REPOSICION-PS-00088-2014

1/16 Procedimiento nº.: PS/00088/2014 ASUNTO: Recurso de Reposición Nº RR/00655/2014 Examinado el recurso de reposición interpuesto por la entidad FORD ESPAÑA, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00088/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 25/07/2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00088/2014, en virtud de la cual se imponía a la entidad FORD ESPAÑA, S.L., una sanción de 6.000 euros (seis mil euros), por la vulneración de lo dispuesto en el artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.

1. e)de dicha norma, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: Dicha resolución, que fue notificada a FORD ESPAÑA, S.L. en fecha 01/08/2014, fue dictada de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, previa la tramitación del correspondiente procedimiento sancionador, iniciado mediante acuerdo de esta Agencia de fecha 25/02/2014. El citado acuerdo de inicio de procedimiento sancionador se notificó a la empresa imputada, que formuló las alegaciones que estimó convenientes, acordándose posteriormente la apertura de un período de pruebas. Transcurrido el citado período de pruebas, con fecha 04/07/2014, por el Instructor del procedimiento, se formuló Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se impusiera a FORD ESPAÑA, S.L. una multa de 6.000 euros (seis mil euros), por la infracción del artículo 16 de la LOPD, tipificada como grave en el artículo 44.3.
2. e)de dicha norma. De conformidad con lo dispuesto en el artículo 19 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de a potestad sancionadora, dicha Propuesta de Resolución fue notificada a FORD ESPAÑA, S.L. en la misma fecha del 04/07/2014 para que, en el plazo de quince días, pudiera formular nuevas alegaciones. Este plazo para alegaciones finalizó el día 22/07/2014, sin que en esta Agencia hubiese tenido entrada escrito alguna presentado por la citada entidad. En consecuencia, en fecha 25/07/2014 se dicta la Resolución impugnada, que impone la sanción anteriormente reseñada. En dicha Resolución se tuvieron por probados los siguientes hechos: <<1. Con fecha 18/10/2012, el denunciante facilitó sus datos personales a la entidad FORD con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 motivo de una consulta realizada por el mismo a través de Internet sobre los productos y servicios de la compañía. Dichos datos fueron registrados en el sistema de información de FORD. 2. Con fecha 19/10/2012, los datos personales del denunciante fueron facilitados por FORD a la entidad AUTOCONCESIONARIOS, S.L., de Granada, para que fuera atendida la solicitud del mismo reseñada en el Hecho Probado Primero. 3. Mediante escrito fechado en noviembre de 2012, la entidad FORD se dirige al denunciante en relación con el contacto que fue realizado por el mismo a través de la “Línea Directa FORD”. 4. Según consta en la Política de Privacidad insertada en el sitio web “ford.es”, los derechos de acceso, rectificación, cancelación y oposición al tratamiento de datos personales podrán ejercitarse, entre otros medios, “a través de correo electrónico dirigido a ......@infoford.com”. 5. Con fecha 23/01/2013, el denunciante remitió un correo electrónico a la dirección ......@infoford.com, en el que solicita a FORD la cancelación de todos sus datos personales y que le comuniquen que dicha cancelación se ha producido. 6. El correo electrónico reseñado en el Hecho Probado Cuarto fue recibido por Wunderman, S.L., en calidad de encargada del tratamiento del fichero de Clientes/Potenciales Clientes de FORD, y trasladado por aquella entidad a esta última en la misma fecha. En este correo que la entidad Wunderman, S.L. dirige a FORD, que tiene como Asunto “Cancelación Datos”, se indica lo siguiente: “Hola, os reenvío este correo. Es de un señor que solicitó información en octubre en la web. Nosotros en Wunderman, desde BCenter le llamamos y pasamos la ficha a la concesión 12300 Autoconcesionarios el día 19 de octubre. Desde el ftp veo que se generó el fichero con éxito de la descarga. Un mes después, desde al BC se vuelve a llamar y no había sido contactado por la concesión. La carta de agradecimiento que enviamos a los leads le debió llegar hace poco y como consecuencia de ésta y al no haber sido contactado por la concesión, solicitó su baja de nuestra Base de datos… ¿lo damos de baja o intentamos recuperarle con otra concesión o con lo que se te ocurra?”. 7. Los Servicios de Inspección de la Agencia Española de Protección de Datos constataron, durante la fase previa de investigación, que la solicitud de cancelación de datos personales formulada por el denunciante en fecha 23/01/2013 no fue contestada por la entidad FORD. Esta entidad, durante la tramitación del procedimiento, ha reconocido que no remitió al denunciante ningún escrito de respuesta a dicha solicitud. 