PS-00387-2023

1/11  Expediente Nº: EXP202310075 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 15 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a VERNE INFORMATION TECHNOLOGY, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 24 de octubre de 2023 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202310075 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 27 de junio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VERNE INFORMATION TECHNOLOGY, S.L. con NIF B42626937 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Recepción de comunicaciones electrónicas comerciales sin haberlo autorizado expresamente y sin que conste relación contractual previa. Junto a la reclamación se aporta copia de correo remitido por la parte reclamada al reclamante el 27 de junio de 2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 18 de julio de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 31 de julio de 2023 se recibe en esta Agencia escrito de respuesta indicando que: “Verne Information Technology, S. L. realiza envío de comunicaciones comerciales amparados en el interés legítimo, y en todas las comunicaciones, da a los destinatarios la opción de darse de baja en la recepción de dichos envíos. Que el reclamante ha presentado la reclamación ante esta Agencia sin haber previamente ejercitado el derecho de supresión ni haber marcado el Unsubscribe en ninguna de las comunicaciones que recibió. Además, en los correos que aporta el propio reclamante, se evidencia que en el correo electrónico remitido por Verne Information Technology, S. L. viene que puede ejercitar los derechos, así como obtener más información contactando con el Delegado de protección de datos en ***EMAIL.1 pero no se ha recibido ninguna comunicación al respecto. “Que la reclamación iniciada por el reclamante tiene por objeto el envío de comunicaciones comerciales, alegando el reclamante que no mantiene ninguna relación con la reclamada para el envío de esta información ni ha prestado su consentimiento para tal fin. En Verne Information Technology, S. L., ocasionalmente, tratamos información de contactos dentro de las empresas y en relación con su puesto de trabajo, amparados en el artículo 6.1.

1. f)del Reglamento (UE) 2016/679, que establece que los datos podrán tratarse en “para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales” Así mismo, para valorar la prevalencia del interés legítimo, se realizó una ponderación del mismo para las comunicaciones comerciales. Además, las comunicaciones realizadas, establecidos en el Art. 19.1 LOPDGDD. cumplen con los requisitos Las comunicaciones realizadas son para mantener relaciones con la persona jurídica en la que el reclamante presta sus servicios, prueba de ellos es que la información remitida es para informar sobre los beneficios del ERP SAGE para la empresa.” TERCERO: Con fecha 16 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 CUARTO: Con fecha 15 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 21.1 de la LSSI, tipificada en el Artículo 38.4.
2. d)de la LSSI. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones. SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta acreditado en el expediente que la parte reclamada ha enviado comunicaciones electrónicas comerciales al reclamante, sin que en la actualidad exista una relación contractual, que, si existió con anterioridad al ser el reclamante Responsable de Informática y sistemas en Velilla Confección Industrial, cliente de Verne. SEGUNDO: Consta acreditado en el expediente el correo remitido por la parte reclamada al reclamante el 27 de junio de 2023 y también que el correo remitido por la parte reclamada ha sido enviado a una cuenta de empresa (***EMAIL.2) no a la cuenta personal del reclamado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Alegaciones al acuerdo de inicio La parte reclamada presentó escrito de alegaciones en el que manifestaba lo siguiente: ALEGACIONES “El correo electrónico se remite por una de nuestras consultoras para el contacto profesional con el denunciante, ya que en el pasado A.A.A. había tenido una relación profesional con Verne Information Technology, S.L. por supuesto como Responsable Informática y sistemas en Velilla Confección Industrial, cliente de Verne. Debido a esta relación contractual entre Velilla Confección Industrial y Verne Information Technology, el denunciante ha seguido manteniendo contacto con parte de la plantilla de Verne a través de diversas vías de comunicación, por ejemplo, linkedin, así se puede comprobar en la red social del denunciante que tiene entre sus contactos a varios trabajadores de Verne. Fruto de esta relación, una de nuestras comerciales se consideró amparada en el Artículo 21.2 LSSICE. Además, en todo momento se le dio al denunciante la opción de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito. Consideramos que el hecho denunciado ha sido causado por la interpretación de una trabajadora, que ha considerado que podía seguir manteniendo una relación profesional con el denunciante, a pesar de haber cambiado éste de empresa. En Verne Technology Group, S.L. estamos muy concienciados con el cumplimiento de la normativa de protección de datos, así como LSSICE. Disponemos de una política de protección de datos de obligatoria lectura para todo el personal, se realiza formación periódica, informamos a través de los canales internos sobre el cumplimiento de la normativa y concienciación al respecto, etc.