1/9 Procedimiento Nº: PS/00220/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes PRECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos el 12 de enero de 2018. La reclamación se dirige contra IBERDROLA CLIENTES, SAU (en adelante, el reclamado). Los motivos en que basa la reclamación son que las entidades reclamadas le han denegado su derecho de cancelación de sus datos personales. Que según el denunciante tuvieron lugar a fecha de: Y, entre otra, anexa la siguiente documentación: Copia de la solicitud de información sobre el tratamiento de sus datos personales y cancelación de estos enviada a IBERDROLA con fecha de 11 de noviembre de 2016 y acuse de recibo. En esta solicitud, también informa a la compañía del nuevo domicilio a efectos de notificaciones al no residir desde el 31 de mayo de 2016 en el domicilio de instalación del suministro. Informe de EQUIFAX IBERICA sobre los datos de la reclamante informados con fecha de 16 de agosto de 2016 al fichero ASNEF. SEGUNDO: Con fecha de 26 de enero de 2018, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en respuesta a la tutela de derecho TD/00157/2018, acordando inadmitir la reclamación. La resolución le fue notificada a la afectada con fecha de 30 de enero de 2018. TERCERO: Con fecha de 28 de febrero de 2018 se recibe en esta Agencia, con número de registro 070251/2018, recurso de reposición -RR/00135/2018- interpuesto por la reclamada contra la inadmisión de su reclamación, fundamentándolo, básicamente, en los mismos hechos y argumentos expuestos en su reclamación. CUARTO: Con fecha de 24 de abril de 2018, la Directora de la Agencia Española de Protección de Datos resuelve desestimar el recurso de reposición interpuesto por la reclamada contra la Resolución de esta Agencia dictada en fecha 26 de enero de 2018, acordando el archivo de la reclamación. QUINTO: Con fecha de 23 de julio de 2018 se recibe en esta Agencia, con número de registro 186710/2018, oficio remitido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 001, informando de la interposición ante ese tribunal por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 reclamante de recurso contencioso administrativo nº ***RECURSO.1 contra la resolución de esta Agencia, solicitando copia del expediente y copia de los justificantes de los emplazamientos de los interesados. SEXTO: Con fecha de 21 de octubre de 2019 se recibe en esta Agencia, con número de registro 049866/2019, sentencia estimatoria parcial para que se abran actuaciones previas de investigación respecto a IBERDROLA CLIENTES S.A.U. con objeto de determinar los motivos de la no atención del derecho de la reclamante y determinar si se produjo el preceptivo requerimiento previo de pago como obligaba el artículo 38.c del RLOPD. SEPTIMO: Con fecha de 11 de noviembre de 2019, se abren las presentes actuaciones de investigación, asignándose el número de expediente E/10786/2019, en relación con la reclamación presentada por la reclamante con objeto de determinar los aspectos señalados en la sentencia remitida a esta Agencia por la Audiencia Nacional, Sala de lo Contencioso Administrativo, con fecha de 21 de octubre de 2019. ANTECEDENTES PRIMERO: A la vista de los hechos denunciados en la reclamación y de los procedimientos y Sentencia a la que han dado lugar, la Subdirección de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: Requerida información a IBERDROLA sobre los aspectos indicados en la sentencia remitida a la Agencia Española de Protección de Datos con fecha de 21 de octubre de 2019, con fecha de 2 de julio de 2020 se recibe en esta Agencia, con número de registro 022916/2020, escrito de alegaciones manifestando los siguientes hechos: Que se intentó notificar el requerimiento previo de pago hasta en tres ocasiones en las fechas 22 de julio de 2016, 10 de agosto de 2016 y 23 de noviembre de 2016 en los que se especificaba: “de desatenderse este requerimiento previo de pago, procederemos a comunicar los datos relativos al impago a los registros de morosidad correspondientes”. Que con fecha de 21 de noviembre de 2016 se dio respuesta a la solicitud de la reclamante indicando que tenía pendientes de pago 2 facturas, motivo por el cual se habían comunicado sus datos al fichero ASNEF. Asimismo, en fecha 22 de diciembre de 2016, se envía nuevamente comunicación a la reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 informándole de que la deuda que mantenía ascendía a la cantidad de XXX.-€. Deuda que aún se mantiene en la actualidad. Que no obstante lo anterior, se ha procedido a dar de baja a la reclamante del fichero de incumplimiento de obligaciones dinerarias ASNEF-EQUIFAX, con fecha 4 de junio de 2020. Y adjuntan los siguientes documentos: - Comunicaciones con fechas 21 de noviembre de 2016 y 22 de diciembre de 2016 informando a la reclamante de la deuda. - Certificados de devolución del requerimiento previo de pago con fechas 22 de julio de 2016, 10 de agosto de 2016 y 23 de noviembre de 2016. SEGUNDO: Examinada toda esta documentación se comprueba que existe discordancia entre el domicilio de la reclamante y el que consta en los sistemas de IBERDROLA. La reclamante informó a la compañía del nuevo domicilio a efecto de comunicaciones el 11 de noviembre de 2016 habiendo dejado el domicilio registrado en IBERDROLA el 31 de mayo de 2016. Las notificaciones remitidas a la reclamante realizadas entre el 22 de julio y 23 de noviembre de 2016 por IBERDROLA requiriendo la deuda se enviaron al domicilio de instalación del suministro, donde ya no residía la reclamante, y por lo tanto fueron devueltos en dos ocasiones por “ausente” y la tercera por “desconocido”. Aun no habiéndose podido realizar la notificación, sus datos fueron informados al fichero de solvencia patrimonial y crédito ASNEF. En cuanto a la solicitud de cancelación de sus datos de 11 de noviembre de 2016, IBERDROLA hizo caso omiso del cambio de domicilio informado por la reclamante a esta compañía en esa misma solicitud, y volvió a remitir las contestaciones con fechas de 21 de noviembre y 22 de diciembre de 2016 al domicilio de instalación del suministro. TERCERO: Con fecha 1 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.