8. Con fecha 17/04/2013, se recibió en la Agencia Española de Protección de Datos un escrito del denunciante en el que manifestó que había recibido llamadas de FORD, concretamente en fechas 04 y 10/04/2013, esta última realizada desde el número ***TEL.1, y que en ambos casos reiteró su solicitud de cancelación de datos. 9. En el Acta de Inspección de 16/01/2014, incorporada a las actuaciones, consta que los Servicios de Inspección de la Agencia Española de Protección de Datos comprobaron que el número de teléfono ***TEL.1 pertenece a un concesionario ubicado en Granada>>. TERCERO: Con fecha 29/07/2014, tuvo entrada en esta Agencia Española de Protección de Datos un escrito alegaciones, elaborado por FORD ESPAÑA, S.L. con motivo de la Propuesta de Resolución emitida por el Instructor del procedimiento, que había sido presentado en una oficina de Correos en fecha 22/07/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 Esta circunstancia motivó que la Resolución de fecha 25/07/2014 declarase que “el plazo concedido a la entidad FORD transcurre sin que en esta Agencia se haya recibido escrito alguno”, y que las citadas alegaciones no fueran tenidas en cuenta al dictar dicha Resolución. En síntesis, alega que la sanción propuesta es desproporcionada al no haber considerado todas las circunstancias concurrentes, que justificarían la imposición de una multa menor e, incluso, la aplicación de lo dispuesto en el artículo 45.6 de la LOPD en atención a las medidas correctoras que se han acreditado en relación con la normativa de protección de datos de carácter personal. CUARTO: Con fecha 29/08/2014, dentro del plazo establecido, se ha interpuesto recurso de reposición por FORD ESPAÑA, S.L. (en lo sucesivo la recurrente), recibido en esta Agencia Española de Protección de Datos en fecha 03/09/2014, en el que advierte, en primer término, que no han sido atendidas las alegaciones formuladas por dicha entidad a la propuesta de resolución elaborada por el Instructor del procedimiento, que fueron presentadas en plazo, estimando por ello que la resolución impugnada es nula de pleno derecho, al haberse conculcado este trámite de alegaciones del presunto responsable, en el que se cuestionaban diversas interpretaciones realizadas por el Instructor acerca de la finalidad del contacto con el denunciante posterior a la solicitud de cancelación de los datos. Asimismo, invoca igualmente causa de nulidad, entendiendo que la Resolución no ha sido dictada por el Director de la Agencia Española de Protección de Datos sino por la Secretaría General, sin que se indique que está ejerciendo una facultad delegada. Por otra parte, niega que no se atendiera el derecho de cancelación de los datos del denunciante, que constaban bloqueados en sus sistemas de información (folio 63), según pudieron comprobar los Servicios de Inspección, entendiendo que la única irregularidad resulta de la falta de contestación por escrito a la petición conforme a lo previsto en el artículo 32.2 del Reglamento de desarrollo de la LOPD, señalando al respecto que el incumplimiento de una norma reglamentaria no puede dar lugar a la imposición de una sanción conforme a lo establecido en el artículo 129 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Reitera su alegación de caducidad del expediente al no poder desligarse de la tutela de derechos previamente ejercitada por el denunciante, considerando que lo inspeccionado fue el resultado de dicha tutela de derechos y no otra cosa, cuyo plazo para resolver de seis meses había transcurrido. A este respecto, invoca los principios de seguridad jurídica y la interdicción de la arbitrariedad de los poderes públicos, señalando que habiéndose desestimado por la reclamación de tutela de derechos presentada por el denunciante no se comprende cómo, acto seguido, se puede incoar un procedimiento sancionador independiente del anterior donde lo que se hace es utilizar la información recabada del denunciante. Además, el expediente a incoar por la no atención de la solicitud de cancelación sería el de tutela de derechos y no el sancionador. Cuestiona la conclusión recogida en la resolución impugnada cuando advierte que FORD ESPAÑA, S.L. estuvo más atenta a la recuperación de un cliente potencial que a atender la decisión adoptada por el titular de los datos, considerando que se obtiene del correo electrónico reproducido en la página 7/15 de la propuesta, que se refiere a una afirmación realizada por una tercero (el encargado del tratamiento), no existiendo ningún otro documento que acredite lo anterior. Al contrario, la llamada respondió al seguimiento de un servicio previamente solicitado por el denunciante. Por tanto, se trata de un uso profesional de los datos y no de una circunstancia agravante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Subsidiariamente, en atención a las circunstancias concurrentes, FORD ESPAÑA, S.L. solicita la revisión de la graduación de la sanción que corresponde imponer, considerando la