´ Además, se están adoptando nuevas medidas para conseguir concienciando al personal trabajador y colaborador sobre el cumplimiento de la normativa, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 que a todos les llegue de manera clara la información que les puede afectar en su día a día, por ejemplo, la creación de infografías explicativas o ampliar la formación tanto en el cumplimiento de la normativa relacionada con protección de datos como LSSICE.” Examinadas las alegaciones de la parte reclamada, esta Agencia considera que cuando la dirección de correo, aunque sea una cuenta de correo de empresa, pueda ser vinculada a una persona física identificada o identificable, se trata sin duda de un dato personal. Ello significa tener que disponer del consentimiento inequívoco de la persona afectada o que este consentimiento pueda ser considerado exonerado por algunas de las excepciones de la citada ley. El hecho de que hubiera podido existir una relación profesional en el pasado por el cargo que ostentaba la ahora parte reclamante en su anterior puesto de trabajo o el que dicha persona siga manteniendo contacto con parte de la plantilla de la empresa reclamada a través de diversas vías de comunicación como apunta la parte reclamada, no es causa para entender que exista un consentimiento por su parte para recibir comunicaciones comerciales de la parte reclamada. Por todo lo expuesto, se DESESTIMAN las alegaciones presentadas. III Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante, LSSI), en su artículo 21.1, prohíbe de forma expresa “el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Es decir, se desautorizan las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en apartado 2 del citado artículo 21, que autoriza el envío de comunicaciones comerciales cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. De acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. IV Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
3. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. El concepto de comunicación comercial, de acuerdo con la definición recogida en el Anexo f), párrafo primero de la LSSI, engloba todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. Por otro lado, la LSSI en su Anexo
4. a)define “Servicio de la Sociedad de la Información” como “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios”. Añade el referido apartado que el envío de comunicaciones comerciales es un servicio de la sociedad de la información, siempre que represente una actividad económica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Según el apartado
5. d)del citado Anexo, destinatario es la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información” De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
6. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. V El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación.” La definición de prestador del servicio se contiene en el apartado
7. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 VI Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 21.1 de la LSSI, que señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.” Visto lo anterior y teniendo en cuenta que el reclamante manifiesta que no tiene ninguna relación contractual previa, ni consentimiento al respecto con la parte reclamada para recibir comunicaciones, se entiende que se ha producido una vulneración del artículo citado al haber recibido comunicaciones comerciales (spam) en el que no cabe el interés legítimo, aplicando la LSSI y no el 6.1.
8. f)del Reglamento (UE)2016/679. VII La infracción se califica como leve en el artículo 38.4.
9. d)de la LSSI, que considera como tal: “El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. Esta infracción es sancionada con multa de 2.000 € (DOS MIL EUROS), de acuerdo con el artículo 39.1.
10. c)de la LSSI. “1. Por la comisión de las infracciones recogidas en el artículo anterior, se impondrán las siguientes sanciones: (…)
11. c)Por la comisión de infracciones leves, multa de hasta 30.000 euros.” A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a VERNE INFORMATION TECHNOLOGY, S.L., con NIF B42626937, por una infracción del Artículo 21.1 de la LSSI, tipificada en el Artículo 38.4.
12. d)de la LSSI, con una multa de 2.000 € (DOS MIL EUROS). Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 reducción, la sanción quedaría establecida en 1.600 € (MIL SEISCIENTOS EUROS y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. R.R.R. INSTRUCTORA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 ANEXO Índice del expediente EXP202310075 27/06/2023 Reclamación de A.A.A. 18/07/2023 Traslado reclamación a VERNE INFORMATION TECHNOLOGY, S.L. 31/07/2023 Alegaciones de SYMLOGIC SL 16/08/2023 Admisión a trámite a A.A.A. 15/09/2023 Acuerdo de inicio a VERNE INFORMATION TECHNOLOGY, S.L. 15/09/2023 Info. Reclamante a A.A.A. 22/09/2023 Alegaciones de SYMLOGIC SL >> SEGUNDO: En fecha 10 de noviembre de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 1600 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo establecido en el artículo 43.1 de la Ley 34/2002, de 11 de Julio, de servicios de la sociedad de la información y de comercio electrónico (en adelante LSSI) y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por último, la Disposición adicional cuarta "Procedimiento en relación con las competencias atribuidas a la Agencia Española de Protección de Datos por otras leyes" establece que: "Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes." II Terminación del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202310075, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR TECHNOLOGY, S.L.. la presente resolución a VERNE INFORMATION De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-171022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es