E-08847-2019

(10)días hábiles siguientes a la recepción de la notificación escrita del Encargado de Tratamiento establecida en la cláusula 7.1.1 incluyendo la información establecida en la cláusula 7.1.3 10.ELIMINACIÓN DE DATOS PERSONALES 10.1. El Encargado de Tratamiento eliminará o devolverá, a elección de Vodafone, los Datos Personales a los que haya tenido acceso durante el desempeño de las actividades recogidas en el Acuerdo, según las políticas de conservación de datos establecidas en el Apéndice de Tratamiento correspondiente para los Servicios prestados y en cualquier otro momento que Vodafone pueda requerir de manera ocasional. 10.2. En caso de terminación o expiración de cualquiera de los Servicios pertinentes, con respecto a dichos Servicios, los Datos Personales restantes serán destruidos o devueltos a Vodafone, a discreción de Vodafone, junto con cualquier soporte o documento que contenga Datos Personales. 10.3. En caso de terminación o expiración del Acuerdo, los Datos Personales restantes serán destruidos o devueltos a Vodafone, a discreción de Vodafone, junto con cualquier soporte o documento que contenga Datos Personales.” d. En el ANEXO 3 del mismo documento con título del anexo “ANEXO 3 Requerimientos Mínimos de Seguridad del Grupo” consta: i. Que se establecen tres niveles de seguridad para los diferentes tipos de datos: básico, medio y alto. Que se describen los tipos de datos a los que se aplica cada nivel de seguridad, ii. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 Se detallan las medidas de seguridad a aplicar según el nivel de seguridad de los datos. iii. Que para el nivel básico constan, entre otras, las siguientes medidas de seguridad: iv. 1. Medidas organizativas: Existencia del responsable de seguridad responsable del cumplimiento de los requerimientos mínimos. a. Los datos de contacto del responsable de seguridad serán comunicados al responsable del tratamiento. b. Se establecerá un documento de seguridad actualizado y revisado con el siguiente contenido: c. i. Alcance de los recursos protegidos. ii. Medidas, normas, procedimientos, normas de conducta y normas que garanticen la seguridad incluso para el control, inspección y supervisión de los sistemas de información. iii. Funciones y obligaciones del personal. iv. Estructura de los ficheros que contengan datos personales y una descripción de los sistemas de información que los procesan. v. Los fines para los cuales se pueden utilizar los sistemas de infor- mación. vi. Procedimientos para informar, administrar y responder a inciden- tes. vii. Procedimientos para realizar copias de seguridad y recuperación de datos. d. Plan de seguridad que deberá contener: i. Medidas de seguridad relacionadas con: La modificación y mantenimiento del sistema utilizado para el tratamiento de datos personales, incluyendo el desarrollo y mantenimiento de aplicaciones. • • seguridad hardware y software • Seguridad de edificios • Infraestructuras de telecomunicaciones. • Controles ambientales. • Integridad y confidencialidad de los datos. • Clasificación de los datos. • Ordenadores. • Copias de respaldo. • Antivirus. • Seguridad del código. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 • Implementación del software. • Bases de datos. • Conexión con internet. • Mecanismos de registro y plan de acción asociado a los Intentos de acceso. i. Plan de recuperación en caso de catástrofe. ii. Plan de contingencia abordando los posibles riesgos. El documento de seguridad y todos los registros y documentación relacionados se conservarán por un período mínimo de 5 años a partir del final del tratamiento. b. c. Funciones y obligaciones del personal. i. Obligación de confidencialidad. ii. Medidas para concienciar y capacitar. iii. Claramente definidas y documentadas. Los equipos electrónicos no deben quedarse desatendidos. iv. v. Acceso físico restringido. Medidas disciplinarias claramente definidas y documentadas así como deben comunicarse al personal. vi. 2. Medidas técnicas. a. Autorización. i. Existencia de un registro de usuarios autorizados. ii. Diferentes perfiles para autorizar diferentes fines. Identificación. a. i. Identificación personal única no asignable a otra persona ni siquiera en un momento posterior. b. Autenticación. i. Basado en contraseña secreta o ii. Alternativamente basado en un dispositivo de autenticación. Procedimiento que garantice la confidencialidad e integridad de la contraseña. iii. Las contraseñas constarán de al menos 8 caracteres o en el número máximo permitido de caracteres. No contendrán ningún elemento que pueda ser fácilmente relacionado con el usuario autorizado. Deberá cambiarse a intervalos regulares de tiempo y deben cambiarse al menos cada 6 meses. iv. Dar instrucciones a los usuarios para mantener la confidencialidad de las credenciales y que los dispositivos son utilizados y mantenidos exclusivamente por los usuarios autorizados. v. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 Las credenciales se desactivarán si no han sido utilizadas durante al menos 6 meses. vi. d. Control de acceso. Los usuarios autorizados deberán tener acceso únicamente a aquellos datos y recursos necesario para el cumplimiento de sus obligaciones. i. Se verificará al menos anualmente que se siguen aplicando los requerimientos previos para conservar los perfiles de autorización. ii. Se establecerán medidas para evitar que un usuario obtenga acceso no autorizado. Se deben instalar servidores de seguridad y sistemas de detección de intrusos. iii. Se establecerán medidas para identificar cuándo se ha tenido acceso a los sistemas de información, cuándo se han tratado los datos personales sin autorización o cuándo se ha intentado infructuosamente el acceso a los mismos. Solo el personal autorizado estará autorizado a otorgar, alterar o cancelar el acceso autorizado. iv. e. Gestión de soportes. Alojados en un entorno físico seguro. i. Acceso físico a los locales que albergan sistemas de información bajo autorización. ii. Procedimientos para la conservación y utilización de soportes extraíbles