concurrencia de la práctica totalidad de las circunstancias establecidas en el artículo 45.4 de la LOPD, como el volumen de datos, la ausencia de carácter continuado de la conducta y la ausencia de intencionalidad, y señala nuevamente que no se entiende la razón que se expone para justificar la no aplicación del artículo 45.6 de la LOPD. En relación con esta última cuestión cita varios precedentes en los que se adoptó la medida de apercibimiento en atención a la no vinculación de la actividad del infractor con la realización de tratamientos de datos personales, su volumen de negocio o actividad y la inexistencia de beneficios; o, en otro caso, el carácter no continuado de la infracción, el volumen de tratamientos, el grado de intencionalidad y la ausencia de beneficios. En su escrito detalla las medidas correctoras que propone. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II FORD ESPAÑA, S.L. ha señalado en su escrito de recurso que la Resolución impugnada no tiene en cuenta las alegaciones formuladas contra la Propuesta de Resolución. Estas alegaciones fueron presentadas en tiempo y forma en una oficina de Correos, aunque las mismas tuvieron entrada en la Agencia Española de Protección de Datos con posterioridad a la fecha del vencimiento del plazo para tramitarlas y a la fecha de dictarse la citada Resolución. Para analizar esta cuestión conviene recordar que, en materia sancionadora, el Tribunal Constitucional ha establecido, como uno de los pilares básicos para la interpretación del Derecho administrativo sancionador, que los principios y prácticas básicas en el ámbito del Derecho Penal sean aplicables, con ciertos matices, en el ejercicio de cualquier potestad sancionadora de la Administración Pública (entre otras, la Sentencia 76/1990, de 26 de abril). En este sentido la Sentencia del Tribunal Constitucional 18/1981 (fundamento jurídico segundo “in fine”), ha señalado “los principios esenciales reflejados en el artículo 24 de la Constitución en materia de procedimiento, han de ser aplicables a la actividad sancionadora de la Administración ... porque la garantía del orden constitucional exige que el acuerdo se adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidad de aportar y proponer pruebas y alegar lo que a su derecho convenga”. En dicho contexto constitucional, uno de los trámites esenciales del procedimiento sancionador es la propuesta de resolución, que se regula en el artículo 18 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, que establece lo siguiente: “Concluida, en su caso, la prueba, el órgano instructor del procedimiento formulará propuesta de resolución en la que se fijarán de forma motivada los hechos, especificándose los que se consideren probados y su exacta calificación jurídica, se determinará la infracción que, en su caso, aquéllos constituyan y la persona o personas que resulten responsables, especificándose C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 la sanción que propone que se imponga y las medidas provisionales que se hubieran adoptado, en su caso, por el órgano competente para iniciar el procedimiento o por el instructor del mismo; o bien se propondrá la declaración de no existencia de infracción o responsabilidad”. Por otra parte, el artículo 19.1 del citado Real Decreto establece: “La propuesta de resolución se notificará a los interesados, indicándoles la puesta de manifiesto del procedimiento. A la notificación se acompañará una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener las copias de los que estimen convenientes, concediéndoseles un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento”. La propuesta de resolución, como señala la Sentencia del Tribunal Supremo de 17/07/2003, fija los hechos que se consideran probados y su exacta calificación jurídica, así como determina la infracción que, a su juicio, aquellos constituyen, la persona o personas que resulten responsables y la sanción que propone. Los citados preceptos son la concreción del principio general en materia sancionadora contenido en el artículo 135 de la LRJPAC. Se trata de un precepto que pretende garantizar el derecho a la defensa del presunto responsable, de ahí que se establezca la garantía de notificación de los hechos imputados, pues sólo cuando se tiene conocimiento de éstos es posible el ejercicio del legítimo derecho de defensa. Por ello, todo presunto responsable tiene derecho a ser informado de la acusación. Sobre la propuesta de resolución, la Sala Tercera del Tribunal Supremo (en Sentencias, entre otras, de 21/04/1997, 16/03/1998, 24/04/1999 y 16/11/2001) y teniendo en cuenta la Sentencia del Tribunal Constitucional 29/1989, de 6 de febrero, ha ido construyendo una jurisprudencia consolidada en virtud de la cual “el derecho a ser informado de la acusación, que con la categoría de fundamental se garantiza en el artículo 24.2 de la Constitución, se satisface normalmente en el procedimiento