1/10 Procedimiento Nº PS/00321/2014 RESOLUCIÓN: R/02074/2014 En el procedimiento sancionador PS/00321/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANCO MARE NOSTRUM S.A., vista la denuncia presentada por UNION OBRERA BALEAR ( UOB ) y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 10 de junio de 2013 tiene entrada en esta Agencia un escrito de UNION OBRERA BALEAR ( UOB ) en el que declara lo siguiente: Manifiestan que son el sindicato mayoritario representando a más del 75% de la plantilla de la entidad CAJA DE AHORROS Y MONTE DE PIEDAD DE LAS BALEARES “.........” entidad hoy día integrada en BANCO MARE NOSTRUM, S.A. (BMN). Afirman que les consta, por declaraciones de empleados afiliados y por un correo electrónico directivo, que la Dirección ha dado órdenes verbales y escritas a toda la red comercial para que se copien las confirmaciones de borradores del IRPF de clientes que hagan uso del servicio borrador/renta, y de remitir las copias a la Dirección territorial mediante correo interno o valija. Añaden que en las circulares de régimen interno “Comunicados de área” ***/***/2013, de 22 de abril, y ***/**1/2013, de 13 de mayo, con motivo de la campaña Renta 2012 se recoge que “La prestación de estos servicios nos permite un mayor conocimiento de la situación financiera y personal de nuestros clientes particulares, más allá de las relaciones económicas que actualmente mantenga con nosotros”. Junto a su denuncia aporta los siguientes documentos: - Copia de las circulares de régimen interno “Comunicados de área” ***/***/2013, de 22 de abril, y ***/**1/2013, de 13 de mayo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO MARE NOSTRUM S.A., teniendo conocimiento de que: 1. En fecha de 1/4/2014 se solicita información a UNION OBRERA BALEAR al objeto de que aportan todas las evidencias de que dispongan en relación con los hechos denunciados recibiéndose escrito de respuesta en fecha de 8/5/2014 en el que aportan un correo electrónico de fecha 20/5/2013 remitido por A.A.A. en calidad de ***CARGO.1 Palma-Andratx dirigido a “***CARGO.1 ***LOCALIDAD.1 con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 siguiente contenido: “Buenos días, Os recuerdo que de todas las confirmaciones de borradores debéis realizar una copia y remitir a la regional por valija (****). Un saludo,”. Añaden que el código **** corresponde a la Dirección Regional de Baleares Norte con domicilio en (C/...........1), código postal ***CP.1. 2. En fecha de 1/4/2014 se solicita información a BANCO MARE NOSTRUM, S.A. solicitando información acerca del procedimiento de almacenamiento de copia de los borradores de la Renta 2012 tal y como se refleja en las comunicaciones internas aportadas por UNION OBRERA BALEAR. En fecha de 29/4/2014 se recibe respuesta de la entidad en la que pone de manifiesto que dicha entidad trató los datos de los clientes contribuyentes de la declaración de la Renta de 2012 a los meros efectos de su presentación telemática, como así se recoge en el formulario de “Otorgomiento de la representación” que firmaban los clientes que solicitaron el servicio. Añade la entidad que en ningún caso se conservaron copias de la declaraciones de 2012. Finalmente señalan, respecto de las afirmaciones recogidas en los comunicados aludidos en la denuncia, que “en ningún caso implica el archivo de los datos personales de clientes contenidos en sus declaraciones tributarias de las campañas de Renta. Está únicamente referida, dentro de las obligaciones que pesan sobre todas las entidades financieras, al mejor conocimiento de los clientes que se pone de manifiesto con motivo del intercambio de opiniones, contrastes o pareceres, durante la prestación de estos servicios de tramitación de la declaración de renta, y que es fruto de la relación de confianza entre banco y cliente”. TERCERO: Con fecha 3 de junio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANCO MARE NOSTRUM, S.A. por presunta infracción del artículo 4.2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave del artículo 44.3.