con el fin iii. de impedir el acceso y el tratamiento no autorizado. Soportes que contengan datos personales inventariados de forma que sepa el momento de la introducción de datos, usuario autorizado que los introdujo, persona de quien se recibieron los datos y los datos personales introducidos. iv. Impedir la recuperación ulterior de los datos. Todos los soportes reutilizables deberán sobrescribirse tres veces. v. Eliminación de soportes autorizada por el responsable del tratamiento. vi. Distribución y cesión de soportes. f. Los soportes que contengan datos personales solo deberán estar disponibles para los usuarios autorizados. i. Los datos personales transferidos por una red pública o almacenados en un dispositivo portátil deberán estar cifrados (128 bits o más) u otra forma de protección equivalente. ii. Para soportes que salgan fuera de los locales designados, se tomarán medidas para impedir la recuperación no autorizada de datos personales. iii. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 iv. Sistema de grabación de soportes entrantes y salientes. Para datos personales transferidos a través de una red, se controlará el flujo de datos se registrará el momento de la transmisión el destino y la identificación del usuario autorizado que realiza la transmisión. v. g. Preservación, copias de seguridad y recuperación. i. Los sistemas de respaldo estarán en un lugar seguro (igní- fugo). Definición de procedimientos para realización de las copias de seguridad y para la recuperación de datos. ii. iii. h. i. Copias de seguridad al menos 1 vez a la semana. Detección de intrusos y antivirus. Deberán instalarse antivirus y sistemas de detección de intrusos. i. Actualización de software. i. Al menos 1 vez al año. j-Mantenimiento de registros. Registro de acceso. Registro de acceso físico a los locales. i. ii. iii. Registro de incidentes. Se dispondrá un procedimiento para informar, responder y gestionar los incidentes de seguridad que incluirá: • Equipo asignado. Procedimiento documentado y probado incluyendo el requisito de mantener los problemas y los registros de acción adecuados para incluir el momento en que ocurrió, la persona que informó, a quién informó y sus efectos. • El encargado del tratamiento debe notificar inmediatamente al responsable del tratamiento si se detecta que los datos personales se vieron afectados. • El equipo de seguridad/incidentes del encargado del tratamiento debe trabajar junto con los responsables de seguridad del responsable del tratamiento hasta que el incidente se haya resuelto satisfactoriamente. • 2. Que se escapa del control de VODAFONE el hecho de que los mismos utilicen di- recciones de Gmail o de otros correos que no son del dominio @vodafone.es para realizar las ofertas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 3. Que en caso de que las ofertas sean aceptadas por los clientes, se registra el con- tenido del contrato con dicho cliente específico en los sistemas de VODAFONE ONO. 4. Que con respecto al denunciante, consta en los sistemas de VODAFONE un regis- tro de oferta efectuada en enero de 2019. Con fecha 19 de marzo de 2020, se comprueba que en la política de privacidad de Google constan, entre otros, los siguientes aspectos: 1. En el apartado de “Exportar, retirar y eliminar tu información” consta que: “Puedes exportar una copia del contenido de tu cuenta de Google si quieres realizar una copia de seguridad.” 2. En el apartado de “Integramos la seguridad en nuestros servicios para proteger la información de nuestros usuarios” consta que: “Utilizamos cifrado con el objetivo de mantener la privacidad de los datos de los usuarios mientras están en tránsito.” “Revisamos nuestras prácticas de recogida, almacenamiento y tratamiento de datos (incluidas las medidas de seguridad físicas) para evitar el acceso no autorizado a nuestros sistemas. “Restringimos el acceso a la información personal para que solo puedan acceder a ella aquellos empleados, contratistas y agentes de Google que necesitan dicha información para procesarla.” 3. En el apartado de “Puedes exportar una copia de su información o eliminarla de tu cuenta de Google en cualquier momento” consta que: “Cuando eliminas datos, Google sigue un proceso para asegurarse de que tus datos se borren completamente y de manera segura de nuestros servidores o de que se conserven solo de forma anónima…” 4. En el apartado de “Transferencias de datos” consta que: “Contamos con servidores por todo el mundo, por lo que tu información puede tratarse en servidores que se encuentran fuera de tu país de residencia. Las normativas de protección de datos varían en función del país, por lo que algunas ofrecen más protección que otras. Independientemente de dónde se trate la información, implementamos las mismas medidas de protección que se describen en esta política. También cumplimos determinados marcos legales relacionados con la transferencia de datos como, por ejemplo, los marcos del Privacy Shield UE - EE. UU. y de Suiza - EE. UU.” 5. En el apartado de “Requisitos europeos” consta que: “El responsable del tratamiento de los datos de los usuarios con residencia habitual en el Espacio Económico Europeo o Suiza es Google Ireland Limited,…” Con fecha 11 de mayo de 2020, se comprueba la existencia de una web de GOOGLE para borrado de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 Con fecha 8 de mayo de 2020, se comprueba que en la norma UNE-EN ISO/IEC 27001 de mayo 2017 constan, entre otros, los siguientes aspectos:  En el apartado “0.1 Generalidades” consta: “Esta norma internacional se ha preparado para proporcionar los requisitos para el establecimiento, implementación mantenimiento y mejora continua de un sistema de gestión de la seguridad de la información. (…) El sistema de gestión de la seguridad de la información preserva la confidencialidad, integridad y disponibilidad de la información mediante la aplicación de un proceso de gestión de riesgos y otorga a las partes interesadas confianza sobre la adecuada gestión de los riesgos.”  En el apartado “1 Objeto y campo de aplicación” consta: “Esta norma internacional especifica los requisitos para el establecimiento, implementación, mantenimiento y mejora continua de un sistema de gestión de la seguridad de la información en el contexto de la organización. Esta norma también incluye los requisitos para la apreciación y el tratamiento de los riesgos de seguridad de información a la medida de las necesidades de la organización. Los requisitos establecidos en esta norma internacional son genéricos y aplicables a todas las organizaciones, cualquiera que sea su tipo, tamaño o naturaleza….”  En el apartado 4.3 consta: “4.3 Determinación del alcance del sistema de gestión de la seguridad de la información La organización debe determinar los límites y la aplicabilidad del sistema de gestión de la seguridad de la información para establecer su alcance. Cuando se determina este alcance, la organización debe considerar:

1. a)las cuestiones externas e internas referidas en el apartado 4.1;
2. b)los requisitos referidos en el apartado 4.2;
3. c)las interfaces y dependencias entre las actividades realizadas por la organización y las que se llevan a cabo por otras organizaciones. El alcance debe estar disponible como información documentada.”  En el apartado 5.2 y 5.3 consta: “5.2 Política La alta dirección debe establecer una política de seguridad de la información que:
4. a)sea adecuada al propósito de la organización;
5. b)incluya objetivos de seguridad de la información (véase 6.2) o proporcione un marco de referencia para el establecimiento de los objetivos de seguridad de la información;
6. c)incluya el compromiso de cumplir con los requisitos aplicables a la seguridad de la información; e
7. d)incluya el compromiso de mejora continua del sistema de gestión de la seguridad de la información. La política de seguridad de la información debe:
8. e)estar disponible como información documentada; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27
9. f)comunicarse dentro de la organización; y
10. g)estar disponible para las partes interesadas, según sea apropiado. 5.3 Roles, responsabilidades y autoridades en la organización La alta dirección debe asegurarse que las responsabilidades y autoridades para los roles pertinentes a la seguridad de la información se asignen y comuniquen dentro de la organización. La alta dirección debe asignar la responsabilidad y autoridad para: asegurarse que el sistema de gestión de la seguridad de la información es conforme con los requisitos de esta norma internacional; e
11. a)informar a la alta dirección sobre el comportamiento del sistema de gestión de la seguridad de la información.”  En el apartado 6.1.2 y 6.1.3 consta: “6.1.2 Apreciación de riesgos de seguridad de la información La organización debe definir y aplicar un proceso de apreciación de riesgos de seguridad de la información que: … 6.1.3 Tratamiento de los riesgos de seguridad de la información La organización debe definir y efectuar un proceso de tratamiento de los riesgos de seguridad de la información para: …”  En el apartado 7.2, 7.3 y 7.4 consta: 7.2 Competencia La organización debe:
12. a)determinar la competencia necesaria de las personas que realizan, bajo su control, un trabajo que afecta a su desempeño en seguridad de la información; y
13. b)asegurarse que estas personas sean competentes, basándose en la educación, formación o experiencia adecuadas; cuando sea aplicable, poner en marcha acciones para adquirir la competencia necesaria y evaluar la eficacia de las acciones llevadas a cabo; y
14. c)conservar la información documentada apropiada, como evidencia de la competencia. 7.3 Concienciación Las personas que trabajan bajo el control de la organización deben ser conscientes de:
15. a)la política de la seguridad de la información;
16. b)su contribución a la eficacia del sistema de gestión de la seguridad de la informa- ción, incluyendo los beneficios de una mejora del desempeño en seguridad de la información; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27
17. c)las implicaciones de no cumplir con los requisitos del sistema de gestión de la se- guridad de la información. 7.4 Comunicación La organización debe determinar la necesidad de comunicaciones internas y externas pertinentes al sistema de gestión de la seguridad de la información, que incluyan:
18. a)el contenido de la comunicación;
19. b)cuándo comunicar;
20. c)a quién comunicar;
21. d)quién debe comunicar;
22. e)los procesos por los que debe efectuarse la comunicación. En el anexo A de la norma consta, entre otros, los siguientes objetivos de control y controles de referencia:  Tabla A.1 – Objetivos de control y controles A.5 Políticas de seguridad de la información A.5.1 Directrices de gestión de la seguridad de la información Objetivo: Proporcionar orientación y apoyo a la gestión de la seguridad de la información de acuerdo con los requisitos del negocio, las leyes y normativa pertinentes. A.5.1.1 Políticas para la seguridad de la información Un conjunto de políticas para la seguridad de la información debe ser definido, aprobado por la dirección, publicado y comunicado a los empleados y partes externas relevantes. A.5.1.2 Revisión de las políticas para la seguridad de la información. Las políticas de seguridad de la información deben revisarse a información intervalos planificados o siempre que se produzcan cambios significativos, a fin de asegurar que se mantenga su idoneidad, adecuación y eficacia. A.6 Organización de la seguridad de la información A.6.1 Organización interna Objetivo: Establecer un marco de gestión para iniciar y controlar la implementación y operación de la seguridad de la información dentro de la organización. A.6.1.1 Roles y responsabilidades en seguridad de la información. Todas las responsabilidades en seguridad de la información deben ser definidas y asignadas. A.6.1.2 Segregación de tareas Las funciones y áreas responsabilidad deben segregarse para reducir la posibilidad de que se produzcan modificaciones no autorizadas o no intencionadas o usos indebidos de los activos de la organización. A.6.1.3 