administrativo sancionador a través de la notificación de la propuesta de resolución.... Excepcionalmente aquel trámite podrá dejar de ser imprescindible, desde la óptica de la plena satisfacción del derecho fundamental citado, si en un trámite anterior se notificó aquel pronunciamiento preciso”. Aplicada la anterior doctrina al presente supuesto, hay que dilucidar si se ha producido la invalidez de la Resolución porque FORD ESPAÑA, S.L. no haya podido defenderse en vía administrativa de los hechos que se consideran probados en la correspondiente resolución sancionadora. En este caso, el procedimiento sancionador se inició por acuerdo del Director de la Agencia Española de Protección de Datos, de fecha 25/02/2014. En dicho Acuerdo se designó Instructor y Secretario con indicación de la posibilidad de recusar, en su caso, a los mismos, conforme a lo establecido en el artículo 29 de la LRJPAC. Asimismo se identificó a la entidad presuntamente responsable, que fue informada de los hechos imputados, de la calificación jurídica de estos hechos, de la posible sanción que pudiera imponerse, de la autoridad competente para imponerla y de su derecho a formular alegaciones y proponer prueba. La entidad recurrente, por tanto, conoció en detalle los hechos que se le imputaban y su alcance desde el punto de vista de la protección de datos. Además, accedió a las actuaciones y tuvo oportunidad de formular alegaciones en defensa de sus derechos con motivo del inicio del procedimiento, habiendo hecho uso de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 oportunidad. Asimismo, se advirtió a FORD ESPAÑA, S.L. sobre la posibilidad de proponer todas aquellas pruebas que estimara de su interés, dando lugar a la propuesta de prueba formulada en el escrito de alegaciones a la apertura del procedimiento (la documental aportada con su escrito de alegaciones). Finalmente, FORD ESPAÑA, S.L. tuvo oportunidad de presentar cuantas alegaciones estimó oportunas en defensa de sus derechos también frente a la propuesta de resolución, no siendo imputable a esta Agencia el hecho de que el escrito elaborado por aquella entidad tuviera entrada en este centro directivo pasados seis días hábiles sobre el plazo concedido para formular tales alegaciones y, en todo caso, con posterioridad a la fecha en que fue dictada la Resolución impugnada. De acuerdo con cuanto antecede, cabe señalar que, en ningún caso, ha existido indefensión material por parte de FORD ESPAÑA, S.L. que, por el contrario, ha dispuesto a lo largo de todo el procedimiento de todos los derechos y garantías previstas en el ordenamiento jurídico para la defensa de sus derechos. En consecuencia no se ha producido un efectivo y real menoscabo del derecho de defensa, por lo que no cabe entender que se haya producido la invalidez del propio procedimiento administrativo. En este sentido, ha sido tenida en cuenta la Sentencia del Tribunal Constitucional, de 29/11/1999 en la que se recoge que “...la indefensión constitucionalmente relevante es la situación en que, en general, tras la infracción de una norma procesal, se impide a alguna de las partes el derecho a la defensa, eliminando o limitando su potestad, bien de alegar derechos e intereses para que le sean reconocidos, o bien de replicar dialécticamente las posiciones contrarias en el ejercicio del principio de contradicción y que esta indefensión ha de tener un carácter material y no meramente formal, lo que implica que no es suficiente con la existencia de un defecto o infracción procesal, sino que debe haberse producido un efectivo y real menoscabo del derecho de defensa...”. Por ello, cabe concluir, de acuerdo con la doctrina reiterada del Tribunal Supremo (Sentencias de 12/03 y 25/05/1998, entre otras), que no procede declarar nula la Resolución impugnada, porque no se ha producido una disminución efectiva, real y trascendente de garantías, que incidiera en la resolución de fondo de forma que pudiera alterar su contenido, y porque no se ha causado indefensión, con lo que una vuelta atrás de las actuaciones en nada alteraría los términos de la litis. Prueba de ello es que las alegaciones efectuadas por FORD ESPAÑA, S.L. en respuesta a la Propuesta de Resolución elaborada por el Instructor, básicamente coinciden con las formuladas al inicio del procedimiento, que ya fueron tenidas en cuenta al dictar la Resolución que ahora se impugna. Además, interesa considerar que los hechos tenidos por probados, tanto en la Propuesta de Resolución como en la Resolución, son los mismos que motivaron la apertura del procedimiento sancionador, de modo que la entidad recurrente ha conocido estos hechos en todo momento y ha tenido oportunidad de desvirtuarlos, según ha quedado expuesto. Finalmente, a mayor abundamiento, es conveniente precisar que, de conformidad con la doctrina mantenida por el Tribunal Supremo, para que un acto pueda considerarse nulo por haberse dictado prescindiendo