1/9 Procedimiento nº.: PS/00082/2013 ASUNTO: Recurso de Reposición Nº RR/00619/2013 Examinado el recurso de reposición interpuesto por la entidad CIMODIN S.L.. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00082/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 26 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00082/2013 , en virtud de la cual se imponía a la entidad CIMODIN S.L.., una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo11 la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 k), de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 28/06/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00082/2013, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- Los datos personales de la denunciante, incluido la dirección de correo electrónico fueron incorporados a un fichero propiedad de CIMODIN, S.L. donde constaba la siguiente leyenda informativa: Mediante la cumplimentación de este formulario y de acuerdo a lo dispuesto en la L.O. 15/1999, de 13 de diciembre de Protección de datos de carácter Personal, y la Ley 34/2002, de 11 de julio de Servicios de la Sociedad de la Información, consiente de modo expreso en que los datos que nos facilite se incluirán en un fichero automatizado propiedad de Cimodin S.A., con domicilio en (…)con la finalidad de poder enviarle comunicaciones comerciales a través de cualquier medio de comunicación. Los datos que nos facilite en ningún caso serán concedidos a terceras personas físicas o jurídicas. (…) Folios 54 DOS.- CIMODIN, S.L e IHT acordaron la realización de una promoción denominada XXXXXXXXXXX, que consistía en la participación de los clientes y potenciales clientes de aquella, en un sorteo para cuyo premio era obtener de modo gratuito servicios de IHT. Los datos personales de los interesados eran recogidos por CIMODIN, S.L. en las tiendas de VERDECORA mediante formulario establecido al efecto y posteriormente eran cedidos a IHT para ofrecer el servicio en cuestión. TRES.- En fecha de 09/06/2011 aún no se había producido la cesión de la base de datos por parte de CIMODIN S.L. ha IHT, tal como consta en las comunicaciones electrónicas obrantes en el folio
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 CUATRO.- CIMODIN, S.L. reconoce que los datos personales de la denunciante fueron incorporados a la base de datos para la promoción de XXXXXXXXXXX, a pesar de que la denunciante no utilizó el cupón establecido al efecto. (Folio 99) CINCO.- Resulta acreditado que a raíz de la cesión que CIMODIN, S.L. hace de la base de datos a favor de IHT, ésta remite las siguientes comunicaciones comerciales: En fecha de 19/07/2011 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto “***NOMBRE.1 Vive tu momento spa en el Hotel Beatriz Toledo”. ( Folio 203 y 204) En fecha de 23/09/2011 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto “CELEBRA LA NAVIDAD EN TOLEDO”. ( Folio 181) En fecha de 21/11/2011 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto CELEBRA TU FIN DE AÑO EN EL HOTEL BEATRIZ EN TOLEDO( Folio 182) SEIS.- En fecha de 23/11/2011 la denunciante remite un correo electrónico a la cuenta de IHT desde la que se envían los correos publicitarios, donde señala que quiere ejercer su derecho de cancelación y que no ha dado su dirección de correo electrónico para fines publicitarios, solicitando que se eliminen sus datos. (Folio 31) SIETE.- En fecha de 15/12/2011 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto FELICITACION NAVIDEÑA (Folio 183) OCHO: En fecha de 16/12/2011 la denunciante remite un correo electrónico a la cuenta de IHT desde la que se envían los correos publicitarios, donde reitera las peticiones realizada en su comunicación de 23/11/2011 a la que hace expresa referencia. (Folio 32) NUEVE: En fecha de 24/1/2012 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto III JORNADAS GASTRONOMICAS DEL ARROCES EN RESTAURANTE ALACENA. (Folio 25 y 26) DIEZ.- En fecha de 31/1/2012 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto MUSICA EN VIVO EN RESTAURANTE LA ALACENA. (Folio 12) ONCE.- Mediante carta entregada en fecha 15/02/2012 la denunciante solicita la cancelación de sus datos ante IHT. (Folio 15 a 19) DOCE.-En fecha de 06/03/2012 se envía desde una cuenta de correo de IHT una comunicación comercial a la dirección de correo de la denunciante con el asunto BUFFET LIBRE TOLEDO NIÑOS GRATIS. (Folio 13 y 14) TRECE.