- d)del RGPD, artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, el reclamado solicitó copia del expediente y ampliación de plazo de alegaciones, siendo ambas solicitudes concedidas, remitiéndose copia del expediente el cual consta como recibida el 28 de septiembre de 2020. QUINTO: El reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que la reclamante contrató el 16 de julio de 2010 el suministro electrónico de una vivienda situada en Benidorm, lo cual acredita con grabación telefónica. En segundo lugar manifiesta que el 15 de marzo de 2016 le remiten las nuevas condiciones del contrato de suministro eléctrico, en cuya cláusula 12.3 se indica que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 “El Cliente queda informado de que, en caso de no producirse el pago en los términos previstos en la condición 8ª del presente Contrato y de cumplirse todos los requisitos que exige el Real Decreto 1720/2007, los datos relativos al impago podrán ser comunicados a los ficheros relativos al incumplimiento de obligaciones dinerarias.” En tercer lugar, el reclamado señala que, durante la vigencia del contrato, la Reclamante no satisfizo el pago de las facturas emitidas en fechas 16 de junio de 2016, por importe de 32,74 euros y 19 de julio de 2016, por importe de 20,32 euros, motivo por el cual se le remitió a la reclamante tres requerimientos de pago, en fechas 22 de julio de 2016, 10 de agosto de 2016 y 23 de noviembre de 2016, al domicilio de la reclamante incorporado al contrato y mencionando su inclusión en ficheros de solvencia de conformidad con la cláusula 12.3 del contrato. En fecha 21 de noviembre de 2016 la reclamante solicita la baja de su contrato de suministro eléctrico como consecuencia de la terminación de su contrato de arrendamiento referido a la vivienda respecto de la que se contrató dicho suministro, incluyendo en su encabezamiento un nuevo domicilio a efectos de notificaciones. En dicho escrito se solicita la baja del contrato con efectos 31 de mayo de 2016, es decir, con una anterioridad de seis meses a la fecha en que se produce la mencionada comunicación. Al propio tiempo, la reclamante solicita la cancelación de sus datos personales de los sistemas de la entidad reclamada. En respuesta a su solicitud de cancelación la entidad reclamada se dirige a la reclamante el 22 de noviembre y 22 de diciembre de 2016, indicándole la imposibilidad de proceder a la cancelación de los datos incluidos en el fichero ASNEF como consecuencia del impago del servicio. En cuarto lugar, el reclamado manifiesta que no tuvo conocimiento del cambio de dirección de la reclamante hasta el 21 de noviembre de 2016. SEXTO: Con fecha 20 de octubre de 2020 el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/10786/2019, así como los documentos aportados por el reclamado. SEPTIMO: Con fecha 28 de octubre de 2020 se formuló propuesta de resolución, proponiendo que se sancione al reclamado por las presuntas infracciones del artículo 5.1
- d)y 17 del RGPD, infracciones tipificadas en artículo 83.5
- a)y 83.5
- b)del RGPD y calificadas de muy graves en los artículos 72.1
- a)y 72.1
- k)de la LOPDPGDD respectivamente a efectos de prescripción, con una multa 50.000 euros (cincuenta mil euros) por la sanción del artículo 83.5
- a)correspondiente a la infracción del artículo 5.1
- d)del RGPD y una multa de 50.000 euros (cincuenta mil euros) por la sanción del artículo 83.5
- b)por la infracción del artículo 17 del RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 HECHOS PROBADOS PRIMERO: El ***FECHA.1, la reclamante contrató telefónicamente, el suministro electrónico de una vivienda situada en ***LOCALIDAD.1. SEGUNDO: La reclamante no satisfizo el pago de las facturas emitidas en fechas 16 de junio de 2016, por importe de XXX euros y 19 de julio de 2016, por importe de XXX euros, motivo por el cual la entidad reclamada le remitió a la reclamante tres requerimientos de pago, en fechas 22 de julio de 2016, 10 de agosto de 2016 y 23 de noviembre de 2016, enviados al domicilio de instalación del suministro, donde ya no residía la reclamante, y por lo tanto fueron devueltos en dos ocasiones por “ausente” y la tercera por “desconocido”, TERCERO: Pese a no haberse podido realizar la notificación, los datos de la reclamante fueron informados al fichero de solvencia patrimonial y crédito ASNEF. CUARTO: En fecha 21 de noviembre de 2016 la reclamante solicita la cancelación de sus datos y la baja de su contrato de suministro eléctrico como consecuencia de la terminación de su contrato de arrendamiento referido a la vivienda respecto de la que se contrató dicho suministro, incluyendo en su encabezamiento un nuevo domicilio a efectos de notificaciones. QUINTO: La