total y absolutamente del procedimiento legalmente establecido, “...han de concurrir los requisitos, como sostiene la sentencia de 15 de octubre de 1997 de esta Sala y jurisprudencia precedente, (desde la sentencia de 21 de marzo de 1988) que dicha infracción ha de ser clara, manifiesta y ostensible, lo que supone que dentro del supuesto legal de nulidad, se comprendan los casos de ausencia total del trámite o de seguir un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 distinto, lo que no ha sucedido en la cuestión examinada, como en un asunto precedente también hemos reconocido: STS de 10 de octubre de 2000, 3ª, 7ª, núm. 219/1999” (Sentencia de 17/10/2000). III FORD ESPAÑA, S.L. invoca causa de nulidad, entendiendo que la Resolución no ha sido dictada por el Director de la Agencia Española de Protección de Datos sino por la Secretaría General, sin que se indique que está ejerciendo una facultad delegada. Sin embargo, FORD ESPAÑA, S.L. no ha tenido en cuenta que le fue entregado el documento de notificación de la resolución, suscrito por la Secretaría General de la Agencia Española de Protección de Datos conforme a las competencias atribuidas por el Estatuto de esta Agencia, aprobado por Real Decreto 428/1993, de 26 de marzo. En el artículo 30 de dicho Estatuto se establece lo siguiente: “Artículo 30. Funciones de apoyo y ejecución.- Corresponde a la Secretaría General: (…) b). Notificar las resoluciones del Director”. Así, en el encabezamiento del documento de notificación de resolución remitido a FORD ESPAÑA, S.L. se indica “En fecha 25 de julio de 2014, se ha dictado por el Director de la Agencia Española de Protección de Datos, la siguiente resolución:”. A continuación se transcribe el texto íntegro de la misma, indicándose al final del documento lo siguiente: “Firmado electrónicamente en fecha 25 de julio de 2014, por D. José Luis Rodríguez Álvarez, Director de la Agencia Española de Protección de Datos. Lo que se notifica a efectos oportunos… y a su vez de conformidad con lo establecido en el art. 30 apartado
3. b)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos”. IV Reitera su alegación de caducidad del expediente, por cuento entiende que no puede desligarse de la tutela de derechos previamente ejercitada por el denunciante, que había sido desestimada, considerando que lo inspeccionado fue el resultado de dicha tutela de derechos y no otra cosa, cuyo plazo para resolver de seis meses había transcurrido. A este respecto, según se indica en la resolución impugnada, ha de tenerse en cuenta que la reclamación de tutela de derechos no fue desestimada sino inadmitida, considerando que la solicitud de cancelación remitida por correo electrónico no permite acreditar su recepción por la entidad reclamada, de acuerdo con los criterios que la Agencia Española de Protección de Datos viene aplicando en casos similares. Sin embargo, en este caso concreto, se consideró que el reclamante había utilizado el único medio dispuesto por FORD ESPAÑA, S.L. para el ejercicio de derechos (a través de correo electrónico dirigido a la dirección señalada en su política de privacidad) y, por ello, se estimó oportuno el inicio de actuaciones de investigación para el esclarecimiento de los hechos. En contra de lo señalado por la recurrente, se trata de una actuación administrativa independiente de la tutela de derechos tramitada, que se acuerda de oficio por el Director de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 Agencia Española de Protección de Datos conforme a las potestades y funciones que tiene atribuidas, derivada del conocimiento de conductas o hechos susceptibles de constituir infracción. Conforme a lo establecido en el artículo 37 de la LOPD, son funciones de la AEPD: “
4. a)Velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos”. “
5. g)Ejercer la potestad sancionadora en los términos previstos por el Título VII de la presente Ley”. Y el artículo 12 del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, referido a las funciones de dirección, establece lo siguiente: “1. El Director de la Agencia de Protección de Datos dirige la Agencia y ostenta su representación. 2. Corresponde al Director de la Agencia de Protección de Datos dictar las resoluciones e instrucciones que requiera el ejercicio de las funciones de la Agencia y, en especial: (…)