Contacto con las autoridades Deben mantenerse los contactos apropiados con las autoridades pertinentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 A.6.1.4 Contacto con grupos de interés especial. Deben mantenerse los contactos apropiados con grupos de interés especial, u otros foros y asociaciones profesionales especializados en seguridad. A.6.1.5 Seguridad de la información en la gestión de proyectos. La seguridad de la información debe tratarse dentro de la gestión de proyectos, independientemente de la naturaleza del proyecto. A.6.2 Los dispositivos móviles y el teletrabajo Objetivo: Garantizar la seguridad en el teletrabajo y en el uso de dispositivos móviles. A.6.2.1 Política de dispositivos móviles. Se debe adoptar una política y unas medidas de seguridad adecuadas para la protección contra los riesgos de la utilización de dispositivos móviles. A.6.2.2 Teletrabajo. Se debe implementar una política y unas medidas de seguridad adecuadas para proteger la información accedida, tratada o almacenada en emplazamientos de teletrabajo. A.7 Seguridad relativa a los recursos humanos A.7.1 Antes del empleo Objetivo: Para asegurarse que los empleados y contratistas entiendan sus responsabilidades y son adecuados para las funciones para las que se consideran. A.7.1.1 Investigación antecedentes. La comprobación de los antecedentes de todos los candidatos al puesto de trabajo se debe llevar a cabo de acuerdo con las leyes, normativa y códigos éticos que sean de aplicación y debe ser proporcional a las necesidades del negocio, la clasificación de la información a la que se accede y los riesgos percibidos. A.7.1.2 Términos y condiciones del empleo Cómo parte de sus obligaciones contractuales, los empleados y contratistas deben establecer los términos y condiciones en su contrato de trabajo en lo que respecta a la seguridad de la información, tanto hacia A.7.2 Durante el empleo el empleado como hacia la organización. Objetivo: Asegurar que los empleados y contratistas conozcan y cumplan con sus responsabilidades en seguridad de la información. A.7.2.1 Responsabilidades gestión. La dirección debe exigir a los empleados y contratistas, que apliquen la seguridad de la información de acuerdo con las políticas y procedimientos establecidos en la organización. A.7.2.2 Concienciación, educación y capacitación en seguridad de la información. Todos los empleados de la organización y, cuando corresponda, los contratistas, deben recibir una adecuada educación, concienciación y información capacitación con actualizaciones periódicas sobre las políticas y procedimientos de la organización, según corresponda a su puesto de trabajo. A.7.2.3 Proceso disciplinario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 Debe existir un proceso disciplinario formal que haya sido comunicado a los empleados, que recoja las acciones a tomar ante aquellos que hayan provocado alguna brecha de seguridad. A.7.3 Finalización del empleo o cambio en el puesto de trabajo Objetivo: Proteger los intereses de la organización como parte del proceso de cambio o finalización del empleo. A.7.3.1 Responsabilidades ante la finalización o cambio. Las responsabilidades en seguridad de la información y obligaciones que siguen vigentes después del cambio o finalización del empleo se deben definir, comunicar al empleado o contratista y se deben cumplir. A.8 Gestión de activos A.8.1 Responsabilidad sobre los activos Objetivo: Identificar los activos de la organización y definir las responsabilidades de protección adecuadas. A.8.1.1 Inventario de activos. La información y otros activos asociados a la información y a los recursos para el tratamiento de la información deben estar claramente identificados y debe elaborarse y mantenerse un inventario. A.8.1.2 Propiedad de los activos Todos los activos que figuran en el inventario deben tener un propietario. A.8.1.3 Uso aceptable de los activos. Se deben identificar, documentar e implementar las reglas de uso aceptable de la información y de los activos asociados con los recursos para el tratamiento de la información. A.8.1.4 Devolución de activos. Todos los empleados y terceras partes deben devolver todos los activos de la organización que estén en su poder al finalizar su empleo, contrato o acuerdo. A.8.2 Clasificación de la información Objetivo: Asegurar que la información reciba un nivel adecuado de protección de acuerdo con su importancia para la organización. A.8.2.1 Clasificación de la información. La información debe ser clasificada en términos de la importancia de su revelación frente a requisitos legales, valor, sensibilidad y criticidad ante revelación o modificación no autorizadas. A.8.2.2 Etiquetado de la información. Debe desarrollarse e implantarse un conjunto adecuado de procedimientos para etiquetar la información, de acuerdo con el esquema de clasificación adoptado por la organización. A.8.2.3 Manipulado de la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 Debe desarrollarse e implantarse un conjunto adecuado de procedimientos para la manipulación de la información. A.8.3 Manipulación de los soportes Objetivo: Evitar la revelación, modificación, eliminación o destrucción no autorizadas de la información almacenada en soportes. A.8.3.1 Gestión de soportes Se deben implementar procedimientos para la gestión de los soportes extraíbles, de acuerdo con el esquema de clasificación adoptado por la organización. A.8.3.2 Eliminación de soportes Los soportes deben eliminarse de forma segura cuando ya no vayan a ser necesarios, mediante procedimientos formales. A.8.3.3 Soportes físicos en tránsito. Durante el transporte fuera de los límites físicos de la organización, los soportes que contengan información deben estar protegidos contra accesos no autorizados, usos indebidos o deterioro. A.9 Control de acceso. A.9.1 Requisitos de negocio para el control de acceso Objetivo: Limitar el acceso a los recursos de tratamiento de la información y a la información. A.9.1.1 Política de control de acceso. Se debe establecer, documentar y revisar una política de control de