- Mediante correo electrónico de fecha 30/03/2012 IHT confirma la cancelación de datos de la denunciante. (Folio 30) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 CATORCE.- Los datos personales de la denunciante, incluido la dirección de correo destinataria de las comunicaciones comerciales por medios electrónicos analizadas, figuran inscritos en el Servicio de Lista Robinson desde la fecha 16/10/2009 (Folio 178). TERCERO: CIMODIN S.L.. ha presentado en fecha 25 de julio de 2013, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en: Ambas entidades eran responsables del fichero. Se cumplió el deber de información y se obtuvo el consentimiento para la incorporación de los datos. La circunstancia de que la denunciante introdujese en la urna de participación del sorteo un formulario diferente sucede al margen del control de VERDECORA. A diferencia de los hechos relatados en R/1938/2009, si consta acreditado que la denunciante cumplimento el formulario y lo introdujo en la urna. Aplicación del art. 45.4 LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por CIMODIN S.L.., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III, V, y VIII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: Respecto de la titularidad del fichero y del deber de información cabe señalar: <III (…) CIMODIN S.L.., recabó los datos personales de la denunciante mediante un cupón/formulario y con posterioridad los comunico a IHT, siendo utilizados por ésta para envíos de comunicaciones comerciales por medios electrónicos. Para analizar la adecuación del tratamiento de datos realizado a la LOPD debe tenerse en cuenta que los datos de la denunciante se recaban a través de un formulario en el que consta que la finalidad del fichero es “(…) poder enviarle comunicaciones comerciales a través de cualquier medio de comunicación. Los datos que nos facilite en ningún caso serán concedidos a terceras personas físicas o jurídicas (…). Por tanto, el medio de obtención de los datos de la denunciante, no habilita a CIMODIN, S.L. ni para utilizarlos en la promoción relativa al sorteo de XXXXXXXXXXX, ni para cederlos a terceras empresas como es IHT. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 A mayor abundamiento, la propia entidad CIMODIN, S.L. reconoce que a pesar de ser un cupón destinado a otras finalidades, los datos de la denunciante se utilizaron para la campaña XXXXXXXXXXX, para la cual se tenía diseñado otro cupón, con otra leyenda informativa. Por tanto, no puede entenderse que CIMODIN, S.L. tuviera el consentimiento, ni si quiera de modo tácito, para comunicarlos a IHT, pues la información relativa a la finalidad del tratamiento era errónea habida cuenta del verdadero tratamiento que posteriormente le dieron a los datos de la denunciante, por mucho que constara el logo de IHT por sus tiendas, como más adelante se analiza.(…)> (…)V CIMODIN S.L.. en el ejercicio de su derecho de defensa, reitera sus alegaciones respecto a la existencia de un fichero conjunto, sin embargo de la documentación obrante en el expediente y de la prueba practicada ha resultado probado que CIMODIN, S.L. elaboró un fichero que posteriormente fue cedido a IHT. Tanto es así, que sin perjuicio de las declaraciones de IHT en las que reconocen que CIMODIN, S.L les cedió el fichero en cuestión, consta en el propio expediente comunicaciones de CIMODIN, S.L. a IHT solicitando la devolución del fichero, donde consta literalmente (…)los datos forman parte de la base de datos de Cimodin, S.L.,(…) les solicitamos su devolución (…)” Folio
- Asimismo señala que a pesar de que la denunciante no utilizo el cupón previsto al efecto, fue informada por los carteles que exista en las tiendas donde aparecía el logo de IHT. Tal manifestación debe rechazarse por simplista, pues debe recordarse en primer lugar, lo dispuesto en el art. 11.3 LOPD
- Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. En segundo lugar, no puede equipararse la existencia de un logo del IHT, con la lectura y comprensión de la información prevista en el art. 5 de la LOPD, pues admitiendo la interpretación propuesta por CIMODIN, S.L. se vacía de contenido del principio de consentimiento informado para el tratamiento y cesión de datos, que reiterada jurisprudencia viene recogiendo. Asimismo debe recordarse que las presunciones han de construirse sobre hechos respecto de los cuales no exista duda de su producción o acaecimiento, y en este caso se desconoce si la denunciante de algún modo pudo conocer la leyenda informativa que efectivamente informaba de la promoción de XXXXXXXXXXX. (…) CIMODIN, S.L., señala que fue la denunciante quien introdujo el cupón en la urna de participación de XXXXXXXXXXX, sin embargo es preciso reiterar que ese hecho no está probado que así sucediera, tan solo que lo cumplimentó, pero no que lo deposito para la participación en la citada promoción. A mayor abundamiento, aunque así fuera es preciso señalar en primer lugar, que acepto una política de privacidad que informaba precisamente de que no es cederían sus datos, y en segundo lugar que CIMODIN, S.L. tendría que haber excluido dicho cupón de la urna al no corresponderse con la promoción XXXXXXXXXXX. (…)En este sentido resulta especialmente clarificadora la Resolución de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Agencia de fecha 2/06/2009, nº R/01383/2009, en la que se pretendía acreditar el consentimiento de la denunciante de modo tácito sobre hechos no probados: La Jurisprudencia de la Audiencia Nacional ha entendido que los requisitos del consentimiento, se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento (…) (…)En el presente caso, en modo alguno se puede considerar que el denunciante haya consentido ni la cesión ni el posterior tratamiento de sus datos, por dos cuestiones fundamentales: En primer lugar, con el planteamiento de CL se esta admitiendo implícitamente la existencia de un consentimiento tácito. El consentimiento, salvo cuando el tratamiento se refiera a los datos especialmente protegidos (artículo 7 LOPD), podrá obtenerse de forma expresa o tácita, es decir, tanto como consecuencia de una afirmación específica del afectado en ese sentido, como mediante la falta de una manifestación contraria al tratamiento o comunicación de datos, para la que se hayan concedido mecanismos de fácil adopción por el afectado y un tiempo prudencial para dar una respuesta negativa. Sin embargo, este consentimiento tácito solamente puede apreciarse a partir de hechos sobre los que se tenga completa certeza, condición que no concurre en las circunstancias valoradas por la entidad imputada, que pretende que se tenga por cierto el consentimiento del afectado deducido de unos hechos no probados. CL no ha aportado ninguna documentación que permita comprobar si el denunciante recibió efectivamente la revista, en las que se contenían las cláusulas informativas trascritas ut supra. CL pretende deducir de un albarán de compra que aporta en sus alegaciones a la propuesta de resolución la recepción de la revista, manifestando que cada dos meses se envía a sus clientes. Sin embargo, ni la compra ni la propia recepción está acreditada. El “albarán” de entrega de compra que aporta CL, no esta firmado por el denunciante, circunstancia que impide tenerla por entregada, pudiendo crearse dicho documento “ad hoc” , y que pudo haberse aportado en el tramite oportuno, cuando juega esencialmente en el descargo de CL. Por tanto, no puede entenderse que el denunciante hubiese prestado su consentimiento con las finalidades indicadas ( ni para el tipo de tratamiento al que se sometió, ni para la cesión producida) , atendidas las exigencias contenidas en las normas ya reseñadas. En este sentido, la Audiencia Nacional, en Sentencia de 30/04/2004, señala lo siguiente: “... entendemos también que la persona física o jurídica que pretenda obtener tal consentimiento sí deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado...”