- c)de dicha norma, pudiendo ser sancionada con multa de 40.001€ a 300.000 €, según lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANCO MARE NOSTRUM, S.A., mediante escrito que tuvo entrada en el Registro de la AEPD el 7 de julio de 2014, formuló alegaciones en las que solicitó el archivo del expediente por inexistencia de responsabilidad de la entidad o en su caso la aplicación de la proporcionalidad de acuerdo al artículo 45.5 y 45.4 de la LOPD. En apoyo de su pretensión invoca los siguientes argumentos: BMN no tiene establecido ningún procedimiento de almacenamiento de las declaraciones o borradores de Hacienda que tramitó ni para la presentación de la declaración, ni para el servicio de ayuda a la cumplimentación de la declaración y tramitación del borrador, salvo en el caso del servicio de tramitación de la presentación física y únicamente respecto del ejemplar expresamente destinado a la “entidad colaboradora” que BMN debe conservar por ley. Los servicios de renta se prestan por BMN a solicitud expresa del cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 Las directrices de servicios que presta BMN a nivel nacional, como es la campaña de la renta, deben ser emitidas por la Dirección Central de banco. Ausencia de culpabilidad y pruebas de cargo. QUINTO: Con fecha 14 de marzo de 2014 se inició el período de práctica de pruebas en el que: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por UNION OBRERA BALEAR ( UOB ) y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO MARE NOSTRUM S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/05039/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00321/2014 presentadas por BANCO MARE NOSTRUM S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 25 de julio de 2014 el Instructor del Procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se ARCHIVE el presente procedimiento a BANCO MARE NOSTRUM S.A., por inexistencia de infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3
- c)de dicha norma. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: El sindicato UNION OBRERA BALEAR ( UOB ) presentó en la Agencia Española de Protección de Datos escrito en el que denunciaba a la entidad BANCO MARE NOSTRUM, S.A por dar órdenes verbales y escritas a toda la red comercial para que se copien las confirmaciones de borradores del IRPF de clientes que hagan uso del servicio borrador/renta, y de remitir las copias a la Dirección territorial mediante correo interno o valija. Así mismo han enviado circulares de régimen interno donde se señala que “La prestación de estos servicios nos permite un mayor conocimiento de la situación financiera y personal de nuestros clientes particulares, más allá de las relaciones económicas que actualmente mantenga con nosotros”. (folios 1 al 12) SEGUNDO: Queda acreditada la existencia del siguiente: “ Comunicado de Area: ***/***/2013 Firmado el 22/04/2013 9:42:11 Título: SERVICIO RENTA, CAMPAÑA BORRADOR Emisor: DIRECCIÓN DE NEGOCIO Entrada en vigor: 22/04/2013 Destino: A toda la Entidad Vencimiento: 02/07/2013 Para consultar: CONTACT CENTER 900****** C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 Firmado por: B.B.B. Asunto: SERVICIOS A CONTRIBUYENTES CLIENTES DE BMN PARA LA OBTENCIÓN, MODIFICACIÓN Y PRESENTACIÓN DEL BORRADOR. Bajo la denominación Servicio Renta, ofrecemos a nuestros clientes los servicios relacionados con el Borrador y la Declaración de la Renta. La prestación de estos servicios nos permite un mayor conocimiento de la situación financiera y personal de nuestros clientes particulares, más allá de las relaciones económicas que actualmente mantenga con nosotros. Es un servicio que nos distingue positivamente, porque la mayoría de entidades financieras de nuestro entorno no lo ofrecen o lo hacen muy limitadamente.” (folio 3) TERCERO: Queda acreditada la existencia del siguiente: “Comunicado de Area: ***/**1/2013 Firmado el 14/05/2013 9:31:23 Título: SERVICIO RENTA: PROGRAMA PADRE Emisor: DIRECCIÓN DE NEGOCIO Entrada en vigor: 13/05/2013 Destino: A toda la Entidad Vencimiento: 01/08/2013 Para consultar: CONTACT CENTER 900****** Firmado por: B.B.B. Asunto: SERVICIOS A CONTRIBUYENTES CLIENTES DE BMN PARA LA CUMPLIMENTACIÓN DE LA DECLARACIÓN DE LA RENTA 2012. Bajo la denominación Servicio Renta, ofrecemos a nuestros clientes los servicios relacionados con el Borrador y la Declaración de la Renta. Esta circular complementa a la circular ***/***/2013 referente al Borrador. A partir deI 13 de mayo se podrán cumplimentar declaraciones de la Renta a través del programa Padre para Entidades Colaboradoras. La prestación de estos servicios nos permite un mayor conocimiento de la situación financiera y personal de nuestros clientes particulares, más allá de las relaciones económicas que actualmente mantenga con nosotros. Es un servicio que nos distingue positivamente, porque la mayoría de entidades financieras de nuestro entorno no lo ofrecen o lo hacen muy limitadamente. Esta circular será de aplicación en las oficinas de la Territorial de Cataluña hasta el 31/05/2013” (folio 6) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 CUARTO: Queda acreditada la existencia de una plantilla de otorgamiento de la representación para presentar por vía telemática el borrador/declaración correspondiente. En este otorgamiento se señala lo siguiente: “Asimismo, el/los otorgante/s autoriza/n a que sus datos personales sean tratados de manera automatizada a los exclusivos efectos de la presentación de la declaración por medios telemáticos”. (folio 12) QUINTO: La organización sindical denunciante aporta el siguiente correo: “De: ...