acceso basada en los requisitos de negocio y de seguridad de la información. A.9.1.2 Acceso a las redes y a los servicios de red. Únicamente se debe proporcionar a los usuarios el acceso a las redes y a los servicios en red para cuyo uso hayan sido específicamente autorizados A.9.2 Gestión de acceso de usuario. Objetivo: Garantizar el acceso de usuarios autorizados y evitar el acceso no autorizado a los sistemas y servicios. A.9.2.1 Registro y baja de usuario. Debe implantarse un procedimiento formal de registro y retirada de usuarios que haga posible la asignación de los derechos de acceso. A.9.2.2 Provisión de acceso de usuario. Debe implantarse un procedimiento formal para asignar o revocar los derechos de acceso para todos los tipos de usuarios de todos los sistemas y servicios. A.9.2.3 Gestión de privilegios de acceso. La asignación y el uso de privilegios de acceso debe estar restringida y controlada. A.9.2.4 Gestión de la información secreta de autenticación de los usuarios. La asignación de la información secreta de autenticación debe ser controlada a través de un proceso formal de gestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 A.9.2.5 Revisión de los derechos de acceso de usuario. Los propietarios de los activos deben revisar los derechos de acceso de usuario a intervalos regulares. A.9.2.6 Retirada o reasignación de los derechos de acceso. Los derechos de acceso de todos los empleados y terceras partes, a la información y a los recursos de tratamiento de la información deben ser retirados a la finalización del empleo, del contrato o del acuerdo, o ajustados en caso de cambio. A.9.3 Responsabilidades del usuario Objetivo: Para que los usuarios se hagan responsables de salvaguardar su información de autenticación. A.9.3.1 Uso de la información secreta de autenticación Se debe requerir a los usuarios que sigan las prácticas de la organización en el uso de la información secreta de autenticación. A.9.4 Control de acceso a sistemas y aplicaciones Objetivo: Prevenir el acceso no autorizado a los sistemas y aplicaciones. A.9.4.1 Restricción del acceso a la información. Se debe restringir el acceso a la información y a las funciones de las aplicaciones, de acuerdo con la política de control de acceso definida. A.9.4.2 Procedimientos seguros de inicio de sesión. Cuando así se requiera en la política de control de acceso, el acceso a los sistemas y a las aplicaciones se debe controlar por medio de un procedimiento seguro de inicio de sesión. A.9.4.3 Sistema de gestión de contraseñas. Los sistemas para la gestión de contraseñas deben ser interactivos y establecer contraseñas seguras y robustas. A.9.4.4 Uso de utilidades con privilegios del sistema. Se debe restringir y controlar rigurosamente el uso de utilidades que puedan ser capaces de invalidar los controles del sistema y de la aplicación. A.9.4.5 Control de acceso al código fuente de los programas. Se debe restringir el acceso al código fuente de los programas. A.10 Criptografía A.10.1 Controles criptográficos Objetivo: Garantizar un uso adecuado y eficaz de la criptografía para proteger la confidencialidad, autenticidad y/o integridad de la información. A.10.1.1 Política de uso de los controles criptográficos. Se debe desarrollar e implementar una política sobre el uso de los controles criptográficos para proteger la información. A.10.1.2 Gestión de claves. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 Se debe desarrollar e implementar una política sobre el uso, la protección y la duración de las claves de cifrado a lo largo de todo su ciclo de vida. A.11 Seguridad física y del entorno A.11.1 Áreas seguras Objetivo: Prevenir el acceso físico no autorizado, los daños e interferencia a la información de la organización y a los recursos de tratamiento de la información. A.11.1.1 Perímetro de seguridad física. Se deben utilizar perímetros de seguridad para proteger las áreas que contienen información sensible así como los recursos de tratamiento de la información. A.11.1.2 Controles físicos de entrada. Las áreas seguras deben estar protegidas mediante controles de entrada adecuados, para asegurar que únicamente se permite el acceso al personal autorizado. A.11.1.3 Seguridad de oficinas, despachos y recursos Para las oficinas, despachos y recursos, se debe diseñar y aplicar la seguridad física. A.11.1.4 Protección contra las amenazas externas y ambientales. Se debe diseñar y aplicar una protección física contra desastres naturales, ataques provocados por el hombre o accidentes. A.11.1.5 El trabajo en áreas seguras Se deben diseñar e implementar procedimientos para trabajar en las áreas seguras. A.11.1.6 Áreas de carga y descarga. Deben controlarse los puntos de acceso tales como las áreas de carga y descarga y otros puntos, donde pueda acceder personal no autorizado a las instalaciones, y si es posible, aislar dichos puntos de los recursos de tratamiento de la información para evitar accesos no autorizados. A.11.2 Seguridad de los equipos Objetivo: Evitar la pérdida, daño, robo o el compromiso de los activos y la interrupción de las operaciones de la organización. A.11.2.1 Emplazamiento y protección de equipos. Los equipos deben situarse o protegerse de forma que se reduzcan los riesgos de las amenazas y los riesgos ambientales así como las oportunidades de que se produzcan accesos no autorizados. A.11.2.2 Instalaciones de suministro. Los equipos deben estar protegidos contra fallos de alimentación y otras alteraciones causadas por fallos en las instalaciones de suministro. A.11.2.3 Seguridad del cableado. El cableado eléctrico y de telecomunicaciones que transmite datos o que sirve de soporte a los servicios de información debe estar protegido frente a interceptaciones, interferencias o daños. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27 A.11.2.4 Mantenimiento de los equipos. Los equipos deben recibir un mantenimiento correcto que asegure su disponibilidad y su integridad continuas. A.11.2.5 Retirada de materiales propiedad de la empresa. Sin autorización previa, los equipos, la información o el software no deben sacarse de las instalaciones. A.11.2.6 Seguridad de los equipos fuera de las instalaciones. Deben aplicarse medidas de seguridad a los equipos situados fuera las instalaciones de la organización, teniendo en cuenta los diferentes riesgos que conlleva trabajar fuera de dichas instalaciones. A.11.2.7 Reutilización o eliminación segura de equipos. Todos los soportes de almacenamiento deben ser comprobados para confirmar que todo dato sensible y software bajo licencia se ha eliminado de manera segura, antes de deshacerse de ellos. A.11.2.8 Equipo de usuario desatendido. Los usuarios deben asegurarse que el equipo desatendido tiene la protección adecuada. A.11.2.9 Política de puesto de trabajo despejado y pantalla limpia. Debe adoptarse una política de puesto de trabajo despejado de papeles y medios de almacenamiento desmontables y una política de pantalla limpia para los recursos de tratamiento de la información. A.12 Seguridad de las operaciones A.12.1 Procedimientos y responsabilidades operacionales Objetivo: Asegurar el funcionamiento correcto y seguro de las instalaciones de tratamiento de la información. A.12.1.1 Documentación de procedimientos. Deben documentarse y mantenerse procedimientos operacionales y operacionales ponerse a disposición de todos los usuarios que los necesiten. A.12.1.2 Gestión de cambios. Los cambios en la organización, los procesos de negocio, instalaciones de tratamiento de la información y los sistemas que afectan a la seguridad de la información deben ser controlados. A.12.1.3 Gestión de capacidades. Se debe supervisar y ajustar la utilización de los recursos, así como realizar proyecciones de los requisitos futuros de capacidad, para garantizar el rendimiento requerido del sistema. A.12.1.4 Separación de los recursos de desarrollo, prueba y operación. Deben separarse los recursos de desarrollo, pruebas y operación, para reducir los riesgos de acceso no autorizado o los cambios del sistema en producción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27 A.12.2 Protección contra el software malicioso (malware) Objetivo: Asegurar que los recursos de tratamiento de información y la información están protegidos contra el malware. A.12.2.1 . Controles contra el código malicioso. Se deben implementar los controles de detección, prevención y recuperación que sirvan como protección contra el código malicioso, así como procedimientos adecuados de concienciación al usuario A.12.3 Copias de seguridad. Objetivo: Evitar la pérdida de datos A.12.3.1 Copias de seguridad de la información. Se deben realizar copias de seguridad de la información, del software y del sistema y se deben verificar periódicamente de acuerdo a la política de copias de seguridad acordada A.12.4 Registros y supervisión. Objetivo: Registrar eventos y generar evidencias. A.12.4.1 Registro de eventos Se deben registrar, proteger y revisar periódicamente las actividades de los usuarios, excepciones, fallos y eventos de seguridad de la información. A.12.4.2 Protección de la información del registro Los dispositivos de registro y la información del registro deben estar protegidos contra manipulaciones indebidas y accesos no autorizados. A.12.4.3 Registros de administración y operación. Se deben registrar, proteger y revisar regularmente las actividades del administrador del sistema y del operador del sistema. A.12.4.4 Sincronización del reloj. Los relojes de todos los sistemas de tratamiento de la información dentro de una organización o de un dominio de seguridad, deben estar sincronizados con una única fuente de tiempo precisa y acordada. A.12.5 Control del software en explotación Objetivo: Asegurar la integridad del software en explotación. A.12.5.1 Instalación del software en explotación. Se deben implementar procedimientos para controlar la instalación del software en explotación. A.12.6 Gestión de la vulnerabilidad técnica Objetivo: Reducir los riesgos resultantes de la explotación de las vulnerabilidades técnicas. A.12.6.1 Gestión de las vulnerabilidades técnicas. Se debe obtener información oportuna acerca de las vulnerabilidades técnicas de los sistemas de información utilizados, evaluar la exposición de la organización a dichas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 vulnerabilidades y adoptar las medidas adecuadas para afrontar el riesgo asociado. A.12.6.2 Restricción en la instalación de software. Se deben establecer y aplicar reglas que rijan la instalación de software por parte de los usuarios. A.12.7 Consideraciones sobre la auditoria de sistemas de información Objetivo: Minimizar el impacto de las actividades de auditoría en los sistemas operativos. A.12.7.1 Controles de auditoría de sistemas de información. Los requisitos y las actividades de auditoría que impliquen comprobaciones en los sistemas operativos deben ser cuidadosamente planificados y acordados para minimizar el riesgo de interrupciones en los procesos de negocio. A.13 Seguridad de las comunicaciones A.13.1 Gestión de la seguridad de las redes Objetivo: Asegurar la protección de la información en las redes y los recursos de tratamiento de la información. A.13.1.1 Controles de red Las redes deben ser gestionadas y controladas para proteger la información en los sistemas y aplicaciones. A.13.1.2 Seguridad de los servicios de red. Se deben identificar los mecanismos de seguridad, los niveles de servicio, y los requisitos de gestión de todos los servicios de red y se deben incluir en cualquier acuerdo de servicios de red, tanto si estos servicios se prestan dentro de la organización como si se subcontratan. A.13.1.3 Segregación en redes. Los grupos de servicios de información, los usuarios y los sistemas de información deben estar segregados en redes distintas. A.13.2 Intercambio de información Objetivo: Mantener la seguridad de la información que se transfiere dentro de una organización y con cualquier entidad externa. A.13.2.1 Políticas y procedimientos de intercambio información. Deben establecerse políticas, procedimientos y controles formales que de protejan el intercambio