. En Sentencia de 07/07/2000, la misma Audiencia Nacional ha señalado que “Este tema del consentimiento tácito ha de ser tratado con una gran delicadeza cuando están en juego derechos constitucionales básicos art. 18-4 CE y a ello tiende toda la regulación legal contenida en el articulado de la L.O. 5/92 y su explicación y filosofía recogida en la Exposición de Motivos. En la vida de relación es muy posible reconocer formas de tácita aceptación, pero siempre en aspectos no trascendentes o cuando se está operando sobre situaciones consolidadas y que están en la común consideración a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 modo de valores entendidos. No es el caso cuando lo que está en juego es la privacidad de las personas de ahí todas las cautelas normativas tendentes a proteger esa privacidad, sin que quepan interpretaciones de laxitud del artículo 11-1 de la Ley a menos que el titular de la intimidad se haya situado voluntariamente en situación de abandono de la defensa de ese derecho”. Asimismo, en el Informe elaborado por el Gabinete Jurídico de la Agencia Española de Protección de Datos, en respuesta emitida a una consulta planteada por FECEMD en fecha 26/09/2003, ya se advertía sobre la necesidad de acreditar la información ofrecida y “su conocimiento por el afectado”. Dada la importancia de esta cuestión, la misma consulta citada planteaba, a modo de ejemplo, un mecanismo para acreditar la efectiva remisión y recepción por el afectado de la información, sometiéndolo a la consideración de la citada Agencia. (…) En conclusión, CIMODIN, S.L. ha incumplido lo dispuesto en el art. 11 de la LOPD, pues ha cedido los datos personales de la denunciante sin su consentimiento, sin acreditar causa alguna que lo dispense. (…) (…)VIII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 2 ,4 y 5, lo siguiente:
- Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.
- La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a) El carácter continuado de la infracción. b) El volumen de los tratamientos efectuados. c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d) El volumen de negocio o actividad del infractor. e) Los beneficios obtenidos como consecuencia de la comisión de la infracción. f) El grado de intencionalidad. g) La reincidencia por comisión de infracciones de la misma naturaleza. h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.
- El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d) Cuando el infractor haya reconocido espontáneamente su culpabilidad. e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En cuanto al elemento subjetivo, cabe señalar que su presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la AEPD Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.d) de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Por lo que atañe a la diligencia que es exigible en estos casos, la STAN de 17 de octubre de 2007 (Rec. 63/2006) indica: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) El ilícito administrativo que se imputa a CIMODIN, S.L., requiere la existencia de culpa como elemento integrante del tipo sancionador. La presencia de este elemento ha quedado acreditada en atención a la circunstancia de que obtuvo los datos personales de la denunciante previa cumplimentación de un formulario con una determinada información, y con posterioridad los utilizo para otro fin, incumpliendo expresamente las finalidades para la que los recogió. Debe recordarse que expresamente se informa a la denunciante de que los datos no serian cedidos, y precisamente dicha conducta fue la que llevo a cabo, ya sea por error o por otra circunstancia. Por lo que al menos se ha acreditado una culpa de carácter leve, es decir, a titulo de simple inobservancia tal como recoge el art. 130.1 LRJPAC antes citado. Por tanto, volviendo a los criterios del art. 45.5 LOPD, hay que señalar que concurren las circunstancias previstas en el apartado a) que remite a la concurrencia de varios motivos previstos en el artículo 45.4 LOPD, en concreto, los motivos e), f) g) y h) por lo que procede su aplicación, y determinar el importe de la infracción dentro del intervalo de las leves. Ahora bien, no puede olvidarse que estamos ante la cesión de datos personales sin consentimiento para un fin respecto del cual no se informó e incumpliendo expresamente las limitaciones de dicho tratamiento. Es decir, que no se cederían los datos a terceras empresas circunstancias que hacen imponer la cuantía de la sanción dentro del intervalo de las infracciones leves en la cuantía de 20.000 €. III Por lo tanto, en el presente recurso de reposición, CIMODIN S.L.. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CIMODIN S.L.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 26 de junio de 2013, en el procedimiento sancionador PS/00082/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad CIMODIN S.L... De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es