PS-00574-2014

1/10 Procedimiento Nº PS/00574/2014 RESOLUCIÓN: R/00914/2015 En el procedimiento sancionador PS/00574/2014, instruido por la Agencia Española de Protección de Datos a la entidad TEMPORIS LABORIS ETT, S.L., vista la denuncia presentada por UNITAT DEL COS NACIONAL DE POLICIA (CONSELLERIA DE GOVERNACIO I JUSTICIA) y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 5/11/13 tuvo entrada denuncia por CONSELLERIA DE GOVERNACIO I JUSTICIA (UNITAT DEL COS NACIONAL DE POLICIA) en la que se relatan los siguientes hechos: 1.1 Durante una inspección realizada el dia 14/10/13 en la localidad de Massanassa (Valencia) localizan en el interior de un vehículo gran cantidad de documentos con datos de personas físicas. 1.2 Los ocupantes del vehículo manifestaron que dichos documentos fueron encontrados por ellos amontonados en la acera, a la altura del número 15 de la (C/..............1) de la ciudad de Valencia, siendo trasladados para la venta de los mismos. 1.3 Se comprobó por los agentes que los documentos tenían alguna vinculación con la ETT “Temporis Laboris” sita en (C/..............1) ya que aparecía esos datos en membretes de sobres, nominas o contratos laborales 1.4 Entre la documentación localizada figuran: - Impresos de la Agencia Tributaria - Certificados de IRPF - Declaraciones laborales de renuncia a reconocimientos médicos - Nominas - Fotocopia de DNI, Permisos de residencia, Tarjetas SIP de la Conselleria de Sanidad - Contratos de Trabajo - Cartas de despido a trabajadores - Resoluciones de alta en la TGSS - Resoluciones de reconocimiento de bajas en el MTSS - Cuestionarios de evaluación a distancia - Fotocopia de cheque bancario 1.5 De las informaciones recogidas se manifiesta que dicha ETT permanece cerrada desde hace aproximadamente un mes 1.6 Se recoge documentación en dos cajas que se presenta como evidencia del tipo de documentación que se trata 1.7 Se adjunta reportaje fotográfico tanto del vehículo como de su carga 1.8 Se procede a la destrucción del resto de la documentación aportándose copia del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 acta de destrucción de fecha 25/10/13 SEGUNDO: Se manifiesta que por parte de la Unidad Policial se ha tratado de localizar a los responsables de la empresa con resultado negativo hasta ese momento. Constatando que el local que dispone la empresa en Valencia continuaba cerrado TERCERO: Con fecha 21/10/14 el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a TEMPORIS LABORIS ETT por las presuntas infracciones de los artículos 9 y 10 de la LOPD, tipificadas como graves en los artículos 44.3.

1. h)y 44.3.d de la citada Ley Orgánica. CUARTO: Con fecha 22/10/14 se remitió al denunciado, con acuse de recibo, notificación del Acuerdo de Inicio. Certificando el Servicio de Correos, la no posibilidad de la misma por “domicilio desconocido”. QUINTO: Que procedió a la notificación del citado acuerdo de inicio de procedimiento sancionador mediante su exposición en el Tablón de edictos del Ayuntamiento de Valencias y fue publicado en el Boletín Oficial del Estado de fecha 13/12/14, otorgándose al denunciado plazo para efectuar alegaciones a dicho acuerdo, acabando el mismo sin que por parte de éste se presentara escrito alguno SEXTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora HECHOS PROBADOS 1º Consta denuncia presentada CONSELLERIA DE GOVERNACIO I JUSTICIA (UNITAT DEL COS NACIONAL DE POLICIA) en la que manifiestan que durante una inspección realizada el dia 14/10/13 en la localidad de Massanassa (Valencia) localizan en el interior de un vehículo gran cantidad de documentos con datos de personas físicas. Los ocupantes del vehículo manifestaron que dichos documentos fueron encontrados por ellos amontonados en la acera, a la altura del número 15 de la (C/..............1) de la ciudad de Valencia, siendo trasladados para la venta de los mismos. 2º Se comprobó por los agentes que los documentos tenían alguna vinculación con la ETT “Temporis Laboris” sita en (C/..............1) ya que aparecía esos datos en membretes de sobres, nominas o contratos laborales 3º Consta que entre la documentación localizada figuran: - Impresos de la Agencia Tributaria - Certificados de IRPF - Declaraciones laborales de renuncia a reconocimientos médicos - Nominas - Fotocopis de DNI, Permisos de residencia, Tarjetas SIP de la Conselleria de Sanidad - Contratos de Trabajo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 - Cartas de despido a trabajadores - Resoluciones de alta en la TGSS - Resoluciones de reconocimiento de bajas en el MTSS - Cuestionarios de evaluación a distancia - Fotocopia de cheque bancario 4º De