudiendo, tampoco calificarse al citado partido político como un prestador de servicios de la sociedad de la información. De lo expuesto no es posible incardinar a los partidos políticos, respecto de la actividad desarrollada a través de sus páginas web institucionales, como Prestadores de Servicios de la Sociedad de la Información, por lo que, con arreglo a lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 en los artículos 2, 37 y 43 de la LSSI, no se encuentran bajo el ámbito de aplicación de la citada norma ni sujetos al régimen sancionador establecido en la misma, procediendo, en consecuencia, el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a PLATAFORMA PER CATALUNYA y a Don A.A.A.. Con arreglo a lo establecido en el artículo 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, (en adelante LOPDGDD) la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es