de información mediante el uso de todo tipo de recursos de comunicación. A.13.2.2 Acuerdos de intercambio de información. Deben establecerse acuerdos para el intercambio seguro de información del negocio y software entre la organización y terceros. A.13.2.3 Mensajería electrónica La información que sea objeto de mensajería electrónica debe estar adecuadamente protegida. A.13.2.4 Acuerdos de confidencialidad o no revelación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/27 Deben identificarse, documentarse y revisarse regularmente los requisitos de los acuerdos de confidencialidad o no revelación A.14 Adquisición, desarrollo y mantenimiento de los sistemas de información A.14.1 Requisitos de seguridad en los sistemas de información Objetivo: Garantizar que la seguridad de la información sea parte integral de los sistemas de información a través de todo el ciclo de vida. Esto también incluye los requisitos para los sistemas de información que proporcionan los servicios a través de redes públicas. A.14.1.1 Análisis de requisitos y especificaciones de seguridad de la información. Los requisitos relacionados con la seguridad de la información deben incluirse en los requisitos para los nuevos sistemas de información o mejoras a los sistemas de información existentes. A.14.1.2 Asegurar los servicios de aplicaciones en redes públicas. La información involucrada en aplicaciones que pasan a través de redes públicas debe ser protegida de cualquier actividad fraudulenta, disputa de contrato, revelación y modificación no autorizadas. A.14.1.3 Protección de las transacciones de servicios de aplicaciones. La información involucrada en las transacciones de servicios de aplicaciones debe ser protegida para prevenir la transmisión incompleta, errores de enrutamiento, alteración no autorizada del mensaje, revelación, duplicación, o reproducción de mensaje no autorizadas. A.14.2 Seguridad en el desarrollo y en los procesos de soporte Objetivo: Garantizar la seguridad de la información que se ha diseñado e implementado en el ciclo de vida de desarrollo de los sistemas de información. A.14.2.1 Política de desarrollo seguro. Se deben establecer y aplicar reglas dentro de la organización para el desarrollo de aplicaciones y sistemas. A.14.2.2 Procedimiento de control de cambios en sistemas. La implantación de cambios a lo largo del ciclo de vida del desarrollo debe controlarse mediante el uso de procedimientos formales de control de cambios. A.14.2.3 Revisión técnica de las aplicaciones tras efectuar cambios en el sistema operativo. Cuando se modifiquen los sistemas operativos, las aplicaciones de negocio críticas deben ser revisadas y probadas para garantizar que no existen efectos adversos en las operaciones o la seguridad de la organización. A.14.2.4 Restricciones a los cambios en los paquetes de software. Se deben desaconsejar las modificaciones en los paquetes de software, limitándose a los cambios necesarios, y todos los cambios deben ser objeto de un control riguroso. A.14.2.5 Principios de ingeniería de sistemas seguros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/27 Principios de ingeniería de sistemas seguros se deben establecer, documentar, mantener y aplicarse a todos los esfuerzos de implementación de sistemas de información. A.14.2.6 Entorno de desarrollo seguro. Las organizaciones deben establecer y proteger adecuadamente los entornos de desarrollo seguro para el desarrollo del sistema y los esfuerzos de integración que cubren todo el ciclo de vida de desarrollo del sistema. A.14.2.7 Externalización del desarrollo de software. El desarrollo de software externalizado debe ser supervisado y controlado por la organización. A.14.2.8 Pruebas funcionales de seguridad de sistemas. Se deben llevar a cabo pruebas de la seguridad funcional durante el desarrollo. A.14.2.9 Pruebas de aceptación de sistemas. Se deben establecer programas de pruebas de aceptación y criterios relacionados para nuevos sistemas de información, actualizaciones y nuevas versiones. A.14.3 Datos de prueba. Objetivo: Asegurar la protección de los datos de prueba A.14.3.1 Protección de los datos de prueba. Los datos de prueba se deben seleccionar con cuidado y deben ser protegidos y controlados. A.16 Gestión de incidentes de seguridad de la información A.16.1 Gestión de incidentes de seguridad de la información y mejoras Objetivo: Asegurar un enfoque coherente y eficaz para la gestión de incidentes de seguridad de la información, incluida la comunicación de eventos de seguridad y debilidades. A.16.1.1 Responsabilidades y procedimientos. Se deben establecer las responsabilidades y procedimientos de gestión para garantizar una respuesta rápida, efectiva y adecuada a los incidentes de seguridad de la información. A.16.1.2 Notificación de los eventos de seguridad de la información. Los eventos de seguridad de la información se deben notificar por los canales de gestión adecuados lo antes posible. A.16.1.3 Notificación de puntos débiles de la seguridad. Todos los empleados, contratistas, terceras partes usuarias de los sistemas y servicios de información deben ser obligados a anotar y notificar cualquier punto débil que observen o que sospechen que exista, en los sistemas o servicios. A.16.1.4 Evaluación y decisión sobre los eventos de seguridad de información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/27 Los eventos de seguridad de la información deben ser evaluados y debe decidirse si se clasifican como incidentes de seguridad de la información. A.16.1.5 Respuesta a incidentes de seguridad de la información. Los incidentes de seguridad de la información deben ser respondidos de acuerdo con los procedimientos documentados. A.16.1.6 Aprendizaje de los incidentes de seguridad de la información. El conocimiento obtenido a partir del análisis y la resolución de incidentes de seguridad de la información debe utilizarse para reducir la probabilidad o el impacto de los incidentes en el futuro. A.16.1.7 Recopilación de evidencias. La organización debe definir y aplicar procedimientos para la identificación