6. i)Iniciar, impulsar la instrucción y resolver los expedientes sancionadores referentes a los responsables de los ficheros privados”. Asimismo, en el Fundamento de Derecho Segundo de la resolución impugnada se trató esta cuestión con el siguiente detalle: <<Con carácter previo debe señalarse que el artículo 68 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), determina que “los procedimientos podrán incoarse de oficio o a solicitud de persona interesada”. Por otra parte, los artículos 122 y 126 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establecen lo siguiente: “Artículo 122. Iniciación. 1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano”. “Artículo 126. Resultado de las actuaciones previas. 1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. En este caso, con fecha 27/02/2013, el denunciante presentó escrito contra la entidad FORD solicitando la tutela de la AEPD para que inste la cancelación de sus datos y adopte las medidas sancionadoras correspondientes contra dicha entidad. Con este motivo, con fecha 10/04/2013, el Director de la Agencia dictó resolución acordando la inadmisión a trámite de la reclamación de tutela de derechos, considerando que la solicitud de cancelación remitida por correo electrónico no permite acreditar su recepción por la entidad reclamada, y por los mismos motivos desestimó el recurso de reposición interpuesto contra la misma mediante Resolución de fecha 08/07/2013. Sin embargo, en esta Resolución, considerando la denuncia formulada y con el propósito de verificar el procedimiento señalado por FORD para el ejercicio de los derechos ARCO, conforme a las normas señaladas se ordenó el inicio de las Actuaciones de investigación para el esclarecimiento de los hechos, que han dado lugar a la apertura del presente procedimiento sancionador>>. En definitiva, se acordó la realización de actuaciones previas de investigación y, de acuerdo con las constataciones obtenidas, la apertura de un procedimiento sancionador, que tuvo lugar en fecha 25/02/2014. Por tanto, cuando se dicta la resolución recurrida (25/07/2014) este procedimiento no se encontraba caducado, al no haber transcurrido el plazo de seis meses establecido. V En relación con las manifestaciones efectuadas por la entidad recurrente, que reproducen, básicamente, las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho III a VII de la Resolución recurrida, R/01694/2014, de 25/07/2014, en los que se considera que la citada entidad incumplió lo dispuesto en el artículo 16 de la LOPD, y se detallaba suficientemente la valoración de las pruebas que han permitido determinar dicho incumplimiento y el alcance otorgado a los mismos, así como las circunstancias tenidas en cuenta para la graduación de las sanción impuesta. En dichos Fundamentos de Derecho se indica lo siguiente: <<III El presente procedimiento tiene por objeto el examen de la denuncia formulada por la no cancelación efectiva de los datos personales del denunciante registrados en los ficheros de la entidad FORD, que podría suponer la comisión, por parte de la misma, de una infracción del artículo 16 de la LOPD. El artículo 16 de la LOPD, que dispone lo siguiente: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”. Por otra parte, los artículos 25, 31 y 32 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establecen lo siguiente: “Artículo 25. Procedimiento”. “2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. (…) 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber”. “Artículo 31. Derechos de rectificación y cancelación”. “2. El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento. En los supuestos en que el interesado invoque el ejercicio del derecho de cancelación para revocar el consentimiento previamente prestado, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento”. “Artículo 32. Ejercicio de los derechos de rectificación y cancelación. 1. La solicitud de rectificación deberá indicar a qué datos se refiere y la corrección que haya de realizarse y deberá ir acompañada de la documentación justificativa de lo solicitado. En la solicitud de cancelación, el interesado deberá indicar a qué datos se refiere, aportando al efecto la documentación que lo justifique, en su caso. 2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre”. Por tanto, deberá procederse a la cancelación de los datos cuando lo solicite el interesado o cuando hayan dejado de ser necesarios para la finalidad que justificó su tratamiento, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 como sucederá cuando se haya cumplido la relación que vincula al afectado con el responsable del tratamiento, aunque, por virtud de la propia relación jurídica o por razón de las responsabilidades que pudieran derivarse de la misma, impuestas por una Ley, dicha cancelación pueda producirse mediante la modalidad de bloqueo de los datos de carácter personal sometidos a tratamiento, que no implicará automáticamente su borrado físico en las circunstancias recogidas en el citado artículo 16.3, in fine de la citada LOPD. En los casos en que la cancelación se solicite por el afectado, la misma deberá llevarse a efecto en el plazo de diez días, imponiéndose al responsable del fichero la obligación de contestar “la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros”. Además, “si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos”, aunque esta cancelación por el cesionario no es obligatorio comunicarla al afectado. IV En el presente caso, consta acreditado que el denunciante facilitó sus