las informaciones recogidas se manifiesta que dicha ETT permanece cerrada desde hace aproximadamente un mes 5º Se adjunto al escrtio de denuncia reportaje fotográfico de la documentación recuperada quer se ha incorporado al expediente 6º Consta acta de destrucción de dicho material realizada el dia 25/10/13 7º Consta manifestaciones que por parte de la Unidad Policial se ha tratado de localizar a los responsables de la empresa con resultado negativo hasta ese momento. Constatando que el local que dispone la empresa en Valencia continuaba cerrado FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados.” El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” III La LOPD en su artículo 1 dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la misma ley orgánica establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento y a toda modalidad de uso posterior de estos datos por los sectores públicos y privados”. El artículo. 3 de la LOPD establece las definiciones de responsable de fichero o tratamiento, de encargado de tratamiento y de cesión de datos: “
3. d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento
4. g)Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento I) Cesión o comunicación de datos: toda revelación de datos realizada a la persona distinta del interesado.” La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), arriba citado, que incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En el presente caso, al comprobarse por los agentes denunciantes que los agentes que los documentos tenían alguna vinculación con la ETT “Temporis Laboris” sita en (C/..............1) ya que aparecía esos datos en membretes de sobres, nominas o contratos laborales, se deduce que esta entidad es responsable del tratamiento de dicha documentación por lo que está sujeto al régimen de responsabilidad recogido en el Título VII de la LOPD IV El artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. Sintetizando las previsiones legales puede afirmarse que:
5. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
6. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
7. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
8. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. La documentación encontrada procedente de esa entidad entra en la consideración de documentación en soporte papel, contiene datos personales, debiéndosele aplicar las medidas de seguridad previstas reglamentariamente. Los hechos, que traen causa en este procedimiento, derivan de la localización por unos agentes de la policía nacional, en el interior de un vehículo gran cantidad de documentos con datos de personas físicas. A preguntas de los Agentes los ocupantes del vehículo manifestaron que dichos documentos fueron encontrados por ellos amontonados en la acera, a la altura del número 15 de la (C/..............1) de la ciudad de Valencia, siendo trasladados para la venta de los mismos. Comprobándose posteriormente, por los Agentes actuantes, que dicha documentación tenían alguna vinculación con la ETT “Temporis Laboris” sita en (C/..............1) ya que aparecía esos datos en membretes de sobres, nominas o contratos laborales Ante estos hechos debe tenerse en cuenta lo establecido tanto en el artículo 106 del RD 1720/07 de desarrollo de la LOPD que establece: “Artículo 106. Criterios de archivo. El archivo de los soportes o documentos se realizará de acuerdo con los criterios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 previstos en su respectiva legislación. Estos criterios deberán garantizar la correcta conservación de los documentos, la localización y consulta de la información y posibilitar el ejercicio de los derechos de oposición al tratamiento, acceso, rectificación y cancelación. En aquellos casos en los que no exista norma aplicable, el responsable del fichero deberá establecer los criterios y procedimientos de actuación que deban seguirse para el archivo. “ Y el art 92.2, 3 y 4, (de aplicación a los ficheros no automatizados en virtud de lo establecido en el artículo 105), que disponen: “2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior.” En conclusión, es de aplicación lo dispuesto en artículo 92.4 que regula las obligaciones que tendrán que aplicarse cuando vaya a desecharse cualquier documento o soporte que contenga datos personales. Estableciéndose, aunque no se definen en concreto las medidas, que serán aquellas que eviten el acceso a la información contenido en los mismos, así como su posible recuperación posterior. En este caso, la aparición de documentación con datos de carácter personal que aun cuando se encontraba en un solar urbano, al estar parte del vallado derribado era de fácil acceso por un tercero se puede deducir que el denunciado, como responsable de la debida custodia de dicha documentación, no se observó la diligencia adecuada, ya que tenía que haberse adoptado las medidas necesarias que imposibilitaran la recuperación posterior de la misma. V El hecho constatado en el presente procedimiento, relativo al abandono de documentación conteniendo datos de carácter personal en un solar y accesible a terceros supone una inobservancia del deber de adoptar las medidas de seguridad pertinentes por parte de la responsable de la misma. El artículo 44.3