@... [...@...] Enviado el: lunes, 20 de mayo de 2013 10:01 Para: ***CARGO.1 ***LOCALIDAD.1@......... Asunto: BORRADORES Buenos días, Os recuerdo que de todas las confirmaciones de borradores debéis realizar una copia y remitir a la regional por valija (****). Un saludo, A.A.A. ***CARGO.1 ***LOCALIDAD.1 + 34 ***TEL.1 ...@... Bme. (C/............1)Palma de Mallorca www.......... BMN - .........” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica de Protección de Datos, L. O. 15/1999, en su artículo 4, apartado 2, (Calidad de los datos), dispone: “Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos”. III La LOPD contempla en su Título II (artículos 4 a 12) una serie de principios generales, entre los que destacan los del consentimiento y de calidad de datos, que constituyen el contenido esencial de este derecho fundamental y configuran un sistema que garantiza una utilización racional de los datos personales, que permite el equilibrio entre los avances de la sociedad de la información y el respeto a la libertad de los ciudadanos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 La Audiencia Nacional en Sentencia de 25 de julio de 2006 señala que “dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. El artículo 4.2, cuya vulneración se imputa a BMN en el presente expediente sancionador, prohíbe que los datos puedan usarse para una finalidad incompatible con aquella para la que fueron recogidos. La Audiencia Nacional se ha pronunciado en diversas ocasiones respecto al significado del término “incompatible” que emplea la LOPD para calificar el tratamiento realizado, a diferencia de la Ley Orgánica 5/1992 reguladora del Tratamiento Automatizado de Datos de Carácter Personal (vigente hasta el 14 de enero del año 2000) que aludía a finalidades “distintas”. Así en Sentencia de 17 de marzo de 2004, la Audiencia señala que “Aplicando de forma literalista el artículo 4.2 de la Ley Orgánica, quedaría privado de sentido y vaciado de contenido y para evitar este resultado indeseable esta Sala considera que lo que prohíbe el precepto es que los datos de carácter personal se utilicen para una finalidad distinta de aquella para la que han sido recogidos. “ (El subrayado es de la AEPD) Contribuye también a precisar el alcance de la expresión que emplea la LOPD, “finalidades incompatibles”, la Sentencia de la Audiencia Nacional de 14 de junio de 2002, que declara: “La Sala entiende con la Agencia de Protección de Datos que la interpretación del término incompatible debe realizarse de forma sistemática poniendo en relación dicha expresión con el principio de autodeterminación que inspira la Ley. Pues una interpretación amplia del término incompatible sin tener en cuenta dicho principio lo vaciaría de contenido. Principio que implica que el afectado conozca o pueda conocer mediante el empleo de una diligencia razonable, que los datos por él facilitados van a ser empleados en consonancia con los fines para los que los facilitan”. (El subrayado es de la AEPD) Tomando la expresión “finalidades incompatibles” que utiliza el legislador de la LOPD como sinónimo de “finalidades distintas”, se concluye que, entregados los datos para una finalidad concreta, el uso o tratamiento posterior que no esté en consonancia con la finalidad para la que fueron facilitados, y sobre la que el afectado no hubiera consentido, constituiría un desvío de finalidad que está vetada por el artículo 4.2 de la LOPD. El Tribunal Constitucional en la STC 11/1998, de 13 de enero, se ocupó de un supuesto de desvío de finalidad y señaló al respecto, en relación con el artículo 18.4 de la Constitución Española, que “Este (…) consagra un derecho fundamental autónomo a controlar el flujo de informaciones que conciernen a una persona - a la privacidad según la expresión utilizada en la Exposición de Motivos de la Ley Orgánica reguladora del Tratamiento Automatizado de Datos de Carácter Personal- pertenezcan o no al ámbito más estricto de la intimidad, para así preservar el pleno ejercicio de sus derechos. Trata de evitar que la informatización de los datos personales propicie comportamientos discriminatorios. Y aquí se utilizó un dato sensible, que había sido proporcionado con una determinada finalidad, para otra radicalmente distinta con menoscabo del legítimo ejercicio del derecho de libertad sindical”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 IV En el presente caso, la cuestión fundamental radica en determinar si BMN trató los datos de los clientes con una finalidad diferente a la obtención, modificación, confirmación del borrador de la renta o presentación de la declaración a través del programa padre , es decir, si los datos personales se utilizaron para aquella finalidad que los clientes habían autorizado en su recogida. El artículo 8 de la Orden EHA/2027/2007, de 28 de junio, por la que se desarrolla parcialmente el Real Decreto 939/2005, de 29 de junio, por el que se aprueba el Reglamento General de Recaudación, en relación con las entidades de crédito que prestan el servicio de colaboración en la gestión recaudatoria de la Agencia Estatal de Administración Tributaria establece lo siguiente: “Las Entidades colaboradoras están