datos personales a la entidad FORD, con el fin de que le fuese aportada información sobre los productos y servicios de la entidad. Asimismo, consta que tales datos fueron comunicados por FORD a la entidad Autoconcesionarios, S.L., con el propósito de que aquella petición de información fuese atendida. Consta, igualmente, que con fecha 23/01/2013 el denunciante ejercitó ante la entidad FORD el derecho de cancelación de sus datos, utilizando para ello uno de los canales establecidos por la propia entidad citada en la Política de Privacidad insertada en su web, mediante correo electrónico dirigido a dirección habilitada con este fin, sin que dicha solicitud de cancelación haya sido contestado por ningún medio. Al contrario, habiendo comprobado que la petición de información del denunciante no había sido atendida, en el momento en que éste ejercitó el derecho de cancelación, en lugar de atenderlo, plantearon recuperar la solicitud de información sobre los servicios de la entidad remitiendo los datos a otro concesionario o por otro medio, habiéndole realizado llamadas telefónicas con este fin en fechas posteriores al ejercicio del derecho, lo que supone un tratamiento de los datos del denunciante contrario a la disposición efectuada por éste y demuestra, en definitiva, que el derecho no fue atendido. Además, no sólo se incumplió la obligación de contestar la solicitud de cancelación, sino también la de comunicar dicha cancelación a los cesionarios para que éstos, a su vez, procedieran a cancelar los datos. En consecuencia, esta conducta realizada por la entidad FORD infringe la normativa de protección de datos y, en concreto, lo dispuesto en el artículo 16 de la LOPD, conforme al derecho de cancelación ejercitado por el denunciante. Así, habiendo quedado acreditado que el denunciante ejerció el derecho de cancelación de sus datos personales, sin que se advirtiera por parte de FORD sobre la existencia de circunstancia alguna que obligara a mantener tales datos, dicha entidad debió adoptar todas las medidas necesarias para que dicha cancelación fuese efectiva y disponer que aquellos datos fuesen extraídos de sus ficheros o bloqueados, impidiendo con ello cualquier uso posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 V El artículo 44.3.
7. e)de la LOPD señala que constituye infracción de carácter grave “el impedimento o la obstaculización del ejercicio de los derechos de acceso y oposición y la negativa a facilitar la información que sea solicitada”. En el presente procedimiento ha quedado acreditado que FORD ha incurrido en la infracción descrita ya que no canceló los datos personales del denunciante existentes en sus ficheros impidiendo, por tanto, el derecho de cancelación amparado por el artículo 16 de la LOPD, conducta que encuentra su tipificación como grave en el transcrito artículo 44.3.
8. e)de la citada Ley Orgánica. FORD, como responsable del fichero, no resolvió sobre la petición de acceso en el plazo máximo de diez días. La vulneración de lo dispuesto en el artículo 16 de la LOPD se entiende consumada, considerando la solicitud formulada por el denunciante, que no fue atendida por dicha entidad. La entidad FORD debió proceder al borrado físico de los datos del denunciante o a su bloqueo, una vez estimada la solicitud de cancelación de los datos, restringiendo su tratamiento a los usos estrictamente recogidos en el artículo 16.3 de la LOPD. VI El apartado 6 del artículo 45 de la LOPD establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. FORD ha solicitado la aplicación de este artículo, señalando que tiene programas de cumplimiento a nivel mundial relativos a la protección de datos de carácter personal. No obstante, en el presente caso, atendida la naturaleza de los hechos, no se estima aplicable la previsión contenida en el mismo, que se declara expresamente como excepcional y cuya ponderación corresponde al órgano sancionador atendidas las circunstancias concurrentes y los presupuestos contenidos en el artículo mencionado. Así, en este caso, se considera especialmente el volumen de tratamientos que resulta de la actividad de la entidad imputada, que viene a exigir el establecimiento de protocolos que aseguren el seguimiento puntual y la atención de los derechos que pudieran ejercitar los ciudadanos ante dicha entidad y eviten que no resulten atendidos, así como la diligencia debida que resulta exigible en estos casos. Además, se considera especialmente que FORD, una vez recibida la solicitud del denunciante, estuvo más atenta a sus intereses, intentando recuperar un cliente potencial, que al respeto de la decisión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 adoptada por el afectado titular de los datos en cuestión. VII El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad FORD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren diversos criterios de los enunciados en el artículo 45.4 de la LOPD, necesarios para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, como son la ausencia de reincidencia (se tiene en cuenta de forma especial que la entidad FORD no ha sido sancionada anteriormente por ningún tipo de infracción en esta materia), la ausencia de beneficios y que no se han provocado perjuicios distintos a los que derivan de la propia infracción cometida. Asimismo, se considera el hecho de que FORD tiene implementados procedimientos para el ejercicio de los derechos de cancelación por parte de los afectados que, además, están siendo revisados para su mejora. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 1 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, por un lado, el volumen de tratamientos afectados por la infracción (únicamente los relativos al denunciante), y por otro, la actividad del infractor, la diligencia debida exigible y el grado de intencionalidad (la entidad pretendió recupera un cliente potencial en lugar de atender el derecho ejercitado), procede la imposición de una multa por importe de 6.000 euros por la infracción cometida>>. VI Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, en la que, según ha quedado expuesto, se analizó la actuación desarrollada por la entidad FORD ESPAÑA, S.L. con motivo de la solicitud de cancelación de datos formulada por el denunciante y se determinó que la misma no había sido atendida, es decir, que los datos personales del mismo no había sido efectivamente cancelados. Conforme a las circunstancias expresadas, no cabe admitir la alegación planteada por la entidad FORD ESPAÑA, S.L., según la cual la única irregularidad resulta de la falta de contestación por escrito a la petición del afectado. Omite la recurrente que el denunciante recibió llamadas telefónicas con el fin de ofertar los productos y servicios de la entidad y que esta actuación constituye un tratamiento de datos que viene a demostrar que la cancelación no se hizo efectiva. Ya se advirtió en la resolución de 25/07/2014 que “La entidad FORD debió proceder al borrado físico de los datos del denunciante o a su bloqueo, una vez estimada la solicitud de cancelación de los datos, restringiendo su tratamiento a los usos estrictamente recogidos en el artículo 16.3 de la LOPD”. De la misma forma, en el recurso elaborado tampoco se tiene en cuenta que el ejercicio del derecho de cancelación conlleva, además, la obligación del responsable del fichero de instar dicha cancelación a todos los cesionarios de los datos y, en este caso, no consta que FORD ESPAÑA, S.L. comunicara la cancelación al concesionario al que remitió la solicitud de información sobre los productos de la entidad. Teniendo en cuenta estas llamadas y la finalidad de las mismas, es obvio que la recurrente estuvo más atenta a la recuperación de un cliente potencial que a atender la decisión adoptada por el titular de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 Y estas llamada, realizadas en fecha posterior al ejercicio del derecho de cancelación, ya no pueden justificarse, como pretende FORD ESPAÑA, S.L., con la prestación de un servicio previamente solicitado por el denunciante. En cuanto a la graduación de la sanción impuesta y la posible aplicación de lo establecido en el artículo 45.6 de la LOPD, FORD ESPAÑA, S.L. reitera lo ya manifestado durante el procedimiento que dio lugar a la Resolución impugnada sin considerar la fundamentación y circunstancias de hecho recogidas en la misma, que ya tiene en cuenta las circunstancias alegadas por dicha entidad, entre otras la ausencia de reincidencia, la ausencia de beneficios y que no se han provocado perjuicios distintos a los que derivan de la propia infracción cometida, que FORD ESPAÑA, S.L. tiene implementados procedimientos para el ejercicio de los derechos de cancelación por parte de los afectados que, además, están siendo revisados para su mejora y el volumen de tratamientos afectados por la infracción (únicamente los relativos al denunciante). FORD ESPAÑA, S.L., en cambio, nada indica sobre los criterios expuestos para desestimar la aplicación de lo establecido en el artículo 45.6 y para la imposición de una multa por importe de 6.000 euros, como son la actividad del infractor, la diligencia debida exigible, que implica el establecimiento de protocolos que aseguren el seguimiento puntual y la atención de los derechos que pudieran ejercitar los ciudadanos ante dicha entidad y eviten que no resulten atendidos, y el grado de intencionalidad apreciado (la entidad pretendió recupera un cliente potencial en lugar de atender el derecho ejercitado). Por lo tanto, en el presente recurso de reposición, FORD ESPAÑA, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por FORD ESPAÑA, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de julio de 2014, en el procedimiento sancionador PS/00088/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad FORD ESPAÑA, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es