1/10 Expediente N.º: EXP202101732 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 22 de junio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BICLAMEDIA, S.L. con NIF B87022117 (en adelante, la parte reclamada o BICLAMEDIA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, manifiesta que recibió llamadas comerciales en su línea de telefonía móvil: ***TELÉFONO.1, en nombre de IBERDROLA y REPSOL, en las que le indicaron que los datos se habían obtenido de la reclamada, BICLAMEDIA. La parte reclamante aporta certificado de obtención de datos otorgado por la parte reclamada, señalándose que los datos se habían obtenido el 13 de abril de 2017 mediante la recepción de los mismos a través del formulario de participación en el sorteo en el sitio web ***URL.1, e informando de que en el formulario de participación recibido consta que el usuario otorgó a BICLAMEDIA el consentimiento libre y expreso para el tratamiento de sus datos personales con fines de mercadotecnia, mediante la aceptación de la política de privacidad, las condiciones de uso y las bases del sorteo aplicables en ese momento. El reclamante niega que haya cumplimentado ese formulario y haya participado en el concurso. Junto a la reclamación se aporta: - Certificado de obtención de datos de carácter personal expedido por BICLAMEDIA, S.L. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BICLAMEDIA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Y más en concreto sobe los siguientes extremos: 1. La decisión adoptada a propósito de esta reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante. Informándole, además, que en el caso de que la reclamación esté relacionada con publicidad y comunicaciones comerciales o promocionales, se citan algunos documentos que serían convenientes que se aportaran con la respuesta a la solicitud de información: - Documento acreditativo del consentimiento del afectado. Origen de los datos personales del afectado en sus sistemas y modo de obtención de los mismos - Documento justificativo de la cancelación de datos personales para tratamiento con fines publicitarios, en su caso. - Otros. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/09/2021 como consta en el acuse de recibo que obra en el expediente. Trascurrido el plazo de un mes concedido para la contestación al traslado de la reclamación, con fecha 25/10/2021 se recibe en esta Agencia escrito de respuesta de BICLAMEDIA, S.L. en el que manifiesta que: - Ha procedido a la recopilación de la información concerniente al mismo. - Aporta como documentación acreditativa de la respuesta facilitada al reclamante: - Documento número Uno que acredita la respuesta facilitada al reclamante (correos electrónicos) Documentos número Dos y Tres, certificados de acceso y supresión de los datos del reclamante, respectivamente E informa que: o C/ Jorge Juan, 6 28001 – Madrid La incidencia que ha originado la reclamación ha sido que el afectado presentó ante la AEPD una reclamación en la que niega que haya www.aepd.es sedeagpd.gob.es 3/10 cumplimentado ese formulario y haya participado en el concurso, habilitado en su momento en el sitio web ***URL.1. C/ Jorge Juan, 6 28001 – Madrid o Con fecha 16 de junio de 2021 el reclamante ejerce el derecho de acceso a sus datos personales ante la reclamada, manifestando expresamente la retirada del consentimiento para cualquier tratamiento que no sea el de dar respuesta a su solicitud. o Los días 17 y 22 de junio de 2021, BICLAMEDIA contesta al reclamante confirmando la recepción de su correo electrónico y atendiendo a su solicitud respectivamente. o El mismo día 22 de junio de 2021, el reclamante presenta ante la AEPD la reclamación que ha dado lugar al presente expediente. o BICLAMEDIA, como sucede con el resto de empresas del sector del marketing digital y de otros sectores, no puede garantizar con absoluta certeza que los datos recibidos sean correctos. o BICLAMEDIA informa en su política de privacidad que en el caso de suministrar datos de terceras empresas, es responsabilidad del usuario que los suministra informar de tal circunstancia al tercero cuyos datos nos va a comunicar. o BICLAMEDIA procedió a la supresión de los datos personales del reclamante en sus ficheros, garantizando así el pleno ejercicio de los derechos fundamentales del reclamante en la realidad digital. o Esta decisión se adopta en aras de velar por el desempeño de una actitud proactiva requerida por el ordenamiento jurídico ante cualquier evidencia acerca de la veracidad y/o titularidad de los datos recibidos, en garantía de los derechos reconocidos en los artículo 15 a 22 del RGPD. Y, además, se procedió a la exclusión del sorteo asociado al registro del reclamante. o BICLAMEDIA no ha incumplido la normativa existente en materia de protección de datos y que ha adoptado las medidas necesarias y a su alcance para dar satisfacción a la solicitud del reclamante. o BICLAMEDIA ha demostrado que ha adoptado las medidas correctivas encaminadas a poner fin al posible y supuesto incumplimiento de la normativa de protección de datos, y no se han causado perjuicios al interesado. o Solicita que se dicte resolución acordando la inadmisión de la reclamación presentada por el reclamante, y en consecuencia el www.aepd.es sedeagpd.gob.es 4/10 sobreseimiento y archivo del presente procedimiento incoado sin imposición de sanción alguna., expresando además, la ausencia de cualquier responsabilidad por parte de BICLAMADIA, por haber sido su actuación conforme a la normativa en materia de protección de datos TERCERO: Con fecha 1 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 17 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó en fecha 07/04/2022 escrito de alegaciones en el que, en síntesis, manifestaba que: PRIMERA.