obligadas a conservar el ejemplar destinado a las mismas de los documentos justificativos de los ingresos y de las solicitudes de devolución durante un período de cinco años a contar desde su recepción, así como a mantener durante el mismo período de tiempo los registros informáticos relativos a las cantidades ingresadas en la cuenta del Tesoro en el Banco de España y a las demás operaciones realizadas en su condición de colaboradoras, a efectos de la realización de los controles y verificaciones que pudieran determinarse por el titular del Departamento de Recaudación de la Agencia Estatal de Administración Tributaria. En aquellos supuestos en que se haya generado un justificante de pago distinto de la validación en el documento de ingreso, como es el caso de los recibos a que se refiere el artículo 3.2 y 3 de la presente orden, las Entidades deberán conservar durante un período de cinco años los soportes informáticos relativos a la generación de tales recibos, de forma que puedan obtenerse duplicados de los mismos, a petición del Equipo Central de Control de Entidades Colaboradoras o de los obligados al pago .“ En este sentido hay que señalar que es una obligación legal conservar el ejemplar destinado a las entidades colaboradoras de los documentos justificativos de los ingresos y de las solicitudes de devolución durante un período de cinco años. Así mismo debe señalarse que el denominado Servicio Renta debe constar con la debida autorización del cliente interesado para la presentación por vía telemática de la declaración, según se manifiesta en el hecho probado cuarto. V Por otro lado las manifestaciones vertidas en los comunicados de zona que constan en los hechos probados segundo y tercero que señalan que: “La prestación de estos servicios nos permite un mayor conocimiento de la situación financiera y personal de nuestros clientes particulares, más allá de las relaciones económicas que actualmente mantenga con nosotros. Es un servicio que nos distingue positivamente, porque la mayoría de entidades financieras de nuestro entorno no lo ofrecen o lo hacen muy limitadamente”, no dejan de estar en el ámbito de la relación que surge entre el cliente y el banco, es decir, dentro del ámbito comercial. Hay que señalar en este sentido que el cliente debe prestar su consentimiento para el tratamiento de datos personales por parte del banco, en el ámbito del servicio renta y en ese ámbito pueden surgir comentarios, sugerencias que evidentemente si se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 materializaran en productos o en promociones publicitarias sin el consentimiento del denunciante conllevarían una infracción de la LOPD, pero también hay que señalar que la relación de confianza que pueda existir entre el cliente y el empleado que confecciona su declaración puede llevar a hacerle sugerencias dentro del estricto ámbito comercial en las relaciones directas entre ellos. En este sentido podrían entenderse los comunicados que constan en los hechos probados, mientras no se demuestre lo contrario. Además hay que tener en cuenta que no se ha aportado en el transcurso del expediente registro alguno donde se establezcan formularios o perfiles con los datos de los clientes extraídos de sus declaraciones de la renta donde se les clasifique en función de su perfil y se desprenda una finalidad diferente a la realización del servicio de renta . A mayor abundamiento tampoco ha quedado acreditado ningún tratamiento de datos concreto para una finalidad incompatible con aquella para la que fueron recogidos. Por último con respecto al correo que consta en el hecho probado quinto donde el firmante Director de Zona de Palma recuerda “que debe hacerse una copia de todas las confirmaciones de borradores y remitir a la regional por valija”, si bien podría hacer pensar en una recogida de datos sin consentimiento, habría que probarlo y tampoco ha quedado acreditado con la documentación que obra en el expediente. Por otro lado no se expresa fin alguno en dicho correo. Visto lo anteriormente expuesto se ha de tener en cuenta que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado fehacientemente la existencia de una prueba de cargo acreditativa de los hechos que motiven una determinada imputación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 En este sentido y para este caso, debemos determinar que no se han aportado elementos probatorios de cierta entidad que nos permitan establecer de forma fehaciente que se estén utilizando datos de los clientes con una finalidad incompatible en los servicios ofrecidos por el BMN en su servicio de renta. VI Dispone el artículo 44.3.c), de la LOPD, que considera infracción grave “
- c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” En el presente caso, teniendo en cuenta lo dispuesto en los Fundamentos de Derecho anteriores no es posible subsumir la conducta de BANCO MARE NOSTRUM S.A., en ninguno de los supuestos que el Título VII de la LOPD considera infracción, debiendo por tanto dictarse el archivo de actuaciones. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador a la entidad BANCO MARE NOSTRUM S.A., por inexistencia de infracción del artículo 4.2 de la LOPD, tipificada como grave en el artículo 44.3
- c)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a BANCO MARE NOSTRUM S.A. y a UNION OBRERA BALEAR ( UOB ). TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es