recogida, adquisición y preservación de la información que puede servir de evidencia. A.17 Aspectos de seguridad de la información para la gestión de la continuidad de negocio A.17.1 Continuidad de la seguridad de la información Objetivo: La continuidad de la seguridad de la información debe formar parte de los sistemas de gestión de la continuidad de negocio de la organización. A.17.1.1 Planificación de la continuidad de la seguridad de la información. La organización debe determinar sus necesidades de seguridad de la y de continuidad para la gestión de la seguridad de la información en situaciones adversas, por ejemplo, durante una crisis o desastre. A.17.1.2 Implementar la continuidad de la seguridad de la información. La organización debe establecer, documentar, implementar y mantener procesos, procedimientos y controles para asegurar el nivel requerido de continuidad de la seguridad de la información durante una situación adversa. A.17.1.3 Verificación, revisión y evaluación de la continuidad de la seguridad de la información. La organización debe comprobar los controles establecidos e implementados a intervalos regulares para asegurar que son válidos y eficaces durante situaciones adversas. A.17.2 Redundancias. Objetivo: Asegurar la disponibilidad de los recursos de tratamiento de la información. A.17.2.1 Disponibilidad de los recursos de tratamiento de la información. Los recursos de tratamiento de la información deben ser implementados con redundancia suficiente para satisfacer los requisitos de disponibilidad. la A.18 Cumplimiento A.18.1 Cumplimiento de los requisitos legales y contractuales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/27 Objetivo: Evitar incumplimientos de las obligaciones legales, estatutarias, reglamentarias o contractuales relativas a la seguridad de la información o de los requisitos de seguridad. A.18.1.1 Identificación de la legislación aplicable y de los requisitos contractuales. Todos los requisitos pertinentes, tanto legales como regulatorios, estatutarios o contractuales, y el enfoque de la organización para cumplirlos, deben definirse de forma explícita, documentarse y mantenerse actualizados para cada sistema de información de la organización. A.18.1.2 Derechos de Propiedad Intelectual (DPI). Deben implementarse procedimientos adecuados para garantizar el cumplimiento de los requisitos legales, regulatorios y contractuales sobre el uso de materiales, con respecto a los cuales puedan existir derechos de propiedad intelectual y sobre el uso de productos de software patentados. A.18.1.3 Protección de los registros de la organización. Los registros deben estar protegidos contra la pérdida, destrucción, falsificación, revelación o acceso no autorizados de acuerdo con los requisitos legales, regulatorios, contractuales y de negocio. A.18.1.4 Protección y privacidad de la información de carácter personal. Debe garantizarse la protección y la privacidad de los datos, según se requiera en la legislación y la reglamentación aplicables. A.18.1.5 Regulación de los controles criptográficos. Los controles criptográficos se deben utilizar de acuerdo con todos los contratos, leyes y regulaciones pertinentes. A.18.2 Revisiones de la seguridad de la información Objetivo: Garantizar que la seguridad de la información se implementa y opera de acuerdo con las políticas y procedimientos de la organización. A.18.2.1 Revisión independiente de la seguridad de la información. El enfoque de la organización para la gestión de la seguridad de la información y su implantación, es decir, objetivos de control, controles, políticas, procesos y procedimientos para la seguridad de la información, debe someterse a una revisión independiente a intervalos planificados o siempre que se produzcan cambios significativos en la implantación de la seguridad. A.18.2.2 Cumplimiento de las políticas y normas de seguridad. Los directivos deben asegurarse que todos los procedimientos de seguridad dentro de su área de responsabilidad se realizan correctamente con el fin de cumplir las políticas y normas de seguridad y cualquier otro requisito de seguridad aplicable. A.18.2.3 Comprobación del cumplimiento técnico. Debe comprobarse periódicamente que los sistemas de información cumplen las políticas y normas de seguridad de la información de la organización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/27 Con fecha 11 de mayo de 2020, se comprueba que en la url ***URL.1 consta que “Google Cloud Platform, nuestra infraestructura común, y G Suite cuentan con la certificación ISO 27001”. Asimismo en la url ***URL.2 consta certificado número 2012-001d expedido el 13 de abril de 2018 y válido hasta 13 de abril de 2021. El certificado se encuentra expedido a favor de GOOGLE LLC e incluye, entre otros, el centro de datos de Dublin (Irlanda) así como las oficinas en Dublin (Irlanda). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/27 El artículo 67 de la LOPDGDD, regula las actuaciones previas de investigación estableciéndose lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra la entidad reclamada por una presunta vulneración de lo señalado en el artículo 32 del RGPD en relación con la seguridad del tratamiento de los datos personales y la capacidad del responsable de garantizar la confidencialidad de sus sistemas y servicios. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de esta a la entidad reclamada para que procediese a su análisis y diera respuesta al reclamante. Por otro lado, se acusó recibo de la reclamación presentada por la reclamante, informándole además de su traslado a la entidad reclamada y del requerimiento hecho a éste para adecuarse a los requisitos previstos en la normativa de protección de datos. Una vez analizadas las razones expuestas por la entidad reclamada, que obran en el expediente, no ha quedado acreditado el incumplimiento del artículo 32 del RGPD en relación con la seguridad del tratamiento de los datos personales. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/27  NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es