entidad reclamada hizo caso omiso del cambio de domicilio informado por la reclamante a esta compañía, y volvió a remitir nuevas comunicaciones de fechas 21 de noviembre y 22 de diciembre de 2016 al domicilio de instalación del suministro, en lugar de a la nueva dirección indicada por la reclamante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II El artículo 6.1 del RGPD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” III En el supuesto aquí analizado, ha quedado acreditado que la reclamante ejercitó su derecho de cancelación ante el reclamado el 11 de noviembre de 2016, y su solicitud no obtuvo respuesta, pese al derecho reconocido en el artículo 16 de la LOPD, vigente en el momento de los hechos, derecho reconocido en la actualidad en el artículo 17 del RGPD, denominado derecho de supresión («el derecho al olvido») en cuyo precepto se rige el derecho de supresión del reclamante, afirmándose que tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan. Además de conformidad con las evidencias de las que se dispone en el presente momento, las notificaciones remitidas a la reclamante realizadas entre el 22 de julio y 23 de noviembre de 2016 por IBERDROLA requiriendo la deuda se enviaron al domicilio de instalación del suministro, donde ya no residía la reclamante, pese a haberse comunicado en el mes de mayo de 2016 la nueva dirección. Por lo tanto, dichas comunicaciones fueron devueltas en dos ocasiones por “ausente” y la tercera por “desconocido”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Por otro lado, la entidad reclamada manifiesta no haber tenido conocimiento del cambio de dirección de la reclamante hasta el 21 de noviembre de 2016, aunque la reclamada manifiesta que lo comunicó el día 11 de noviembre de 2016. Pese a ello, para indicar a la reclamante la imposibilidad de proceder a la cancelación de los datos incluidos en el fichero ASNEF como consecuencia del impago del servicio, la entidad reclamada continuó dirigiéndose a la reclamante a la dirección del contrato de suministro, en lugar de la nueva indicada por la reclamante, en sus comunicaciones de fechas 22 de noviembre y 22 de diciembre de 2016, es decir, con posterioridad a la fecha en que manifiesta conocer la nueva dirección a efectos de comunicaciones. El artículo 26 de la ley 40/2015 de Régimen Jurídico del Sector Público, establece que serán de aplicación las disposiciones sancionadoras vigentes en el momento de producirse los hechos que constituyan infracción administrativa. Así las cosas, se considera que la reclamante fue indebidamente incluida en los ficheros de solvencia patrimonial, ya que las notificaciones del requerimiento previo de pago, fueron todas ellas devueltas por ausente o por destinatario desconocido, por ser dirigidas a una dirección incorrecta, al dejar de residir la reclamante en dicha dirección desde el mes de mayo de 2016 y pese a haber sido comunicado el cambio de dirección a la que debían dirigirle las comunicaciones, siguen dirigiéndose a la dirección del contrato de suministro, por lo que no recibió ninguno de los requerimientos previos de pago, lo cual supone la vulneración de los artículos 38.1 a), y 43 del RLOPD que señalan que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, normativa vigente en el momento de la infracción. La aplicación del RGPD viene determinada porque el mantenimiento de la dirección incorrecta constituye una infracción continuada que se prolonga en el tiempo mientras este problema de calidad de datos, causante de la infracción que nos ocupa no se subsanó. Por ello, en el presente caso se incurre en una infracción del artículo 5.1
- d)del RGPD porque no se realizó el debido requerimiento de pago por un problema de calidad de los datos. IV El artículo 72.1.
- a)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679
- k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 V El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; VI Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2
- b)Se encuentran afectados identificadores personales básicos (nombre, apellidos, domicilio, teléfono), según el artículo 83.2
- g)Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a IBERDROLA CLIENTES, SAU, con NIF A95758389 una multa de 50.000 euros (cincuenta mil euros), por la infracción del artículo 5.1
- d)y una segunda multa de 50.000 euros (cincuenta mil euros) por la infracción del artículo 17 del RGPD, tipificadas cada una en los artículos 83.5
- a)y 83.5
- b)del RGPD respectivamente, y calificadas de muy graves en los artículos 72.1
- a)y 72.1
- k)de la LOPDPGDD a efectos de prescripción. SEGUNDO: NOTIFICAR la presente resolución a IBERDROLA CLIENTES, SAU. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es