9. h)califica como infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. De acuerdo con los fundamentos anteriores, se deduce que por parte de la entidad denunciada se ha producido una vulneración de la de seguridad de los datos, que ha tenido como consecuencia que los datos personales, pudieran ser vistos por un tercero, infracción que procede calificarla en el grado señalado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 La exigencia de la “culpabilidad” deriva de lo que señala el artículo 130 de la Ley 30/92, de 26 de noviembre, de Régimen Jurídico de las Administraciones Publicas y del Procedimiento Administrativo Común – LRJPAC- cuando dice que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Si bien en materia sancionadora rige el principio de culpabilidad, la expresión “simple inobservancia”, del art. 130.1 de la Ley 30/92, permite la sanción por inobservancia del deber de cuidado. Tal es la interpretación que ha establecido la Audiencia Nacional en la sentencia de 6/02/08. Existe una obligación de resultado, que no se ha cumplido, pues documentación con datos de carácter personal procedente de la entidad denunciada se encontró si destruir, de lo que se desprende una falta de negligencia del responsable del tratamiento, obligado a implementar las medidas de seguridad. No obstante, deben tenerse en cuenta otros elementos que sirven para aminorar dicha responsabilidad. La necesidad de especial diligencia en la custodia de la documentación por parte del responsable y encargado del tratamiento ha sido puesta de relieve por la Audiencia Nacional, en diversas sentencias, en particular en la sentencia de 25/06/09, Rec. 237/2008, que manifiesta: “Es doctrina reiterada en esta Sala, SSAN, sec. 1ª, de 25/1/06 (re. 227/2004), 28/06/06 (Re. 290/2004), que “No basta con la aplicación formal de las medidas de seguridad, pues resulta exigible que aquellas se instauren y pongan en práctica de manera efectiva…Se impone, en consecuencia, una obligación de resultado, consistente en que se adopten las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros. En definitiva la recurrente es, por disposición legal, una deudora de seguridad en materia de datos y puesto que es una deudora de seguridad en materia de datos es insuficiente, según se desprende la doctrina de la Sala que se acaba de exponer, con acreditar que se adoptaron una serie de medidas, pues dicha entidad también es responsable de que las mismas se cumplan y ejecuten con rigor.” VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Para establecer la responsabilidad lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Se deben considerar las circunstancias acreditadas a lo largo del procedimiento que modulan la responsabilidad del denunciado, que se trate de un hecho puntual, que su actividad ,en principio, no parece estar vinculada con la realización de tratamientos de datos de carácter personal, que la documentación fue retirada y destruida por los Agentes actuantes, y que la entidad no acredite actividad laboral desde que los hechos fueron denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 Por tanto las anteriores circunstancias permiten que según lo establecido en el citado art. 45.5 pueda aplicarse la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, siendo procedente imponer, por la infracción imputada, una multa cuyo importe se encuentre entre 900 € y 40.000 €, En el presente caso, en aplicación de lo dispuesto en los apartados 45.4 Y 45.5 procede imponer una multa de 4.000€ por la infracción del artículo 9 de la LOPD Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TEMPORIS LABORIS ETT, S.L., por una infracción del artículo 9 de la LOPD, tipificada como GRAVE en el artículo 44.3.h de dicha norma, una multa de 4.000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 45.4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a TEMPORIS LABORIS ETT, S.L. y a UNITAT DEL COS NACIONAL DE POLICIA (CONSELLERIA DE GOVERNACIO I JUSTICIA). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es