- La apertura del presente procedimiento sancionador, basado únicamente en una manifestación del afectado en el que afirma que no cumplimentó un formulario ni ha participado en un concurso, sin aportar indicio racional alguno de la existencia de infracción, supone una clara vulneración del principio de presunción de inocencia reconocido en nuestro texto constitucional. SEGUNDA.- Por parte de BICLAMEDIA, en tiempo y forma, se atendió la solicitud del usuario y se aportó certificado de acceso a sus datos personales y el requerimiento efectuado por esa Agencia Española de Protección de Datos. Adicionalmente a la aportación del certificado de obtención de datos personales y contestación al requerimiento efectuado, adjunto al presente documento se aporta la siguiente documentación, acreditativa de la obtención del consentimiento del afectado como base de legitimación para el tratamiento de sus datos personales para fines de mercadotecnia directa: Documentos Uno a Tres, ficheros log con los datos de registro y la actividad del reclamante en el momento de navegación/registro en la web del responsable del fichero. Documento Cuatro, certificado de tabla de registro emitido por el responsable del fichero de datos personales. TERCERA.- BICLAMEDIA entiende que, con la documentación aportada por la responsable del tratamiento, queda suficientemente demostrado que BICLAMEDIA ha efectuado un correcto tratamiento de los datos personales del afectado bajo el amparo de la causa legitimadora recogida en el artículo 6.1.
- a)del RGPD, y ha llevado a cabo éste de forma respetuosa con la normativa en materia de protección de datos de carácter personal vigente en cada momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 Por lo que, BICLAMEDIA solicita que teniendo por presentado este escrito y sus documentos adjuntos, se admitan, tenga por evacuado, en tiempo y forma, el trámite conferido, y, en virtud de las alegaciones realizadas en el cuerpo del presente escrito, se sirva de dictar resolución acordando el sobreseimiento y archivo del Procedimiento Sancionador EXP202101732, sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad por parte BICLAMEDIA, S.L.U. SEXTO: Con fecha 29/04/2022 se dirige requerimiento información adicional al reclamante sobre si en fecha 13/04/2017 accedió al sitio web ***URL.1, y relleno el formulario de partición en el sorteo del viaje a Milán, y aceptó las condiciones de la política de privacidad del sitio web; asimismo, se le requirió información sobre su IP. Ese mismo día el reclamante presentó escrito de contestación al requerimiento en el que reiteraba que él nunca había accedido a ese sitio web ni había aceptado sus condiciones, ni dado su consentimiento para que se trataran sus datos. En el escrito de contestación no se contiene ninguna información sobre su IP. SÉPTIMO: Con fecha 25 de mayo de 2022 se formuló propuesta de resolución, proponiendo el archivo de las actuaciones derivadas del procedimiento sancionador seguido contra BICLAMEDIA. Teniendo en cuenta que a pesar de la obligación impuesta al responsable de demostrar que el interesado consintió el tratamiento de sus datos tal y como se recoge en el apartado 1 del artículo 7 del RGPD que establece que. “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Y reconocida por la doctrina reiterada de la Audiencia Nacional (sirva por todas la reciente Sentencia de 5 de mayo de 2021, de la Sala de lo Contencioso-administrativo, Sección 1ª, Rec.1434/2020) en el F.D. 6º de esta Sentencia se señala que: “Esta Sala ha señalado reiteradamente (SAN de 23 de abril de 2015, Rec. 97/2014, por todas) que corresponde a quien realiza el tratamiento acreditar que ha obtenido el consentimiento del afectado cuando – como aquí sucede – niegue haberlo otorgado, y a tal fin deberá arbitrar los medios necesarios para ello”(El subrayado es nuestro). Siendo el motivo de la apertura del procedimiento sancionador la falta de acreditación de haber obtenido el consentimiento del reclamante para el tratamiento de los datos del reclamante. Posteriormente, en el escrito de alegaciones al acuerdo de inicio fue cuando BICLAMEDIA aportó nuevos documentos adicionales que ponen de manifiesto que desde la IP ***IP.1 el 13/04/2017 desde las 18:19:26 horas hasta las 18:23:11 horas se visitó la web ***URL.1 introduciendo los datos personales del reclamante (nombre, apellidos, email, teléfono, dirección, sexo) figurando en las condiciones c1, c2, c3 y c4 el valor “1” en la Tabla de Registro del usuario y el Log de actividad IP” lo que, según nota aclaratoria contenida en dicha Tabla, significaría la aceptación, por la persona que usó dicha IP de las condiciones en cuanto a la política de privacidad de BICLAMEDIA y de las bases del sorteo, así como de la recepción de comunicaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 comerciales tanto por parte de BICLAMEDIA como por parte de patrocinadores de ésta, y, también, a la cesión de sus datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de BICLAMEDIA. La presentación de esta documentación supone la aportación de nuevos indicios que podrían implicar la obtención del consentimiento del interesado para el tratamiento de los datos, a pesar de que el interesado haya manifestado en reiteradas ocasiones no haber accedido nunca a la URL objeto del procedimiento sancionador por el que se dictó el acuerdo de inicio. Lo que conlleva la existencia de una duda razonable sobre la obtención del consentimiento del reclamante o de un tercero para el tratamiento, a pesar de las manifestaciones reiteradas del reclamante en el sentido de no haber prestado su consentimiento para el tratamiento de los datos que dieron origen al acuerdo de inicio, por lo que decaería el juicio de reprochabilidad subjetiva como elemento subjetivo para la imposición de sanciones administrativas. Por lo que en aplicación al procedimiento sancionador administrativo del principio de inocencia reconocido en el artículo 24.2 de la Constitución Española, que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor, se propuso el archivo del procedimiento sancionador incoado a BICLAMEDIA. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 22 de junio de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra BICLAMEDIA, S.L. con NIF B87022117 (en adelante, la parte reclamada o BICLAMEDIA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, manifiesta que recibió llamadas comerciales en su línea de telefonía móvil: ***TELÉFONO.1, en nombre de IBERDROLA y REPSOL, en las que le indicaron que los datos se habían obtenido de la reclamada, BICLAMEDIA. El reclamante niega que haya cumplimentado el formulario de participación en el sorteo en el sitio web ***URL.1, y que haya participado en el concurso. SEGUNDO: Trascurrido el plazo de un mes concedido para la contestación al traslado de la reclamación, con fecha 25/10/2021 se recibe en esta Agencia escrito de respuesta de BICLAMEDIA, S.L. con el contenido que se recoge en el antecedente segundo de esta propuesta de resolución. TERCERO: Junto con el escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, presentado en fecha 07/04/2022, BICLAMEDIA aporta, como nuevos documentos al expediente, una serie de ficheros log con los datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 registro y la actividad en el momento de navegación/registro en la web del responsable del fichero, así como un certificado de tabla de registro emitido por el responsable del fichero de datos personales. Estos documentos reflejan que a través de la IP ***IP.1 el 13/04/2017 entre las 18:19:26 horas y las 18:23:11 horas se visitó la web ***URL.1 introduciendo los datos personales del reclamante (nombre, apellidos, email, teléfono, dirección, sexo) y figurando en las condiciones c1, c2, c3 y c4 el valor “1” (que significaría la aceptación de la condición, según nota aclaratoria) en la “Tabla de Registro del usuario y el Log de actividad IP”. La aportación de esta nueva documentación introduce una duda razonable sobre la existencia de una válida obtención del consentimiento del reclamante o de un tercero para el tratamiento, a pesar de las manifestaciones reiteradas del reclamante en el sentido de no haber prestado su consentimiento para el tratamiento de los datos que dieron origen al acuerdo de inicio, por lo que decaería el juicio de reprochabilidad objetiva como elemento para la imposición de sanciones administrativas. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II La obtención o captación de datos para la participación en un sorteo y su posterior cesión a un tercero para fines de mercadotecnia, a tenor del artículo 4.2 del RGPD, constituyen “tratamientos” de datos personales y su protección, por tanto, es objeto de dicho Reglamento. Siendo además, tratamientos de datos independientes, es decir, para finalidades distintas, una la tramitación de las solicitudes de participación en el sorteo; y la otra, la realización de actividades de mercadotecnia por un tercero. III El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» El artículo 7 del RGPD establece las condiciones para el consentimiento: «1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el con-sentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato». En relación con este aspecto del consentimiento el Considerando 32 del mencionado RGPD, dispone que «El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.» En relación con lo anterior, se considera que si bien inicialmente existían evidencias de que el tratamiento de datos de la persona que supuestamente rellenó el formulario del sorteo y su cesión a terceros, objeto de esta reclamación, se habría efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD, la aportación de nueva documentación por el reclamado hace que tales evidencias sino resultan del todo refutadas si al menos resulten cuestionadas, lo que hace imposible llegar a la certeza sobre la comisión de la infracción. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. BICLAMEDIA aporta como acreditación de la obtención del consentimiento para la realización de las actividades de tratamiento, a las que se refiere la reclamación, nuevos documentos (ficheros log y certificado de la tabla de registro) lo que podría suponer la constatación de actividades de obtención del consentimiento de las personas que acceden a la página web objeto de la reclamación. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 PRIMERO: ARCHIVAR el procedimiento PS/00578/2021, iniciado a la entidad BICLAMEDIA, S.L., con NIF B87022117. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a BICLAMEDIA, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es